Comprendre le RGPD
DPO obligatoire : qui doit désigner un délégué à la protection des données ?
Le RGPD impose un DPO à trois catégories d'organismes. Les cas concernés, les exemples, les sanctions et ce que montre le fichier de la CNIL.
Le RGPD ne demande pas à toutes les structures de désigner un délégué à la protection des données (DPO). Il l'impose dans trois cas précis, fixés par son article 37. Pour les autres, la désignation est volontaire.
Les trois cas où le DPO est obligatoire
Les organismes publics
Toute collectivité, tout établissement public et tout service de l'État, quelle que soit sa taille. Une petite commune rurale est concernée au même titre qu'une métropole.
Seules les juridictions en sont dispensées pour leurs activités de jugement.
Le suivi des personnes à grande échelle
Quand l'activité principale consiste à suivre des personnes de façon régulière et systématique : profilage publicitaire, suivi de localisation, programmes de fidélité qui analysent les achats, surveillance de réseaux de télécommunication.
Les données sensibles à grande échelle
Quand l'activité principale repose sur des données de santé, d'origine, d'opinions politiques ou religieuses, d'appartenance syndicale, de vie ou d'orientation sexuelle, des données génétiques ou biométriques, ou relatives aux condamnations.
Dans les deux derniers cas, le critère porte sur le cœur de l'activité, pas sur une activité annexe.
Ce que veut dire « à grande échelle »
Le RGPD ne donne pas de seuil chiffré. Les lignes directrices européennes sur le DPO retiennent plusieurs indices : le nombre de personnes concernées, le volume de données, la durée du traitement et son étendue géographique. Deux exemples tirés du texte et de ces lignes directrices :
DPO obligatoire Un hôpital qui traite les dossiers de ses patients.
En principe pas obligatoire Un médecin, un autre professionnel de santé ou un avocat qui exerce à titre individuel, pour les données de ses patients ou clients (considérant 91 du RGPD).
Entre les deux, chaque organisme doit apprécier sa situation et la documenter. En cas de doute, la désignation volontaire reste possible, et elle est souvent recommandée.
Un DPO interne, externe ou mutualisé
Le RGPD laisse le choix (article 37, paragraphe 6) :
Un salarié ou un agent
À condition qu'il dispose du temps, des compétences et de l'indépendance nécessaires, sans conflit d'intérêts avec ses autres fonctions.
Un prestataire externe
Lié par un contrat de service : un cabinet spécialisé, un cabinet d'avocats, une société informatique.
Un DPO mutualisé
Un groupe de sociétés peut désigner un seul DPO pour toutes ses entités. Les collectivités peuvent partager un DPO, souvent par un centre de gestion ou un syndicat.
Le DPO doit ensuite être déclaré à la CNIL, sur son site, et ses coordonnées doivent être communiquées aux personnes concernées.
Ce que montre le fichier de la CNIL
La CNIL publie la liste des organismes qui ont désigné un DPO. Voici ce qu'elle contient au 5 novembre 2026.
Plus d'un tiers des désignations vont à une structure extérieure. 38 % confient la fonction à une personne morale extérieure à l'organisme : un prestataire, un cabinet ou une structure de mutualisation. Les autres désignent surtout une personne physique, salariée de l'organisme ou indépendante.
Le secteur public est le premier secteur désignant, avec 23 050 organismes publics. Dans ce secteur, 70 % des désignations vont à une structure extérieure, le plus souvent une structure de mutualisation.
Les désignations continuent chaque année. Après le pic de 2018, l'année d'entrée en application du RGPD, il s'en enregistre entre 8 000 et 12 000 par an.
Ce fichier ne recense que les organismes qui ont désigné un DPO. Il ne permet pas de compter ceux qui auraient dû le faire et ne l'ont pas fait.
Que risque un organisme qui n'a pas de DPO ?
Ne pas désigner de DPO quand il est obligatoire est un manquement au RGPD, que la CNIL peut sanctionner. Elle l'a déjà fait pour des collectivités :
- 2022La CNIL met en demeure publiquement 22 communes qui n'avaient pas désigné de DPO.
- Décembre 2023Kourou, qui n'avait pas régularisé, est condamnée à 5 000 euros d'amende, assortis d'une astreinte.
- Juillet 2024La commune doit payer 6 900 euros au titre de cette astreinte.
10 M€ ou 2 %
Le plafond des amendes prévues par le RGPD pour ce type de manquement : 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé (article 83).
En résumé
- Le DPO est obligatoire pour tous les organismes publics, et pour les organismes privés dont l'activité principale implique un suivi à grande échelle des personnes ou un traitement à grande échelle de données sensibles.
- Il peut être interne, externe ou mutualisé.
- Il doit être déclaré à la CNIL.
Pour comparer les prestataires qui exercent cette fonction, consultez le classement des DPO externes, établi à partir de ce même fichier de la CNIL, ou le classement par secteur pour trouver ceux qui ont l'habitude de structures comme la vôtre.
Sources : RGPD, articles 9, 37 et 83, et considérant 91 ; lignes directrices européennes concernant les délégués à la protection des données ; CNIL, fichier des organismes ayant désigné un DPO (data.gouv.fr, Licence Ouverte 2.0) ; décisions de la CNIL relatives à la commune de Kourou (2023 et 2024).