Aller au contenu principal
Quel logiciel RGPD

Devez-vous désigner un DPO ?

Pour qui : Un prestataire vous propose un DPO, c’est-à-dire un délégué à la protection des données. Avant de comparer des prix, vous voulez savoir si le texte vous l’impose.

Vous devez désigner un DPO si vous êtes un organisme public, si votre activité de base exige un suivi régulier et systématique de personnes à grande échelle, ou si elle porte à grande échelle sur des données sensibles ou pénales. Le droit européen ou national peut aussi l’imposer ailleurs.

Hors de ces cas, rien ne vous y oblige, que vous ayez 10 ou 500 salariés.

Notre avis

Faites le test vous-même avant de lire une offre. Si aucun des cas ne vous concerne, vous n’êtes pas obligé, quel que soit votre nombre de salariés.

Pourquoi

  • L’article 37 du RGPD raisonne sur la nature de l’organisme et de son activité de base. Il ne cite aucun effectif.
  • Une grille de prix par nombre de salariés sert à vendre un forfait et ne dit rien de votre obligation.

Ce qui change le choix

Une nouvelle activité peut tout changer : un programme de fidélité personnalisé, une application qui géolocalise, un service de santé. Refaites le test à ce moment-là.

L’ordre à suivre

  1. Organisme public : désignez.
  2. Activité de base avec suivi régulier et systématique à grande échelle : désignez.
  3. Activité de base portant à grande échelle sur des données sensibles ou pénales : désignez.
  4. Texte spécial qui l’impose : désignez.
  5. Aucun de ces cas : aucune obligation, écrivez pourquoi et décidez librement.

Cinq questions dans l’ordre, jusqu’au premier oui

La deuxième question prépare les deux suivantes. Un oui à l’une des quatre autres déclenche l’obligation. Quatre non : aucune obligation.

  1. Êtes-vous une autorité ou un organisme public ? Oui : désignation obligatoire, quelle que soit la sensibilité de vos fichiers. Seules les juridictions échappent à la règle, pour leur fonction juridictionnelle. Un organisme privé chargé d’une mission de service public n’est pas un organisme public pour ce test, selon la CNIL : passez aux questions suivantes.
  2. Quelle est votre activité de base ? C’est votre cœur de métier. La CNIL prend l’exemple d’une clinique : les dossiers de patients en font partie, la paie et l’assistance informatique restent du support. La paie de vos salariés ne déclenche donc pas ce test, sauf si elle est votre métier.
  3. Cette activité exige-t-elle un suivi régulier et systématique de personnes, à grande échelle ? La CNIL cite notamment la publicité comportementale, la notation de risque, la géolocalisation par application et les programmes de fidélité. Le suivi seul ne suffit pas : il faut aussi la grande échelle.
  4. Porte-t-elle à grande échelle sur des données sensibles ou pénales ? Ce sont les données des articles 9 et 10 : santé, opinions, condamnations, notamment.
  5. Un autre texte vous l’impose-t-il ? L’article 37 réserve ce cas. Vérifiez auprès de votre autorité de tutelle ou de votre fédération : nous n’avons pas dressé de liste.

Une grille de prix ne répond pas à cette question

Le nombre de salariés sert à fixer le prix d’un forfait. Un site de prestataire lu le 5 novembre 2026 évoque même un seuil de 250 salariés, alors que l’article 37 n’en contient aucun.

Le bon test peut donner deux réponses différentes dans une même relation commerciale. Dans un exemple des lignes directrices, un petit commerce familial confie l’analyse de son site à un prestataire. Le commerce n’a pas d’obligation. Le prestataire, qui agit pour de nombreux clients de ce type et cumule donc un traitement à grande échelle, doit désigner.

Pour un commerçant, la CNIL ne tranche pas d’avance : encaisser et vendre peut être une activité de base sans exiger de suivi. Le programme de fidélité se regarde à part.

Écrivez votre conclusion et datez-la

Sauf évidence, le groupe européen des autorités recommande de documenter l’analyse et de la mettre à jour lors d’une nouvelle activité. Quatre lignes suffisent : votre activité de base, les traitements examinés, la réponse à chaque question, la date et le nom de la personne qui signe.

Ne pas désigner quand c’est obligatoire expose, selon la CNIL, à un rappel à l’ordre, à une injonction ou à une amende. Le plafond est de 10 millions d’euros ou 2 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu. C’est un plafond, sans valeur de prévision.

Si vous n’êtes pas obligé

Vous pouvez désigner quand même : la CNIL rappelle que le comité européen l’encourage. Les règles d’indépendance, de moyens et de publicité s’appliquent alors en entier. Si vous préférez une personne en charge sans ce statut, regardez le référent.

Limites de cette page

Le texte du RGPD a été lu dans la version publiée par la CNIL, sans numéros de paragraphe affichés. Nous n’avons pas recensé les textes nationaux qui imposeraient un DPO dans un secteur donné.

Prochaine action

Répondez aux cinq questions, écrivez votre conclusion et ses raisons dans une note datée, puis reprenez cette note à chaque nouvelle activité. Organisme public : passez directement à la désignation.

Preuves et sources

Lu le 5 novembre 2026 : les articles 37 à 39 du RGPD dans le texte publié par la CNIL, la page CNIL « Devenir délégué », son guide pratique des délégués, les lignes directrices WP243 révisées, version du 30 octobre 2017, et des pages d’offres de prestataires.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 37 du RGPD impose la désignation d’un délégué aux autorités et organismes publics, hors juridictions dans leur fonction juridictionnelle, et aux organismes dont les activités de base exigent un suivi régulier et systématique à grande échelle ou portent à grande échelle sur des données des articles 9 ou 10.

    Portée : Responsables de traitement et sous-traitants.

    Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.

  • Fait lu. L’article 37 du RGPD ne contient aucun seuil d’effectif et réserve les cas où le droit de l’Union ou d’un État membre impose la désignation.

    Portée : Article 37, paragraphes 1 et 4.

    Réserve : Textes nationaux sectoriels non recensés.

  • Déclaration de l’éditeur. Selon la CNIL, l’activité de base correspond au cœur de métier : les dossiers médicaux en relèvent pour une clinique, tandis que la rémunération des employés ou l’assistance informatique sont des activités de support.

    Portée : Guide pratique CNIL des délégués.

    Réserve : Exemple, sans valeur de liste.

  • Déclaration de l’éditeur. La CNIL donne comme exemples de suivi régulier et systématique le marketing personnalisé, le profilage à des fins d’évaluation des risques, la géolocalisation par application, les programmes de fidélité et la publicité comportementale.

    Portée : Guide pratique CNIL des délégués.

    Réserve : L’obligation suppose aussi l’activité de base et la grande échelle.

  • Déclaration de l’éditeur. Un site de prestataire lu le 5 novembre 2026 présente les TPE et PME de moins de 250 salariés comme n’ayant pas l’obligation de désigner un DPO, alors que la même page cite ensuite les catégories de l’article 37.

    Portée : Page d’accueil du prestataire.

    Réserve : Affirmation d’un prestataire, relevée sans préjuger de ses contrats.

  • Déclaration de l’éditeur. Dans les lignes directrices WP243, une entreprise familiale recourant à un prestataire d’analyse de site n’a pas à désigner de DPO, alors que le prestataire qui cumule de nombreux clients comparables réalise un traitement à grande échelle et doit désigner.

    Portée : WP243 rev.01, section sur le sous-traitant.

    Réserve : Exemple illustratif du groupe européen.

  • Déclaration de l’éditeur. Selon la CNIL, la vente et l’encaissement peuvent constituer des activités de base sans exiger de suivi régulier et systématique, et le programme de fidélité doit être analysé.

    Portée : Exemple du commerçant dans le guide.

    Réserve : Analyse par traitement.

  • Déclaration de l’éditeur. Les lignes directrices WP243 recommandent, sauf évidence, de documenter l’analyse conduisant à désigner ou non un DPO et de la mettre à jour lors de nouvelles activités.

    Portée : WP243 rev.01, section 2.1.

    Réserve : Recommandation, sans obligation autonome d’écrire cette note dans le RGPD.

  • Déclaration de l’éditeur. Selon la CNIL, un organisme qui ne désigne pas de DPO alors que c’est obligatoire s’expose à un rappel à l’ordre, à une injonction ou à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

    Portée : Plafond de l’article 83 pour les articles 25 à 39.

    Réserve : Plafond légal, sans valeur de montant habituel.

  • Déclaration de l’éditeur. En cas de désignation volontaire, les articles 37 à 39 s’appliquent comme si la désignation était obligatoire, et la CNIL indique que le comité européen encourage cette désignation.

    Portée : Organismes sans obligation.

    Réserve : Encouragement, sans obligation.

  • Notre méthode. Faire le test avant de lire une offre et conserver une note datée est la démarche que nous proposons.

    Portée : Test de cette page.

    Réserve : Ne remplace pas un conseil en zone grise.

    Daté du 5 novembre 2026.

  • Fait lu. Selon le guide pratique de la CNIL sur les délégués, un organisme privé chargé d’une mission de service public conserve son statut de droit privé et n’est pas tenu de désigner un DPO à ce titre ; la CNIL encourage toutefois la désignation.

    Portée : Guide pratique CNIL des délégués, encadré de bonne pratique.

    Réserve : Les autres critères de l’article 37 restent à examiner.