Guides

Faut-il désigner un DPO ? Les trois cas de l'article 37, et ce que fait un DPO externe

Par Thiago de Jesus Freire, délégué à la protection des données externe, Hermetics

Mis à jour le 13 novembre 2026

Ce guide donne une information générale, à jour à la date indiquée ; il ne remplace pas l'examen de votre situation par votre délégué à la protection des données ou par votre conseil.

Le RGPD n'impose un délégué à la protection des données (DPO) que dans trois cas : vous êtes un organisme public, votre activité de base exige de suivre des personnes de façon régulière et systématique à grande échelle, ou elle consiste à traiter à grande échelle des données sensibles ou relatives à des condamnations pénales. En dehors de ces cas, vous pouvez en désigner un volontairement, et les mêmes règles s'appliquent alors. Dans tous les cas, le DPO conseille et contrôle, mais votre entreprise reste responsable de sa conformité.

Les trois cas où la désignation est obligatoire

L'article 37, paragraphe 1, vise aussi bien le responsable du traitement que le sous-traitant¹. Ils désignent un DPO lorsque :

1. le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions dans leur fonction juridictionnelle (point a) ;
2. leurs activités de base consistent en des traitements qui exigent un suivi régulier et systématique à grande échelle des personnes concernées (point b) ;
3. leurs activités de base consistent en un traitement à grande échelle de catégories particulières de données, comme la santé, ou de données relatives à des condamnations pénales et à des infractions (point c).

Aucun de ces critères ne porte sur l'effectif : une entreprise de 30 personnes peut être tenue de désigner un DPO, et une entreprise de 250 personnes peut ne pas l'être. Le droit de l'Union ou d'un État membre peut par ailleurs exiger un DPO dans d'autres situations (article 37, paragraphe 4)¹.

Trois notions qui décident de tout

Le règlement ne définit ni la « grande échelle » ni le « suivi régulier et systématique ». Les autorités européennes de protection des données en ont donné une lecture dans leurs lignes directrices², et c'est elle que nous résumons ici.

Activités de base

Ce sont les activités principales de l'organisme, pas celles où le traitement de données n'est qu'accessoire (considérant 97)¹. Un hôpital ne peut pas soigner sans dossiers médicaux : ce traitement fait partie de son activité de base. À l'inverse, la paie et l'assistance informatique classique sont des fonctions de soutien, présentes dans toute entreprise².

Grande échelle

Il n'existe pas de chiffre applicable à toutes les situations. Les lignes directrices recommandent de regarder quatre facteurs : le nombre de personnes concernées, en valeur absolue ou en proportion de la population visée, le volume ou la variété des données, la durée ou la permanence du traitement, et son étendue géographique².

Un hôpital, une banque, une compagnie d'assurance ou un transport public urbain traitent à grande échelle les données de leurs patients, clients ou passagers. Un médecin ou un avocat exerçant à titre individuel, non. Entre ces extrêmes, les lignes directrices reconnaissent une large zone grise².

Un exemple des lignes directrices parle aux entreprises de taille moyenne : un fabricant de carrelage qui confie sa médecine du travail à un prestataire n'est pas nécessairement tenu de désigner un DPO, alors que ce prestataire, qui traite des données de santé pour de nombreux clients, doit le faire si ce traitement est à grande échelle².

Suivi régulier et systématique

Le suivi n'est pas limité à internet. Il est régulier lorsqu'il est continu ou périodique, systématique lorsqu'il est organisé et méthodique. Parmi les exemples cités : les programmes de fidélité, la géolocalisation par des applications mobiles, la publicité comportementale, la vidéosurveillance, la notation du risque de crédit².

La désignation volontaire

Hors des trois cas, vous pouvez désigner un DPO (article 37, paragraphe 4)¹. Ce choix engage : les articles 37 à 39 s'appliquent alors à sa désignation, à sa fonction et à ses missions comme si elle avait été obligatoire. Qu'il soit obligatoire ou volontaire, le DPO est désigné pour l'ensemble de vos traitements².

Vous pouvez aussi confier la protection des données à un salarié ou à un consultant sans le désigner comme DPO. Il faut alors éviter toute confusion et dire clairement, en interne comme à l'extérieur, que cette personne ne porte pas ce titre².

Interne, externe, ou un seul pour le groupe

Le DPO peut être un membre de votre personnel ou exercer ses missions sur la base d'un contrat de service (article 37, paragraphe 6). Dans les deux cas, il est choisi pour ses qualités professionnelles, en particulier ses connaissances spécialisées du droit et des pratiques de la protection des données (article 37, paragraphe 5)¹.

Un DPO externe peut être une équipe. Chaque membre doit alors remplir les exigences du règlement, et il est recommandé de désigner, pour chaque client, une seule personne de contact principale et de l'écrire dans le contrat².

Un groupe d'entreprises peut désigner un seul DPO, à condition qu'il soit facilement joignable à partir de chaque établissement (article 37, paragraphe 2)¹. Cela suppose qu'il puisse communiquer dans la langue des personnes concernées et des autorités de contrôle en question².

Ce que fait le DPO, et ce qu'il ne fait pas

L'article 39 lui confie au moins cinq missions¹ :

• informer et conseiller l'entreprise et les salariés qui traitent des données sur leurs obligations ;
• contrôler le respect du règlement et des règles internes ;
• conseiller, sur demande, sur l'analyse d'impact et en vérifier l'exécution ;
• coopérer avec l'autorité de contrôle ;
• être le point de contact de cette autorité.

Les personnes concernées peuvent aussi s'adresser à lui pour toute question sur leurs données et l'exercice de leurs droits (article 38, paragraphe 4)¹.

Ce qu'il ne fait pas tient en une phrase : il ne porte pas la responsabilité à votre place. C'est le responsable du traitement qui met en œuvre les mesures appropriées et qui doit pouvoir démontrer sa conformité (article 24, paragraphe 1, et article 5, paragraphe 2)¹. Le DPO n'est pas personnellement responsable en cas de non-respect du règlement, il n'a pas de pouvoir de décision au-delà de ses missions, et c'est à vous, pas à lui, qu'il revient de réaliser l'analyse d'impact².

Indépendance et conflit d'intérêts

Le DPO ne reçoit aucune instruction sur l'exercice de ses missions. Il ne peut être ni relevé de ses fonctions ni pénalisé pour les avoir exercées, et il fait directement rapport au niveau le plus élevé de la direction (article 38, paragraphe 3)¹.

Il peut exercer d'autres tâches, à condition qu'elles n'entraînent pas de conflit d'intérêts (article 38, paragraphe 6)¹. Concrètement, il ne peut pas occuper une fonction qui l'amène à déterminer les finalités et les moyens des traitements. Les lignes directrices citent le directeur général, le directeur financier, le responsable des ressources humaines, du marketing ou de l'informatique. Pour un DPO externe, le conflit peut naître s'il est appelé à représenter l'entreprise devant les tribunaux sur des questions de protection des données².

Publier les coordonnées et les communiquer à l'autorité

Une fois le DPO désigné, vous publiez ses coordonnées et vous les communiquez à l'autorité de contrôle (article 37, paragraphe 7)¹. Le texte n'exige pas que les coordonnées publiées comportent son nom, mais le communiquer à l'autorité est essentiel². En France, la désignation, le remplacement et la fin de mission se déclarent exclusivement par un téléservice dédié (source : CNIL, page citée)³.

Les questions à poser avant de choisir un DPO externe

Ce sont nos conseils de praticiens, tirés des exigences qui précèdent.

• Qui sera notre interlocuteur ? Une personne nommée, et celles qui interviennent avec elle.
• Connaissez-vous notre secteur ? Le niveau d'expertise attendu dépend de la sensibilité et de la complexité de vos traitements².
• Avez-vous un conflit d'intérêts avec nous ?
• À qui rendez-vous compte chez nous, et comment ? Un rapport annuel à la direction est un exemple donné par les lignes directrices².
• Vos avis sont-ils écrits et datés ? Si vous ne suivez pas un avis, il est de bonne pratique d'en consigner les raisons².
• Qu'est-ce qui reste à notre charge ?