Assurance, banque, opérateur télécoms, établissement de santé, collectivité territoriale, entreprise de sécurité, éditeur de logiciels qui profile ses utilisateurs : de très nombreux organismes ignorent qu’ils sont déjà tenus de désigner un délégué à la protection des données, pendant que des PME sans aucune obligation s’en dotent pour structurer leur conformité. L’erreur coûte cher dans les deux sens : absence de délégué là où le règlement l’impose, ou délégué de façade sans moyens, sans accès à la direction et placé en conflit d’intérêts, ce que la Cour de justice de l’Union européenne a déjà sanctionné dans l’affaire X-FAB Dresden du 9 février 2023. Le 4 mars 2026, le Conseil d’État a rejeté le recours d’une société de reciblage publicitaire contre une amende de 40 millions d’euros infligée par la CNIL, rappel utile que la conformité se joue avant le contrôle. Cet article explique qui doit désigner un délégué à la protection des données, qui peut exercer cette fonction, quelles sont ses missions exactes et comment l’articuler avec un contrôle de la CNIL.
I. Votre organisme est-il obligé de désigner un délégué à la protection des données
La désignation n’est ni systématique ni facultative pour tout le monde : le règlement européen fixe trois cas obligatoires, la CNIL encourage la désignation volontaire dans les autres, et chaque organisme doit documenter son analyse. Se tromper sur ce premier point fausse toute la suite, car un délégué désigné à tort sans missions réelles ne protège de rien, tandis qu’une absence de délégué là où il est requis constitue un manquement autonome, puni comme tel.
A. Les trois cas de désignation obligatoire et la désignation volontaire encouragée
L’article 37, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 impose la désignation en tout état de cause dans trois hypothèses : les traitements effectués par une autorité ou un organisme public, hors juridictions dans l’exercice de leur fonction juridictionnelle ; les organismes dont les activités de base consistent en des opérations exigeant un suivi régulier et systématique à grande échelle des personnes, du fait de leur nature, de leur portée ou de leurs finalités ; et ceux dont les activités de base consistent en un traitement à grande échelle de catégories particulières de données au sens de l’article 9 ou de données relatives aux condamnations pénales et infractions au sens de l’article 10. La CNIL illustre ces cas de façon concrète : ministères, collectivités territoriales et établissements publics d’un côté ; compagnies d’assurance et banques pour leurs fichiers clients, opérateurs téléphoniques et fournisseurs d’accès à internet pour le suivi à grande échelle ; organismes traitant à grande échelle des données biométriques, génétiques, de santé, relatives à la vie sexuelle, à l’origine, aux opinions ou aux convictions, ou aux condamnations pénales. Hors ces hypothèses, la CNIL encourage la désignation volontaire, sans l’imposer. Concrètement, une commune, un hôpital public, un assureur qui profile ses assurés, une banque qui score ses clients, un opérateur qui conserve des données de trafic ou une plateforme qui observe le comportement de millions d’utilisateurs entrent dans le champ obligatoire, chacun pour un motif différent qu’il faut identifier précisément dans le registre.
Deux assouplissements évitent les désignations multiples inutiles : un groupe d’entreprises peut désigner un seul délégué à condition qu’il soit facilement joignable depuis chaque lieu d’établissement, et plusieurs autorités ou organismes publics peuvent partager un même délégué compte tenu de leur structure et de leur taille, en application de l’article 37, paragraphes 2 et 3, du même règlement. Une holding peut donc mutualiser un délégué pour ses filiales si chaque site peut le joindre effectivement, et plusieurs petites communes peuvent partager un délégué intercommunal. En sens inverse, la désignation volontaire reste ouverte à tout moment, y compris par des associations et organismes représentant des catégories de responsables de traitement ou de sous-traitants, le délégué pouvant alors agir pour ces organismes en application de l’article 37, paragraphe 4. Une fédération professionnelle ou un réseau de franchises peut ainsi porter un délégué mutualisé, ce qui intéresse directement les TPE qui veulent structurer leur conformité sans recruter.
La désignation volontaire mérite la même rigueur que la désignation obligatoire : adoptez une lettre de mission écrite qui rappelle le périmètre des traitements suivis, le temps dédié, les modalités d’accès à la direction, les destinataires de ses avis et la périodicité de son rapport annuel. Faites connaître le délégué en interne, car des salariés qui ignorent son existence ne le saisiront jamais, et tenez la lettre à jour à chaque réorganisation. Un volontaire nommé sans écrit, sans temps et sans visibilité interne ne pèsera rien lors d’un contrôle, alors qu’un volontaire installé par écrit, formé et audible de la direction démontre une conformité pilotée.
Si votre entreprise a déjà construit son registre des traitements RGPD, c’est le moment de vérifier si ce registre révèle une activité de base entrant dans les trois cas obligatoires.
B. Les cas frontières : PME, associations, santé, sous-traitants et documentation de l’analyse
La difficulté pratique tient à deux notions : les activités de base et la grande échelle. L’activité de base désigne le traitement sans lequel l’organisme ne peut pas exercer son cœur de métier : pour un cabinet de recrutement, l’analyse des candidatures ; pour une clinique, le dossier patient ; pour un bailleur social, la gestion des demandeurs. À l’inverse, la vidéosurveillance des locaux d’une PME industrielle, la gestion de la paie ou la lutte contre la fraude interne restent en général des activités auxiliaires, même si elles touchent des données sensibles. La grande échelle s’apprécie au volume de personnes, à la durée, à l’étendue géographique et au caractère systématique : un médecin libéral qui suit deux mille patients ne pose pas la même question qu’un réseau de cinquante établissements qui centralise les dossiers. Les organismes de santé, les associations d’aide à la personne, les entreprises de sécurité et les éditeurs de solutions de notation doivent donc qualifier finement leurs traitements plutôt que de se déclarer hors champ par principe. Les sous-traitants sont visés au même titre que les responsables : un hébergeur de données de santé, un prestataire de paie externalisée ou un éditeur SaaS qui traite massivement pour le compte de ses clients applique le même test à sa propre activité.
Deux idées reçues doivent être écartées d’emblée. D’abord, aucune dispense générale ne protège les petites structures : une PME de dix personnes qui profile des milliers de prospects ou qui traite des données de santé à grande échelle entre dans le champ obligatoire aussi sûrement qu’un grand groupe, car le critère tient à l’activité et aux volumes, jamais à l’effectif. Ensuite, le délégué ne remplace ni le registre des traitements, ni les analyses d’impact, ni les contrats avec les sous-traitants : il les contrôle, les conseille et les fait vivre, mais la responsabilité de leur existence incombe au responsable du traitement. Nommer un délégué en espérant qu’il régularise à lui seul des traitements non cartographiés inverse les rôles et prépare un constat de manquement cumulé.
Surtout, l’analyse doit être écrite et conservée : le principe de responsabilité impose au responsable de démontrer sa conformité, et un contrôle de la CNIL commence presque toujours par la question du délégué, du registre et de l’analyse d’impact. Documentez la cartographie des traitements, la qualification retenue pour chaque activité de base, les volumes et durées qui fondent l’appréciation de la grande échelle, et la décision finale de désigner ou non, datée et validée par la direction. Si vous êtes déjà sous la menace d’un contrôle, lisez comment régulariser l’absence de délégué face à la CNIL avant de poursuivre. Et si vos outils sont hébergés hors d’Europe, l’analyse doit intégrer les transferts de données hors UE et leurs garanties, car le délégué sera le premier interrogé sur ce point. La désignation engage aussi des moyens, décrits par l’article 38, paragraphes 1 et 2 : association du délégué en temps utile à toutes les questions de protection des données, ressources nécessaires, accès aux données et aux opérations de traitement, et entretien de ses connaissances spécialisées. Un délégué informé après les décisions, sans budget de formation et sans accès aux outils, ne peut ni conseiller utilement ni contrôler réellement. Prévoyez donc dès la lettre de mission son association aux comités projets, son accès au registre et aux contrats de sous-traitance, un temps dédié chiffré et un plan de formation annuel tracé. En cas de doute persistant entre deux qualifications, la désignation volontaire reste la position la plus sûre : elle ne crée aucune obligation supplémentaire autre que de faire vivre la fonction, et elle fournit un interlocuteur identifié à la CNIL comme aux personnes concernées.
II. Désigner le bon délégué et le faire fonctionner sans faute
Désigner ne suffit pas : un délégué sans compétences vérifiées, sans accès à la direction, cumulant des fonctions qui le placent en conflit d’intérêts, ou dont les coordonnées ne sont publiées nulle part, expose l’organisme autant que l’absence de désignation. Cette seconde partie décrit le profil requis, les cumuls interdits, la protection du délégué salarié et le contenu exact de ses missions, avec les sanctions qui donnent à ces règles leur portée pratique.
A. Qui peut être délégué : compétences, délégué externe, conflit d’intérêts et protection du salarié
L’article 37, paragraphe 5, exige une désignation fondée sur les qualités professionnelles, en particulier les connaissances spécialisées du droit et des pratiques de la protection des données et la capacité d’accomplir les missions de l’article 39. Le paragraphe 6 ouvre deux statuts : le délégué peut être un membre du personnel ou exercer ses missions sur la base d’un contrat de service. Un salarié formé, un juriste interne, un délégué mutualisé de groupe ou un prestataire externe sous contrat conviennent, à condition de justifier de connaissances réelles et d’une capacité d’action démontrée. Le prestataire externe séduit les PME, les associations et les collectivités : coût mutualisable, indépendance apparente, disponibilité contractuelle. Mais l’externalisation ne transfère aucune responsabilité : le responsable du traitement reste seul garant de la conformité, et le contrat doit prévoir les moyens, les délais d’intervention, l’accès aux traitements et la confidentialité, faute de quoi le délégué externe devient une signature sur un registre.
Le cumul avec d’autres fonctions est autorisé mais borné par l’article 38, paragraphe 6 : le responsable veille à ce que les autres missions confiées au délégué n’entraînent pas de conflit d’intérêts. La Cour de justice, dans son arrêt X-FAB Dresden du 9 février 2023 (C-453/21), juge qu’un tel conflit est susceptible d’exister lorsque le délégué se voit confier des tâches qui le conduiraient à déterminer lui-même les finalités et les moyens des traitements, l’appréciation relevant du juge national au cas par cas selon la structure de l’organisme et ses règles internes. En pratique, confier la fonction au directeur des systèmes d’information qui choisit les outils, au directeur des ressources humaines qui décide des finalités de la paie et de la surveillance, ou au dirigeant lui-même, place le contrôleur et le contrôlé dans la même personne : le délégué ne peut pas contrôler utilement des traitements dont il définit les finalités et les moyens. Nommez de préférence un profil sans pouvoir décisionnel sur les traitements : juriste, responsable conformité, qualiticien, ou prestataire externe, et faites valider l’absence de conflit par écrit au moment de la désignation.
La notification à la CNIL et la publication des coordonnées se préparent ensemble : désignez d’abord par écrit en interne, avec date d’effet et périmètre, puis notifiez en ligne et publiez les mêmes coordonnées sur le site et dans les mentions d’information remises aux salariés comme aux clients. Toute divergence entre les coordonnées notifiées et celles publiées fragilise la fonction de point de contact et interroge le sérieux du pilotage. À chaque changement de titulaire, répétez la séquence dans l’ordre, désignation interne, notification, publication, et archivez les accusés pour le contrôle.
Le délégué salarié bénéficie d’une protection ciblée mais pas d’une immunité : l’article 38, paragraphe 3, interdit au responsable de lui donner des instructions sur l’exercice de ses missions et de le relever de ses fonctions ou de le pénaliser pour l’exercice de celles-ci, et impose un rapport direct au niveau le plus élevé de la direction. La Cour de justice admet par ailleurs qu’un droit national protège davantage, en n’autorisant la révocation du délégué membre du personnel que pour un motif grave, même sans lien avec ses missions, tant que les objectifs du règlement ne sont pas compromis. En France, le licenciement d’un salarié délégué suit le droit commun : « Tout licenciement pour motif personnel est motivé dans les conditions définies par le présent chapitre. Il est justifié par une cause réelle et sérieuse. » (article L. 1232-1 du code du travail), et l’employeur doit alléguer des faits précis. La cour d’appel de Paris l’a rappelé dans l’affaire d’un responsable organisation et systèmes, délégué à la protection des données de son entreprise, licencié pour violation alléguée de sa clause de confidentialité et propos tenus sur un collègue : la cour a jugé la diffusion d’échanges internes involontaire, les propos dénués de caractère dénigrant, et a confirmé que le licenciement était « dépourvu de cause réelle et sérieuse », allouant 74 975,25 euros bruts de dommages et intérêts à un salarié de 22 ans d’ancienneté (CA Paris, pôle 6, chambre 10, 3 juillet 2025, RG n° 22/04183). La leçon vaut pour les deux parties : l’employeur ne peut pas se débarrasser d’un délégué gênant sous un motif prétexte, et le salarié délégué ne peut pas se retrancher derrière sa fonction pour échapper à ses autres obligations, notamment la confidentialité.
B. Missions, point de contact et sanctions : faire vivre la fonction face à la CNIL et aux personnes
L’article 39, paragraphe 1, confie au délégué cinq familles de missions : informer et conseiller le responsable, le sous-traitant et les employés sur leurs obligations ; contrôler le respect du règlement, du droit national et des règles internes, y compris la répartition des responsabilités, la sensibilisation, la formation et les audits ; conseiller sur les analyses d’impact et vérifier leur exécution au titre de l’article 35 ; coopérer avec l’autorité de contrôle ; et servir de point de contact pour celle-ci, y compris pour la consultation préalable de l’article 36. Le paragraphe 2 impose de tenir compte du risque propre à chaque traitement selon sa nature, sa portée, son contexte et ses finalités. Concrètement, attendez de votre délégué un plan annuel : revue du registre, formations des équipes exposées, avis écrits sur chaque nouveau projet informatique ou de vidéosurveillance, suivi des analyses d’impact et tableau des demandes d’exercice de droits. Sans ce programme, la fonction reste théorique et le premier contrôle le révélera.
Le délégué est aussi la porte d’entrée des personnes et de la CNIL : toute personne peut le saisir sur le traitement de ses données et l’exercice de ses droits, et le responsable doit publier ses coordonnées et les communiquer à l’autorité de contrôle, en application de l’article 38, paragraphe 4, et de l’article 37, paragraphe 7. Publiez donc ses coordonnées sur le site, dans les mentions d’information et dans les documents internes, et notifiez la désignation à la CNIL : un délégué que personne ne peut joindre et que la CNIL ne connaît pas ne remplit pas sa mission de point de contact. Il est soumis au secret professionnel ou à une obligation de confidentialité pour l’exercice de ses missions, en application de l’article 38, paragraphe 5, ce qui protège ses échanges avec la direction sans l’autoriser à couvrir des manquements. Anticipez enfin la continuité de la fonction : départ du salarié, fin du contrat de service, congé prolongé, réorganisation. Le règlement n’impose aucune durée de mandat, mais une fonction interrompue pendant des mois, sans suppléance ni transfert des dossiers, équivaut à une absence de délégué le jour du contrôle ou de la violation de données. Prévoyez un suppléant identifié, la transmission documentée des avis et du tableau de suivi, et la mise à jour immédiate des coordonnées publiées et notifiées à chaque changement de titulaire.
Le contrôle de la CNIL suit une gradation que les décisions récentes illustrent : contrôle en ligne ou sur place, échanges avec l’organisme, mise en demeure de se conformer sous délai, puis sanction de la formation restreinte, pécuniaire et publiée, avec recours devant le Conseil d’État. L’affaire SERGIC montre un contrôle en ligne révélant un défaut de sécurité accessible aux tiers, un contrôle sur place six jours plus tard constatant l’absence de correction, puis une amende de 400 000 euros assortie d’une publication de deux ans, le recours étant rejeté. Un délégué qui détecte tôt, fait corriger vite et trace les deux temps interrompt cette mécanique avant la sanction.
En France, ce cadre européen est complété par la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa version en vigueur, qui organise les missions et les pouvoirs de la CNIL. Côté sanctions européennes, le manquement aux articles 25 à 39 expose à des amendes administratives pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, en application de l’article 83, paragraphe 4. L’actualité confirme que ces montants s’appliquent : le 4 mars 2026, le Conseil d’État a rejeté le recours d’une société de reciblage publicitaire contre la délibération de la CNIL du 15 juin 2023 qui lui infligeait 40 millions d’euros d’amende : « Article 1er : La requête de la société Criteo est rejetée. » (CE, 10e et 9e chambres réunies, 4 mars 2026, n° 482872). Dès 2020, le même juge avait rejeté le recours d’une société immobilière sanctionnée à 400 000 euros après un défaut de sécurité constaté en ligne puis sur place, sans qu’il soit remédié au manquement entre les deux contrôles (CE, 10e et 9e chambres réunies, 4 novembre 2020, n° 433311, SERGIC). Enfin, les victimes disposent d’un recours propre, puisque l’article 82, paragraphe 1, ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation du responsable ou du sous-traitant. Un délégué défaillant devient ainsi un multiplicateur de risques : sanction administrative d’un côté, actions indemnitaires de l’autre. À Paris, ces actions en réparation relèvent du tribunal judiciaire, et un dossier documenté par le délégué, registre à jour, avis écrits, formations tracées, constitue la meilleure défense.
Conclusion
Le délégué à la protection des données n’est ni une formalité ni un bouclier magique : obligatoire pour les organismes publics, le suivi à grande échelle et les données sensibles, encouragé ailleurs, il doit être compétent, joignable, publié et notifié à la CNIL, sans cumul qui le placerait en conflit d’intérêts. Ses missions d’information, de contrôle, d’avis sur les analyses d’impact et de point de contact structurent toute la conformité, et la jurisprudence récente, de Luxembourg à Paris, donne à chaque règle son illustration concrète. Qualifiez vos activités de base, documentez votre analyse, choisissez un profil sans pouvoir sur les finalités et donnez-lui un accès direct à la direction : c’est ce faisceau d’indices que la CNIL examinera en premier lors d’un contrôle.