Le référent RGPD n’apparaît nulle part dans le règlement général sur la protection des données (RGPD). Le texte européen organise une seule fonction, le délégué à la protection des données (DPO), dans ses articles 37 à 39. Ce titre n’engage donc que ce que l’organisme écrit lui-même.
Ce guide part donc des textes. Il distingue ce que la Commission nationale de l’informatique et des libertés (CNIL) écrit réellement sur le sujet et ce qu’elle laisse à votre choix. Vous saurez ensuite quand nommer un référent, quelle mission lui confier et comment il travaille avec un DPO externalisé.
Référent RGPD : une fonction interne que le RGPD ne définit pas
Un référent RGPD est une personne de l’organisme, désignée par la direction, qui relaie les questions de protection des données dans son service ou sur son site. Le règlement ne lui donne pourtant aucun statut. En pratique, son titre varie d’ailleurs d’une structure à l’autre : référent, relais, correspondant ou pilote.
Ce que la CNIL écrit sur les relais et les référents
D’abord, sa fiche Désigner un pilote recommande fortement, même sans obligation de DPO, de désigner une personne disposant de relais internes et chargée de s’assurer de la mise en conformité. La CNIL considère l’étape franchie si vous avez désigné « un pilote, DPO, CIL ou chef de projet » et lui avez affecté des moyens humains et financiers.
Ensuite, son guide pratique des délégués à la protection des données mentionne les référents à trois reprises. Le DPO absent des filiales d’un groupe peut ainsi être soutenu par un réseau de « relais » ou de « référents », chargés d’un appui opérationnel et de lui faire remonter les questions. Le même guide évoque des « relais Informatique et Libertés » qui aident à sensibiliser et transmettent au DPO les projets et les demandes d’exercice des droits. Enfin, il conseille d’identifier ces interlocuteurs relais dans la lettre de mission du DPO.
Ce que la CNIL ne dit pas
La CNIL ne fixe ni statut, ni formation, ni liste de missions pour le référent. De plus, aucun formulaire ne permet de le déclarer, et aucune protection ne l’empêche d’être déplacé pour avoir signalé un problème. Le référent tire donc toute sa légitimité de la décision écrite qui le nomme. Rédigez-la avant toute chose.
Référent RGPD et DPO : ce qui les sépare dans les textes
En somme, la différence tient au cadre. Le DPO bénéficie de garanties écrites dans le RGPD, alors que le référent dépend entièrement de l’organisation que vous choisissez. Le tableau compare les deux fonctions point par point.
| Critère | Référent RGPD | DPO |
|---|---|---|
| Texte | Aucun : décision interne de la direction. | Articles 37 à 39 du RGPD. |
| Désignation | Note de service ou lettre de mission, sans formalité externe. | Coordonnées publiées et communiquées à la CNIL (article 37.7), par le téléservice dédié. |
| Indépendance | Soumis à sa hiérarchie habituelle. | Ne reçoit aucune instruction pour ses missions et fait rapport au plus haut niveau de la direction (article 38.3). |
| Protection | Aucune protection propre à la fonction. | Ne peut être relevé de ses fonctions ou pénalisé pour l’exercice de ses missions (article 38.3). |
| Conflit d’intérêts | Aucune règle propre. | Ses autres tâches ne doivent pas créer de conflit d’intérêts (article 38.6). |
| Responsabilité | La conformité reste à la charge du responsable de traitement (article 24). | Même règle : la CNIL précise que le DPO n’est pas personnellement responsable d’une non-conformité. |
Ce dernier point surprend souvent, et pour cause. Ni le référent ni le DPO ne portent la conformité à la place de la direction. L’article 24 confie en effet au responsable de traitement le soin de mettre en œuvre les mesures appropriées et de démontrer la conformité.
Le piège du référent rebaptisé DPO
La CNIL cite, dans sa page Devenir délégué à la protection des données, des fonctions susceptibles de créer un conflit d’intérêts avec celle de DPO : directeur général, directeur financier, responsable des ressources humaines ou du service informatique, médecin-chef. Or ces profils sont justement ceux que l’on nomme référents, car ils connaissent les traitements. Un référent issu de ces postes ne devient donc pas DPO par un simple changement de titre. Si vous envisagez cette évolution, documentez d’abord l’absence de conflit d’intérêts, comme le conseille le guide de la CNIL.
Quand nommer un référent RGPD dans votre organisme
Le bon moment dépend d’une question préalable : votre organisme doit-il désigner un DPO ? L’article 37.1 l’impose aux autorités et organismes publics. Il l’impose également lorsque les activités de base consistent en un suivi régulier et systématique à grande échelle, ou en un traitement à grande échelle de données sensibles, comme les données de santé.
Sans obligation de DPO : le référent comme pilote
Pour une petite entreprise, la CNIL rappelle que la désignation d’un DPO reste rare lorsque le cœur de métier n’est pas le traitement de données. Le guide RGPD pour les TPE et PME de la CNIL et de Bpifrance place toutefois le registre sous la responsabilité du dirigeant. Un référent lui évite ainsi de porter seul l’inventaire, les demandes des personnes et les contrats des prestataires. Nommez-le dès que les traitements dépassent la paie et un fichier clients.
Avec un DPO obligatoire : le référent comme relais
Dans les cas de l’article 37.1, le référent ne remplace jamais le DPO. Une commune, quelle que soit sa taille, désigne un délégué ; un hôpital aussi, puisque la CNIL cite le traitement des données de patients par un hôpital comme exemple de grande échelle. Le référent sert alors de relais sur le terrain, surtout quand le DPO est externe ou mutualisé. Pour vérifier votre propre situation, consultez notre guide pour désigner un DPO.
Notre article Référent RGPD : quand il suffit, quand un DPO s’impose détaille la frontière entre les deux cas. En pratique, si un critère de l’article 37.1 vous concerne, le référent seul expose l’organisme à un manquement.
Le rôle du référent RGPD au quotidien
Le référent repère et transmet. En effet, il voit passer le nouveau logiciel, la demande d’accès d’un ancien salarié ou le courriel envoyé au mauvais destinataire. Sa valeur dépend donc de la vitesse à laquelle l’information remonte.
Deux délais du RGPD montrent par exemple l’enjeu. La réponse à une demande d’exercice des droits intervient dans un délai d’un mois à compter de sa réception (article 12.3). De plus, une violation de données se notifie à la CNIL si possible dans les 72 heures après en avoir pris connaissance (article 33.1). Par conséquent, une demande restée trois semaines dans une boîte de service consomme ainsi la majeure partie du délai.
Ce que la lettre de mission du référent précise
Faute de cadre légal, la lettre de mission fixe le rôle. Vérifiez qu’elle précise :
- Le périmètre : le service, le site ou l’établissement suivi.
- Le temps alloué, exprimé en heures ou en jours par mois.
- Le circuit d’alerte pour une violation de données, avec le nom du destinataire et le délai de transmission.
- La réception des demandes d’exercice des droits et leur transmission au DPO ou à la direction.
- Le signalement de tout nouveau projet ou outil traitant des données personnelles, avant sa mise en service.
- La mise à jour des informations du registre pour son périmètre.
- Le suppléant en cas d’absence, et la passation en cas de départ.
Toutefois, le référent ne décide pas de la conformité d’un traitement. Il documente, alerte et applique les règles fixées par la direction sur les conseils du DPO. Écrivez cette limite dans la lettre : elle le protège autant que l’organisme.
Comment le référent RGPD travaille avec un DPO externalisé
Un DPO externalisé exerce ses missions sur la base d’un contrat de service, ce que prévoit l’article 37.6. Il connaît donc le RGPD et votre secteur. Il ne voit pas, en revanche, ce qui se passe chaque jour dans vos bureaux. Le référent comble cet écart.
Un partage des rôles écrit dès le départ
Le DPO informe et conseille, contrôle le respect du règlement, donne son avis sur les analyses d’impact et reste le point de contact de la CNIL (article 39). Le référent, de son côté, collecte les informations, relance les services et prépare les éléments de preuve. Ainsi, chacun garde sa place : le DPO conserve l’indépendance que lui garantit l’article 38, et le référent n’endosse pas un rôle de contrôleur qu’aucun texte ne protège.
Comme DPO à temps partagé depuis 2018, nous recommandons un point régulier entre le référent et le DPO, un canal unique pour les alertes et un dossier de conformité commun. Dans notre offre de DPO à temps partagé, ce dossier vit dans DPO Suite, notre application qui réunit registre, violations, demandes de droits, sous-traitants et analyses d’impact.
L’absence et le départ du référent
Le guide de la CNIL demande de prévoir une personne relais en cas d’absence ou d’empêchement du DPO, capable de recevoir les demandes. La même précaution vaut aussi pour le référent. Désignez donc un suppléant et conservez les échanges hors de sa boîte de messagerie personnelle. Notre article Le référent RGPD est parti, on a tout perdu décrit ce qui disparaît quand cette précaution manque.
Pour inscrire le référent dans une démarche complète, suivez enfin notre méthode de mise en conformité RGPD pas à pas.
Sources consultées
Les articles 12, 24, 33 et 37 à 39 cités viennent du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, publié sur EUR-Lex. La recommandation de désigner une personne disposant de relais internes figure dans la fiche de la CNIL Désigner un pilote, publiée le 1er mars 2017.
Les réseaux de relais et de référents, la lettre de mission et la personne relais en cas d’absence sont décrits dans le Guide pratique RGPD : Délégués à la protection des données de la CNIL. Les fonctions exposées à un conflit d’intérêts sont listées dans la page Devenir délégué à la protection des données, et la désignation en ligne dans la page Désigner un délégué à la protection des données (DPO) ou modifier une désignation.
Enfin, la situation des petites entreprises provient des pages de la CNIL Appliquer le RGPD dans une TPE ou PME : les questions/réponses de la CNIL et du guide pratique de sensibilisation au RGPD pour les petites et moyennes entreprises, coédité avec Bpifrance.
