En juillet 2026, l’Agence espagnole de protection des données, l’AEPD, a publié des recommandations sur l’effectivité de la fonction DPO dans le secteur public espagnol.

Sans créer de nouvelles obligations, elles donnent une grille concrète des moyens, du positionnement et de l’indépendance attendus.

Leur principal enseignement dépasse le seul secteur public :

L’efficacité du DPO dépend moins de sa désignation formelle que de la place, des moyens et de l’indépendance qui lui sont réellement accordés.

Pourquoi la désignation du DPO ne suffit-elle pas ?

Le responsable du traitement reste responsable de la conformité.

Le DPO informe, conseille, contrôle le respect du cadre applicable et accompagne les décisions. Il ne se substitue pas aux organes qui déterminent les finalités et les moyens des traitements.

L’article 38 du RGPD impose notamment à l’organisme de garantir :

• l’association appropriée et en temps utile du DPO ;
• les ressources nécessaires à ses missions ;
• son accès aux données et aux opérations de traitement ;
• le maintien de ses connaissances ;
• l’absence d’instructions dans l’exercice de ses fonctions ;
• l’absence de sanction liée à l’accomplissement de ses missions ;
• son accès direct au niveau le plus élevé de la direction.

La conformité ne se mesure donc pas à la seule présence d’un nom dans un registre ou d’une adresse électronique communiquée à l’autorité.

Elle se mesure à la capacité du DPO à intervenir effectivement.

Les six contrôles à mener

1. Vérifier le positionnement du DPO

Le DPO doit être clairement identifié dans l’organisation et disposer d’un accès effectif aux décideurs.

Il convient notamment d’examiner :

• sa place dans l’organigramme ;
• son rattachement fonctionnel ;
• sa capacité à échanger directement avec la direction ;
• sa participation aux instances pertinentes ;
• la continuité de la fonction en cas d’absence ou de départ.

Un rattachement hiérarchique intermédiaire ne constitue pas automatiquement un manquement. Il devient problématique lorsque le DPO ne peut pas rendre compte directement au niveau le plus élevé de la direction ou intervenir sur les choix structurants.

2. Organiser son association en temps utile

Le DPO doit intervenir lorsque ses recommandations peuvent encore influencer le projet.

Sa consultation doit notamment être prévue pour :

• les nouveaux traitements ;
• les projets technologiques ;
• les achats de logiciels ou de services SaaS ;
• la commande publique ;
• les analyses de risques et d’impact ;
• les nouveaux sous-traitants ;
• les traitements sensibles ;
• les projets d’intelligence artificielle ;
• les transferts hors de l’Espace économique européen ;
• les incidents et violations de données.

Une consultation après la signature d’un contrat, la sélection définitive d’un prestataire ou la mise en production réduit fortement la capacité du DPO à influencer les choix structurants.

L’organisme devrait donc définir les événements déclenchant sa saisine et formaliser un circuit précisant :

• qui saisit le DPO ;
• à quel stade ;
• avec quels documents ;
• dans quel délai ;
• sous quelle forme l’avis est rendu ;
• comment les recommandations sont suivies ;
• qui arbitre lorsqu’un avis n’est pas retenu.

3. Évaluer les moyens réellement disponibles

Les moyens du DPO doivent être proportionnés :

• à la taille de l’organisme ;
• au nombre et à la complexité des traitements ;
• aux catégories de données concernées ;
• au nombre d’entités couvertes ;
• aux risques associés ;
• aux autres fonctions qui lui sont confiées.

Les ressources comprennent notamment :

• un temps de travail suffisant ;
• une équipe ou des relais internes ;
• un budget ;
• des outils adaptés ;
• l’accès aux systèmes et aux informations ;
• une formation continue ;
• un appui juridique, technique et organisationnel.

Les compétences nécessaires ne se limitent pas au droit. Selon son périmètre, le DPO peut avoir besoin d’un soutien en cybersécurité, systèmes d’information, gestion des risques, intelligence artificielle ou conduite de projet.

L’absence de ressources ne peut pas être compensée durablement par la seule expertise personnelle du DPO.

4. Contrôler l’indépendance et les conflits d’intérêts

Le DPO ne doit pas recevoir d’instruction lui imposant :

• le résultat de son analyse ;
• la position juridique à retenir ;
• la conclusion d’une analyse d’impact ;
• la manière de traiter une réclamation ;
• l’opportunité de saisir ou de consulter l’autorité de contrôle.

Le responsable reste libre de ne pas suivre son avis.

Il assume alors la décision et devrait conserver :

• l’avis rendu ;
• les motifs de l’écart ;
• l’arbitrage effectué ;
• les éventuelles mesures compensatoires.

Les autres fonctions exercées par le DPO doivent également être examinées.

Un conflit d’intérêts peut exister lorsqu’il détermine lui-même les finalités ou les moyens de traitements qu’il doit ensuite contrôler.

L’organisme devrait donc formaliser :

• les fonctions éventuellement cumulées ;
• l’analyse des conflits d’intérêts ;
• les mesures de séparation retenues ;
• les modalités d’escalade ;
• la fréquence de réexamen.

5. Ne pas transférer les décisions au DPO

Le DPO conseille et contrôle. Il ne doit pas devenir le propriétaire opérationnel de tous les traitements.

Le responsable du traitement doit conserver la maîtrise des décisions relatives :

• aux finalités ;
• aux moyens des traitements ;
• au registre des activités ;
• aux analyses de risques ;
• aux mesures de sécurité ;
• aux analyses d’impact ;
• au choix des sous-traitants ;
• aux durées de conservation ;
• à l’acceptation des risques résiduels.

Cette distinction protège :

• l’indépendance du DPO ;
• la responsabilité du décideur ;
• la lisibilité de la gouvernance ;
• la valeur de l’avis rendu.

Un DPO qui conçoit seul les traitements, prend les décisions et contrôle ensuite ses propres choix ne peut plus exercer pleinement sa mission de contrôle.

6. Construire la preuve de l’effectivité de la fonction

L’organisme doit pouvoir démontrer non seulement qu’il a procédé à la désignation du DPO, mais aussi que celui-ci a pu exercer ses missions.

Les preuves utiles peuvent comprendre :

• la décision ou le contrat de désignation ;
• la fiche de fonction ;
• l’organigramme ;
• la lettre de mission ;
• le rattachement fonctionnel ;
• le temps et le budget alloués ;
• la composition de l’équipe ;
• le plan de formation ;
• la procédure de saisine ;
• les invitations aux réunions ;
• les avis rendus ;
• les décisions prises à la suite de ces avis ;
• les désaccords motivés ;
• le suivi des recommandations ;
• l’analyse des conflits d’intérêts ;
• les échanges avec la direction.

Cette traçabilité peut être organisée dans un registre des saisines du DPO.

Quatre questions d’autoévaluation

Positionnement

Le DPO est-il clairement identifié et capable d’accéder directement aux décideurs ?

Moment

Est-il consulté lorsque les choix sont encore réversibles, ou seulement lorsque le traitement est déjà engagé ?

Moyens

Dispose-t-il du temps, des compétences, du budget, des accès et des relais adaptés au périmètre qu’il couvre ?

Preuve

L’organisme peut-il reconstituer ses saisines, ses avis, les décisions prises et les suites données ?

La mutualisation du DPO est-elle conforme ?

Le RGPD permet de désigner un même DPO pour plusieurs organismes.

Cette mutualisation n’est toutefois conforme que si le DPO :

• reste accessible à chaque entité ;
• dispose d’un temps suffisant ;
• connaît les traitements concernés ;
• peut échanger avec les collaborateurs et les personnes concernées ;
• peut coopérer avec les autorités ;
• bénéficie, si nécessaire, d’une équipe ou de relais ;
• n’est pas placé en conflit d’intérêts.

La mutualisation ne corrige donc pas une insuffisance chronique de ressources.

Elle suppose une répartition claire du temps, des responsabilités, des circuits de saisine et des priorités entre les entités concernées.

FAQ

Que garantit l’article 38 du RGPD au DPO ?

Il garantit notamment son association appropriée et en temps utile, les ressources nécessaires à ses missions, son accès aux données et traitements, son indépendance et son accès direct au niveau le plus élevé de la direction.

Un DPO mal positionné expose-t-il l’organisme ?

Oui, lorsque son positionnement l’empêche d’accéder aux décideurs, d’être consulté suffisamment tôt ou d’exercer ses missions avec indépendance.

Le niveau dans l’organigramme constitue un indice. L’analyse doit porter sur l’accès, les moyens et l’influence réels.

Le DPO doit-il valider chaque projet ?

Non.

Il informe, conseille et contrôle. Le responsable du traitement reste décisionnaire et responsable de la conformité.

À quel moment faut-il consulter le DPO ?

Dès la conception du projet, avant les choix difficiles à modifier : architecture, finalités, catégories de données, prestataire, contrat, sécurité, conservation ou mise en production.

Peut-on ne pas suivre son avis ?

Oui.

Le responsable assume alors la décision. Il est prudent de conserver l’avis, les motifs de l’écart et les éventuelles mesures compensatoires.

Comment démontrer son association en temps utile ?

En conservant la date de saisine, le stade du projet, les documents transmis, l’avis rendu, la décision prise et les suites données.

Conclusion

Les recommandations de l’AEPD ne créent pas de nouvelles obligations au titre de l’article 38.

Elles mettent néanmoins en évidence les conditions concrètes d’une fonction DPO effective :

positionnement → saisine précoce → ressources → indépendance → avis → décision → preuve

Un DPO désigné mais invisible ne peut pas exercer pleinement sa mission.

Un DPO consulté après la décision ne peut pas intégrer la protection des données dès la conception.

Un DPO privé de moyens ou placé en conflit d’intérêts ne peut pas contrôler efficacement l’organisation.

La question à poser n’est donc plus seulement :

Avons-nous procédé à la désignation du DPO ?

Mais :

Pouvons-nous démontrer qu’il dispose réellement de la place, du temps, des moyens et de l’indépendance nécessaires à sa mission ?

DPO PARTAGE peut vous accompagner pour évaluer le positionnement du DPO, formaliser les procédures de saisine et constituer les preuves attendues au titre de l’article 38.