Changer de DPO externe : que récupérer ?
Pour qui : Votre délégué à la protection des données, ou DPO, est un prestataire, et vous allez en changer. Il faut organiser la passation sans laisser le poste vide ni perdre les dossiers qu’il a produits.
Récupérez avant de résilier : le registre et ses versions, les analyses d’impact, les comptes rendus et avis du DPO, les dossiers en cours et vos accès à sa plateforme, dans un format réutilisable. Lisez d’abord ce que votre contrat prévoit, car nous n’avons pas trouvé de clause type dans les offres privées lues.
Remplacez ensuite le DPO sur le téléservice de la CNIL, avec son numéro de désignation et votre SIREN. Enfin, mettez à jour vos mentions d’information et votre registre, qui citent son nom ou ses coordonnées.
Notre avis
Faites votre liste et obtenez vos documents avant d’envoyer la résiliation. Vous gardez ainsi une marge pour négocier, et vous évitez de dépendre de la bonne volonté d’un prestataire sortant. Ensuite seulement, remplacez la désignation et mettez à jour tout ce qui porte son nom.
Pourquoi
- L’article 30 place le registre sur le responsable du traitement, c’est-à-dire l’organisme qui décide des objectifs et des moyens. Votre prestataire peut le tenir pour vous, mais l’obligation reste chez vous.
- La CNIL demande d’organiser le départ le plus en amont possible, et de prévoir la reprise des dossiers en cours, comme une demande de droits ou une analyse d’impact.
- Une convention publique lue prévoit la remise des éléments de mission et l’information du successeur. Pour les offres privées lues, nous n’avons rien trouvé d’équivalent : demandez-le.
- Le nom et les coordonnées du DPO se trouvent aussi dans votre registre et vos mentions d’information : le changement ne s’arrête pas au formulaire de la CNIL.
Ce qui change le choix
Une plateforme propriétaire du prestataire fait passer l’export en première ligne, avant même le choix du successeur. Une désignation obligatoire interdit de laisser un intervalle sans DPO au-delà de ce que la CNIL admet pour une vacance exceptionnelle. Une date limite de préavis proche passe avant les documents : résiliez dans les délais et demandez la remise par écrit dans le même courrier.
L’ordre à suivre
- Avant la résiliation : inventaire, contrat lu, export ou copie des documents.
- Avant la fin de mission : successeur choisi et passation des dossiers ouverts.
- Le jour du changement : remplacement sur le téléservice de la CNIL.
- Ensuite : mentions, registre, contacts internes et sous-traitants à jour.
La liste à écrire avant la résiliation
Cette liste est la nôtre. Elle s’appuie sur les documents que la CNIL cite dans la documentation de conformité et sur sa fiche de départ du DPO. Rayez ce qui n’existe pas chez vous, et notez qui détient le reste.
| Élément | À obtenir | Piège à éviter |
|---|---|---|
| Registre | Version complète à jour, plus la dernière version datée | Un fichier présent seulement sur la plateforme ou la messagerie du prestataire |
| Analyses d’impact | Dossiers finis et en cours, avec leurs avis | Un export sans les réponses ni les décisions |
| Comptes rendus et avis du DPO | Rapports à la direction, avis écrits, plans d’action | Des échanges restés dans des courriels personnels |
| Demandes de droits | Journal, réponses, échéances ouvertes | Une demande en cours sans personne pour la clôturer avant son délai |
| Violations | Documentation des faits, des effets et des mesures | Une documentation que vous ne pourrez plus présenter |
| Contrats et transferts | Contrats de sous-traitance et encadrement des transferts | Une version annotée sans le texte signé |
| Accès | Liste des comptes et droits sur vos outils et ceux du prestataire | Des accès du sortant conservés après la fin de mission |
Si le registre vit sur la plateforme du prestataire
Plusieurs offres lues incluent un outil : Dipeeo et DPO Consulting annoncent le leur, et la convention d’e-Collectivités prévoit la mise à disposition d’un logiciel dans son forfait. Un service avec plateforme incluse reste un service : la sortie combine données, documents et désignation.
Posez ces questions par écrit avant de résilier. Que récupère-t-on, dans quel format et sous quel délai ? La plateforme reste-t-elle accessible après la fin, et combien de temps ? Qui confirme la suppression ? Si le prestataire est aussi votre sous-traitant pour cet hébergement, l’article 28 prévoit la suppression ou le renvoi des données selon votre choix, sans fixer de format. La CNIL suggère d’ailleurs de pouvoir prévoir deux contrats distincts quand un même prestataire est sous-traitant et DPO : pensez-y pour le contrat suivant.
Le changement auprès de la CNIL et le reste
Exécutez ces étapes dans l’ordre, au moment du changement.
- Remplacez le DPO sur le téléservice de la CNIL, avec le formulaire « Mettre fin à la désignation ou remplacer mon DPO ». La CNIL écrit que le remplacement et la fin de mission se font exclusivement par ce service. Préparez le numéro de désignation et le SIREN.
- Vérifiez la date d’effet. Selon le guide de la CNIL, la désignation prend effet le lendemain de la validation du formulaire.
- Ne laissez pas d’intervalle si la désignation est obligatoire. La CNIL écrit, à propos d’une absence sans remplacement, qu’une vacance ne peut être qu’exceptionnelle et très limitée dans le temps.
- Mettez à jour vos mentions d’information et vos coordonnées publiées. L’article 37 demande de publier les coordonnées du DPO. La CNIL conseille un contact neutre, comme une adresse générique, pour éviter de refaire ce travail.
- Mettez à jour le registre. L’article 30 y fait figurer le nom et les coordonnées du DPO.
- Annoncez le changement en interne et réattribuez les dossiers. La CNIL cite une note interne et l’information des représentants du personnel, parmi les moyens possibles.
Un contrat public peut en dire plus qu’un contrat privé
La convention d’e-Collectivités lue engage le délégué à remettre à la collectivité tous les éléments relatifs à sa mission et, dans la mesure du temps disponible, à informer son successeur sur les travaux en cours. Elle se dénonce par recommandé trois mois avant l’échéance annuelle. Pour une collectivité, le changement de prestataire peut aussi relever de la commande publique, et le nouveau contrat se prépare en conséquence. Reprenez cette formule dans votre prochain contrat privé, en y ajoutant le format et le délai de remise.
Limites de cette page
Aucun prestataire contacté. Nous n’avons pas établi à qui appartiennent, contractuellement, les documents produits par un prestataire : la réponse dépend de votre contrat, et un conseil se justifie en cas de désaccord. Le guide de la CNIL, antérieur à la page d’avril 2026, parle aussi d’un courriel pour la fin de mission : suivez la page la plus récente.
Prochaine action
Faites la liste avant de résilier, puis demandez au prestataire sortant ce qu’il remettra, sous quel format et à quelle date. Retrouvez aussi votre numéro de désignation, qui commence par DPO. Envoyez la résiliation après avoir reçu les documents ou une réponse écrite, sauf si la date limite de préavis approche : résiliez alors dans les délais et joignez votre demande de remise par écrit.
Preuves et sources
Lu le 5 novembre 2026 : la page de la CNIL sur la désignation et le remplacement d’un DPO, datée du 3 avril 2026, sa fiche sur le départ du DPO dans le guide pratique, les articles 28, 30 et 37 du RGPD publiés par la CNIL, deux conventions publiques de délégué mutualisé et des offres privées de DPO externe.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 30 du RGPD impose à chaque responsable du traitement et, le cas échéant, à son représentant de tenir le registre, qui comporte le nom et les coordonnées du délégué à la protection des données.
Portée : Article 30, paragraphe 1.
Réserve : Le sous-traitant tient un registre propre. Texte publié par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 4 du RGPD définit le responsable du traitement comme la personne ou l’organisme qui détermine les finalités et les moyens du traitement.
Portée : Article 4, point 7.
Réserve : Texte publié par la CNIL.
- CNIL : CHAPITRE I - Dispositions générales | CNIL texte du RGPD publié par la CNIL, sans date de consolidation relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. La CNIL écrit que le départ ou le remplacement d’un DPO doit être anticipé et organisé le plus en amont possible, et qu’il faut assurer le suivi et la reprise des dossiers en cours, comme une demande d’exercice de droit ou une analyse d’impact.
Portée : Guide pratique CNIL, fiche 7.
Réserve : Le guide n’énumère pas ce que le prestataire doit remettre.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La page de la CNIL datée du 3 avril 2026 indique que la désignation d’un DPO, son remplacement ou la fin de ses missions se font exclusivement depuis le téléservice, avec le numéro de désignation et le SIREN pour les formulaires de mise à jour, de remplacement ou de fin de mission.
Portée : Organismes en France ayant désigné un DPO.
Réserve : Le guide, plus ancien, évoque aussi un courriel pour la fin de mission.
- CNIL : Désigner un délégué à la protection des données (DPO) ou modifier une désignation | CNIL 03 avril 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la CNIL indique que la désignation est effective le lendemain de la validation du formulaire en ligne.
Portée : Guide pratique CNIL.
Réserve : Édition non relevée.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. À propos d’une absence temporaire sans remplacement, le guide de la CNIL écrit que, lorsque la désignation est obligatoire, la vacance ne peut être qu’exceptionnelle et très limitée dans le temps.
Portée : Fiche 7 du guide, absence temporaire.
Réserve : Aucune durée chiffrée. Application au changement de prestataire par notre raisonnement.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 37 demande au responsable ou au sous-traitant de publier les coordonnées du délégué et de les communiquer à l’autorité, et le guide de la CNIL recommande des coordonnées neutres pour éviter une mise à jour systématique des mentions.
Portée : Article 37, paragraphe 7, et fiche 7 du guide.
Réserve : La seconde partie est une recommandation.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La convention d’e-Collectivités lue engage le délégué à remettre en fin de mission tous les éléments relatifs à sa mission et, selon le temps disponible, à informer son successeur, prévoit la mise à disposition du logiciel dans la prestation récurrente et une dénonciation par recommandé trois mois avant l’échéance annuelle.
Portée : Convention publique reçue en préfecture le 19 décembre 2025.
Réserve : Ne s’applique qu’à ses signataires.
- Commune d'Ancenis-Saint-Géréon / e-Collectivités : Convention de mise à disposition d'un délégué à la protection des données préfecture 19/12/2025. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Dipeeo et DPO Consulting annoncent une plateforme dans leurs offres de DPO externe, et nous n’avons pas trouvé sur les pages privées lues de clause sur ce qui se récupère à la fin, ni son format.
Portée : Pages de ces prestataires lues le 5 novembre 2026.
Réserve : Un contrat signé peut le prévoir.
- Dipeeo SAS : DPO externalisé : votre DPO externe déclaré CNIL | Dipeeo © 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- DPO Consulting : GDPR Consultancy Services & Data Protection Consulting | DPO Consulting non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Le guide de la CNIL n’interdit pas par principe qu’un sous-traitant soit aussi DPO pour un client, demande une analyse au cas par cas et cite la possibilité de prévoir deux contrats distincts.
Portée : Fiche sur le statut du DPO.
Réserve : Analyse propre à chaque situation.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 28 du RGPD prévoit que le sous-traitant, selon le choix du responsable, supprime les données ou les renvoie au terme de la prestation, sans fixer de format.
Portée : Article 28, paragraphe 3, point g.
Réserve : S’applique seulement si le prestataire agit comme sous-traitant.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. La CNIL cite parmi la documentation de conformité le registre, les analyses d’impact, l’encadrement des transferts, les contrats de sous-traitance et les procédures de violation.
Portée : Page CNIL du 28 juin 2018, liste non limitative.
Réserve : Page ancienne.
- CNIL : RGPD : Documenter la conformité | CNIL page datée du 28 juin 2018. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL indique, pour un organisme public local, qu’un DPO externe relève de la commande publique.
Portée : Collectivités et établissements publics locaux.
Réserve : Droit de la commande publique non lu en détail.
- CNIL : Désigner un délégué à la protection des données dans une collectivité 07 février 2020. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. La liste des éléments à récupérer et le conseil d’obtenir les documents avant d’envoyer la résiliation sont notre méthode, sans valeur légale.
Portée : Changement de DPO externe.
Réserve : Le contrat en cours peut fixer un autre ordre.
Daté du 5 novembre 2026.