Un contrôle de la CNIL commence rarement par la question du délégué à la protection des données, mais il s’y termine souvent. L’agent de contrôle demande qui pilote la conformité, quels traitements sont recensés, qui a rendu un avis sur la violation notifiée ou sur l’analyse d’impact. Quand l’entreprise répond qu’elle n’a désigné personne, le procès-verbal le mentionne, et la discussion change de nature : l’absence de DPO devient un manquement autonome, qui s’ajoute à ceux constatés sur le terrain. Le règlement général sur la protection des données fait de cette désignation une obligation ciblée, assortie d’un régime protecteur pour le délégué et de sanctions qui peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. La jurisprudence de 2026 a précisé les deux versants du sujet : la Cour de cassation a fermé la porte aux réparations automatiques en cas de violation du règlement, tandis que les juges du fond ont rappelé qu’un DPO salarié ne bénéficie pas d’une immunité et que son indépendance n’autorise ni l’insubordination ni la dénonciation mensongère. Cet article expose qui doit désigner un DPO, comment le choisir et le déclarer, puis comment régulariser après un contrôle ou une mise en demeure.
I. Devez-vous désigner un délégué à la protection des données ?
A. Les trois cas où la désignation est obligatoire
L’article 37, paragraphe 1, du règlement (UE) 2016/679 impose au responsable du traitement et au sous-traitant de désigner un délégué à la protection des données dans trois hypothèses. La première vise le traitement effectué par une autorité publique ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle. La deuxième vise les organismes dont les activités de base consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées. La troisième vise les organismes dont les activités de base consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 et de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10. Chacun des trois cas mérite un examen concret, car les erreurs d’appréciation portent presque toujours sur les mêmes points.
Le premier cas ne soulève guère de difficulté d’interprétation : ministères, collectivités territoriales, établissements publics et organismes chargés d’une mission de service public entrent dans le champ. La CNIL résume ces hypothèses en visant les ministères, les collectivités territoriales et les établissements publics. Un groupe de communes ou plusieurs autorités publiques peuvent toutefois mutualiser la fonction : le règlement prévoit qu’Un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille. Pour une petite commune, l’adhésion au délégué mutualisé proposé par le centre de gestion ou l’intercommunalité constitue donc une réponse régulière, à condition que ce délégué soit réellement joignable et associé aux projets.
Le deuxième cas concerne le secteur privé dès lors que le suivi des personnes constitue le coeur de l’activité. La CNIL cite les compagnies d’assurance ou les banques pour leurs fichiers clients, ainsi que les opérateurs téléphoniques et les fournisseurs d’accès à internet. Les lignes directrices adoptées par le groupe de l’article 29 et avalisées par le Comité européen de la protection des données précisent la notion d’activités de base : il s’agit des opérations essentielles à la réalisation des objectifs de l’organisme, et non d’un traitement accessoire comme la paie des salariés ou le standard téléphonique. Un laboratoire qui suit ses patients à des fins de recherche, une plateforme qui profile ses utilisateurs pour de la publicité ciblée ou un transporteur qui géolocalise en continu ses chauffeurs relèvent de ce deuxième cas dès que le suivi présente un caractère régulier, systématique et de grande échelle. À l’inverse, un artisan qui tient un fichier clients modeste pour facturer n’y est pas soumis, même s’il doit respecter le reste du règlement. Entre ces deux pôles, les cas limites se tranchent en regardant l’activité réelle et non l’intitulé du poste : une société de services qui analyse le comportement de navigation de centaines de milliers de visiteurs pour ajuster ses tarifs effectue un suivi régulier et systématique à grande échelle, même si son effectif salarié reste réduit. De même, une PME qui centralise les dossiers médicaux de ses salariés en arrêt de travail ou qui conserve des extraits de casier judiciaire pour des postes sensibles traite à grande échelle des données sensibles ou relatives aux infractions, et la désignation devient difficilement discutable. En cas de doute persistant, la désignation volontaire reste la réponse la plus sûre : elle coûte moins cher qu’une mise en demeure et elle fournit à l’organisme un avis écrit et daté sur sa propre situation, ce qu’aucun contrôleur ne reprochera jamais.
Le troisième cas vise le traitement à grande échelle des données sensibles : données biométriques, génétiques, de santé, relatives à la vie sexuelle, à l’origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses ou philosophiques, à l’appartenance syndicale, ainsi que les données relatives aux condamnations pénales et aux infractions. Les lignes directrices WP243rev.01 rappellent que le règlement ne définit pas la grande échelle et invitent à combiner plusieurs facteurs : nombre de personnes concernées, volume et diversité des données, durée et étendue géographique du traitement. Un établissement de santé, un assureur qui gère des questionnaires médicaux, un employeur qui déploie de la biométrie pour contrôler l’accès à ses sites ou une association qui gère des antécédents judiciaires de bénévoles doivent se poser la question sérieusement. Dans les autres cas, la désignation d’un Délégué à la protection des données est encouragée par la CNIL, et un contrôleur regardera toujours d’un meilleur oeil un organisme qui s’est doté volontairement d’un pilote de conformité.
Deux précisions complètent ce tableau. D’une part, le délégué est désigné sur la base de ses qualités professionnelles, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données et de sa capacité à accomplir ses missions. D’autre part, la désignation ne dispense jamais l’organisme de ses propres obligations : le responsable du traitement reste responsable de la conformité des traitements, de la tenue du registre, de la sécurité et de l’information des personnes. Nommer un DPO ne transfère pas la responsabilité pénale du dirigeant ni la responsabilité civile de la société ; cela organise la conformité et fournit à l’autorité de contrôle un interlocuteur identifié. Le délégué veille enfin à la fidélité aux finalités déclarées : le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.
B. Hors obligation : désignation volontaire, DPO externe et mutualisation
Lorsque aucun des trois cas n’est rempli, le règlement autorise la désignation volontaire et les organismes qui représentent des catégories de responsables du traitement peuvent eux-mêmes désigner un délégué. Le texte prévoit qu’un groupe d’entreprises peut désigner un seul délégué à la protection des données à condition qu’un délégué à la protection des données soit facilement joignable à partir de chaque lieu d’établissement. Pour un groupe familial avec plusieurs filiales ou pour un réseau de franchise, un DPO unique au niveau de la holding, relayé par des référents dans chaque entité, présente un double avantage : cohérence des politiques et coût maîtrisé. La condition de joignabilité doit rester effective : un délégué injoignable, sans adresse de contact publiée, expose le groupe au même reproche qu’une absence de désignation.
Le délégué peut appartenir au personnel ou exercer ses missions sur la base d’un contrat de service. Le DPO externe, souvent un avocat ou un cabinet spécialisé, convient aux PME qui ne peuvent recruter un profil à temps plein : il apporte l’expertise et le recul, pour un coût prévisible. Le revers tient à sa disponibilité et à sa connaissance du terrain : le contrat de service doit détailler les missions, les délais d’intervention, l’accès aux équipes et aux systèmes, ainsi que les modalités de reporting à la direction. À l’inverse, le DPO interne connaît les processus et les interlocuteurs, mais son positionnement hiérarchique doit lui garantir l’indépendance que le règlement exige. Dans les deux cas, Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l’autorité de contrôle.
La mutualisation entre organismes distincts suit la même logique, sous réserve d’une organisation écrite : convention de mise à disposition ou contrat de service, périmètre de chaque entité, temps alloué, confidentialité entre adhérents, modalités de saisine par les personnes concernées. Les fédérations professionnelles et les centres de gestion de la fonction publique territoriale proposent ce type de service. Avant de signer, l’organisme vérifie les compétences du délégué proposé, l’absence de conflit d’intérêts avec ses autres missions et la procédure de remplacement en cas d’indisponibilité. Un DPO mutualisé qui ne connaît aucun des traitements de l’adhérent et ne rend aucun avis écrit ne protège de rien en cas de contrôle.
Le choix entre interne, externe et mutualisé dépend donc de trois critères : la complexité des traitements, le budget et le niveau de risque. Une start-up qui traite des données de santé à grande échelle a besoin d’un pilote présent et compétent, interne ou externe fortement impliqué. Une TPE de services avec des traitements courants peut se contenter d’un DPO externe à temps partagé, à condition de le saisir réellement avant chaque projet sensible. L’erreur la plus fréquente consiste à désigner un DPO de façade, jamais consulté, dont la boîte de contact reste vide : lors du contrôle, l’agent demandera les avis rendus, les formations dispensées et les analyses d’impact relues. Faute de traces, la désignation formelle n’empêchera ni la mise en demeure ni l’amende.
II. Mettre le DPO en place sans créer un contentieux
A. Indépendance, cumul de fonctions et conflit d’intérêts
Une fois désigné, le délégué bénéficie d’un statut protecteur défini par l’article 38 du règlement. Le responsable du traitement veille à ce que le délégué soit associé en temps utile à toutes les questions relatives à la protection des données, lui fournit les ressources nécessaires, l’accès aux données et aux opérations de traitement, et lui permet d’entretenir ses connaissances. Surtout, Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l’exercice des missions. Le texte ajoute que Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l’exercice de ses missions et qu’il fait directement rapport au niveau le plus élevé de la direction. Concrètement, la direction ne peut ni lui dicter le sens de ses avis, ni le sanctionner pour avoir alerté sur un traitement non conforme, ni le contourner en validant un projet qu’il a déclaré risqué sans examiner son avis.
La Cour de justice de l’Union européenne a précisé la portée de cette protection le 9 février 2023 dans l’affaire X-FAB Dresden (C-453/21), à propos d’un délégué salarié qui présidait également le comité d’entreprise. La Cour a jugé que L’article 38, paragraphe 3, deuxième phrase, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), doit être interprété en ce sens qu’il ne s’oppose pas à une réglementation nationale prévoyant qu’un responsable du traitement ou un sous-traitant ne peut révoquer un délégué à la protection des données qui est membre de son personnel que pour un motif grave, même si la révocation n’est pas liée à l’exercice des missions de ce délégué, pour autant qu’une telle réglementation ne compromette pas la réalisation des objectifs de ce règlement. Autrement dit, un État membre peut accorder au DPO salarié une protection renforcée contre le licenciement, sans que cela heurte le droit de l’Union, tant que l’organisme conserve la possibilité de se séparer d’un délégué qui ne remplit plus ses fonctions en toute indépendance.
Sur le cumul de fonctions, la même décision retient que L’article 38, paragraphe 6, du règlement 2016/679 doit être interprété en ce sens qu’un « conflit d’intérêts », au sens de cette disposition, est susceptible d’exister lorsqu’un délégué à la protection des données se voit confier d’autres missions ou tâches, qui conduiraient ce dernier à déterminer les finalités et les moyens du traitement de données à caractère personnel auprès du responsable du traitement ou de son sous-traitant, ce qu’il incombe au juge national de déterminer au cas par cas, sur la base d’une appréciation de l’ensemble des circonstances pertinentes, notamment de la structure organisationnelle du responsable du traitement ou de son sous-traitant et à la lumière de l’ensemble de la réglementation applicable, y compris des éventuelles règles internes de ces derniers. Le critère tient donc à la nature des autres tâches : un DPO qui dirige le service informatique, définit la politique commerciale fondée sur les données clients ou pilote la sécurité des systèmes se place en situation de contrôler ses propres décisions, ce que le règlement prohibe : Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts. En revanche, des fonctions sans pouvoir de décision sur les traitements, comme une mission de formation ou de documentation, restent compatibles. Les lignes directrices européennes invitent les organismes à formaliser cette analyse : fiche de poste du DPO, inventaire de ses autres attributions, règles internes de prévention des conflits et mention explicite dans le registre des traitements.
En droit français du travail, le DPO interne vérifie trois verrous avant tout dispositif qui touche les salariés : Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ; Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ; et Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. Un avis du délégué qui ignore ces trois textes manque sa cible, et l’employeur qui déploie un traceur ou un outil de surveillance sans information ni consultation cumule les manquements.
La jurisprudence française de 2026 illustre les limites de la protection du DPO salarié. Dans un arrêt du 12 février 2026, la cour d’appel de Paris (pôle 6, chambre 7, RG n° 22/01927) a statué sur le cas d’une déléguée à la protection des données employée par une association reconnue d’utilité publique pour mettre en conformité l’organisme au RGPD. La salariée soutenait que son courrier d’alerte adressé à la direction sur des dysfonctionnements relevait de ses fonctions de DPO et devait la protéger contre la rupture anticipée de son contrat à durée déterminée, notamment au titre de la protection des lanceurs d’alerte . La cour a écarté cette analyse : la lettre ne dénonçait pas des faits constitutifs d’un crime ou d’un délit au sens de l’article L. 1132-3-3 du code du travail, et la rupture reposait sur des griefs établis, dont une accusation infondée portée contre une collègue, d’une gravité incompatible avec le maintien dans l’organisme. Le jugement prud’homal a été confirmé en toutes ses dispositions.
Cet arrêt comporte trois enseignements pratiques. D’abord, la qualité de DPO ne confère pas d’immunité disciplinaire : l’indépendance protège les avis rendus dans l’exercice des missions, pas les comportements fautifs étrangers à ces missions. Ensuite, l’alerte du DPO ne se confond pas avec le signalement du lanceur d’alerte : pour bénéficier de la protection de l’article L. 1132-3-3 du code du travail, qui vise les personnes ayant témoigné, de bonne foi, de faits constitutifs d’un délit ou d’un crime dont elles ont eu connaissance dans l’exercice de leurs fonctions, encore faut-il que les faits relatés soient susceptibles de constituer une infraction pénale, et non de simples dysfonctionnements d’organisation. Enfin, la rupture anticipée d’un contrat à durée déterminée reste enferrée dans son cadre : hors faute grave, force majeure ou inaptitude, elle ouvre droit à des dommages et intérêts au moins égaux aux rémunérations dues jusqu’au terme du contrat. L’employeur qui emploie son DPO en contrat à durée déterminée pour une mission de mise en conformité doit donc anticiper la fin de mission et documenter ses griefs, tandis que le DPO salarié distingue ses avis professionnels, écrits et tracés, de ses éventuels signalements relevant d’un autre régime.
B. Déclarer, documenter et régulariser après un contrôle
La désignation ne produit ses effets à l’égard de l’autorité que si elle est déclarée : La désignation d’un DPO, son remplacement ou la déclaration de la fin de ses missions se font exclusivement depuis le téléservice dédié. L’organisme qui a désigné son délégué en interne sans accomplir cette formalité reste, aux yeux du contrôleur, sans DPO déclaré. La déclaration suppose d’avoir arrêté le périmètre (responsable du traitement ou sous-traitant, entités couvertes en cas de mutualisation), les coordonnées publiées du délégué et la date d’effet. Toute modification ultérieure, départ, remplacement ou fin de mission, fait l’objet d’une nouvelle déclaration. Les personnes concernées, de leur côté, Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l’exercice des droits que leur confère le présent règlement : l’adresse de contact publiée doit donc aboutir à une boîte lue et traitée, avec des délais de réponse suivis.
Le délégué exerce au minimum les missions de l’article 39 : informer et conseiller l’organisme et les employés sur leurs obligations, contrôler le respect du règlement et des règles internes, dispenser des conseils sur les analyses d’impact et en vérifier l’exécution, coopérer avec l’autorité de contrôle et faire office de point de contact, y compris pour la consultation préalable. En pratique, cela se traduit par un plan de travail annuel : cartographie des traitements et mise à jour du registre, relecture des contrats de sous-traitance avec les clauses de l’article 28, avis écrits sur chaque projet sensible, formation des équipes, gestion des demandes d’exercice de droits et des violations de données. Chaque avis, chaque formation et chaque arbitrage doit laisser une trace datée. Lors du contrôle, ces pièces démontrent que le DPO est associé en temps utile et que ses recommandations sont examinées par la direction, même quand celle-ci décide de s’en écarter en motivant son choix.
Si le contrôle révèle l’absence de DPO alors que la désignation était obligatoire, l’autorité dispose d’une gradation de mesures. Elle peut d’abord ordonner au responsable du traitement de mettre les opérations en conformité, de manière spécifique et dans un délai déterminé, ce qui correspond en droit interne à la mise en demeure de désigner un délégué et de le déclarer. À défaut de régularisation, l’amende administrative peut être prononcée : les violations des articles 25 à 39, qui incluent les articles 37 à 39 sur le délégué, font l’objet d’amendes pouvant s’élever jusqu’à 10 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Pour apprécier le montant, l’autorité tient compte notamment de la gravité et de la durée, du caractère délibéré ou négligent, des mesures prises pour atténuer le dommage et du degré de coopération. Une régularisation rapide et documentée après la mise en demeure pèse donc directement sur la sanction.
Le volet pénal ne doit pas être négligé : Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. Cette incrimination vise les formalités préalables dans leur ensemble et rappelle que la conformité ne se réduit pas à une question administrative. Parallèlement, les personnes concernées peuvent agir en réparation : Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, et les actions sont portées devant les juridictions compétentes selon le droit de chaque État membre. Mais la Cour de cassation a posé une limite claire le 24 juin 2026 (chambre sociale, pourvoi n° 24-22.792, arrêt publié au bulletin) : une simple violation du règlement n’ouvre pas à elle seule droit à réparation, comme l’a jugé la chambre sociale. Le demandeur doit établir, outre la violation, le dommage matériel ou moral qu’elle lui a causé, conformément aux arrêts de la Cour de justice Österreichische Post du 4 mai 2023 et MediaMarktSaturn du 25 janvier 2024. Pour l’entreprise, cela signifie que l’absence de DPO n’entraîne pas mécaniquement des condamnations indemnitaires au profit de chaque salarié ou client, mais que chaque violation documentée et chaque préjudice établi restent réparés. Dans cette affaire, le moyen de l’employeur invoquait l’article 1382, devenu 1240 du code civil, pour exiger du salarié la preuve d’un préjudice particulier ; la chambre sociale a tranché sur le terrain de l’article 82 du règlement, dont l’exigence de préjudice établi rejoint ici le droit commun de la responsabilité.
Face à une mise en demeure visant l’absence de DPO, la méthode de régularisation tient en cinq étapes. D’abord, qualifier la situation au regard de l’article 37 : l’organisme relève-t-il d’un des trois cas obligatoires ou la CNIL recommande-t-elle la désignation compte tenu des traitements ? Ensuite, choisir le profil et vérifier l’absence de conflit d’intérêts, en écartant les fonctions qui déterminent les finalités et les moyens des traitements. Puis formaliser : lettre de désignation signée par le représentant légal, fiche de missions adossée à l’article 39, rattachement direct au plus haut niveau de direction avec un créneau de reporting périodique, moyens et accès garantis par écrit, y compris l’accès aux outils de gestion des violations et aux demandes d’exercice de droits. La lettre précise la date d’effet, le périmètre des entités couvertes et les modalités de remplacement, afin qu’un départ ou une absence prolongée ne laisse pas l’organisme sans interlocuteur déclaré. Pour un DPO externe, le contrat de service détaille en outre les temps de présence, les délais d’intervention en cas de violation et la tarification des avis complémentaires, car un forfait qui exclut les urgences décourage la saisine au moment où elle compte le plus. Déclarer ensuite le délégué sur le téléservice de la CNIL et publier ses coordonnées sur le site de l’organisme et dans les mentions d’information remises aux salariés comme aux clients. La publication ne se limite pas à une adresse générique : elle indique que toute personne peut saisir le délégué sur ses données, et elle est relayée en interne pour que les équipes sachent vers qui orienter les demandes. Chaque changement ultérieur fait l’objet d’une déclaration modificative sans attendre, car un délégué parti depuis six mois mais toujours déclaré expose l’organisme à un reproche de négligence caractérisée. Enfin, produire les premières traces : avis sur les traitements en cours, mise à jour du registre, relecture des contrats de sous-traitance et de leurs clauses d’audit et de résiliation, plan de formation et calendrier des analyses d’impact. Ce dossier de régularisation, adressé à l’autorité dans le délai de la mise en demeure, constitue la meilleure défense contre l’aggravation vers l’amende. Les organismes qui traitent des données à travers des prestataires informatiques gagneront à relire dans le même mouvement leurs contrats de sous-traitance, tandis que ceux qui n’ont jamais formalisé leur cartographie commenceront par construire un registre des traitements conforme et contrôlable.
Conclusion
Désigner un délégué à la protection des données n’est ni une simple case à cocher ni une assurance contre toute sanction : c’est l’organisation d’une conformité vivante, adossée à trois blocs de règles. L’article 37 délimite l’obligation, avec ses trois cas et sa recommandation pour les autres organismes. L’article 38 protège l’indépendance du délégué, interdit les instructions et les représailles liées à ses missions, et prohibe les cumuls qui le feraient juger ses propres traitements, sous le contrôle du juge national au cas par cas. L’article 39 lui assigne des missions précises, dont le conseil sur les analyses d’impact et le rôle de point de contact de l’autorité. Autour de ce triptyque, la CNIL contrôle, met en demeure puis sanctionne jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial, le juge pénal sanctionne les traitements irréguliers et le juge civil répare les préjudices établis, sans automatisme. L’entreprise qui reçoit un contrôle sans DPO désigné ne perd pas la partie : elle la joue en régularisant vite, en choisissant un délégué compétent et indépendant, en le déclarant et en documentant ses premiers avis. Le dossier adressé à l’autorité dans le délai imparti vaut mieux que n’importe quelle explication orale le jour du contrôle.