Est-il obligatoire de désigner un DPO ?

En français, on l’appelle délégué à la protection des données, ou DPD. La CNIL lui préfère néanmoins l’acronyme anglophone de DPO, pour Data Protection Officer. Dans les deux cas, son rôle est le même : piloter la démarche de mise en conformité de l’organisme qu’il représente. Mais quand est-il obligatoire de désigner un DPO, comment le choisir et comment le déclarer à la CNIL ?

Ne prenez aucun risque avec vos données. Mandater un DPO externe Lexagone vous garantit l’expertise d’un spécialiste sectoriel dédié, tout en maîtrisant vos coûts opérationnels.

Quand la désignation d’un DPO est-elle obligatoire ?

Les collectivités, hôpitaux et universités sont concernés par l’obligation de désignation d’un DPO

L’obligation de nommer un délégué à la protection des données n’est pas une option laissée à la libre appréciation des organismes. Elle est strictement encadrée par l’article 37 du règlement général sur la protection des données (RGPD).

Même lorsque la loi ne l’impose pas, désigner un DPO reste par ailleurs vivement recommandé dès qu’un organisme est confronté à des problématiques liées à la protection de données personnelles. Il s’agit d’un gage de sécurité juridique et d’un signal de confiance fort pour les clients, patients et salariés.

Les trois situations où désigner un DPO est obligatoire

• Vous êtes un organisme public: toutes les autorités publiques, collectivités territoriales, hôpitaux publics ou universités doivent nommer un délégué, quelle que soit la nature des données traitées. Seules les juridictions dans l’exercice de leurs fonctions judiciaires échappent à cette règle.
• Votre activité de base implique un suivi régulier et systématique à grande échelle : sont par exemple concernés les opérateurs télécoms, les banques, les compagnies d’assurance, les entreprises de sécurité privée ou les professionnels du ciblage publicitaire en ligne.
• Vous traitez des données sensibles ou liées à des condamnations à grande échelle : si votre activité principale consiste à manipuler massivement des données dites sensibles (données de santé, opinions politiques, orientation sexuelle) ou liées à des condamnations pénales et infractions, le DPO est obligatoire. C’est le cas typique des cliniques privées, des laboratoires d’analyses, des EHPAD ou des éditeurs de logiciels médicaux. À l’inverse, la médecine de ville (comme un médecin généraliste ou un spécialiste exerçant à titre individuel) n’est pas considérée comme un traitement à grande échelle et n’impose pas de désigner un DPO.

Bon à savoir : la notion de « grande échelle » s’évalue selon le nombre de personnes touchées, le volume des données et la durée du traitement. En cas de doute, une analyse factuelle de vos flux de données reste indispensable.

Les points à vérifier avant de désigner son DPO

Choisir un DPO interne ou externe qualifié est décisif pour la sécurité d’une structure

Une fois la décision prise de désigner un DPO, il faut le choisir. Quelques garanties fondamentales permettent de faire un choix éclairé.

• Des compétences pointues: le DPO doit posséder une double expertise, à la fois juridique (droit du numérique) et technique (sécurité informatique). Sa connaissance fine de votre secteur d’activité est également un atout indispensable.
• Des moyens suffisants: l’organisation doit lui allouer le temps et les ressources nécessaires pour mener à bien ses missions. Il doit notamment avoir un accès direct à la direction.
• Une indépendance stricte: pour éviter tout conflit d’intérêt, le DPO ne peut pas occuper de fonctions où il définirait lui-même les finalités des traitements (comme un directeur informatique, marketing ou RH).

Comment déclarer un DPO à la CNIL ?

Il est facile et rapide de déclarer un DPO sur le site de la CNIL

Une fois votre délégué choisi, sa désignation doit obligatoirement être notifiée à l’autorité de contrôle. En France, il s’agit de la CNIL, qui propose un outil de téléprocédure simple et rapide. Cette démarche dématérialisée propose différents formulaires en ligne permettant de désigner un DPO, de mettre à jour sa situation ou de mettre fin à sa désignation.

Il est pour cela utile de se munir du numéro de SIREN de l’organisme qui désigne le DPO et, lorsqu’il existe déjà (en cas de mise à jour, remplacement ou fin de mission), du numéro de désignation du DPO (commençant par DPO-xxx).

Questions fréquentes

Que faire en cas de départ ou d’absence du DPO ?

L’absence ou le départ du DPO doit être anticipé et organisé par le responsable de traitement pour éviter toute rupture de conformité. En cas de fin de mission ou de remplacement définitif, il est enfin obligatoire d’informer la CNIL dans les meilleurs délais.

Où le DPO doit-il être localisé ?

Le DPO n’a pas d’obligation d’exercer physiquement sur votre site, à condition de rester joignable par vos équipes, la CNIL et toute autre personne concernée. Il n’est pas non plus obligatoire qu’il vive en France, même s’il est vivement recommandé qu’il se trouve dans l’Union européenne, et ce quelle que soit l’adresse de l’établissement.

Ma structure dispose déjà d’un service juridique, qu’apporte un DPO ?

Le DPO apporte une plus-value distincte grâce à son indépendance statutaire et sa double compétence en droit des données et en sécurité informatique. Il bénéficie également d’un canal de communication privilégié et du soutien technique de la CNIL pour sécuriser vos projets.

Notre cabinet conseil RGPD vous accompagne pour comprendre s’il est obligatoire de désigner un DPO dans votre cas particulier, évaluer vos besoins spécifiques et assurer votre conformité, notamment à travers des audits RGPD réguliers et la mise en place de vos AIPD.

800 organismes (hôpitaux, EHPAD, Collectivités, groupes) nous font déjà confiance, et si le prochain était le vôtre ?