Le 14 octobre 2026, Solutions numériques a publié une tribune d’Alexandra Iteanu, avocate à la Cour, sur la responsabilité du DPO en cas de cyberattaque. Sa réponse tient en une idée : le délégué est en première ligne quand l’incident survient, mais la charge de la sécurité pèse sur l’organisme. L’autrice rappelle au passage que la CNIL a reçu 6 167 notifications de violations en 2025, en hausse de 9,5 % sur un an, dont la moitié liées à un piratage.
Le cadre : l’organisme répond, le DPO conseille
Le RGPD place sur le responsable de traitement l’obligation de démontrer sa conformité (article 24) et d’assurer la sécurité (article 32), et sur lui comme sur le sous-traitant, pour leur part, la réparation des dommages (article 82) et les amendes (article 83). Les lignes directrices du G29 sur les DPO, reprises par le CEPD, en tirent la conséquence : le délégué n’est pas personnellement responsable du non-respect du règlement. Il conseille et contrôle ; il ne fixe ni les finalités ni les moyens. La Cour de justice de l’Union interdit d’ailleurs de lui confier des fonctions qui le conduiraient à décider des traitements qu’il doit surveiller.
L’article 38 lui garantit l’indépendance : pas d’instruction sur l’exercice de ses missions, pas de sanction pour les avoir accomplies, un accès direct au plus haut niveau de direction. La tribune cite une décision de l’autorité belge du 28 avril 2020 : 50 000 euros d’amende pour une société dont le DPO dirigeait aussi l’audit et la gestion des risques.
Les risques qui restent pour le DPO
L’irresponsabilité au regard du RGPD ne met pas le délégué à l’abri de tout. Le DPO salarié peut être révoqué ; en France, il ne bénéficie pas du statut de salarié protégé, à la différence de l’Allemagne, et reste soumis aux règles internes applicables à tout le personnel. Le DPO externe répond de ses engagements contractuels : un client pourrait tenter de lui faire supporter une partie d’une amende, à condition de prouver un manquement, un préjudice et un lien de causalité.
Reste le pénal. Le délégué peut commettre lui-même une infraction, par exemple en divulguant des données à un tiers non autorisé, faute réprimée même lorsqu’elle résulte d’une négligence. Il peut aussi être poursuivi comme complice s’il donne sciemment un conseil illicite. Rester passif ne suffit pas à caractériser la complicité. L’autrice précise qu’aucune condamnation publiée d’un DPO n’est connue à ce jour.
Côté direction, l’article 20 de la directive NIS 2 oblige les organes de direction des entités concernées à approuver les mesures de gestion des risques, à en suivre la mise en œuvre et à se former, sous peine d’engager leur responsabilité. La transposition française reste en suspens : le projet de loi a été retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre 2026.
Responsabilité du DPO : ce que la lettre de mission doit écrire
En tant que DPO externe, je considère la lettre de mission comme la première protection, pour le délégué comme pour l’organisme. Une rédaction floue (« le DPO veille à la conformité ») laisse croire que le prestataire garantit un résultat. Plusieurs clauses évitent ce malentendu.
- L’objet de la mission, calqué sur l’article 39 : informer, conseiller, contrôler, coopérer avec la CNIL. Une phrase indique que les décisions relatives aux traitements et à leur sécurité appartiennent au responsable de traitement.
- Une obligation de moyens, avec les livrables attendus : audits, avis écrits, rapport annuel, participation aux comités.
- Les engagements de l’organisme : informer le DPO des projets, des incidents et des changements de prestataires dans un délai défini, lui donner accès aux documents et aux interlocuteurs.
- Le rôle du délégué en cas de violation : aide à la qualification, rédaction ou relecture de la notification, conseil sur l’information des personnes. La décision de notifier reste à la direction.
- L’absence de cumul avec des fonctions de RSSI, d’administrateur système ou de direction d’un service qui décide des traitements.
- Un plafond de responsabilité cohérent avec les honoraires et la mention de l’assurance de responsabilité civile professionnelle du DPO.
- La joignabilité en situation de crise : numéro, suppléant, délai de réponse.
Ce que l’organisme doit documenter
La protection du délégué et celle de l’organisme passent par des traces écrites. Chaque avis du DPO, surtout lorsqu’il n’est pas suivi, mérite d’être daté et conservé avec la décision prise par la direction et sa justification. Le registre des violations doit mentionner l’avis rendu sur la qualification du risque. Le rapport annuel, présenté au plus haut niveau de direction, reprend les alertes restées sans suite.
Cette documentation sert d’abord l’organisme : lors d’un contrôle, elle montre que la gouvernance fonctionne et que les risques ont été portés à la connaissance des décideurs. Elle répond aussi à la question qui suit presque chaque cyberattaque, celle de savoir qui savait quoi, et quand.
Les DPO indépendants du réseau DPO FRANCE interviennent sur la base d’une lettre de mission qui précise ces responsabilités, avec un suppléant joignable en cas d’incident. Le logiciel DPO SUITE conserve les avis du DPO, les décisions de la direction, le registre des violations et les rapports annuels, ce qui permet de reconstituer l’historique d’un dossier en quelques minutes.
