Guide pratique — RGPD et délégué à la protection des données
Bonne nouvelle pour les TPE : la réponse est non dans la très grande majorité des cas. Le RGPD n'impose un délégué à la protection des données que dans trois situations précises, que peu de petites structures remplissent. Qui est vraiment concerné, ce que le DPO fait, ce que risque ceux qui l'ignorent à tort — et ce qui reste obligatoire même sans DPO.
Le délégué à la protection des données (DPO) n'est obligatoire que dans trois cas prévus par l'article 37 du RGPD : les autorités publiques, les organisations dont le cœur de métier est un suivi régulier et systématique des personnes à grande échelle, et celles dont le cœur de métier est le traitement à grande échelle de données sensibles ou judiciaires. Une TPE, un artisan ou un commerçant ordinaire n'est donc pas tenu d'en nommer un — y compris avec un site e-commerce. En revanche, toutes les autres obligations du RGPD s'appliquent sans condition de taille : registre des traitements, politique de confidentialité, bandeau cookies, sécurité des données. Ne pas confondre « pas de DPO obligatoire » avec « pas d'obligations ».
Le DPO — délégué à la protection des données, en anglais Data Protection Officer — est la personne chargée de piloter la conformité au RGPD au sein d'une organisation. Institué par les articles 37 à 39 du RGPD (règlement européen 2016/679), il peut être un salarié ou un prestataire extérieur, mais il doit disposer de connaissances professionnelles en matière de protection des données, agir en toute indépendance et ne recevoir aucune instruction sur l'exercice de ses missions.
Ses missions, listées à l'article 39, sont de : informer et conseiller l'organisation sur ses obligations ; contrôler le respect du RGPD et des politiques internes ; donner des conseils sur les analyses d'impact (AIPD) ; coopérer avec la CNIL ; et servir de point de contact — pour l'autorité de contrôle comme pour les personnes qui exercent leurs droits (accès, rectification, effacement).
Quand un DPO est désigné — obligatoirement ou volontairement —, ses coordonnées doivent être publiées (dans la politique de confidentialité, typiquement) et communiquées à la CNIL, via une déclaration en ligne gratuite (article 37.7).
L'article 37.1 du RGPD rend la désignation d'un DPO obligatoire dans trois situations, et trois seulement :
Deux notions clés, souvent mal comprises :
Autre précision utile : le DPO est désigné par organisation. Un groupe peut nommer un DPO unique pour plusieurs entités, et des collectivités peuvent mutualiser un DPO partagé — des options réservées à ceux qui y sont tenus ou le choisissent.
Pour la quasi-totalité des TPE, artisans, commerçants et indépendants français, aucun des trois cas ne s'applique :
Le message est donc rassurant — mais il doit être nuancé sur deux points. D'abord, la taille n'est pas le critère : c'est la nature et l'échelle des traitements qui comptent, et une petite structure dont le cœur de métier serait justement le suivi des personnes (une agence de ciblage publicitaire, un réseau de vidéosurveillance) peut être tenue de nommer un DPO même avec dix salariés. Ensuite, l'absence d'obligation de DPO ne dispense de rien d'autre — c'est la section suivante.
C'est le piège classique : on apprend (à juste titre) qu'on n'a pas besoin de DPO, et on en conclut que le RGPD ne nous concerne pas. Erreur. Toutes les autres obligations s'appliquent sans condition de taille ni de chiffre d'affaires, dès la moindre donnée personnelle traitée :
En résumé : sans DPO, la responsabilité de la conformité repose directement sur vous, le dirigeant. C'est exactement le périmètre du kit MonKitLégal : le scan gratuit dresse l'inventaire de ce que votre site collecte, puis le kit à 9 € génère l'ensemble des documents — mentions légales, politique de confidentialité, CGU/CGV, registre pré-rempli via la base SIRENE, bandeau cookies conforme CNIL. Le socle complet pour 9 €, sans avoir besoin d'un délégué.
Même sans obligation, rien n'interdit de nommer un DPO volontairement — le RGPD le prévoit explicitement. Mais la décision n'est pas neutre : un DPO volontaire est soumis aux mêmes règles qu'un DPO obligatoire (compétences, indépendance, absence de conflit d'intérêts, missions de l'article 39, publication et déclaration à la CNIL). Le Comité européen de la protection des données l'a confirmé : on ne peut pas désigner un « DPO light ».
C'est pourquoi la CNIL recommande aux petites structures une voie plus simple : désigner un « référent RGPD » (aussi appelé référent informatique et libertés). Ce peut être le dirigeant lui-même ou un salarié qui consacre une partie de son temps à la conformité : tenir le registre, répondre aux demandes de droits, vérifier les contrats de sous-traitance, veiller à la sécurité. Sans statut réglementé ni formalisme de désignation, c'est l'organisation adaptée à une TPE — et la présence d'un référent identifié est un bon signal en cas de contrôle, preuve que la question est prise au sérieux.
Dans les deux cas — DPO volontaire ou référent —, le travail de fond reste le même : inventorier les traitements, documenter, informer les personnes, sécuriser. Un référent RGPD avec un registre à jour vaut mieux qu'un DPO de façade sans moyens.
Ne pas désigner de DPO alors que l'obligation s'applique est un manquement aux articles 37 à 39. L'article 83.4 du RGPD le range dans le premier niveau de sanctions : une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé). Le plafond supérieur — 20 millions d'euros ou 4 % — est réservé aux manquements les plus graves, comme la violation des droits des personnes ou des principes de base.
En pratique, la CNIL procède par étapes : contrôle, rappel à l'ordre ou mise en demeure de nommer un délégué — parfois publique, avec le nom de l'organisation —, puis amende si le manquement persiste. Les sanctions les plus médiatisées concernant le DPO visent surtout des acteurs publics ou des entreprises de données, précisément ceux que l'article 37 vise en priorité. Pour une TPE ordinaire, le vrai risque n'est pas là : il est dans le défaut de registre, d'information des personnes ou de consentement cookies — des manquements beaucoup plus fréquents, et sanctionnés au même niveau de plafond.
Références : règlement (UE) 2016/679, articles 9, 10, 37, 38, 39 et 83.4 ; lignes directrices sur les délégués à la protection des données du groupe de l'article 29 (WP243, reprises par le CEPD) ; site de la CNIL (cnil.fr), fiche pratique « Désigner un délégué à la protection des données ».
Non, dans la quasi-totalité des cas. L'article 37 du RGPD ne rend le DPO obligatoire que dans trois situations : autorités publiques, suivi régulier et systématique des personnes à grande échelle dans le cœur de métier, ou traitement à grande échelle de données sensibles dans le cœur de métier. Un artisan avec un fichier clients, un formulaire de contact et une newsletter ne remplit aucune de ces conditions. La taille de l'entreprise n'est pas le critère en soi, mais une TPE ordinaire n'a ni l'échelle ni la nature d'activité qui déclenchent l'obligation.
En général non. Gérer des commandes, même nombreuses, relève de la gestion courante : ce n'est pas un « suivi régulier et systématique des personnes » au sens de l'article 37, qui vise le profilage, la géolocalisation ou le ciblage publicitaire à grande échelle. Le critère n'est pas le volume de données, mais la nature de l'activité : une entreprise dont le cœur de métier est d'analyser ou de suivre les comportements des personnes (régie publicitaire, scoring, objets connectés de suivi) est concernée, pas un commerçant qui vend en ligne. En cas de doute, la doctrine du Comité européen de la protection des données et de la CNIL donne des exemples concrets, secteur par secteur.
Oui, le RGPD le permet explicitement. Mais attention : un DPO désigné volontairement est soumis aux mêmes règles qu'un DPO obligatoire — compétences professionnelles exigées, indépendance, absence de conflit d'intérêts, missions de l'article 39, déclaration à la CNIL. Pour une petite structure qui n'a pas besoin de ce dispositif complet, la CNIL recommande plutôt de désigner un « référent RGPD » interne : un salarié ou le dirigeant lui-même qui pilote la conformité (registre, réponses aux demandes de droits, sécurité), sans le statut réglementé du DPO. C'est la solution adaptée à la plupart des TPE.
Oui. L'article 37.7 du RGPD impose de publier les coordonnées du DPO et de les communiquer à l'autorité de contrôle. En France, la désignation se déclare en ligne sur le site de la CNIL, gratuitement. Cela vaut pour un DPO obligatoire comme pour un DPO volontaire. Les coordonnées du DPO doivent aussi figurer dans la politique de confidentialité, pour que les personnes puissent exercer leurs droits auprès de lui.
Le défaut de désignation d'un DPO obligatoire est un manquement aux articles 37 à 39 du RGPD, sanctionnable par une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (article 83.4). En pratique, la CNIL commence le plus souvent par un rappel à l'ordre ou une mise en demeure de nommer un délégué, l'amende intervenant si l'organisation persiste. Pour une TPE, la première chose à vérifier n'est pas la sanction mais si l'obligation s'applique vraiment : dans la grande majorité des cas, elle ne s'applique pas — et ce sont les autres obligations (registre, information des personnes, cookies, sécurité) qui méritent l'attention.
Le scan gratuit liste ce que votre site collecte en 2 minutes. Le kit à 9 € génère ensuite tous les documents pré-remplis via la base SIRENE — mentions légales, politique de confidentialité, CGU/CGV, registre et bandeau cookies inclus.
Analyser mon site gratuitement