La désignation d’un DPO ne se résume pas à inscrire un nom dans un formulaire. Le délégué à la protection des données doit pouvoir conseiller l’organisme avec indépendance, accéder aux informations utiles et signaler les risques sans subir de pression.
Cette personne ressource ne prend toutefois pas à la place de la direction les décisions sur les traitements. Pour comprendre comment choisir un DPO et préserver sa neutralité, il faut d’abord vérifier quand le RGPD impose sa désignation.
À retenir : les points essentiels sur la désignation du DPO
- Obligation liée aux organismes publics et à certains traitements à grande échelle
- Conseil, contrôle et coopération avec la CNIL
- Indépendance garantie par des moyens et un accès direct à la direction
- Prévention des conflits d’intérêts dans les fonctions cumulées
DPO : dans quels cas sa désignation est-elle obligatoire ?
Le RGPD prévoit trois situations dans lesquelles un organisme doit désigner un délégué à la protection des données. La règle concerne les responsables de traitement comme les sous-traitants, selon la nature de leurs activités principales.
Selon le RGPD, les autorités et organismes publics sont concernés, sauf les juridictions lorsqu’elles agissent dans leur fonction juridictionnelle. L’obligation s’applique également lorsque les activités de base nécessitent un suivi régulier et systématique des personnes à grande échelle, ou le traitement à grande échelle de données sensibles ou pénales.
La notion de grande échelle ne repose pas sur un seuil numérique unique. Selon la CNIL, l’analyse tient notamment compte du nombre de personnes visées, du volume et de la nature des données, de la durée du traitement et de son étendue géographique.
Un hôpital traite les données de santé au cœur de son activité, tandis que la gestion de la paie relève d’une fonction support. À l’inverse, un médecin exerçant seul n’est généralement pas assimilé à un établissement hospitalier traitant un grand nombre de dossiers.
Les critères utiles pour évaluer l’obligation :
- Statut public de l’organisme et nature de ses missions
- Suivi répété des personnes dans les activités principales
- Volume, sensibilité et durée des traitements concernés
- Portée géographique et population touchée
Le tableau permet de distinguer les situations courantes, sans remplacer l’examen concret des traitements de l’organisme.
| Situation | Critère déterminant | Exemple indicatif |
|---|---|---|
| Organisme public | Nature publique de l’organisme | Commune ou hôpital public |
| Suivi à grande échelle | Suivi régulier et systématique des personnes | Géolocalisation ou profilage étendu |
| Données sensibles | Traitement à grande échelle dans l’activité principale | Données de santé ou biométriques |
| Données pénales | Traitement à grande échelle de données relatives aux infractions | Fichiers portant sur des condamnations |
DPO : missions et responsabilité au quotidien
Une fois l’obligation évaluée, le rôle du DPO consiste à éclairer les décisions et à vérifier les pratiques, non à porter seul la conformité de l’organisme. La responsabilité juridique reste celle du responsable de traitement ou du sous-traitant.
Selon l’article 39 du RGPD, le DPO informe et conseille l’organisme et ses équipes, contrôle le respect des règles et conseille sur les analyses d’impact. Il coopère aussi avec la CNIL et sert de point de contact pour les personnes qui souhaitent poser une question sur leurs données.
Dans une entreprise qui lance un nouvel outil de gestion des candidatures, le DPO peut examiner les données collectées, les durées de conservation et les accès prévus. Il formule des recommandations et signale les risques ; les décideurs restent responsables de la décision finale.
Selon la CNIL, le contrôle du DPO doit être proportionné aux risques. Le dossier patient, par exemple, appelle une vigilance particulière en raison de la sensibilité des données, tandis qu’un annuaire interne peut présenter des enjeux plus limités.
Les missions prévues par le RGPD se traduisent ainsi dans l’organisation :
- Conseil sur les projets et les obligations applicables
- Contrôle des pratiques et suivi des actions correctives
- Appui aux analyses d’impact relatives à la vie privée
- Coopération avec la CNIL et contact avec les personnes
Pour rendre ces missions concrètes, le tableau relie les obligations générales à des gestes de travail observables.
| Mission | Application pratique |
|---|---|
| Informer et conseiller | Présenter les règles aux équipes avant le lancement d’un projet |
| Contrôler | Examiner le registre et suivre les mesures correctives |
| Conseiller sur les analyses d’impact | Évaluer les risques et relire les mesures de réduction |
| Coopérer avec la CNIL | Faciliter les échanges et transmettre les éléments demandés |
| Accueillir les demandes | Orienter les personnes sur l’exercice de leurs droits |
Indépendance du DPO : prévenir le conflit d’intérêts
Ces missions ne peuvent être exercées correctement que si le DPO dispose d’une véritable indépendance. L’article 38 prévoit qu’il ne reçoit aucune instruction dans l’exercice de ses missions, bénéficie des ressources nécessaires et rend compte directement au plus haut niveau de la direction.
Le DPO ne peut être sanctionné ni relevé de ses fonctions pour avoir accompli ses missions. Cette protection ne signifie pas qu’il est responsable de toutes les décisions : son rôle demeure celui du conseil et du contrôle, sans transfert de la responsabilité de conformité.
Le conflit d’intérêts apparaît notamment lorsqu’une autre fonction conduit le DPO à déterminer les finalités ou les moyens d’un traitement qu’il devrait ensuite contrôler. Un RSSI qui choisit les durées de conservation des journaux ou les accès aux données peut donc devoir examiner attentivement le cumul de fonctions.
La compatibilité dépend des responsabilités réelles, et non du seul intitulé du poste. Une analyse documentée permet d’identifier les décisions concernées, de réorganiser les tâches ou, si nécessaire, de confier le contrôle à une autre personne.
Les vérifications à mener avant un cumul de fonctions :
- Pouvoir réel de décision sur les traitements concernés
- Responsabilité dans le choix des outils et des accès
- Possibilité de contrôler ses propres décisions
- Mesures de prévention et solution de remplacement prévues
Choisir et désigner une personne ressource compétente
Une fois les risques de conflit examinés, l’organisme peut choisir un DPO interne, externe ou mutualisé. Le RGPD ne prescrit pas de diplôme particulier, mais exige des qualités professionnelles et des connaissances spécialisées adaptées aux traitements concernés.
Un établissement de santé doit, par exemple, s’assurer que la personne comprend les enjeux propres aux données médicales. La certification de compétences encadrée par la CNIL peut apporter un repère, mais elle reste facultative et ne remplace pas l’évaluation des besoins réels.
Le DPO externe intervient dans le cadre d’un contrat de service ; un DPO mutualisé peut accompagner plusieurs organismes. Dans les deux cas, il doit rester facilement joignable, connaître suffisamment les traitements et disposer du temps nécessaire à ses missions.
La désignation doit être communiquée à la CNIL et les coordonnées du délégué rendues accessibles aux personnes concernées. Selon la CNIL, il faut également vérifier ses compétences, ses moyens d’action et son indépendance : une désignation formelle ne suffit pas si le DPO intervient trop tard dans les projets.
Avant de confirmer le choix, l’organisme peut vérifier les éléments suivants :
- Expertise adaptée aux données et aux activités traitées
- Temps, ressources et accès aux informations nécessaires
- Coordonnées publiées et désignation transmise à la CNIL
- Absence de conflit d’intérêts dans les fonctions cumulées
Source : Parlement européen et Conseil, « Règlement (UE) 2016/679 », EUR-Lex, 27 avril 2016 ; Commission nationale de l’informatique et des libertés, « Guide pratique RGPD : délégués à la protection des données », date non précisée ; Cour de justice de l’Union européenne, « X-FAB Dresden, affaire C-453/21 », 9 février 2023.
