Dernière mise à jour le : 28/10/2026
Entré en application le 25 mai 2018, le RGPD (Règlement général sur la protection des données) est entré dans le quotidien des entreprises et des utilisateurs.
Ce règlement européen, qui s’applique en complément de la Loi française Informatique et Libertés de 1978, a changé définitivement la manière dont sont exploitées les données personnelles. En effet, le RGPD s’applique à toutes les entreprises qui traitent des données personnelles de citoyens de l’Union européenne, quelle que soit leur taille ou leur secteur d’activité. Certaines entreprises situées en dehors de l’Union européenne sont également concernées lorsqu’elles proposent des biens ou des services à des personnes vivant dans l’Union européenne ou qu’elles analysent leur comportement.
Dans cet article, nous aborderons le rôle du DPO, une fonction prévue par le RGPD pour aider les entreprises à respecter leurs obligations en matière de protection des données personnelles. Nous déterminerons quelles structures sont tenues de designer ce professionnel, discuterons des conséquences du non-respect de cette exigence, et aborderons les différentes options pour assurer cette fonction, qu’elle soit interne ou externalisée.
RGPD : qui est le DPO et quel est son rôle ?
Le « Data Protection Officer », appelé en français « Délégué à la protection des données » accompagne l’entreprise dans le respect de ses obligations liées à la protection des données personnelles. À la fois juriste et technicien, il doit disposer de connaissances spécialisées en matière de réglementation et de protection des données, ainsi que d’une bonne compréhension des activités et des traitements mis en œuvre par l’organisation. Son rôle n’est pas de prendre les décisions à la place de l’entreprise, mais de l’informer, de la conseiller et de vérifier que les règles sont correctement appliquées.
Les principales responsabilités associées au DPO sont les suivantes :
- Il informe l’entreprise sur ses obligations légales et conseille sur les meilleures pratiques,
- Il vérifie le respect du RGPD et propose des améliorations,
- Il participe aux audits de protection des données et au suivi des mesures mises en place,
- Il supervise les audits de protection des données et assure le suivi et la mise à jour des processus,
- Il est le point de contact pour les autorités de contrôle et pour les personnes concernées par les traitements de données,
- Il conseille l’entreprise sur la tenue et la mise à jour de la documentation, notamment le registre des traitements,
- Il s’assure que la documentation, comme le registre des traitements, est à jour.
- Il forme et sensibilise le personnel aux bonnes pratiques de gestion des données.
- Il peut accompagner l’entreprise en cas d’incident et l’aider à préparer une notification de violation de données lorsque celle-ci est nécessaire.
Le DPO informe et conseille l’entreprise, vérifie que les règles du RGPD sont bien prises en compte et coordonne les actions nécessaires pour améliorer la protection des données. Il peut également faciliter les échanges avec la CNIL et les personnes concernées.
Il ne prend toutefois pas les décisions à la place de l’entreprise et n’est pas responsable de sa conformité à sa place. Cette responsabilité revient à l’entreprise, qui doit respecter le RGPD en tant que responsable du traitement lorsqu’elle décide pourquoi et comment les données sont utilisées, ou en tant que sous-traitant lorsqu’elle traite ces données pour le compte d’une autre organisation.
Pour quelles structures le DPO est-il obligatoire ?
Toutes les entreprises ne sont pas obligées de désigner un DPO. Cette obligation ne dépend pas de leur taille ou de leur nombre de salariés, mais de la nature de leur activité et des données personnelles qu’elles traitent.
Il existe plusieurs types d’entreprises ou d’organisations pour lesquelles la désignation ou le recrutement d’un DPO est obligatoire :
- les organismes publics : administrations, collectivités territoriales, établissements publics, à l’exception des juridictions dans l’exercice de leurs fonctions juridictionnelles.
- lorsque la gestion des données personnelles exige un suivi régulier et systématique à grande échelle des personnes concernées : par exemple, les entreprises spécialisées dans le suivi du comportement des internautes ou certains opérateurs de télécommunications.
- lorsque la gestion des données personnelles exige un traitement à grande échelle de données dites « sensibles » (données de santé, données biométriques, opinions politiques, convictions religieuses…) et / ou de données à caractère personnel relatives à des condamnations pénales et à des infractions.
Pour savoir si vous êtes concerné par l’un de ces cas, il faut vous poser les questions suivantes :
Le traitement des données personnelles fait-il partie de l’activité de base de votre structure ?
Par la nature même de votre activité, il faut entendre les produits ou services que vous délivrez, par opposition aux fonctions support de l’entreprise, telles que la gestion de la paie par exemple.
Vous êtes donc vraisemblablement dans l’obligation de désigner un DPO si la nature de votre activité implique un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de données sensibles ou relatives aux condamnations pénales et aux infractions.
Par exemple, une entreprise dont l’activité consiste à analyser le comportement d’un grand nombre d’utilisateurs peut être concernée.
En revanche, le simple fait de gérer un fichier clients, de collecter des coordonnées commerciales ou de traiter les données des salariés ne rend pas automatiquement la désignation d’un DPO obligatoire.
Le traitement des données personnelles est-il réalisé à grande échelle ?
Il n’est pas évident de définir à partir de quel volume de données, on peut parler de « grande échelle ». De plus, il ne s’agit pas que de volume, mais également de durée ou d’étendue géographique. Le nombre de personnes concernées et la diversité des données traitées entrent également en ligne de compte.
Cependant, il est possible de deviner que des structures telles que des fournisseurs d’accès, des moteurs de recherche ou les établissements hospitaliers traitant les données de santé de nombreux patients sont concernées par cette appellation de « traitement à grande échelle ».
Pour ce qui est des PME ou des petites structures, cela devient beaucoup moins évident et à déterminer au cas par cas, en fonction de la nature et de l’ampleur des traitements réalisés.
Le traitement des données personnelles implique-t-il un suivi régulier et systématique ?
Il est facile de définir ce qu’est un suivi régulier, ce qui implique une notion de fréquence et de répétition. Par contre, il est beaucoup moins évident de se prononcer sur le concept de “suivi systématique”.
Un suivi est régulier lorsqu’il est effectué de manière répétée ou continue. Il est systématique lorsqu’il repose sur une organisation, une méthode ou une stratégie définie à l’avance.
Il peut s’agir, par exemple, de géolocaliser des personnes, de suivre leur activité en ligne, d’analyser leur comportement ou de réaliser du profilage à des fins publicitaires.
Toutefois, ce critère ne suffit pas à lui seul pour rendre la désignation d’un DPO obligatoire. Le suivi doit également être réalisé à grande échelle et constituer une activité principale de l’organisme.
Que se passe-t-il si une entreprise ne nomme pas de DPO alors qu’elle est tenue de le faire ?
Si une entreprise n’a pas nommé de DPO alors qu’elle était tenue de le faire, elle s’expose :
- à des sanctions financières de type amendes (jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu),
- à un contrôle de la CNIL, qui peut lui demander de désigner un DPO et de prendre les mesures nécessaires pour se mettre en conformité ;
- à des difficultés pour démontrer sa conformité au RGPD, notamment en cas de contrôle ou d’incident impliquant des données personnelles,
- à une perte d’image et de réputation, en particulier si l’absence de DPO s’accompagne d’autres manquements.
Même lorsque la désignation d’un DPO n’est pas obligatoire, une entreprise peut choisir d’en nommer un. Cette décision peut être utile lorsqu’elle traite un volume important de données personnelles ou que ces traitements sont complexes.
Dès lors qu’il est désigné, même volontairement, le DPO doit respecter les mêmes règles qu’un DPO obligatoire. Il doit notamment disposer des compétences nécessaires et pouvoir exercer sa mission de manière indépendante.
Pas concerné par l’obligation ? Il vous faut tout de même appliquer le RGPD
Si votre entreprise ne relève pas des spécificités évoquées plus haut et n’est donc pas obligée de disposer d’un DPO, elle doit tout de même s’acquitter de ses obligations RGPD. Une ou plusieurs personnes devront donc :
- tenir un registre des traitements de données personnelles lorsque cette obligation s’applique,
- faire respecter le droit des personnes, notamment leurs droits d’accès, de rectification et d’effacement,
- mettre en conformité votre système d’information, en mettant en place des mesures techniques et organisationnelles adaptées pour protéger les données,
- documenter vos procédures et les actions mises en œuvre pour respecter le RGPD.
Qui peut être DPO au sein de l’entreprise ?
- En théorie, tout collaborateur de l’entreprise peut être désigné DPO, tant qu’il dispose des connaissances nécessaires en matière d’application du RGPD.
- Il est possible de désigner une ou plusieurs personnes pour accomplir ce rôle, ceci étant à évaluer en fonction de la taille de l’entreprise et de l’ampleur de la tâche.
- Il n’est pas obligatoire que cette personne soit un collaborateur, il peut également s’agir d’un organisme externe, par exemple, d’un prestataire en sécurité informatique et / où d’un cabinet d’avocats pour la gestion juridique.
DPO : pourquoi recourir à un externe ?
Selon l’Article 37 du RGPD : « Le délégué à la protection des données sera désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données et de sa capacité à remplir les tâches visées à l’article 39.«
Ce qui veut dire que la personne en charge du RGPD de l’entreprise doit posséder, de par la loi, une connaissance du droit de la protection des données et être en mesure de remplir les tâches stipulées dans le RGPD. Il doit également avoir une compréhension des processus techniques de traitement des données.
De plus, il existe certaines obligations légales à respecter :
- Indépendance : Le DPO doit être en mesure d’effectuer ses tâches en toute indépendance.
- Confidentialité : Le DPO est tenu de respecter la confidentialité et le secret professionnel concernant l’exécution de ses tâches.
- Formation : L’entreprise est tenue de fournir au DPO les ressources nécessaires pour maintenir et mettre à jour ses connaissances.
- Accès : Le DPO doit avoir accès à toutes les informations nécessaires pour effectuer ses tâches. et être consulté en amont des projets impliquant des données personnelles.
Certaines entreprises préfèrent confier cette fonction à un consultant ou à un prestataire spécialisé plutôt qu’à un salarié. Elles peuvent ainsi bénéficier de compétences et d’une expérience spécifiques, sans devoir mobiliser une personne à temps plein.
Le recours à un prestataire externe peut aussi faciliter l’indépendance du DPO. Il faut toutefois s’assurer qu’il puisse formuler ses recommandations librement et qu’il ne soit pas placé dans une situation de conflit d’intérêts.
Quels critères pour choisir son représentant RGPD externe ?
La désignation d’un DPO externe nécessite la prise en compte des qualifications professionnelles du prestataire, de son expérience en matière de pratiques de protection des données, de confidentialité et de cybersécurité, de sa compréhension technique des processus de traitement des données ou encore, de sa formation juridique.
Il faudra également s’assurer que le prestataire sera à même d’accompagner et de conseiller l’entreprise dans les démarches suivantes :
- cartographier les traitements de vos données personnelles avec l’élaboration d’un registre des traitements,
- au sein de ce registre, identifier les traitements susceptibles de ne pas respecter le règlement et proposer des mesures pour y remédier,
- travailler à la protection des données sous tous ses aspects, notamment en matière d’accès, de stockage et de sécurité informatique en général, en formulant des recommandations adaptées aux risques identifiés,
- documenter toutes ces actions de façon à être à même de démontrer aux autorités de contrôle les mesures prises par l’entreprise pour respecter ses obligations réglementaires.
Il est également important de vérifier que le prestataire dispose des ressources nécessaires pour accompagner votre organisation, qu’il est facilement joignable et qu’il n’existe pas de conflit d’intérêts avec les missions qui lui sont confiées.
Audit de conformité RGPD
Chez Déessi, nous vous proposons un accompagnement vérifier le niveau de conformité RGPD de votre système d’information et mettre en place les mesures correctives éventuellement nécessaires.
Nous proposons 2 types d’audit de conformité afin de répondre aux besoins des structures pour lesquelles le RGPD et sa mise en application n’est pas critique, mais également pour les structures qui ont besoin d’un accompagnement plus pointu.
Pour en savoir plus, rendez-vous sur notre page audits de conformité RGPD.
