Délégué à la protection des données : quand il est requis

Quand la désignation d’un délégué à la protection des données est obligatoire

La désignation d’un délégué à la protection des données, ou DPO, n’est pas imposée à toutes les organisations. Le RGPD la rend obligatoire dans trois situations précises, que les responsables de traitement et les sous-traitants doivent examiner au regard de leurs activités réelles.

Une petite structure peut donc être concernée, tandis qu’une entreprise qui détient beaucoup de données ne l’est pas automatiquement. Pour trancher, il faut regarder la nature de l’organisme, ses activités principales et les traitements effectués de façon régulière, plutôt que s’appuyer uniquement sur sa taille.

Les trois critères prévus par le RGPD

Le premier critère concerne l’organisme lui-même : une autorité publique ou un organisme public doit désigner un DPO. Cette règle couvre notamment les administrations, les collectivités territoriales et les établissements publics, sous réserve de l’exception applicable aux juridictions lorsqu’elles agissent dans l’exercice de leur fonction juridictionnelle.

Les deux autres critères portent sur les activités principales de l’organisme. La désignation devient obligatoire lorsque ces activités nécessitent une surveillance régulière et systématique des personnes à grande échelle, ou lorsqu’elles impliquent un traitement à grande échelle de données sensibles relevant de catégories particulières.

Selon le RGPD, ces données sensibles comprennent notamment les informations relatives à la santé, aux opinions politiques, aux convictions religieuses, à l’origine raciale ou ethnique, à l’appartenance syndicale, à la vie sexuelle et aux données génétiques ou biométriques utilisées pour identifier une personne. Les données relatives aux condamnations pénales et aux infractions font aussi l’objet de règles particulières.

Le critère vise les activités principales, pas nécessairement chaque opération isolée. Une entreprise peut traiter des données de santé pour gérer quelques situations internes sans que ce traitement constitue son activité essentielle ; un service dont le cœur de métier repose sur le suivi de patients présente un profil très différent.

Selon la CNIL, les organismes doivent examiner concrètement leur rôle et leurs traitements avant de décider si la désignation obligatoire s’applique. Une analyse documentée évite de confondre présence de données personnelles et obligation automatique de nommer un délégué.

Organisme public, sous-traitant et entreprise privée

Cette distinction permet de traiter séparément le statut juridique de l’organisme et le volume de ses traitements. Une mairie, par exemple, relève du critère des autorités publiques ; une plateforme privée doit plutôt vérifier ses activités principales et la surveillance qu’elle organise.

La règle concerne aussi bien le responsable de traitement que le sous-traitant. Un prestataire qui exploite, pour le compte de ses clients, des opérations nécessitant une surveillance régulière à grande échelle peut donc être tenu de désigner son propre DPO, même si ses clients ont également le leur.

Pour s’orienter, une organisation peut examiner les situations suivantes avant de demander un avis juridique ou de consulter les recommandations de la CNIL.

Situations à vérifier :

• Autorité publique ou organisme public, hors exception juridictionnelle applicable
• Activité principale impliquant le suivi régulier et systématique de personnes à grande échelle
• Activité principale fondée sur le traitement à grande échelle de données sensibles
• Rôle de sous-traitant réalisant lui-même des opérations répondant aux critères réglementaires

Situation	Élément déterminant	Conséquence à examiner
Administration ou collectivité	Statut d’autorité ou d’organisme public	Désignation en principe obligatoire
Service de suivi de personnes	Surveillance régulière, systématique et à grande échelle	Désignation obligatoire si l’activité est principale
Organisme de santé	Traitement à grande échelle de données sensibles	Désignation obligatoire si ce traitement est une activité principale
Commerce de proximité	Traitements limités liés à la gestion courante	Analyse au cas par cas, sans obligation automatique

Comment évaluer la surveillance et le traitement à grande échelle

Une fois le statut de l’organisme clarifié, l’analyse se déplace vers les opérations quotidiennes. La notion de grande échelle ne se réduit pas à un seuil chiffré unique : le RGPD demande une appréciation fondée sur plusieurs indices et sur le contexte du traitement.

Mesurer l’ampleur sans inventer de seuil

Le nombre de personnes concernées compte, mais il ne suffit pas à lui seul. La durée du suivi, la quantité ou la variété des données, l’étendue géographique et la permanence des opérations contribuent aussi à apprécier l’échelle réelle.

Selon les lignes directrices du Comité européen de la protection des données, un hôpital ou un service de transport urbain peut traiter des données à grande échelle dans le cadre de ses activités centrales. À l’inverse, un professionnel indépendant qui gère un nombre restreint de dossiers ne relève pas automatiquement de cette qualification, même s’il manipule des informations particulièrement sensibles.

La surveillance régulière et systématique suppose davantage qu’une collecte ponctuelle. Elle peut inclure le suivi continu ou récurrent des comportements, des déplacements ou des interactions, notamment lorsqu’un dispositif observe des personnes dans des espaces accessibles au public.

Une plateforme fictive de livraison, par exemple, pourrait suivre en continu les positions de ses utilisateurs, analyser leurs habitudes et conserver des historiques de déplacement. Pour déterminer si un DPO est requis, elle devrait établir si cette surveillance constitue une activité principale et si son ampleur répond au critère réglementaire.

Indices d’ampleur des traitements :

• Nombre et proportion de personnes concernées
• Volume et diversité des informations collectées
• Durée et fréquence des opérations de suivi
• Étendue géographique du traitement et des personnes observées

Distinguer données sensibles et données ordinaires

La qualification des données change fortement l’analyse. Les données de santé, les opinions politiques ou les données biométriques destinées à identifier une personne appartiennent à des catégories particulières ; leur traitement à grande échelle peut rendre la désignation obligatoire lorsque ces opérations forment une activité principale.

Le simple fait de posséder quelques informations de santé ne suffit donc pas à conclure. Une entreprise qui conserve occasionnellement une justification d’absence doit examiner l’échelle, la finalité et la place de cette opération dans son activité, plutôt que traiter toutes les situations comme équivalentes.

Les données pénales méritent une vérification distincte, car elles sont encadrées par une disposition spécifique du RGPD. Il faut également distinguer les données réellement anonymisées des données pseudonymisées : ces dernières restent des données personnelles lorsque leur réidentification demeure possible au moyen d’informations supplémentaires.

Le tableau ci-dessous sépare des catégories souvent confondues ; il ne remplace pas l’évaluation de l’échelle et du rôle joué par le traitement dans l’organisme.

Catégories de données à examiner :

Catégorie	Exemples	Point de vigilance
Données de santé	Diagnostic, dossier médical, information sur un handicap	Catégorie particulière au sens du RGPD
Données biométriques	Empreinte ou reconnaissance faciale utilisée pour identifier	Qualification liée à la finalité d’identification
Données relatives aux opinions	Opinions politiques ou convictions religieuses	Catégorie particulière protégée
Données pénales	Informations relatives aux condamnations ou infractions	Régime spécifique prévu par le RGPD

Quand l’évaluation demeure délicate, consigner les faits et les hypothèses retenues aide à expliquer la décision. Cette traçabilité prépare aussi le choix d’un DPO adapté si les critères sont réunis.

Choisir et désigner un DPO dans de bonnes conditions

Lorsque l’obligation est établie, l’enjeu ne consiste pas seulement à inscrire un nom dans un registre. Le délégué doit pouvoir exercer une fonction utile, disposer des connaissances nécessaires et agir sans recevoir d’instructions sur ses analyses de conformité.

Compétences, disponibilité et indépendance

Le RGPD ne crée pas un diplôme unique obligatoire pour devenir DPO. Il exige plutôt des qualités professionnelles, une connaissance du droit et des pratiques de protection des données, ainsi qu’une capacité réelle à accomplir les missions prévues.

Le niveau attendu dépend du contexte. Un organisme qui gère des dossiers médicaux, des dispositifs de surveillance ou des traitements répartis dans plusieurs pays aura besoin d’une expertise adaptée à cette complexité ; une formation seule ne remplace pas l’expérience et les moyens concrets.

Le délégué peut être salarié de l’organisation ou intervenir de l’extérieur, y compris dans le cadre d’un contrat de services. Plusieurs organismes peuvent partager un même DPO si celui-ci reste accessible et dispose du temps nécessaire pour répondre à chacun.

Son indépendance doit être protégée : il ne peut recevoir d’instructions concernant l’exercice de ses missions et doit pouvoir rendre compte directement au niveau le plus élevé de la direction. Il faut aussi prévenir les conflits d’intérêts, notamment lorsqu’une personne est chargée de décider des finalités et des moyens des traitements qu’elle doit ensuite contrôler.

Dans une structure fictive, une responsable informatique ne serait pas automatiquement écartée, mais son rôle devrait être examiné avec attention. Si elle décide seule des outils, des durées de conservation et des usages des données, son cumul avec la fonction de DPO peut créer un conflit incompatible avec l’indépendance attendue.

Formaliser la désignation et rendre le délégué accessible

Une désignation claire précise le périmètre de la mission, les moyens accordés et les modalités de contact avec la direction. L’organisme doit communiquer les coordonnées du délégué à l’autorité de contrôle et les rendre accessibles aux personnes concernées.

En France, la CNIL reçoit les informations relatives aux désignations. Lors d’un remplacement, l’organisme doit actualiser ces informations afin que les personnes et l’autorité puissent joindre le bon interlocuteur, sans laisser subsister des coordonnées obsolètes.

Avant la nomination, une vérification pratique peut éviter les désignations de façade :

Vérifications avant nomination :

• Compétences adaptées aux traitements réellement pratiqués
• Accès à la direction et absence d’instructions sur les missions
• Temps, outils et budget proportionnés au périmètre confié
• Coordonnées accessibles et procédure de remplacement organisée

Selon la CNIL, le DPO conseille l’organisme, l’informe de ses obligations et contribue à la sensibilisation des équipes. Cette fonction n’efface pas la responsabilité du dirigeant : la conformité reste une responsabilité de l’organisme qui détermine les traitements.

Le choix du statut, interne ou externe, découle donc du besoin de compétence et de disponibilité, pas d’une préférence abstraite. Une désignation correctement préparée rend la fonction joignable et utile dès les premiers arbitrages.

Les missions du DPO et les obligations de conformité

Après sa désignation, le délégué intervient au plus près des traitements, sans se substituer aux équipes qui les conçoivent ou les exploitent. Sa valeur tient à sa capacité à faire apparaître les risques assez tôt pour que l’organisation puisse les réduire.

Conseiller, contrôler et faciliter les échanges

Le DPO informe la direction et les salariés sur les obligations applicables, conseille les équipes lorsqu’elles préparent un nouveau traitement et suit la conformité des pratiques. Il peut notamment accompagner l’analyse d’impact lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits des personnes.

Son contrôle porte sur l’application des règles et des politiques internes : répartition des responsabilités, sensibilisation du personnel, formation et audits. Il peut aussi aider à tenir le registre des traitements, même si la responsabilité de le mettre à jour appartient à l’organisation.

En cas de violation de données personnelles, son rôle consiste à conseiller et à contribuer à la gestion de l’incident, notamment pour apprécier les obligations de notification. La décision et les mesures opérationnelles restent du ressort du responsable de traitement, qui doit pouvoir démontrer ses choix.

Le DPO sert également de point de contact pour les personnes qui exercent leurs droits et pour l’autorité de contrôle. Une adresse dédiée, un circuit interne de transmission et des délais de réponse connus évitent qu’une demande se perde entre plusieurs services.

Selon le RGPD, le délégué doit être associé en temps utile aux questions de protection des données. Le solliciter une fois l’outil acheté et le traitement lancé réduit sa capacité à proposer des solutions simples, alors qu’une intervention au stade de la conception permet souvent d’intégrer la protection dès le départ.

Organiser un suivi proportionné aux risques

Les missions prennent forme dans un programme adapté aux activités, plutôt que dans une liste identique pour toutes les structures. Un organisme public pourra prioriser la diversité de ses services et les demandes des usagers ; une entreprise de suivi numérique devra examiner ses pratiques de profilage et de localisation.

Pour rendre l’action concrète, l’organisation peut organiser des échanges réguliers entre le délégué, les responsables métiers, les équipes informatiques et les ressources humaines. Un changement d’outil ou une nouvelle finalité doit alors être signalé avant le lancement, avec les données collectées, les personnes touchées et les durées envisagées.

Le tableau distingue les responsabilités : il rappelle que le délégué conseille et contrôle, tandis que l’organisation conserve les décisions et les moyens du traitement.

Répartition des responsabilités :

Activité	Rôle du DPO	Responsabilité de l’organisme
Conception d’un nouveau traitement	Conseiller et signaler les risques	Définir la finalité et les moyens
Analyse d’impact	Conseiller sur la méthode et le contenu	Décider et documenter l’analyse
Violation de données	Accompagner l’évaluation et les démarches	Gérer l’incident et décider des notifications
Demandes des personnes	Servir de point de contact ou conseiller	Répondre dans les conditions prévues

Un suivi utile repose sur des échanges réels, des moyens suffisants et des responsabilités comprises par les équipes. Sans ces conditions, la désignation existe sur le papier, mais les obligations de conformité restent difficiles à intégrer aux décisions quotidiennes.

Quand la désignation reste volontaire et comment documenter la décision

Tous les organismes qui traitent des données personnelles ne sont pas soumis à une désignation obligatoire. Pourtant, nommer volontairement un DPO peut clarifier les responsabilités et aider les équipes à prendre en compte la protection des données avant qu’un problème ne survienne.

Une désignation volontaire adaptée aux besoins

Une structure qui ne répond à aucun des trois critères peut choisir un délégué volontairement. Cette décision peut être pertinente si les traitements sont nombreux, si plusieurs services partagent des fichiers ou si les demandes des personnes nécessitent une coordination régulière.

La désignation volontaire doit être organisée avec le même sérieux que celle imposée par le RGPD. Si l’organisation choisit d’annoncer un DPO comme tel, elle doit lui donner les garanties et les conditions nécessaires à cette fonction, au lieu de lui attribuer seulement un titre sans accès aux informations ni temps disponible.

Une association fictive qui gère des inscriptions, des adhésions et une lettre d’information peut commencer par cartographier ses traitements et désigner un interlocuteur compétent. Si ses activités évoluent ensuite vers le suivi continu d’un grand nombre de personnes ou vers le traitement à grande échelle de données sensibles, elle devra réexaminer son statut.

La décision volontaire ne dispense pas l’organisme de respecter les autres obligations du RGPD. Elle ne transfère pas la responsabilité juridique au délégué, et elle ne remplace ni la sécurisation des données ni l’information des personnes concernées.

Conserver une analyse vérifiable

Pour justifier sa décision, l’organisme peut établir une note décrivant son statut, ses activités principales, les catégories de données, les personnes concernées et les modalités de suivi. Ce document doit aussi préciser pourquoi les critères de grande échelle sont ou ne sont pas réunis.

L’évaluation n’est pas figée. Une fusion, l’ouverture d’un service de géolocalisation ou le recours à un nouvel outil de surveillance peut modifier la nature des traitements ; la désignation doit donc être réexaminée lorsque l’activité évolue.

Une revue périodique peut s’appuyer sur quelques questions concrètes :

Éléments à consigner :

• Statut juridique et éventuelle qualité d’autorité publique
• Activités principales et finalités des traitements
• Catégories de données et échelle des opérations
• Décision motivée, date de réexamen et personne responsable du suivi

Selon le Comité européen de la protection des données, l’appréciation doit tenir compte du contexte et de la réalité des opérations, plutôt que reposer sur une formule mécanique. Une documentation lisible permet de réviser la décision sans repartir de zéro lorsque l’organisation se transforme.

La question centrale reste donc pratique : qui observe quelles personnes, avec quelles données, à quelle fréquence et pour quelle activité essentielle ? Une réponse étayée permet de déterminer si le DPO est requis et de choisir des modalités de désignation adaptées.

À retenir

Transformer l’analyse en décision

Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.

Votre checklist

• Définir le résultat attendu
• Identifier trois critères prioritaires
• Prévoir une mesure de contrôle
• Fixer une date de réévaluation