La désignation d’un Délégué à la Protection des Données (DPO) est obligatoire dans certains cas et facultative dans d’autres. Beaucoup d’organisations ne savent pas si elles sont concernées. Voici les critères précis et les alternatives possibles.
DPO obligatoire ou facultatif : comment savoir si votre organisation doit en désigner un ?
Les trois cas d’obligation légale
L’article 37 du RGPD impose la désignation d’un DPO dans trois situations : les autorités et organismes publics (quels que soient les traitements), les organisations dont l’activité de base exige un suivi régulier et systématique à grande échelle des personnes (assurances, banques, télécoms, opérateurs de fidélité…), et les organisations traitant à grande échelle des données sensibles ou relatives à des condamnations pénales.
La notion de « grande échelle » : un critère délicat
La CNIL n’a pas fixé de seuil chiffré. Elle prend en compte le nombre de personnes concernées, le volume de données, la durée du traitement et l’étendue géographique. Une entreprise de 50 salariés gérant une base de données clients de 50 000 personnes peut être concernée. Un cabinet médical traitant des données de santé à grande échelle également.
DPO interne ou externe ?
Le DPO peut être un salarié de l’organisation (DPO interne) ou un prestataire externe (DPO mutualisé ou externalisé). Pour les PME dont la désignation est obligatoire mais qui n’ont pas les ressources pour un DPO interne à plein temps, le DPO externe est une solution courante et efficace.
Le DPO facultatif : une bonne pratique
Même lorsqu’elle n’est pas obligatoire, la désignation d’un DPO est recommandée pour les organisations traitant des données sensibles ou souhaitant structurer leur démarche de conformité. Un DPO, même à temps partiel, centralise la compétence RGPD et facilite la gestion des incidents.
Conclusion
La question de l’obligation de désigner un DPO mérite une analyse précise de vos traitements. Une erreur dans les deux sens peut être coûteuse : ne pas désigner un DPO obligatoire expose à des sanctions, désigner un DPO inutilement génère des coûts injustifiés.
Vous souhaitez savoir si vous devez désigner un DPO ? Le Cabinet d’Avocat Mizrahi vous accompagne lors d’une première consultation gratuite de 30 minutes. Consultation gratuite →
🔐 Votre situation RGPD vous préoccupe ?
Me Mizrahi analyse votre dossier gratuitement. Réponse sous 48h, partout en France — en présentiel ou à distance.
Consultation gratuite →