La plupart des dirigeants pensent que le délégué à la protection des données est réservé aux grands groupes. La réalité du RGPD est plus nuancée, et l’erreur d’appréciation se paie parfois très cher lors d’un contrôle.
Le RGPD impose-t-il un DPO à toutes les entreprises ?
Non. Le règlement ne rend le délégué à la protection des données obligatoire que dans trois situations précises. En dehors de ces cas, la désignation reste facultative.
Beaucoup d’organismes se croient exemptés à tort. D’autres nomment un DPO sans y être tenus, par excès de prudence. Comprendre la règle évite ces deux écueils.
L’article 37 du RGPD fixe le cadre. Il vise aussi bien le responsable de traitement que le sous-traitant. Une entreprise peut donc être concernée par ricochet, à travers son activité de prestataire.
Quels sont les trois cas de désignation obligatoire ?
Le premier cas vise les autorités et organismes publics. Communes, départements, régions, établissements publics, hôpitaux publics doivent tous nommer un DPO. Seules les juridictions dans leur fonction de justice échappent à la règle.
Le deuxième cas concerne le suivi régulier et systématique à grande échelle des personnes. On y trouve les banques, les assurances, les opérateurs télécoms et de nombreuses plateformes numériques.
Le troisième cas porte sur le traitement à grande échelle de données sensibles ou d’infractions. Les établissements de santé, les services de santé au travail et les organismes sociaux sont en première ligne.
| Cas obligatoire | Fondement | Exemples typiques |
|---|---|---|
| Organisme public | Nature de l’entité | Mairie, hôpital public, établissement public |
| Suivi à grande échelle | Activité de base | Banque, assurance, plateforme numérique |
| Données sensibles massives | Activité de base | Clinique, service de santé au travail, organisme social |
Que veulent dire « grande échelle » et « activité de base » ?
Deux notions décident de presque tout.
L’activité de base désigne le coeur de métier, pas les fonctions support. Gérer la paie de ses propres salariés n’est pas une activité de base. Traiter des dossiers patients pour une clinique, oui.
La grande échelle s’apprécie selon plusieurs critères: le nombre de personnes concernées, le volume de données, la durée et l’étendue géographique du traitement. Le RGPD ne fixe aucun seuil chiffré.
Cette absence de chiffre crée une zone grise. En cas de doute, documenter son analyse dans le registre des traitements et son modèle protège l’organisme. Pour les données médicales, la définition précise des données de santé aide à qualifier la sensibilité.
Trancher ces zones grises demande du recul et une veille constante sur les positions de la CNIL. Confier cette analyse à un délégué externe qui sécurise votre qualification d’obligation évite autant la sanction que la désignation inutile.
Faut-il nommer un DPO même sans obligation ?
Souvent, oui, par intérêt bien compris. La CNIL recommande la désignation volontaire, même en dehors des trois cas.
Un DPO volontaire pilote la conformité, forme les équipes et sert de point de contact unique. Il rassure clients et partenaires. Attention: dès qu’il est désigné, il relève du même régime que le DPO obligatoire.
Pour un établissement médico-social, viser une conformité RGPD solide dans le secteur santé passe presque toujours par un délégué clairement identifié.
Comment désigner et déclarer le DPO ?
La désignation suit trois temps. On choisit un profil compétent, interne ou externe. On formalise sa lettre de mission. On le déclare à la CNIL via le téléservice dédié.
- Vérifier l’absence de conflit d’intérêts avec ses autres fonctions
- Garantir au délégué du temps et des moyens suffisants
- Publier ses coordonnées et les communiquer à la CNIL
- Le rattacher au plus haut niveau de direction
- Documenter l’analyse ayant conduit à la désignation ou non
Pour les modalités exactes, consulter la procédure de désignation du DPO sur le site de la CNIL.
FAQ
Une PME doit-elle obligatoirement nommer un DPO ?
Rarement. Une PME n’est tenue de désigner un délégué que si elle relève de l’un des trois cas de l’article 37: organisme public, suivi à grande échelle, ou traitement massif de données sensibles. La majorité des PME classiques échappent à l’obligation, mais peuvent nommer un DPO volontaire.
Le DPO peut-il être un salarié déjà en poste ?
Oui, à condition d’éviter tout conflit d’intérêts. Le délégué ne peut pas cumuler une fonction où il définit les finalités des traitements, comme directeur informatique ou responsable des ressources humaines. Il doit disposer de temps, de moyens et d’un rattachement direct à la direction pour rester indépendant.
Quelle sanction en l’absence de DPO obligatoire ?
L’absence de DPO obligatoire expose l’organisme aux sanctions de la CNIL, qui peuvent atteindre 10 millions d’euros ou 2 pour cent du chiffre d’affaires mondial. Au delà de l’amende, le défaut de désignation révèle souvent une conformité globale défaillante, aggravant le risque en cas de contrôle.
DPO interne ou externe, que choisir ?
Tout dépend des ressources internes. Un DPO externe apporte expertise immédiate, indépendance et mutualisation des coûts, idéal pour les structures sans expert dédié. Le DPO interne connaît mieux le terrain mais demande formation et temps. Beaucoup d’organismes combinent un référent interne et un délégué externe.
