Comprendre le RGPD
Délégué à la protection des données (DPO) : rôle, missions et désignation
Ce que fait un délégué à la protection des données, son statut, les compétences attendues, qui peut l'être et comment le désigner auprès de la CNIL.
Le délégué à la protection des données, souvent appelé DPO (de l'anglais Data Protection Officer), est la personne chargée de veiller à ce qu'un organisme respecte le RGPD. Il conseille, contrôle et sert de point de contact avec la CNIL et avec les personnes dont les données sont traitées. Le RGPD encadre sa fonction dans trois articles : 37 (désignation), 38 (statut) et 39 (missions).
Les missions du DPO
Le RGPD fixe des missions minimales (article 39) :
Informer et conseiller
La direction, les équipes et les sous-traitants, sur leurs obligations. Il donne aussi un avis, sur demande, sur les analyses d'impact et en vérifie l'exécution.
Contrôler le respect du RGPD
Et des règles internes de l'organisme, y compris la répartition des responsabilités, la formation du personnel et les audits.
Faire le lien avec la CNIL
Il coopère avec elle et sert de point de contact. Les personnes concernées peuvent aussi s'adresser à lui pour exercer leurs droits.
Dans ces missions, le DPO tient compte des risques propres à chaque traitement, selon sa nature, sa portée, son contexte et ses finalités. La CNIL le décrit comme le « chef d'orchestre » de la conformité de l'organisme.
Un statut qui garantit son indépendance
L'article 38 du RGPD impose à l'organisme :
- d'associer le DPO en temps utile à toutes les questions de protection des données ;
- de lui donner les moyens d'agir : ressources, accès aux données et aux traitements, entretien de ses connaissances ;
- de ne lui donner aucune instruction sur l'exercice de ses missions ;
- de ne pas le relever de ses fonctions ni le sanctionner pour l'exercice de ses missions ;
- de le faire rendre compte directement au plus haut niveau de la direction.
Le DPO est tenu au secret professionnel ou à une obligation de confidentialité. Il peut exercer d'autres missions, à condition qu'elles ne créent pas de conflit d'intérêts.
Le DPO n'est pas responsable de la conformité. La CNIL le rappelle : il n'est pas personnellement responsable si son organisme ne respecte pas le RGPD. La responsabilité reste celle du responsable de traitement, et elle ne peut pas lui être transférée par une délégation de pouvoir.
Qui doit désigner un DPO ?
La désignation est obligatoire pour les organismes publics, et pour les organismes privés dont l'activité principale implique un suivi à grande échelle des personnes ou un traitement à grande échelle de données sensibles. Les autres peuvent en désigner un volontairement. Le détail, avec des exemples et les sanctions, est dans notre article sur le DPO obligatoire.
Qui peut être DPO ?
Le DPO est choisi pour ses qualités professionnelles, en particulier ses connaissances du droit et des pratiques en matière de protection des données (article 37, paragraphe 5). Il peut être :
Un salarié ou un agent de l'organisme À condition qu'il dispose du temps nécessaire et que ses autres fonctions ne créent pas de conflit d'intérêts.
Un prestataire externe Lié par un contrat de service : cabinet spécialisé, cabinet d'avocats, société informatique. Un même DPO peut aussi être partagé par un groupe ou par plusieurs collectivités.
Les conflits d'intérêts. Selon la CNIL, certaines fonctions peuvent être incompatibles avec celle de DPO, car elles conduisent à décider des finalités et des moyens des traitements : direction générale, direction financière, responsable des ressources humaines, du marketing ou de l'informatique, par exemple. Elle interdit aussi à un DPO externe de représenter l'organisme devant les tribunaux sur des questions de données personnelles.
La certification n'est pas obligatoire. Il existe une certification des compétences du DPO reconnue par la CNIL, délivrée par des organismes agréés, mais aucune certification n'est exigée pour exercer. Voir notre article sur la certification DPO et le comparatif des formations.
Comment désigner un DPO auprès de la CNIL
- Étape 1Vérifier que la personne ou le prestataire choisi dispose du statut, des compétences et des moyens nécessaires, puis formaliser la désignation, par exemple dans une lettre de désignation ou, pour un prestataire, dans le contrat de service.
- Étape 2Déclarer le DPO à la CNIL, exclusivement en ligne, avec le formulaire « Désigner un DPO » de son téléservice. L'organisme reçoit un numéro de désignation.
- Étape 3Publier les coordonnées du DPO, par exemple dans la politique de confidentialité, pour que les personnes concernées puissent le contacter.
- EnsuiteMettre à jour la désignation en cas de changement : le même téléservice permet de modifier les coordonnées, de remplacer le DPO ou de mettre fin à sa mission, avec le numéro de désignation et le SIREN de l'organisme.
Du correspondant informatique et libertés au DPO
Avant le RGPD, la loi Informatique et Libertés permettait déjà aux organismes de nommer un correspondant informatique et libertés (CIL), sur la base du volontariat. Le RGPD, applicable depuis mai 2018, l'a remplacé par le délégué à la protection des données, dont la désignation est devenue obligatoire dans certains cas.
Le DPO en chiffres
Le fichier public de la CNIL permet de voir qui exerce la fonction. Au 5 novembre 2026, 60 % des désignations portent sur une personne physique, salariée de l'organisme ou indépendante. Les autres désignent une personne morale, le plus souvent extérieure à l'organisme : 38 % des désignations sont confiées à un prestataire, un cabinet ou une structure de mutualisation.
Pour une analyse détaillée par secteur et par région, voir le marché du DPO externe en chiffres.
En résumé
- Le DPO conseille, contrôle et fait le lien avec la CNIL et les personnes concernées.
- Il agit en toute indépendance, rend compte à la direction, et n'est pas responsable de la conformité de l'organisme.
- Il peut être interne ou externe, sans certification obligatoire, mais sans conflit d'intérêts.
- Il se déclare en ligne auprès de la CNIL, et ses coordonnées doivent être publiées.
Vous cherchez un DPO externe ? Consultez le classement des prestataires, établi à partir du fichier de la CNIL, les tarifs publiés, ou décrivez votre structure pour être orienté.
Sources : RGPD, articles 37, 38 et 39 (texte officiel, EUR-Lex) ; CNIL, « Le délégué à la protection des données », « Devenir délégué à la protection des données » et « Désigner un délégué à la protection des données ou modifier une désignation » (consultées le 6 novembre 2026) ; CNIL, fichier des organismes ayant désigné un DPO (data.gouv.fr, Licence Ouverte 2.0).