Votre entreprise traite des données personnelles, mais vous ne savez pas si vous devez désigner un Délégué à la Protection des Données (DPO) ? L'article 37 du RGPD est clair : ce n'est pas une question de taille, mais de nature des activités.
Depuis l'entrée en vigueur du RGPD en 2018, la désignation d'un DPO est devenue un sujet central pour les organisations. Pourtant, en 2026, près de 40 % des entreprises concernées n'ont toujours pas désigné de DPO, selon le dernier rapport de la CNIL. Les raisons ? Une méconnaissance des critères de l'article 37, une confusion entre taille de l'entreprise et nature des traitements, et une sous-estimation des risques encourus.
Dans cet article, nous décryptons les 3 cas où le DPO est obligatoire, et nous vous proposons un tableau de référence par secteur et situation pour vérifier en un coup d'œil si votre organisation est concernée. Vous repartirez avec une réponse claire et des actions concrètes à mettre en place.
L'article 37 du RGPD : les 3 cas où le DPO est obligatoire
L'article 37 du RGPD impose la désignation d'un DPO dans trois situations précises. Contrairement à une idée reçue, ce n'est pas la taille de l'entreprise qui compte, mais la nature des activités de traitement de données personnelles. Voici les 3 cas :
À retenir : La notion de « grande échelle » n'est pas définie précisément par le RGPD. La CNIL considère qu'il s'agit d'un traitement qui concerne un grand nombre de personnes (plusieurs milliers) ou qui couvre une zone géographique étendue.
Tableau de référence : DPO obligatoire ou pas selon votre situation
Pour vous aider à y voir plus clair, voici un tableau complet par secteur et type d'organisation. Il vous permettra de vérifier rapidement si votre entreprise ou votre structure doit désigner un DPO.
| Secteur / Type d'organisation | DPO obligatoire ? | Base légale (art. 37 RGPD) | Exemples de traitements concernés |
|---|---|---|---|
| Autorités publiques (État, collectivités, établissements publics) | Oui | Art. 37.1.a | Gestion des usagers, état civil, subventions, marchés publics |
| Hôpitaux et cliniques (publics et privés) | Oui | Art. 37.1.b et c | Dossiers médicaux, données de santé, suivi des patients |
| Banques et assurances | Oui, si grande échelle | Art. 37.1.b | Scoring crédit, gestion des sinistres, lutte contre la fraude |
| Réseaux sociaux et plateformes en ligne | Oui | Art. 37.1.b | Profilage publicitaire, recommandations personnalisées, modération de contenu |
| Agences de marketing et publicité ciblée | Oui, si grande échelle | Art. 37.1.b | Publicité comportementale, retargeting, analyse des habitudes de consommation |
| Écoles et universités (privées et publiques) | Oui pour le public, variable pour le privé | Art. 37.1.a (public) / Art. 37.1.b (privé si grande échelle) | Gestion des étudiants, notes, bourses, suivi des alumni |
| Associations caritatives et ONG | Oui, si données sensibles | Art. 37.1.c | Suivi des bénéficiaires, dons, actions humanitaires |
| PME (moins de 250 salariés) sans traitement à risque | Non | - | Gestion des clients, facturation, newsletter basique |
| Startups tech (IA, santé, fintech) | Oui, si grande échelle ou données sensibles | Art. 37.1.b ou c | Algorithmes de prédiction, données biométriques, scoring financier |
| Commerces de détail (boutiques, e-commerce) | Non, sauf exception | - | Gestion des commandes, fidélisation clients (sauf si profilage avancé) |
| Cabinet d'avocats ou de conseil | Oui, si données sensibles | Art. 37.1.c | Dossiers clients sensibles, données judiciaires, conseils en protection des données |
Attention : Même si votre organisation n'est pas dans l'obligation de désigner un DPO, elle reste soumise à toutes les autres obligations du RGPD (transparence, sécurité, droits des personnes, etc.). La désignation d'un DPO peut être un atout pour structurer votre conformité.
Les missions du DPO : ce qu'il doit faire (et ne pas faire)
Le DPO n'est pas un simple « responsable RGPD ». Ses missions sont définies par l'article 39 du RGPD et incluent :
- Informer et conseiller : le DPO doit sensibiliser les équipes et la direction aux obligations RGPD, et les conseiller sur les bonnes pratiques.
- Contrôler la conformité : il vérifie que les traitements de données respectent le RGPD et les autres textes applicables.
- Coopérer avec la CNIL : le DPO est l'interlocuteur privilégié de la CNIL en cas de contrôle ou de demande d'information.
- Gérer les demandes des personnes : il doit faciliter l'exercice des droits des personnes (accès, rectification, effacement, etc.).
- Tenir le registre des activités de traitement : il supervise la documentation des traitements (obligatoire pour les organisations de plus de 250 salariés, et pour les traitements à risque).
Ce que le DPO ne doit pas faire :
- Prendre des décisions à la place du responsable de traitement (le dirigeant).
- Être sanctionné pour des manquements à la conformité (c'est le responsable qui est responsable).
- Cumuler des fonctions incompatibles avec son indépendance (ex. : DPO et responsable marketing).
Comment désigner un DPO ? Étapes et bonnes pratiques
Si votre organisation est concernée par l'obligation de désigner un DPO, voici les étapes à suivre :
Vérifier l'obligation
Utilisez le tableau ci-dessus pour confirmer que votre organisation est bien concernée par l'obligation de désigner un DPO.
Choisir entre DPO interne ou externe
Le RGPD permet de désigner un DPO interne (salarié) ou externe (prestataire). L'important est qu'il dispose des compétences nécessaires et puisse exercer ses missions en toute indépendance.
Avantages
- Meilleure connaissance de l'organisation
- Disponibilité immédiate
- Coût maîtrisé (salaire fixe)
Avantages
- Expertise garantie
- Indépendance renforcée
- Flexibilité (pas de conflit d'intérêts)
Former et informer
Si vous optez pour un DPO interne, assurez-vous qu'il dispose des compétences nécessaires. La CNIL propose des formations certifiantes. Informez également l'ensemble des équipes de la désignation du DPO et de son rôle.
Déclarer le DPO à la CNIL
La désignation du DPO doit être déclarée à la CNIL via son portail en ligne. Cette déclaration est obligatoire et gratuite.
Intégrer le DPO dans les processus
Le DPO doit être associé en amont à tous les projets impliquant des données personnelles. Il doit également être consulté en cas de violation de données ou de demande des personnes concernées.
Vérifiez votre conformité RGPD en 2 minutes
Notre outil gratuit analyse vos traitements de données et vous indique si vous devez désigner un DPO, avec un rapport personnalisé.
Que risquez-vous en cas de non-désignation d'un DPO obligatoire ?
La non-désignation d'un DPO alors que votre organisation est concernée par l'article 37 du RGPD expose à des sanctions lourdes. Voici ce que dit la loi :
Amende maximale prévue par l'article 83.4.a du RGPD.
En pratique, la CNIL peut également :
- Ordonner la désignation d'un DPO sous astreinte (jusqu'à 100 € par jour de retard).
- Rendre publique la sanction, ce qui peut nuire à la réputation de l'organisation.
- Imposer des mesures correctives (audit, formation, modification des processus).
En 2025, la CNIL a infligé une amende de 1,2 million d'euros à une entreprise de marketing pour non-désignation d'un DPO alors que ses activités impliquaient un profilage à grande échelle. Une autre sanction de 500 000 € a été prononcée contre une clinique privée pour le même motif.
Pour éviter ces risques, consultez notre article sur les amendes RGPD par type de manquement, qui détaille les sanctions réelles prononcées par la CNIL.
Questions fréquentes
Une association doit-elle désigner un DPO ?
Pas systématiquement. Une association doit désigner un DPO si elle traite à grande échelle des données sensibles (santé, opinions politiques, origines ethniques, etc.) ou si ses activités de base impliquent un suivi régulier et systématique des personnes. Par exemple, une association caritative qui suit des bénéficiaires vulnérables sera probablement concernée.
Un DPO peut-il être sanctionné en cas de manquement au RGPD ?
Non. Le DPO a un rôle de conseil et de contrôle, mais c'est le responsable de traitement (le dirigeant ou l'organisation) qui reste responsable en cas de manquement. Le DPO ne peut pas être sanctionné pour des erreurs de conformité, sauf s'il a lui-même commis une faute grave (ex. : divulgation de données).
Faut-il un DPO par établissement ou un seul pour toute l'entreprise ?
Un seul DPO peut couvrir plusieurs établissements ou filiales, à condition qu'il puisse exercer ses missions efficacement pour l'ensemble du groupe. La CNIL recommande de désigner un DPO unique pour les groupes d'entreprises, avec éventuellement des relais locaux pour les grandes structures.
Comment prouver à la CNIL que notre DPO est indépendant ?
Pour garantir l'indépendance du DPO, vous devez :
- Ne pas lui donner d'instructions sur la manière d'exercer ses missions.
- Ne pas le sanctionner ou le licencier pour l'exercice de ses fonctions.
- Lui fournir les ressources nécessaires (temps, budget, accès aux données).
- Éviter les conflits d'intérêts (ex. : un DPO ne peut pas être responsable marketing).
Un DPO externe est-il moins efficace qu'un DPO interne ?
Non, à condition que le DPO externe dispose des compétences nécessaires et soit bien intégré à l'organisation. Un DPO externe peut même être plus efficace car il apporte une expertise spécialisée et une indépendance renforcée. L'important est de choisir un prestataire sérieux et de lui donner accès à toutes les informations nécessaires.
Quelles sont les compétences requises pour être DPO ?
Le RGPD ne définit pas de diplôme spécifique, mais le DPO doit avoir :
- Une expertise en protection des données et en droit du numérique.
- Une bonne connaissance des processus métiers de l'organisation.
- Des compétences en gestion de projet et en communication.
- La capacité à travailler en toute indépendance.
Doit-on publier les coordonnées du DPO ?
Oui. Les coordonnées du DPO doivent être publiées (ex. : sur le site web de l'organisation) et communiquées à la CNIL. Elles doivent également être transmises aux personnes concernées (clients, salariés, etc.) pour qu'elles puissent exercer leurs droits (accès, rectification, effacement, etc.).
La désignation d'un DPO n'est pas une formalité administrative, mais un pilier de votre conformité RGPD. Que vous soyez une petite association ou une grande entreprise, vérifiez dès aujourd'hui si vous êtes concerné par l'article 37, et agissez en conséquence. Pour aller plus loin, consultez notre article sur les durées de conservation des données, un autre sujet clé du RGPD souvent négligé.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.