Aller au contenu principal
Quel logiciel RGPD

Qu’est-ce que la « grande échelle » pour votre organisme ?

Pour qui : Vous faites le test d’obligation de désigner un délégué à la protection des données et vous butez sur « grande échelle ». Vous cherchez un seuil, et vous n’en trouvez pas.

Aucun texte ne fixe de nombre. Le groupe européen des autorités écrit qu’un chiffre valable dans toutes les situations n’est pas possible, et la CNIL demande une analyse au cas par cas sur quatre facteurs : personnes concernées, volume et variété des données, durée, étendue géographique.

Notre avis : gardez une note écrite, et demandez conseil si vous hésitez toujours après ces quatre réponses.

Notre avis

N’attendez pas de chiffre. Répondez aux quatre facteurs dans une page signée et datée, que vous désigniez ou non.

Pourquoi

  • Sans seuil général, seul un raisonnement écrit permet de défendre votre choix.
  • Le chiffre d’un autre secteur rassure à tort : 10 000 patients n’indique rien pour des abonnés, des élèves ou des clients.
  • La mesure utile compare vos personnes concernées à la population visée. Une petite équipe peut donc traiter à grande échelle.

Ce qui change le choix

Si plusieurs facteurs pointent vers le haut et que les données sont sensibles, ne concluez pas seul à l’absence d’obligation : demandez un avis, ou désignez. Si vous agissez pour de nombreux clients, additionnez-les avant de conclure.

Les quatre facteurs et la ligne à écrire pour chacun

Les deux colonnes de droite sont notre méthode : aucun texte ne donne de barème.

Une ligne de note par facteur
FacteurMesure à releverSigne qui pousse vers la grande échelle
Personnes concernéesLeur nombre et leur part dans la population visée : patients d’un territoire, habitants, abonnés d’un marché.Vous couvrez une part importante de cette population.
Volume et variétéNombre d’enregistrements, types de données par personne.Dossier riche et complet sur chaque personne.
DuréeTraitement ponctuel ou permanent, durée de conservation.Traitement continu sur plusieurs années.
Étendue géographiqueCommune, région, pays, plusieurs pays.Portée régionale ou plus large.

Les exemples publiés ne bornent que les extrêmes

Grande échelle selon le groupe européen et la CNIL : les données de patients d’un hôpital, les titres de transport d’un réseau urbain, les clients d’une banque ou d’une assurance, un moteur de recherche à des fins publicitaires.

Hors grande échelle : les patients d’un médecin exerçant seul, pour la CNIL si la patientèle est inférieure à 10 000 personnes par an, et les données pénales d’un avocat exerçant seul.

Entre les deux, le groupe européen reconnaît une large zone grise. Il précise aussi que le considérant 91 vise l’analyse d’impact : ses éléments ne s’appliquent pas forcément de la même façon à la désignation d’un DPO.

Le repère de 10 000 patients et ses limites

La CNIL estime qu’une analyse d’impact et un DPO devraient être nécessaires pour un cabinet groupé qui partage un même système d’information à partir de 10 000 patients par an. Ce repère vient d’un référentiel non contraignant, consacré aux cabinets. Il ne décide pour aucun autre type d’organisme.

Un exemple de note

Exemple fictif : une enseigne de salles de sport vend à 3 200 abonnés un suivi de santé, dans un seul département, avec un historique de dix ans, et ce suivi est le cœur de son offre. Personnes : 3 200, soit une petite part du public du département. Variété : dossier complet avec des données de santé. Durée : permanente. Territoire : un département.

Deux facteurs poussent vers la grande échelle et deux vers l’inverse : la note ne tranche pas seule. C’est un doute réel, avec des données sensibles : cette enseigne aurait intérêt à demander un avis. Les chiffres de cet exemple sont inventés pour illustrer le format.

Certains secteurs ont déjà une indication. Pour une association du secteur social et médico-social, le guide de la CNIL pour les associations écrit qu’elle devra a priori désigner un DPO, parce qu’elle traite des données sensibles à grande échelle.

Limites de cette page

Nous n’avons pas trouvé de seuils par secteur dans ce que nous avons lu le 5 novembre 2026. Un repère publié par la CNIL ou le comité européen pour votre activité primerait sur cette méthode.

Prochaine action

Évaluez les quatre facteurs dans une note signée et datée. Si vous êtes prestataire de nombreux clients, faites le total avant de répondre. En cas de doute persistant sur des données sensibles, demandez un avis.

Preuves et sources

Lu le 5 novembre 2026 : la section 2.1.3 des lignes directrices WP243 révisées, le guide pratique de la CNIL pour les délégués et le référentiel de la CNIL sur les cabinets médicaux et paramédicaux.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Déclaration de l’éditeur. Le RGPD ne définit pas le traitement à grande échelle et les lignes directrices WP243 indiquent qu’un nombre précis applicable à toutes les situations n’est pas possible.

    Portée : WP243 rev.01, section 2.1.3.

    Réserve : Le texte évoque le développement possible de pratiques chiffrées.

  • Déclaration de l’éditeur. Les facteurs à considérer sont le nombre de personnes, le volume et l’éventail des données, la durée ou la permanence du traitement, et son étendue géographique.

    Portée : Articles 37, paragraphe 1, points b et c.

    Réserve : Liste présentée comme non limitative par les lignes directrices.

  • Déclaration de l’éditeur. La CNIL écrit que le nombre de personnes s’apprécie en valeur absolue ou relative par rapport à la population concernée, et non par rapport à l’échelle de l’organisation.

    Portée : Guide pratique CNIL des délégués.

    Réserve : Sans méthode de calcul.

  • Déclaration de l’éditeur. Sont cités comme traitements à grande échelle les données de patients d’un hôpital, les données de voyage d’un transport urbain, les données de clients d’une banque ou d’une assurance et un moteur de recherche à des fins de publicité ciblée.

    Portée : Exemples du groupe européen repris par la CNIL.

    Réserve : Exemples.

  • Déclaration de l’éditeur. La CNIL cite comme ne relevant pas de la grande échelle les données de patients d’un médecin exerçant à titre individuel si la patientèle est inférieure à 10 000 personnes par an, et les données pénales traitées par un avocat exerçant à titre individuel.

    Portée : Guide pratique CNIL des délégués.

    Réserve : Contexte de la santé et de l’avocat individuel.

  • Déclaration de l’éditeur. Les lignes directrices WP243 reconnaissent une large zone grise entre les extrêmes et rappellent que le considérant 91 vise l’analyse d’impact, ses éléments ne s’appliquant pas nécessairement de la même façon au DPO.

    Portée : Note 14 de WP243 rev.01.

    Réserve : Note de bas de page.

  • Déclaration de l’éditeur. La CNIL estime qu’une analyse d’impact et un DPO devraient être nécessaires pour les professionnels de santé en cabinet groupé partageant un système d’information commun à partir de 10 000 patients par an.

    Portée : Référentiel CNIL des cabinets médicaux et paramédicaux.

    Réserve : Référentiel non contraignant, inapplicable hors de son champ.

  • Déclaration de l’éditeur. Le guide de la CNIL pour les associations écrit qu’une association du secteur social et médico-social devra a priori désigner un DPO, dans la mesure où elle traite des données sensibles à grande échelle.

    Portée : Associations du secteur social et médico-social.

    Réserve : « A priori » : le guide ne pose pas de règle automatique.

  • Notre méthode. Dans l’exemple fictif, deux facteurs sur quatre poussent vers la grande échelle, et la conclusion proposée est de demander un avis.

    Portée : Exemple fictif, chiffres inventés.

    Réserve : Aucune valeur de seuil, ni d’appréciation d’un cas réel.

    Daté du 5 novembre 2026.