DPO : signification, rôle, obligation et déclaration à la CNIL

Que signifie l’acronyme DPO ?

DPO signifie Data Protection Officer, soit en français délégué à la protection des données. La fonction est née avec le RGPD, entrée en application en 2018.

Le sigle anglais reste toutefois le plus employé, y compris dans les organismes français. Il désigne une seule et même personne, quel que soit le secteur.

Attention à une confusion fréquente. En effet, le DPO n’est pas un simple correspondant informatique ni un responsable de la sécurité. C’est plutôt le pilote de la conformité au sein de l’organisme.

Sa fonction est encadrée par les articles 37 à 39 du RGPD. Ces textes fixent notamment qui doit le désigner, son statut et ses missions.

Quel est le rôle concret d’un délégué à la protection des données ?

Son rôle tient en un mot : la vigilance. Le DPO informe, conseille et contrôle. Il ne décide pas à la place du responsable de traitement, il éclaire ses choix.

Concrètement, ses missions principales sont les suivantes :

• Informer et conseiller la direction et les équipes sur leurs obligations.
• Contrôler le respect du RGPD et des procédures internes.
• Piloter le registre des traitements et sa tenue à jour.
• Servir de point de contact avec la CNIL et les personnes concernées.
• Sensibiliser et former les salariés qui manipulent des données.

Un principe fondamental structure tout : l’indépendance. Ainsi, le DPO ne reçoit aucune instruction dans l’exercice de ses missions. Il rend également compte au plus haut niveau de la direction.

Le rôle du DPO selon l’article 39 : cinq missions minimales

Le RGPD fixe un socle que l’organisme peut compléter, jamais réduire :

1. informer et conseiller le responsable de traitement ou le sous-traitant, ainsi que les employés qui traitent des données ;
2. contrôler le respect du RGPD et des règles internes, y compris la formation du personnel et les audits ;
3. conseiller, sur demande, sur l’analyse d’impact relative à la protection des données (AIPD) et vérifier son exécution ;
4. coopérer avec l’autorité de contrôle ;
5. être son point de contact, notamment pour la consultation préalable.

Les personnes concernées peuvent aussi le saisir sur leurs droits (article 38.4). Ses missions couvrent donc tous les traitements : une désignation limitée aux seuls traitements RH n’est pas possible, précise la CNIL.

Rôle du DPO : ce qu’il ne fait pas

Le délégué ne choisit ni les finalités ni les moyens des traitements, et il n’est pas personnellement responsable des manquements : la responsabilité pèse sur le responsable de traitement ou le sous-traitant (article 24). La CNIL ajoute d’ailleurs qu’elle ne peut pas lui être transférée par délégation de pouvoir, ce qui le placerait en conflit d’intérêts.

Test de terrain : cherchez l’avis écrit du DPO sur vos trois derniers projets numériques, rendu avant le choix de l’outil. S’il manque, il n’a donc pas été associé « en temps utile ».

Dans quels cas la désignation d’un DPO est-elle obligatoire ?

Le RGPD impose la désignation dans trois situations précises. En dehors de ces cas, elle reste facultative mais reste vivement conseillée.

Le texte de l’article 37 apporte ensuite trois précisions. Les juridictions ne sont exclues que dans leur fonction juridictionnelle. Le troisième cas couvre aussi les condamnations pénales et infractions (article 10). Et l’obligation vise aussi le sous-traitant : un hébergeur dont le métier est de traiter des données de santé à grande échelle doit avoir son propre DPO.

La notion de grande échelle n’a pas de seuil chiffré officiel. On l’apprécie selon le volume de personnes, le territoire et la durée du traitement.

Par exemple, le cas des données de santé illustre bien cette complexité. Un cabinet isolé n’est pas concerné, un réseau de centres de soins l’est probablement.

Activités de base et grande échelle : la méthode pour trancher

Les « activités de base » sont le métier principal, pas les fonctions support : pour une clinique, le soin l’est, la paie non. La « grande échelle » se juge au cas par cas selon quatre facteurs retenus par la CNIL :

• le nombre de personnes, rapporté à la population concernée et non à la taille de l’organisme ;
• le volume ou la variété des données ;
• la durée ou la permanence du traitement ;
• l’étendue géographique de l’activité.

Notre conseil : écrivez votre raisonnement, même si la conclusion est « pas d’obligation ». En pratique, une note datée vaut mieux qu’une affirmation orale.

Cas limites : voir DPO obligatoire : qui doit nommer un délégué RGPD ?

Beaucoup d’organismes non soumis à l’obligation désignent malgré tout un délégué, sans en avoir les ressources en interne. C’est la logique du DPO externalisé qui apporte une expertise à jour sans créer de poste, tout en garantissant la neutralité exigée par le RGPD.

Pourquoi désigner un DPO même sans obligation ?

La réponse est autant stratégique que réglementaire. D’abord, un DPO réduit le risque de sanction et de violation de données mal gérée.

Il apporte aussi un gain de confiance. Clients, partenaires et candidats vérifient de plus en plus la maturité d’une organisation sur ce sujet.

La désignation envoie enfin un signal à la CNIL. Un interlocuteur identifié facilite le dialogue et témoigne d’une démarche sérieuse en cas de contrôle.

Ne pas désigner de DPO ne dispense jamais du respect des principes du RGPD. La responsabilité pèse en effet sur l’organisme, avec ou sans délégué nommé.

Attention : un DPO désigné volontairement obéit aux mêmes règles qu’un DPO obligatoire. Un DPO « pour la forme », sans temps ni formation, est donc une non-conformité. Pour un simple appui, parlez plutôt de référent RGPD et ne le déclarez pas comme DPO.

Pour les règles officielles de désignation et de déclaration, la CNIL détaille la procédure sur sa page dédiée à la désignation du DPO.

Qui peut être délégué à la protection des données : compétences, certification, conflits d’intérêts

Toute personne peut être DPO, sans diplôme imposé, si elle a les compétences et n’est pas « juge et partie ». L’article 37.5 exige toutefois des connaissances spécialisées du droit et des pratiques en protection des données.

La certification CNIL, une preuve facultative

La certification n’est obligatoire ni pour exercer ni pour être déclaré. Des organismes agréés la délivrent, selon des référentiels CNIL de 2018. Il faut deux ans d’expérience liée à la protection des données, ou deux ans dans tout domaine plus 35 heures de formation, puis réussir un QCM d’au moins 100 questions (75 % au total, 50 % par domaine).

Repérer et corriger un conflit d’intérêts

Le DPO peut cumuler d’autres fonctions (article 38.6) si elles ne le conduisent pas à déterminer les finalités et moyens d’un traitement. La CJUE a jugé dans l’arrêt X-FAB Dresden du 9 février 2023 (C-453/21) que ce conflit s’apprécie au cas par cas ; la CNIL a publié le 10 août 2026 une fiche pour l’identifier.

Fonctions à risque citées par la CNIL : direction générale, finances, médecin-chef, marketing, ressources humaines, service informatique. Le conflit identifié doit alors cesser, par retrait de la mission ou recours à un DPO suppléant.

Notre test de terrain : « Sur quels traitements cette personne décide-t-elle ? » Si la liste n’est pas vide, quelqu’un d’autre doit les contrôler. Voir aussi DPO externe et conflit d’intérêts : les pièges à éviter.

DPO interne, externe ou mutualisé

Le DPO peut être salarié ou intervenir par contrat de service (article 37.6). De même, un groupe peut partager un DPO joignable depuis chaque établissement (article 37.2), comme plusieurs organismes publics (article 37.3).

Le DPO à temps partagé combine les deux dernières colonnes : voir notre page DPO à temps partagé.

Statut et moyens : ce que l’organisme doit garantir au délégué à la protection des données

L’organisme doit donner au DPO les moyens d’agir. Il doit également le protéger. L’article 38 impose de :

• l’associer, d’une manière appropriée et en temps utile, à toutes les questions de protection des données ;
• lui fournir ressources, accès aux traitements et formation continue ;
• ne lui donner aucune instruction sur l’exercice de ses missions ;
• le laisser rendre compte au plus haut niveau ;
• ne pas le pénaliser pour l’exercice de ses missions.

Le DPO n’est toutefois pas un salarié protégé au sens du code du travail : une faute grave étrangère à ses missions peut justifier une fin de fonctions, rappelle la CNIL.

Pour vérifier qu’il a le temps d’agir, demandez son dernier rapport à la direction (voir notre guide du rapport annuel du DPO). S’il n’existe pas, l’obligation de rendre compte n’est donc pas tenue.

Missions du DPO au quotidien : se faire connaître et s’appuyer sur des relais

Un DPO inconnu des équipes ne reçoit ni les projets ni les demandes. L’article 37.7 impose donc de publier ses coordonnées et de les communiquer à la CNIL. En pratique, ajoutez une note interne qui présente son rôle, ses coordonnées et ses premiers chantiers, puis rappelez-la à chaque arrivée de salarié.

Dans un organisme de plusieurs services, nommez ensuite un relais par direction ou par site. Ce relais signale les nouveaux traitements, transmet les demandes de droits et diffuse les consignes. Le DPO réunit ces relais à date fixe, suit les actions en cours et adapte la sensibilisation à chaque public : l’accueil, les ressources humaines et le service informatique n’ont pas les mêmes questions.

La CNIL sanctionne d’ailleurs l’isolement du délégué. Dans un communiqué du 12 mars 2024, elle décrit un organisme qui n’associait pas son DPO aux réunions sur la sécurité, n’avait plus communiqué sur son rôle depuis plusieurs années et ne lui donnait pas accès à la messagerie des demandes de droits. Une amende a suivi. Notre dossier sanctions RGPD et amendes CNIL revient sur cette décision.

Le rôle du DPO lors d’une violation de données

Le DPO ne notifie pas la violation à la place du responsable de traitement. En revanche, la notification à la CNIL doit communiquer son nom et ses coordonnées (article 33.3 b du RGPD), puisque la CNIL s’adresse à lui pour obtenir des précisions. Prévenez donc votre délégué dès la découverte de l’incident : il aide à qualifier le risque, à respecter le délai de 72 heures et à documenter la violation dans le registre interne. Notre tutoriel pour notifier une violation de données détaille la démarche.

Comment désigner et déclarer son DPO à la CNIL

La désignation se prépare en interne puis se déclare à la CNIL, uniquement par son téléservice, sans frais ni pièce justificative (article 37.7). Notre page désigner un DPO présente l’accompagnement que nous proposons pour cette étape.

Avant la déclaration : formaliser la désignation

• Vérifier compétences, moyens et indépendance, et documenter l’analyse des conflits d’intérêts.
• Rédiger une lettre de mission, un avenant ou un contrat de prestation (modèle en annexe du guide CNIL).
• Annoncer la désignation en interne ; en revanche, l’information des représentants du personnel n’est pas exigée.

Voir aussi Responsabilité du DPO après une cyberattaque : la lettre de mission.

Le formulaire de désignation en quatre étapes

1. L’organisme. SIREN obligatoire s’il existe ; sans SIREN, les modifications passeront par le service des délégués.
2. Le délégué. Personne physique, ou société identifiée par son SIREN pour un DPO externe.
3. Les coordonnées publiques. Deux contacts, dont une adresse électronique ou un formulaire, publiés en open data par la CNIL.
4. L’envoi. Courriel de confirmation à chaque contact, prise en compte sous 24 heures au plus.

Publiez de préférence une adresse générique, plutôt que la boîte nominative du DPO.

Modifier, remplacer ou mettre fin à une désignation

Tout passe aussi par le téléservice, avec le numéro de désignation (DPO-xxx) et le SIREN. Un changement de personne utilise le formulaire « Mettre fin à la désignation ou remplacer mon DPO » ; « Mettre à jour la désignation d’un DPO » ne sert qu’aux coordonnées. La CNIL demande également de signaler immédiatement une fin de mission.

Cas fréquent : le DPO interne part, personne ne prévient la CNIL, et les demandes de droits s’accumulent dans une boîte abandonnée. Ajoutez donc cette mise à jour à votre procédure de départ.

Ce que risque un organisme qui ne désigne pas de DPO obligatoire

Manquer aux articles 37 à 39 expose à une amende pouvant atteindre 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial. Selon l’article 83.4, le montant le plus élevé s’applique. Un DPO déclaré sans moyens ou en conflit d’intérêts constitue aussi un manquement. La CNIL ne vérifie rien à la déclaration. Elle vérifie tout lors d’un contrôle.

Testez vos connaissances sur le rôle du DPO

Sources officielles sur le rôle du DPO

• Règlement (UE) 2016/679 (RGPD), articles 33, 37 à 39 et 83 (EUR-Lex)
• Désigner un délégué à la protection des données (DPO) ou modifier une désignation (CNIL)
• FAQ : gérer vos désignations de DPO (CNIL)
• Devenir délégué à la protection des données (CNIL)
• Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO (CNIL)
• La certification des compétences du délégué à la protection des données (CNIL)
• Guide pratique RGPD : délégués à la protection des données (CNIL)
• La CNIL a prononcé quinze nouvelles sanctions dans le cadre de la procédure simplifiée depuis janvier 2024 (CNIL)
• Arrêt de la Cour du 9 février 2023, X-FAB Dresden, C-453/21 (EUR-Lex)

Questions fréquentes sur la signification et le rôle du DPO