DPO obligatoire ? Faut-il en désigner un, le test

Beaucoup de dirigeants se demandent s'ils sont obligés de désigner un délégué à la protection des données. La réponse n'est ni « tout le monde » ni « personne » : le RGPD prévoit des cas précis d'obligation, et une large zone où la désignation reste facultative mais souvent recommandée.

Cet article clarifie les trois situations qui rendent la désignation obligatoire, explique pourquoi elle reste utile même sans obligation, et vous propose un test simple en quatre questions pour trancher. L'objectif : savoir où vous vous situez, sans sur-interpréter ni négliger vos obligations.

Définition : Le DPO (délégué à la protection des données) pilote la conformité RGPD d'une organisation : il conseille, contrôle, sensibilise et sert de point de contact avec la CNIL. Sa désignation est obligatoire dans certains cas définis par le règlement, et facultative mais recommandée dans les autres.

Points clés

• La désignation d'un DPO est obligatoire dans trois cas : autorité publique, suivi régulier à grande échelle, traitement à grande échelle de données sensibles.
• En dehors de ces cas, la désignation reste facultative mais recommandée par la CNIL.
• Un DPO peut être interne ou externe : les deux remplissent les mêmes missions.
• Même non obligatoire, un DPO structure la conformité et rassure clients et partenaires.
• En cas de doute, mieux vaut analyser précisément vos traitements que trancher à l'intuition.

Les trois cas où la désignation est obligatoire

Le RGPD impose la désignation d'un DPO dans trois situations. Les connaître permet de savoir si vous êtes concerné par l'obligation, ou seulement par la recommandation.

1. Vous êtes une autorité ou un organisme public

Toute autorité publique ou organisme public doit désigner un DPO, quelle que soit la nature de ses traitements. Collectivités, administrations et établissements publics sont directement visés. Notre article sur la vidéoprotection et le RGPD dans les collectivités illustre les enjeux propres au secteur public.

2. Vous suivez des personnes à grande échelle

Si votre activité principale consiste à suivre régulièrement et systématiquement des personnes à grande échelle (profilage, suivi de comportement, géolocalisation massive), la désignation est obligatoire. C'est le cas de nombreuses plateformes numériques et acteurs de la publicité ciblée.

3. Vous traitez des données sensibles à grande échelle

Un traitement à grande échelle de données sensibles (santé, opinions, données biométriques) ou de données relatives à des infractions rend la désignation obligatoire. Ce cas vise notamment le secteur de la santé, comme le détaille notre article sur les données de santé et le RGPD.

Bon à savoir : La notion de « grande échelle » s'apprécie au cas par cas : volume de personnes concernées, zone géographique, durée, quantité de données. Un cabinet médical isolé n'est pas dans la même situation qu'un réseau de cliniques. En cas de doute sur ce seuil, une analyse précise de vos traitements s'impose.

Le test en 4 questions

Pour situer rapidement votre organisation, posez-vous ces quatre questions :

1. Êtes-vous un organisme public ? Si oui, la désignation est obligatoire. Inutile d'aller plus loin.

2. Le suivi régulier de personnes à grande échelle est-il au cœur de votre activité ? Si oui, désignation obligatoire.

3. Traitez-vous des données sensibles à grande échelle ? Si oui, désignation obligatoire.

4. Avez-vous répondu non aux trois précédentes ? Alors la désignation n'est probablement pas obligatoire, mais elle reste recommandée si vos traitements présentent un risque notable.

Ce test donne une orientation, pas un verdict définitif : les notions de « grande échelle » et de « suivi systématique » demandent parfois une analyse fine. En cas de doute, décrivez-nous votre situation : nous vous disons franchement de quel côté vous vous situez.

Pas obligatoire ne veut pas dire inutile

Même hors obligation, désigner un DPO présente de vrais avantages. La CNIL le recommande comme une bonne pratique. Un DPO structure votre conformité, centralise les demandes, sert de point de contact et vous aide à démontrer votre sérieux en cas de contrôle. Il rassure aussi vos clients et partenaires, de plus en plus attentifs à la protection des données.

La question n'est donc pas seulement « suis-je obligé ? » mais « ai-je intérêt à structurer ma conformité ? ». Pour beaucoup d'organisations, la réponse est oui, sans que cela impose un recrutement. Notre article sur le rôle et les obligations d'un DPO détaille ce qu'il apporte concrètement.

Interne ou externe : une fois la décision prise

Si vous décidez de désigner un DPO, obligatoire ou non, reste à choisir la formule. Le DPO interne convient aux grandes organisations à fort volume ; le DPO externe apporte l'expertise sans le coût d'un poste, ce qui convient à la plupart des PME. Notre comparatif DPO interne ou externe détaille les critères, et notre article sur le coût d'un DPO externe donne les fourchettes.

Attention : Ne désignez pas un DPO « pour la forme ». Le RGPD exige qu'il dispose des moyens et de l'indépendance nécessaires. Un DPO nommé sans temps ni autonomie expose l'organisation plutôt qu'il ne la protège. Mieux vaut une formule externe bien cadrée qu'un rôle interne fictif.

FAQ

Toutes les entreprises doivent-elles désigner un DPO ?

Non. La désignation est obligatoire dans trois cas : organisme public, suivi régulier de personnes à grande échelle, traitement à grande échelle de données sensibles. En dehors, elle est facultative mais recommandée par la CNIL, surtout si vos traitements présentent un risque notable.

Que risque-t-on à ne pas désigner un DPO obligatoire ?

Le défaut de désignation, quand elle est obligatoire, constitue un manquement au RGPD susceptible de sanction. Au-delà de l'amende, l'absence de DPO fragilise toute la démarche de conformité et complique la gestion des demandes et des incidents.

Une PME est-elle obligée de désigner un DPO ?

Rarement au titre de l'obligation, sauf si elle traite des données sensibles à grande échelle ou suit massivement des personnes. Dans la plupart des cas, la désignation est facultative mais recommandée. Un DPO externe permet d'en bénéficier sans recruter.

Le DPO peut-il être le dirigeant de l'entreprise ?

C'est déconseillé, voire incompatible. Le DPO doit être indépendant et sans conflit d'intérêts. Un dirigeant qui décide des traitements ne peut pas les contrôler en toute impartialité. Un DPO externe résout naturellement ce problème d'indépendance.

Comment désigner officiellement un DPO ?

La désignation s'effectue via un téléservice de la CNIL, qui enregistre l'identité et les coordonnées du délégué. Un prestataire sérieux gère cette formalité pour vous, qu'il s'agisse d'un DPO externe ou de l'accompagnement d'un référent interne.

Peut-on mutualiser un DPO entre plusieurs structures ?

Oui. Un même DPO peut couvrir plusieurs entités, notamment au sein d'un groupe ou entre collectivités, à condition de rester joignable et de disposer des moyens nécessaires. La mutualisation est une façon courante de partager le coût tout en respectant l'obligation.

Conclusion

Savoir s'il faut désigner un DPO tient d'abord à trois cas d'obligation : organisme public, suivi à grande échelle, données sensibles à grande échelle. En dehors, la désignation reste un choix, souvent judicieux, pour structurer sa conformité et rassurer son écosystème. Le test en quatre questions vous oriente ; une analyse fine tranche les cas limites.

Pour lever un doute sur votre situation, décrivez-nous votre activité : nous vous disons franchement si la désignation s'impose. Pour aller plus loin, parcourez le blog ou découvrez notre offre de DPO externe.

Pour approfondir, consultez les ressources officielles de la CNIL sur le DPO et le texte du RGPD sur EUR-Lex.

L'équipe mydari

Tous les articles