Numerique
Vous devez désigner un délégué à la protection des données et personne en interne ne peut tenir la fonction sans conflit d'intérêts : j'exerce le rôle de DPO externalisé.
Contexte
L'article 37.1 du RGPD impose la désignation d'un délégué à la protection des données dans trois situations : le traitement mis en oeuvre par une autorité ou un organisme public, les activités de base qui exigent un suivi régulier et systématique des personnes à grande échelle, et les activités de base consistant en un traitement à grande échelle de données sensibles ou de données relatives à des condamnations pénales. L'article 57 de la loi du 6 janvier 1978 y renvoie directement. La notion d'activité de base est décisive : elle vise le métier, pas la gestion interne. Un éditeur de logiciel ou de SaaS qui mesure le comportement de ses utilisateurs y entre presque toujours, comme le rappelle notre article sur les critères de désignation obligatoire.
Les missions sont fixées par l'article 39 : informer et conseiller l'entreprise, contrôler le respect du règlement, dispenser des conseils sur les analyses d'impact et vérifier leur exécution, coopérer avec la CNIL et servir de point de contact. L'article 38 encadre les conditions d'exercice : le délégué est associé en temps utile à toutes les questions relatives aux données, dispose des ressources nécessaires, ne reçoit aucune instruction sur la manière d'exercer ses missions, fait rapport au plus haut niveau de la direction et ne peut se trouver en situation de conflit d'intérêts.
Le règlement autorise expressément deux montages que beaucoup d'entreprises ignorent. L'article 37.6 prévoit que le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service : le DPO externalisé n'est pas une tolérance, c'est une option écrite dans le texte. L'article 37.2 permet à un groupe de désigner un délégué unique, à condition qu'il soit facilement joignable depuis chaque établissement. L'article 37.7 impose en outre de publier ses coordonnées et de les communiquer à la CNIL. Au 31 décembre 2024, 103 602 organismes avaient notifié un délégué à l'autorité.
Problematique
Dans la plupart des PME, la fonction a été confiée au DSI, au responsable qualité ou au dirigeant parce qu'il fallait un nom sur le formulaire. Le problème n'est pas la compétence, c'est la structure. La Cour de justice de l'Union européenne l'a posé dans son arrêt X-FAB Dresden du 9 février 2023 (affaire C-453/21) : le conflit d'intérêts existe dès lors que le délégué se voit confier des missions qui le conduisent à déterminer les finalités et les moyens de traitements qu'il doit contrôler. La CNIL a publié le 10 août 2026 une grille d'analyse qui décline ce raisonnement et vise expressément la direction générale, les ressources humaines et tout pouvoir de décision sur les traitements contrôlés.
S'ajoute le problème du temps. L'enquête publiée par la CNIL le 3 juillet 2026 montre que 79 % des délégués exercent en interne et que 85 % des délégués internes et mutualisés le font à temps partiel, en plus de leur poste. Un délégué qui n'est pas associé aux décisions n'est pas seulement inefficace, il expose l'entreprise. La CNIL a sanctionné La Samaritaine de 100 000 euros le 18 septembre 2025 (délibération SAN-2025-008) en retenant notamment que la déléguée n'avait pas été associée au déploiement d'un dispositif de vidéosurveillance dissimulé, en violation de l'article 38.1. L'absence de désignation se sanctionne aussi : 5 000 euros et une astreinte de 150 euros par jour de retard dans la délibération SAN-2023-018 du 12 décembre 2023.
Le plafond n'a rien de symbolique. Les manquements aux articles 25 à 39 relèvent de l'article 83.4 du RGPD, repris par l'article 20 de la loi du 6 janvier 1978 : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, avec une injonction de mise en conformité sous astreinte de 100 000 euros par jour. Le contexte s'est durci : en 2025, la CNIL a reçu 20 150 plaintes, mené 323 contrôles et prononcé 83 sanctions pour 487 millions d'euros d'amendes. Recruter n'est pas toujours la réponse : voir notre analyse du coût réel d'un DPO pour une PME.
Solutions
Je suis désigné délégué à la protection des données de votre entreprise sur le fondement de l'article 37.6 du RGPD, par un contrat de service qui fixe le périmètre, le volume d'intervention, les délais de réponse et les modalités d'astreinte. La désignation est notifiée à la CNIL et les coordonnées de contact sont publiées comme l'exige l'article 37.7. Vous obtenez une fonction indépendante par construction : je ne décide d'aucun traitement, donc je peux tous les contrôler.
Au quotidien, je tiens et j'actualise le registre des activités de traitement, je rends un avis sur les nouveaux projets avant leur mise en production, je pilote les analyses d'impact, je traite les demandes d'exercice des droits dans le délai d'un mois de l'article 12.3, je révise les contrats de sous-traitance et je forme vos équipes. Quand une violation de données survient, je qualifie l'incident et je conduis la notification. Vous n'arbitrez pas entre le juridique et l'opérationnel : les deux relèvent du même interlocuteur.
Ce qu'un avocat apporte et qu'aucun consultant ne peut apporter tient en une ligne : l'article 66-5 de la loi du 31 décembre 1971 couvre du secret professionnel les consultations, les correspondances, les notes d'entretien et toutes les pièces du dossier. Vous me décrivez vos pratiques réelles, y compris celles qui ne sont pas conformes, sans créer une pièce opposable. S'y ajoute la capacité à porter le dossier jusqu'au bout : si un contrôle s'ouvre ou si une procédure de sanction est engagée, je vous représente devant la CNIL sans passer la main.
Quand l'exposition est incertaine, je commence par un audit RGPD délimité qui mesure l'écart avant d'engager la fonction. Pour un groupe, l'article 37.2 autorise une désignation unique couvrant plusieurs entités, ce qui divise le coût sans diluer la responsabilité. Décrivez-moi votre situation : je vous dirai si la désignation est obligatoire dans votre cas et ce qu'elle représente concrètement.
J'examine si la désignation est obligatoire au regard de l'article 37.1, en qualifiant vos activités de base et l'échelle réelle de vos traitements. Je vérifie qu'aucune fonction existante ne crée de conflit d'intérêts au sens de l'article 38.6. Je formalise ensuite la désignation par le téléservice de la CNIL, je fais publier les coordonnées de contact et j'établis la lettre de mission qui délimite le périmètre, les moyens et les délais de réponse.
Je construis ou je reprends le registre des activités de traitement, je cartographie les sous-traitants et l'état de leurs contrats, je fixe les durées de conservation, je rédige les mentions d'information et les procédures de traitement des demandes de droits et des violations. À l'issue de cette phase, vous disposez de la documentation qu'un contrôleur réclame en premier et d'un plan d'action hiérarchisé sur ce qui reste à corriger.
J'interviens en amont des décisions et non après : avis sur les nouveaux traitements et les nouveaux outils, analyses d'impact quand l'article 35 les impose, revue des contrats de sous-traitance, réponse aux demandes d'accès et d'effacement, sensibilisation des équipes. Un point périodique documente ce qui a été traité, ce qui reste ouvert et les alertes que j'ai formulées : c'est cette trace qui démontre la conformité le jour où elle est demandée.
Si une violation de données survient, je qualifie l'incident, j'arbitre la notification à la CNIL et l'information des personnes concernées, et je documente la décision y compris lorsqu'elle conduit à ne pas notifier. Si un contrôle s'ouvre, je prépare les pièces, j'assiste vos équipes pendant les opérations et je porte la réponse écrite. En cas de procédure de sanction, je vous défends devant la formation restreinte.
FAQ
L'article 37.1 du RGPD rend la désignation obligatoire dans trois cas : le traitement mis en oeuvre par une autorité ou un organisme public, les activités de base qui exigent un suivi régulier et systématique des personnes à grande échelle, et les activités de base consistant en un traitement à grande échelle de données sensibles ou relatives à des condamnations. La notion d'activité de base est décisive : elle vise ce qui constitue votre métier, pas la gestion de votre paie. Un éditeur qui analyse le comportement de dizaines de milliers d'utilisateurs, une plateforme qui profile ses visiteurs ou un acteur de la santé entrent dans le champ. En dehors de ces cas, la désignation reste volontaire.
Oui, sans réserve. L'article 37.6 prévoit que le délégué peut être un membre du personnel du responsable du traitement ou exercer ses missions sur la base d'un contrat de service. Le DPO externalisé n'est donc ni un aménagement ni une solution de repli : c'est l'une des deux voies prévues par le texte. Les mêmes exigences s'appliquent dans les deux cas : compétences professionnelles, connaissance du secteur, moyens suffisants, indépendance et absence de conflit d'intérêts. La désignation est notifiée à la CNIL par téléservice, qui délivre un numéro de désignation, et les coordonnées doivent être publiées conformément à l'article 37.7.
Les manquements aux articles 25 à 39 du RGPD relèvent du plafond de l'article 83.4 : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. L'article 20 de la loi du 6 janvier 1978 reprend ce plafond et permet en outre une injonction de mise en conformité assortie d'une astreinte pouvant atteindre 100 000 euros par jour de retard. Ce ne sont pas des hypothèses d'école : la CNIL a prononcé 5 000 euros et une astreinte de 150 euros par jour pour défaut de désignation (SAN-2023-018 du 12 décembre 2023), et retenu contre La Samaritaine, sanctionnée de 100 000 euros le 18 septembre 2025, le fait de ne pas avoir associé sa déléguée en temps utile.
L'article 38.6 autorise le cumul avec d'autres missions, à condition qu'il n'en résulte aucun conflit d'intérêts. La Cour de justice de l'Union européenne a précisé dans l'arrêt X-FAB Dresden du 9 février 2023 (C-453/21) que le conflit existe dès que le délégué détermine les finalités et les moyens de traitements qu'il doit contrôler. Un DSI qui choisit les outils, fixe les durées de conservation des journaux ou décide des suites d'une demande d'accès se contrôle lui-même. La grille publiée par la CNIL le 10 août 2026 vise expressément les fonctions de direction générale et de ressources humaines. La sanction, elle, frappe l'entreprise et non le délégué. Si le conflit est soluble et que vous souhaitez garder votre délégué en interne, l'appui juridique est décrit sur ma page conseil au DPO.
Le marché s'organise autour de deux modèles : un forfait mensuel, qui va couramment de 300 à 2 500 euros selon la taille de l'organisation et l'intensité du suivi, ou une facturation en régie de l'ordre de 800 à 1 200 euros par jour. La comparaison utile n'est pas avec un logiciel mais avec un recrutement : un délégué confirmé se situe entre 50 000 et 70 000 euros bruts par an, hors charges, hors outillage et hors formation continue. Je remets une proposition à périmètre fixe après le diagnostic. L'article DPO externalisé : missions, tarifs et arbitrage avec un DPO interne détaille cet arbitrage.
La désignation elle-même est rapide : le téléservice de la CNIL délivre un accusé de réception et un numéro de désignation dès l'enregistrement. Ce qui prend du temps, c'est le socle. Comptez six à dix semaines pour cartographier les traitements, reconstituer un registre exploitable, inventorier les sous-traitants et leurs contrats, puis rédiger les procédures de gestion des droits et des violations. Ce délai dépend surtout de votre disponibilité pour les entretiens et de l'état des documents existants. Passé cette phase, la fonction bascule en régime courant, avec des points périodiques et une disponibilité en cas d'incident.
Trois différences pratiques. Le secret professionnel d'abord : l'article 66-5 de la loi du 31 décembre 1971 couvre les consultations, les correspondances, les notes d'entretien et toutes les pièces du dossier. Vous décrivez vos pratiques réelles sans créer une pièce qui pourra vous être opposée, ce qu'aucune clause de confidentialité ne garantit. La capacité procédurale ensuite : en cas de contrôle ou de sanction, je porte le dossier devant la CNIL et devant le juge sans le transmettre à un tiers. La qualification juridique enfin : base légale, transferts hors Union européenne, clauses de sous-traitance et qualification d'une violation relèvent de l'analyse de droit, pas d'une grille de conformité.
Oui. L'article 37.2 du RGPD permet à un groupe d'entreprises de désigner un délégué unique, à la condition qu'il soit facilement joignable depuis chaque établissement. En pratique, cela suppose des interlocuteurs identifiés dans chaque entité et un temps d'intervention dimensionné pour l'ensemble du périmètre, pas pour la seule société mère. Chaque entité reste responsable de ses propres traitements et conserve son registre, et la désignation est notifiée pour chacune. Le montage allège le coût, mais son intérêt principal est ailleurs : il supprime les écarts de doctrine entre filiales, première source d'incohérence relevée en contrôle.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
