Avocat DPO externalisé à Paris : désigner le délégué, encadrer sa mission et répartir les responsabilités.

L'obligation ne vise pas toutes les entreprises. L'article 37 du RGPD l'impose aux autorités et organismes publics, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle, ainsi qu'aux responsables du traitement et sous-traitants dont les activités de base consistent soit en un suivi régulier et systématique à grande échelle des personnes concernées, soit en un traitement à grande échelle de données sensibles ou de données relatives aux condamnations pénales et aux infractions. L'analyse porte donc sur l'activité principale de l'organisme, non sur les traitements accessoires que toute entreprise met en œuvre, comme la paie ou la gestion des fournisseurs. Une plateforme qui profile ses utilisateurs, un établissement de santé ou un prestataire de vidéosurveillance peuvent entrer dans le champ de l'obligation, alors qu'une PME de services n'y entre pas forcément. Hors de ces cas, la désignation reste possible, et les articles 38 et 39 du RGPD s'appliquent sans distinguer selon que la désignation était obligatoire ou volontaire. Lorsque l'organisme estime ne pas être tenu de désigner, le cabinet conseille de consigner par écrit les raisons de cette appréciation, afin de pouvoir les présenter en cas de contrôle de la CNIL. Cette note doit être relue à chaque évolution importante de l'activité ou des traitements.

Oui. Le délégué peut exercer ses missions sur la base d'un contrat de service (article 37, paragraphe 6, du RGPD), et la CNIL admet (CNIL, le délégué personne morale) qu'un délégué externe soit une personne physique, comme un avocat, ou une personne morale, comme un cabinet. L'avocat apporte la lecture juridique des traitements et des contrats. Ses consultations et correspondances avec le client sont couvertes par le secret professionnel (article 66-5 de la loi du 31 décembre 1971), et l'article 19 de la loi du 6 janvier 1978 réserve ce secret, qui reste opposable aux agents de la CNIL lors d'un contrôle. La profession encadre toutefois cette mission. Le règlement intérieur national de la profession d'avocat oblige l'avocat à déclarer l'activité de délégué à l'Ordre (article 6.4) et lui interdit de représenter l'organisme pour lequel il exerce ou a exercé cette mission dans les procédures administratives ou judiciaires mettant en cause le responsable des traitements (article 6.3.3). L'avocat délégué ne peut donc pas devenir l'avocat de cet organisme dans un contrôle ou un contentieux visant ses traitements, même après la fin de sa mission. Un avocat qui devient salarié d'un organisme doit en outre régler sa situation au barreau : la cour d'appel de Paris a relevé qu'une déléguée salariée, encore inscrite, n'avait pas fait preuve de diligence pour obtenir son omission, grief qui ne constituait pas à lui seul une faute grave, retenue pour un autre motif (CA Paris, 12 février 2026). Cette décision est défavorable à la déléguée.

Le contrat de service tient lieu de loi entre l'organisme et son délégué (article 1103 du code civil), et il doit être exécuté de bonne foi (article 1104 du code civil). Il fixe d'abord le périmètre de la mission, en reprenant au minimum les missions de l'article 39 du RGPD : informer et conseiller, contrôler le respect du règlement, conseiller sur les analyses d'impact, coopérer avec la CNIL et lui servir de point de contact. Il précise ensuite le temps consacré, les interlocuteurs internes, l'accès aux traitements et aux informations, la manière dont le délégué rend compte à la direction et la confidentialité qui s'impose à lui. Les clauses financières méritent la même attention : durée d'engagement, reconduction, préavis, sort des sommes en cas de sortie anticipée. Dans une affaire jugée à Paris, le contrat imposait une période minimale de douze mois présentée comme une garantie d'indépendance du délégué, puis une reconduction annuelle ; le client qui n'avait pas résilié dans les formes a été condamné, au titre d'une clause pénale, aux sommes dues jusqu'au terme de l'année reconduite (TAE Paris, 2 octobre 2026). Il s'agit d'une décision de première instance, rendue sur les termes d'un contrat particulier. Elle montre que le cadre contractuel se négocie avant la signature, non après la première facture contestée.

La résiliation suit le contrat, qui tient lieu de loi à ceux qui l'ont fait (article 1103 du code civil). Lorsqu'il est conclu pour une durée déterminée et stipule sa reconduction faute de dénonciation dans les formes et délais convenus, c'est cette clause qui ouvre une nouvelle période. Elle se distingue de la tacite reconduction de l'article 1215 du code civil, qui naît de la poursuite de l'exécution après le terme et produit les effets d'un renouvellement, c'est-à-dire un nouveau contrat à durée indéterminée (article 1214 du même code). Le client doit donc relire la durée d'engagement, la date d'échéance, le préavis et la forme imposée, souvent une lettre recommandée avec avis de réception. Le tribunal des activités économiques de Paris a jugé qu'un courriel exprimant le souhait de revoir le contrat et d'organiser un rendez-vous « ne constitue pas une dénonciation conforme au contrat » (TAE Paris, ch. 1-10, 2 octobre 2026, n° 2025072738). Le contrat ayant été reconduit pour un an, le tribunal a qualifié de clause pénale la stipulation qui mettait à la charge du client les sommes dues jusqu'au terme, puis a retenu : « Faute d'éléments établissant un caractère manifestement excessif, le tribunal dira qu'il n'y a pas lieu de modérer cette clause pénale » (TAE Paris, ch. 1-10, 2 octobre 2026, n° 2025072738). Le juge garde le pouvoir de modérer une pénalité manifestement excessive (article 1231-5 du code civil), mais il faut en apporter les éléments. Cette décision défavorable au client invite à notifier la résiliation dans les formes, puis à désigner un nouveau délégué ou à déclarer la fin de mission auprès de la CNIL.

En principe, non. L'article 24 du RGPD met à la charge du responsable du traitement les mesures techniques et organisationnelles permettant de s'assurer et de démontrer que le traitement est conforme. La CNIL rappelle que le délégué n'est pas responsable en cas de non-respect du règlement, la conformité relevant de l'organisme qui l'a désigné ou du sous-traitant (CNIL, question sur la responsabilité du délégué). Elle ajoute qu'en France, sa responsabilité pénale peut être engagée, comme celle de tout salarié ou agent, s'il enfreint intentionnellement les dispositions pénales ou s'il aide le responsable à les enfreindre. Le délégué externalisé répond en outre de l'exécution de son propre contrat : s'il n'exécute pas sa mission, son client peut rechercher sa responsabilité contractuelle et demander réparation du préjudice qui en résulte (article 1231-1 du code civil). Un salarié spécialiste peut aussi voir ses propres erreurs appréciées au regard de l'activité de son employeur : dans un litige disciplinaire portant sur des faits de 2017, antérieurs à l'application du RGPD, la cour d'appel de Paris a retenu, contre un consultant salarié d'une société de conseil en protection des données, que l'envoi d'un courriel groupé révélant les adresses des participants à un colloque était fautif, et a écrit : « L'existence de ce mail groupé va à l'encontre de l'objet de la société et du savoir faire qu'elle entend promouvoir » (CA Paris, pôle 6 ch. 3, 18 mai 2022, n° 19/01204). Cette décision, défavorable au salarié concerné, reste une solution d'espèce.

La réponse dépend de ce qu'il décide réellement. Le délégué peut exercer d'autres missions, mais l'organisme doit veiller à ce qu'elles n'entraînent pas de conflit d'intérêts (article 38, paragraphe 6, du RGPD). La Cour de justice a précisé qu'un conflit d'intérêts est susceptible d'exister lorsque ces autres tâches conduisent le délégué à déterminer les finalités et les moyens d'un traitement de données, ce que le juge national apprécie au cas par cas, au vu de la structure de l'organisme et de ses règles internes (CJUE, 9 février 2023, X-FAB Dresden, C-453/21). Un directeur des systèmes d'information qui choisit les outils et fixe les durées de conservation, ou un directeur des ressources humaines qui définit les traitements de gestion du personnel, contrôlerait ses propres décisions. La question se pose aussi pour le directeur juridique lorsqu'il arbitre la politique de l'entreprise en matière de données. Le cumul crée par ailleurs un risque de surcharge : la cour d'appel de Paris a retenu un harcèlement moral et confirmé la nullité du licenciement d'un secrétaire général, également délégué à la protection des données, dont les responsabilités n'avaient cessé de croître, la direction ayant adopté un ton qualifié par la cour de pression « excessive, contre-productive et générant un sentiment d'humiliation compte tenu de son statut dans l'entreprise » (CA Paris, pôle 6 ch. 3, 25 septembre 2024, n° 21/06520).

Le responsable du traitement publie les coordonnées du délégué et les communique à l'autorité de contrôle (article 37, paragraphe 7, du RGPD). En pratique, la CNIL indique que la désignation, le remplacement et la déclaration de fin de mission se font exclusivement depuis son téléservice dédié, en distinguant trois formulaires : désigner un délégué, mettre fin à la désignation ou le remplacer, mettre à jour les coordonnées (CNIL, désigner un DPO). Les formulaires de mise à jour demandent le numéro de désignation du délégué et le numéro SIREN de l'organisme. Avant de déclarer, la CNIL invite à vérifier trois conditions : les compétences du délégué, des moyens suffisants pour exercer ses missions et la capacité d'agir en toute indépendance. Les coordonnées doivent ensuite figurer dans les mentions d'information remises aux personnes concernées. La Cour de cassation a rappelé que le responsable doit délivrer aux personnes des informations relatives notamment aux coordonnées du délégué : selon ses termes, « le responsable du traitement de données personnelles doit délivrer aux personnes concernées des informations relatives notamment aux finalités du dispositif de contrôle, à leur droit d'accès et de rectification, aux coordonnées du délégué à la protection des données » (Cass. soc., 21 mai 2025, n° 22-19.925). Le cabinet vérifie que la désignation, les mentions et la réalité de la mission concordent.

Oui, mais pas en raison de l'exercice de ses missions. L'article 38, paragraphe 3, du RGPD interdit de relever le délégué de ses fonctions ou de le pénaliser pour leur exercice. La Cour de justice admet en outre qu'une loi nationale, en l'espèce allemande, réserve ce licenciement à un motif grave, même étranger aux missions, pourvu qu'elle ne compromette pas les objectifs du règlement (CJUE, 22 juin 2022, Leistritz, C-534/20). Cette solution ne crée pas d'exigence de motif grave en France : le licenciement pour motif personnel d'un délégué salarié requiert une cause réelle et sérieuse (article L. 1232-1 du code du travail), sous la protection de l'article 38. Les décisions récentes montrent que le juge examine les griefs comme pour tout salarié. La cour d'appel de Paris a refusé de voir dans « la diffusion d'un organigramme à une société sous-traitante avec laquelle l'employeur échangeait des informations » une divulgation de données confidentielles, et a condamné l'employeur, qui invoquait aussi la qualité de délégué du salarié, à des dommages-intérêts pour licenciement sans cause réelle et sérieuse (CA Paris, pôle 6 ch. 10, 3 juillet 2025, n° 22/04183). À l'inverse, la cour d'appel de Versailles a jugé fondé sur une cause réelle et sérieuse le licenciement d'un salarié inscrit comme délégué auprès de la CNIL, présenté par sa fiche de poste comme le relais en France du délégué du groupe, en relevant que cette inscription n'avait pas eu pour effet de « conférer au salarié la qualité juridique de DPO au sein de l'entreprise » (CA Versailles, ch. soc. 4-3, 13 juillet 2026, n° 23/02875). Cette seconde décision est défavorable au salarié.

Pas automatiquement. Signaler des manquements à la direction fait partie de la mission du délégué, qui rend compte au niveau le plus élevé de la direction. Le statut protecteur du lanceur d'alerte, prévu notamment par l'article L. 1132-3-3 du code du travail, suppose que ses conditions légales soient réunies, et le juge recherche si la mesure contestée repose sur des éléments objectifs étrangers à l'alerte. La cour d'appel de Paris a ainsi refusé la nullité de la rupture du contrat d'une déléguée qui invoquait une alerte adressée à sa direction : la cour a relevé que la rupture ne sanctionnait pas cette alerte, « ce qui relevait de sa mission et de sa liberté d'expression » (CA Paris, pôle 6 ch. 7, 12 février 2026, n° 22/01927), mais deux faits distincts, dont une accusation infondée portée contre une collègue. La faute grave a été confirmée. Dans une autre affaire, la cour d'appel de Versailles a reconnu à un salarié inscrit comme délégué auprès de la CNIL, mais présenté comme le relais du délégué du groupe, la protection des lanceurs d'alerte, et a constaté que la concomitance entre son audit critique et le licenciement laissait supposer une discrimination, puis l'a écartée au vu de griefs établis (CA Versailles, ch. soc. 4-3, 13 juillet 2026, n° 23/02875). Ces deux décisions sont défavorables aux salariés concernés. Elles montrent qu'une alerte écrite, précise et rattachée aux missions doit être conservée, mais qu'elle ne neutralise pas des griefs étrangers à la fonction.

L'article 38, paragraphe 2, du RGPD oblige l'organisme à aider le délégué en lui fournissant les ressources nécessaires, l'accès aux données et aux opérations de traitement, ainsi que les moyens d'entretenir ses connaissances. La CNIL ajoute qu'il doit disposer du temps suffisant pour exercer ses missions. Le délégué qui manque de moyens doit le dire par écrit, en décrivant précisément ce qui fait défaut : accès refusé, projets lancés sans consultation, temps absorbé par d'autres fonctions. La preuve repose ensuite sur ces échanges. Dans une affaire jugée par la cour d'appel de Versailles, une déléguée invoquait une atteinte à son statut et une absence d'indépendance ; la cour a relevé le recours à un cabinet de conseil externe et un budget alloué, puis a retenu que « la salariée ne justifie ni de son absence d'indépendance dans l'exercice de ses fonctions » (CA Versailles, ch. soc. 4-3, 24 mars 2025, n° 22/02731). Le jugement a été confirmé, ce qui est défavorable à la déléguée. Côté employeur, l'obligation de prendre les mesures nécessaires pour protéger la santé des travailleurs (article L. 4121-1 du code du travail) et l'interdiction des agissements répétés de harcèlement moral (article L. 1152-1 du code du travail) s'appliquent au délégué salarié comme à tout salarié. Le cabinet aide l'une ou l'autre partie à documenter la situation avant qu'elle ne se dégrade.

Deux risques se distinguent. Le premier est administratif. Les obligations des articles 25 à 39 du RGPD, qui comprennent la désignation du délégué, son association aux questions de protection des données et son indépendance, relèvent des amendes de l'article 83 du RGPD, paragraphe 4, qui peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La CNIL dispose en outre des mesures correctrices et des sanctions prévues à l'article 20 de la loi du 6 janvier 1978. Le second risque est civil. Toute personne ayant subi un dommage du fait d'une violation du règlement peut en obtenir réparation (article 82 du RGPD), mais la Cour de cassation exige la preuve d'un dommage : selon elle, « la simple violation du règlement général sur la protection des données n'ouvre pas, à elle seule, droit à réparation » (Cass. soc., 24 juin 2026, n° 24-22.792). Cette cassation partielle profite à l'employeur, condamné sur le fondement d'un préjudice présumé ; le salarié n'est pas définitivement débouté, la cour de renvoi devant vérifier s'il établit un dommage matériel ou moral. Elle ne dispense pas l'entreprise de corriger le manquement. Un délégué consulté en temps utile, dont les avis sont conservés avec les suites données, permet de démontrer la diligence de l'organisme lors d'un contrôle comme devant le juge.

La fin de la désignation et la fin du contrat de travail sont deux opérations distinctes. La première se déclare dans le téléservice de la CNIL, par le formulaire de fin de désignation ou de remplacement. La seconde suit les règles du droit du travail et l'article 38, paragraphe 3, du RGPD. La chronologie compte. Dans l'affaire jugée par la cour d'appel de Versailles le 13 juillet 2026, le salarié, inscrit comme délégué auprès de la CNIL sans en avoir, selon la cour, la qualité juridique au sein de l'entreprise, reprochait à son employeur d'avoir fait cesser cette inscription pendant sa mise à pied, avant le licenciement. La cour a relevé que « l'employeur prétend sans l'établir que la désinscription du salarié auprès de la CNIL avant son licenciement est le fait du salarié lui-même » (CA Versailles, ch. soc. 4-3, 13 juillet 2026, n° 23/02875), puis a retenu, avec le défaut de reprise du salaire, le caractère vexatoire du licenciement et alloué 1 000 euros, tout en jugeant le licenciement fondé sur une cause réelle et sérieuse. L'organisme doit donc organiser la transition : remplacement du délégué, reprise de la boîte de messagerie dédiée, transmission des demandes en cours, mise à jour des mentions d'information. Les avis rendus doivent être archivés par l'organisme ; si le délégué sortant garde certaines pièces, il s'en tient à celles qu'une finalité précise justifie, pour une durée limitée et dans le respect de son obligation de confidentialité (article 38, paragraphe 5, du RGPD).