- Le DPO n'est obligatoire que dans 3 cas prévus par l'article 37 du RGPD : organisme public, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles ou pénales.
- La plupart des TPE, PME et indépendants ne sont donc pas tenus d'en désigner un.
- Sans DPO, toutes les obligations RGPD demeurent, à commencer par le registre des traitements, obligatoire quelle que soit la taille de l'entreprise.
- Un DPO peut être désigné volontairement, externalisé ou mutualisé entre plusieurs entités, et doit alors être déclaré à la CNIL.
- La notion de « grande échelle » n'a aucun seuil chiffré : c'est elle qui écarte la majorité des petites structures.
DPO : de quoi parle-t-on et que dit le RGPD ?
Le délégué à la protection des données (DPO, pour Data Protection Officer) est le chef d'orchestre de la conformité : il informe, conseille, contrôle le respect du RGPD et sert de point de contact avec la CNIL. Ce n'est pas un poste imposé à toutes les entreprises.
C'est l'article 37 du RGPD qui fixe précisément quand sa désignation devient obligatoire. En dehors de ces situations, elle reste possible, mais facultative.
Trois cas seulement rendent le DPO obligatoire. Si aucun ne correspond à votre activité, vous n'êtes pas tenu d'en nommer un — ce qui est justement la situation de la plupart des TPE/PME.
Les 3 cas où un DPO est obligatoire
Premier cas : les autorités et organismes publics (mairie, hôpital, école, administration). La désignation est systématique, à l'exception des juridictions agissant dans leur fonction de juger.
Deuxième cas : le suivi régulier et systématique des personnes à grande échelle, lorsqu'il constitue le cœur de votre activité. On pense au profilage publicitaire, au tracking comportemental, à la géolocalisation ou à la vidéosurveillance de masse.
Troisième cas : le traitement à grande échelle de données sensibles (santé, opinions, orientation, biométrie…) ou de données relatives aux condamnations et infractions. Un laboratoire d'analyses, une grande clinique ou une plateforme de santé y sont typiquement soumis.
Point clé : ces traitements doivent relever de l'« activité de base » de l'entreprise, et non d'une simple fonction support comme la paie ou la gestion RH de vos propres salariés.
Pourquoi la plupart des TPE/PME ne sont pas concernées
Tout repose sur la notion de « grande échelle ». Le RGPD ne fixe aucun seuil chiffré : on apprécie au cas par cas le nombre de personnes concernées, le volume et la diversité des données, la durée et l'étendue géographique du traitement.
Un commerce, un artisan, un cabinet ou une petite agence qui gèrent des clients, une newsletter et quelques prestataires ne réalisent pas un suivi « à grande échelle ». Même un professionnel de santé exerçant seul n'en relève pas, selon les lignes directrices européennes.
Résultat : l'immense majorité des TPE, PME et indépendants n'ont aucune obligation de désigner un DPO. La CNIL recommande toutefois de nommer en interne un référent RGPD, simple point de contact chargé de piloter le sujet.
Sans DPO, vous restez pleinement soumis au RGPD
Ne pas avoir de DPO ne signifie pas être dispensé de conformité. Toutes vos obligations demeurent : information des personnes, recueil du consentement, sécurité des données et respect des droits (accès, rectification, effacement…).
En particulier, le registre des traitements reste obligatoire quelle que soit la taille de l'entreprise. L'allègement prévu pour les structures de moins de 250 salariés est très limité, si bien que la CNIL invite tout le monde à en tenir un.
La conformité RGPD de votre site web — bandeau cookies, mentions légales, politique de confidentialité — fait aussi partie du socle minimal, DPO ou pas. C'est souvent le premier point vérifié en cas de contrôle et l'un des motifs récurrents des sanctions prononcées par la CNIL.
DPO facultatif, mutualisé ou externalisé : quels avantages ?
Même sans obligation, désigner volontairement un DPO peut être un atout : crédibilité renforcée auprès des clients et partenaires, anticipation des contrôles et réduction du risque de sanction.
Vous n'êtes pas obligé de recruter à temps plein. Un DPO peut être externalisé (un prestataire spécialisé) ou mutualisé, c'est-à-dire partagé entre plusieurs entités d'un même groupe, à condition qu'il reste facilement joignable depuis chaque établissement.
Pour une petite structure, l'externalisation apporte une expertise pointue à coût maîtrisé et limite les conflits d'intérêts fréquents quand un dirigeant cumule les casquettes. Attention : un DPO désigné, même externe, doit obligatoirement être déclaré à la CNIL.
Comment trancher pour votre cas : l'arbre de décision
Posez-vous trois questions dans l'ordre. Êtes-vous un organisme public ? Votre activité principale consiste-t-elle à suivre des personnes à grande échelle (profilage, tracking, vidéosurveillance) ? Traitez-vous à grande échelle des données sensibles ou pénales ?
Si vous répondez « oui » à au moins une de ces questions, la désignation d'un DPO est obligatoire. Si c'est « non » partout — le cas classique d'une TPE/PME — elle est facultative : un référent RGPD interne suffit généralement.
Dans le doute sur le « grande échelle », faites le point concrètement. Un audit RGPD gratuit vous indique en quelques minutes où vous en êtes et si votre profil déclenche l'obligation.
Cet article a une vocation informative et ne constitue pas un conseil juridique ; pour un cas limite, rapprochez-vous d'un professionnel ou de la CNIL.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.