Aller au contenu principal
Quel logiciel RGPD

Un seul DPO pour tout le groupe ?

Pour qui : Votre groupe compte plusieurs sociétés. Une seule personne s’occupe déjà du sujet ou vous hésitez à en nommer une par filiale, et vous devez trancher entre mutualiser et multiplier.

Oui, un groupe d’entreprises peut désigner un seul délégué à la protection des données (DPO), à condition qu’il soit facilement joignable à partir de chaque lieu d’établissement. Ce choix ne dispense personne : chaque entité doit compléter sa désignation auprès de la CNIL.

La vraie limite est le temps. Le RGPD exige les ressources nécessaires sans donner de chiffre. Comptez donc par société, et ajoutez des relais locaux ou du temps avant d’envisager plusieurs délégués.

Notre avis

Oui, un seul délégué convient à un groupe, à deux conditions à vérifier : chaque établissement le joint facilement, et le temps prévu couvre toutes les entités. Le coût du poste n’est pas un motif suffisant.

Pourquoi

  • Le RGPD l’autorise expressément pour un groupe d’entreprises. La CNIL donne l’exemple d’un groupe de six filiales dans plusieurs États membres.
  • Pour la CNIL, le risque se situe dans la proximité : points réguliers avec les métiers, information du délégué, organisation de relais.
  • Aucun texte ne fixe un temps par entité. Compter vos tâches est donc le seul moyen de savoir si le poste tient.
  • Chaque société reste responsable de ses traitements. Mutualiser le délégué ne dispense aucune d’elles de sa propre désignation.

Ce qui change le choix

Les demandes ou les projets d’une entité attendent parce que le délégué n’a pas le temps, ou personne sur place ne lui fait remonter l’information. Ajoutez d’abord du temps ou des relais, puis un second délégué si le problème revient.

L’ordre à suivre

  1. Un seul délégué, désigné par chaque entité.
  2. Un seul délégué avec relais locaux, si plusieurs sites, pays ou langues.
  3. Du temps ou une équipe en plus, si le calcul par entité ne tient pas.
  4. Plusieurs délégués, si une entité reste hors de portée malgré ces mesures.

Comptez le temps société par société

Exemple fictif, avec des hypothèses à remplacer. Un groupe compte 5 sociétés. Pour chacune, il prévoit 10 jours par an : 3 pour le registre, 2 pour les demandes de droits, 3 pour les projets et 2 pour les points avec les équipes. Il ajoute 15 jours pour le travail commun aux sociétés. Total : 5 × 10 + 15 = 65 jours.

La personne consacre 40 % de son temps à cette fonction, soit 80 jours sur une base de 200 jours travaillés. Le poste tient, avec 15 jours de marge. Après deux acquisitions, le calcul donne 7 × 10 + 15 = 85 jours : il manque 5 jours, sans qu’aucun texte ait changé. Le groupe ajoute du temps ou un relais avant de signer.

Ces jours ne sont pas un barème : aucun texte lu n’en fixe. Pour une entité aux traitements plus sensibles, comptez davantage : la CNIL écrit que les ressources augmentent avec la complexité et la sensibilité des traitements.

Une désignation par entité, pas une seule pour le groupe

En cas de mutualisation, la CNIL demande à chaque entité, responsable de traitement ou sous-traitant, de compléter un formulaire de désignation. Si le nombre de désignations est important, une procédure de « désignation multiple » existe : contactez le service des DPO de la CNIL.

Dans un groupe présent dans plusieurs pays, la désignation suit l’entité. L’exemple de la CNIL : une mère italienne et une filiale française partagent un délégué. La filiale le désigne auprès de la CNIL, la mère auprès de l’autorité italienne, sans démarche croisée. Chaque entité publie aussi les coordonnées du délégué, comme l’article 37 l’exige.

Ce qui rend un délégué vraiment joignable

Le relais aide le délégué sans le remplacer. Vérifiez aussi l’absence de conflit d’intérêts si la personne cumule d’autres fonctions dans le groupe.

Situation du groupe et organisation à prévoir
SituationOrganisationOrigine
Sociétés sur un même site, même langueDélégué seul, points réguliers avec chaque métierVigilance citée par la CNIL ; fréquence à fixer par vous
Sites éloignésRéseau de relais ou de référents qui appuient le délégué et lui font remonter les questionsExemple de la CNIL
Plusieurs languesÉchanges dans la langue des personnes et de l’autorité, au besoin par des relais locauxGuide de la CNIL
Délégué salarié d’une société du groupeMission écrite pour toutes les sociétés, accès aux services de chacune, rapport au niveau le plus élevé de la directionArticle 38 ; mission écrite : notre conseil
Prestataire externeContact nommé et répartition écrite des tâches dans son équipeConseil de la CNIL

N’achetez pas d’outil pour cette décision

Le choix d’un délégué unique se règle par le temps, les relais et les désignations. Un logiciel multi-entités peut aider ensuite à suivre plusieurs registres, ce qui est une autre question. Mutualiser le délégué ne fusionne pas les registres : chaque responsable tient le sien selon l’article 30.

Limites de cette page

Nous n’avons pas de repère public de temps par entité : l’exemple n’en est pas un. Un groupe présent hors de France doit vérifier les pratiques de chaque autorité. La question de savoir si une filiale doit désigner un délégué, ou le fait volontairement, se traite entité par entité.

Prochaine action

Listez vos sociétés et, pour chacune, ses tâches annuelles en jours, puis comparez le total au temps réel de la personne. Vérifiez ensuite que chaque entité a bien sa désignation à la CNIL, ou à l’autorité de son pays.

Preuves et sources

Lu le 5 novembre 2026 : les articles 37 et 38 du RGPD dans le texte publié par la CNIL et le guide pratique de la CNIL sur les délégués à la protection des données, notamment ses fiches 3 et 5 et sa question sur la langue. L’édition de ce guide n’est pas relevée ; elle est postérieure à février 2021.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 37 du RGPD prévoit qu’un groupe d’entreprises peut désigner un seul délégué à la protection des données à condition qu’un délégué soit facilement joignable à partir de chaque lieu d’établissement.

    Portée : Article 37, paragraphe 2.

    Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli.

  • Déclaration de l’éditeur. Le guide de la CNIL donne l’exemple d’un groupe de 6 filiales dans différents États membres, pour lequel un seul délégué peut être désigné à condition d’une organisation adéquate, pouvant passer par un réseau de relais ou de référents.

    Portée : Guide pratique DPO, fiche 3.

    Réserve : Édition du guide non relevée, postérieure à février 2021.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, en cas de mutualisation pour un groupe d’entités, chaque entité doit compléter un formulaire de désignation, et une procédure de désignation multiple est proposée aux entités ayant un nombre important de désignations, sur contact du service des DPO.

    Portée : Guide pratique DPO, fiche 3.

    Réserve : Modalités de la procédure non lues.

  • Déclaration de l’éditeur. Le guide de la CNIL donne l’exemple d’un délégué mutualisé entre une mère en Italie et une filiale en France : chacune le désigne auprès de son autorité pour les traitements dont elle est responsable, sans démarche de la filiale auprès de l’autorité italienne.

    Portée : Guide pratique DPO, fiche sur la désignation.

    Réserve : Exemple d’un groupe à deux pays.

  • Fait lu. L’article 38 impose de fournir au délégué les ressources nécessaires et de le laisser faire rapport au niveau le plus élevé de la direction, et l’article 37 de publier ses coordonnées et de les communiquer à l’autorité.

    Portée : Article 37, paragraphe 7, et article 38, paragraphes 2 et 3.

    Réserve : Aucun chiffre de temps dans ces articles.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, les ressources du délégué doivent être adaptées à la taille, à la structure et à l’activité de l’organisme, et plus les traitements sont complexes ou sensibles, plus elles doivent être importantes ; un temps partiel impose une évaluation de la charge de travail.

    Portée : Guide pratique DPO, fiches 3 et 5.

    Réserve : Pas de barème dans le guide.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, le délégué doit échanger dans la ou les langues utilisées par les personnes et les autorités, et peut se faire aider par une équipe de relais locaux.

    Portée : Guide pratique DPO, question sur la langue.

    Réserve : Sans objet.

  • Déclaration de l’éditeur. Le guide de la CNIL présente comme avantages de la mutualisation le lissage des coûts et l’uniformisation des procédures, et comme points de vigilance les points d’échange réguliers, le risque de ne pas être tenu informé et l’organisation du pilotage.

    Portée : Guide pratique DPO, fiche 3.

    Réserve : Sans objet.

  • Déclaration de l’éditeur. Lorsque la fonction est exercée par un prestataire, le guide de la CNIL conseille une répartition claire des tâches dans l’équipe et l’identification d’un contact pour le client.

    Portée : Guide pratique DPO, fiche 3.

    Réserve : Conseil, non obligation.

  • Notre calcul ou déduction. Dans l’exemple fictif, 5 sociétés à 10 jours plus 15 jours communs font 65 jours pour 80 jours disponibles ; 7 sociétés font 85 jours, soit 5 jours de manque.

    Portée : Organisation fictive, hypothèses affichées.

    Réserve : Aucune valeur de barème.

    Daté du 5 novembre 2026.

  • Notre calcul ou déduction. Mutualiser le délégué ne fusionne pas les responsabilités ni les registres, puisque l’article 30 charge chaque responsable de tenir le registre des activités effectuées sous sa responsabilité.

    Portée : Lecture croisée des articles 30 et 37.

    Réserve : Déduction de la lettre du texte, sans doctrine lue sur ce point précis.