Aller au contenu principal
Quel logiciel RGPD

Référent RGPD ou DPO : quelle différence ?

Pour qui : Votre organisation n’a pas d’obligation de désigner un délégué à la protection des données, mais quelqu’un doit porter le sujet. Vous hésitez sur le statut à lui donner.

Le DPO est un statut créé par le RGPD, avec des obligations précises pour l’organisme. Le référent est une organisation interne que vous décidez : un mot sans statut dans les textes lus.

Hors obligation, un référent sans le titre suffit. Dans un organisme public, ou dans un cas de l’article 37, il ne remplace pas le DPO et ne peut être qu’un relais.

Notre avis

Sans obligation, nommez un référent et n’utilisez pas le mot DPO : vous ne promettez pas une indépendance que vous ne pourriez pas tenir.

Pourquoi

  • Une désignation volontaire s’applique en entier : pas d’instruction, rapport au plus haut niveau, ressources, coordonnées publiées et communiquées à la CNIL.
  • Le DPO couvre tous les traitements. Vous ne pouvez pas le désigner seulement pour les ressources humaines.
  • Aucune règle de statut lue ne s’attache au mot référent. Vous fixez sa mission librement, et cela suffit pour tenir le registre et relancer les services.

Ce qui change le choix

Passez au DPO si le test d’obligation change, ou si vous êtes prêt à assumer indépendance et moyens parce que des clients ou des personnes concernées ont besoin de ce contact reconnu.

L’ordre à suivre

  1. Organisme public ou cas de l’article 37 : un DPO, le référent ne le remplace pas.
  2. Sans obligation, avec une personne disponible : un référent, sans le titre.
  3. Sans obligation, avec un besoin d’indépendance reconnue vis-à-vis de clients ou de personnes concernées : une désignation volontaire, avec tout ce qu’elle entraîne.
  4. Personne de disponible : ne nommez pas pour la forme, cherchez un appui externe.

Le titre change vos engagements, ligne par ligne

Dans les deux colonnes, le responsable de traitement reste tenu de respecter et de démontrer les règles.

DPO désigné et référent interne
PointDPO désignéRéférent sans le titre
BaseArticles 37 à 39 du RGPD.Lettre de mission interne, à votre main.
InstructionsAucune dans l’exercice de ses missions.Sa hiérarchie habituelle peut l’orienter.
ProtectionNe peut être relevé de ses fonctions ou pénalisé pour l’exercice de ses missions.Pas de protection propre dans ce que nous avons lu.
RattachementRapport direct au niveau le plus élevé de la direction.À fixer. Sans accès à la direction, il relancera sans décider.
MoyensRessources, temps, accès aux données et entretien des connaissances à fournir.À fixer et à écrire, même sans obligation.
PublicitéCoordonnées publiées et communiquées à la CNIL.Aucune désignation auprès de la CNIL.
ÉtendueTous les traitements. Une désignation partielle n’est pas possible.Vous pouvez limiter la mission.
Conflit d’intérêtsNe décide pas des finalités et des moyens.Il peut décider lui-même, ce qui limite sa capacité de contrôle.

Le mot compte

Le groupe européen des autorités admet qu’un organisme sans DPO emploie du personnel ou un consultant sur ces sujets. Il demande alors que toute communication, en interne, avec les autorités, les personnes et le public, indique clairement que ce titre n’est pas celui de DPO.

Vérifiez donc votre politique de confidentialité, vos réponses à des questionnaires clients et les signatures de courriel. Écrivez par exemple « contact protection des données » ou « référent RGPD ». Méfiez-vous aussi d’une offre de « DPO externe » qui ne serait pas désigné auprès de la CNIL : demandez ce que ce nom recouvre.

La mission d’un référent tient en une demi-page

Ce contenu est une proposition de notre part. La note nomme la personne et son suppléant, le temps réservé, les tâches (registre, circuit avec les services, demandes de droits, relances des sous-traitants) et le dirigeant qui tranche. La CNIL met à disposition un cours en ligne et un modèle de registre : commencez par là avant d’envisager une formation payante.

Avec un DPO, le référent garde une place

Un DPO, notamment externe ou mutualisé, a besoin de relais dans l’organisme. La CNIL décrit ce réseau de relais ou de référents qui apportent un appui et font remonter les questions. Une convention de mutualisation lue exige un référent local. Ce relais ne devient pas un second DPO.

Limites de cette page

Le mot « référent » n’a pas de définition dans les textes lus, et nous n’avons pas recensé les usages sectoriels qui lui donneraient un sens particulier.

Prochaine action

Si le test d’obligation est négatif, nommez le référent par une note d’une demi-page, sans le titre de DPO, et corrigez les documents qui emploient ce mot. Organisme public ou cas de l’article 37 : désignez un DPO.

Preuves et sources

Lu le 5 novembre 2026 : les articles 37 à 39 du RGPD dans le texte publié par la CNIL, les lignes directrices WP243 révisées, le guide pratique de la CNIL pour les délégués et sa page « Devenir délégué ».

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 38 du RGPD prévoit que le délégué reçoit les ressources nécessaires, ne reçoit aucune instruction pour l’exercice de ses missions, ne peut être relevé de ses fonctions ou pénalisé pour cet exercice et fait directement rapport au niveau le plus élevé de la direction.

    Portée : Tous les DPO.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 37 du RGPD prévoit que l’organisme publie les coordonnées du délégué et les communique à l’autorité de contrôle.

    Portée : Article 37, paragraphe 7.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. Les lignes directrices WP243 indiquent qu’en cas de désignation volontaire, les exigences des articles 37 à 39 s’appliquent comme si la désignation était obligatoire.

    Portée : WP243 rev.01, section 2.

    Réserve : Lignes directrices.

  • Déclaration de l’éditeur. Les lignes directrices WP243 admettent qu’un organisme sans DPO emploie du personnel ou des consultants sur la protection des données, et demandent d’indiquer clairement dans toute communication que leur titre n’est pas celui de DPO.

    Portée : WP243 rev.01, section 2.

    Réserve : Le mot référent n’y figure pas : la règle vise ces fonctions en général.

  • Déclaration de l’éditeur. Selon la CNIL, le DPO est désigné pour tous les traitements de l’organisme, une désignation partielle n’étant pas possible, et un organisme ne peut désigner qu’une seule personne comme délégué, épaulée au besoin par une équipe ou des relais.

    Portée : Guide pratique CNIL, fiche 4.

    Réserve : Doctrine de la CNIL.

  • Fait lu. Le responsable du traitement ou le sous-traitant reste tenu de s’assurer et d’être en mesure de démontrer le respect du RGPD, que l’organisme ait ou non désigné un délégué.

    Portée : Article 24 ; page CNIL « Devenir délégué ».

    Réserve : La formule « ait ou non » résume la logique de ces textes.

  • Notre calcul ou déduction. Dans les textes lus le 5 novembre 2026, le mot référent ne reçoit aucun statut juridique dans le RGPD ; la CNIL l’emploie pour décrire des relais internes au service du délégué.

    Portée : Chapitre IV du RGPD et guide CNIL.

    Réserve : Le RGPD complet n’a pas été relu pour ce terme ; usages sectoriels non recensés.

  • Fait lu. La convention de mutualisation votée par une commune du Nord le 8 avril 2026 prévoit que la commune nomme un référent local, interlocuteur du délégué.

    Portée : Délibération de Pont-à-Marcq, service du centre de gestion du Nord.

    Réserve : Un cas lu, sans généralisation à tous les centres de gestion.

  • Fait lu. La CNIL met à disposition un cours en ligne pour les professionnels et un modèle de registre.

    Portée : Pages CNIL.

    Réserve : Le caractère suffisant de ces outils dépend de la personne.

  • Notre avis. Préférer un référent sans le titre lorsque rien n’impose un DPO est notre avis ; la CNIL rappelle que la désignation volontaire est encouragée par le comité européen.

    Portée : Organismes sans obligation.

    Réserve : Un organisme qui peut tenir ces engagements peut raisonnablement choisir l’inverse.