Ai-je besoin d'un DPO ? Le guide pour trancher

Le dirigeant d'une PME SaaS reçoit un questionnaire de sécurité d'un grand compte. Une question l'arrête : « Avez-vous désigné un délégué à la protection des données ? » Il hésite, ne sait pas si son entreprise y est tenue, et craint qu'une mauvaise réponse ne fasse capoter le contrat. Cette interrogation revient à chaque cycle commercial sérieux. Les articles 37 à 39 du RGPD permettent d'y répondre avec précision.

L'essentiel en 30 secondes. La désignation d'un DPO est obligatoire dans trois cas définis par l'article 37. Hors ces cas, elle reste facultative mais souvent recommandée. Le délégué peut être interne ou externe, et sa présence rassure les clients comme les investisseurs lors des audits.

Les trois cas d'obligation

L'article 37 du RGPD impose la désignation d'un DPO dans trois situations. La première vise les autorités et organismes publics, hypothèse étrangère à la plupart des startups.

La deuxième concerne les entreprises dont les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes. Une plateforme de tracking publicitaire, un service de scoring comportemental ou un réseau social entrent dans ce périmètre. La notion d'activité de base désigne le cœur de l'offre, non les fonctions support.

La troisième cible les entreprises dont les activités de base portent sur un traitement à grande échelle de données sensibles au sens de l'article 9, ou de données relatives à des condamnations pénales au sens de l'article 10. Une healthtech manipulant massivement des données de santé relève typiquement de ce cas.

La notion de grande échelle ne se réduit pas à un seuil chiffré. Elle s'apprécie au regard du volume de données, du nombre de personnes concernées, de l'étendue géographique et de la durée du traitement. Une jeune entreprise dont la base d'utilisateurs croît rapidement peut franchir ce seuil sans s'en apercevoir. La désignation, facultative hier, devient alors obligatoire. Réévaluer régulièrement votre situation évite de découvrir l'obligation lors d'un contrôle.

Interne ou externe : comment choisir

Le DPO peut être un salarié de l'entreprise ou un prestataire externe mutualisé entre plusieurs structures. Les deux options répondent aux mêmes exigences d'indépendance et d'absence de conflit d'intérêts.

Un DPO interne convient aux organisations dont les traitements sont nombreux, complexes et évolutifs. Il connaît finement les produits et les équipes, et reste disponible au quotidien. Cette solution suppose toutefois une charge réelle et un profil qualifié, ce qui pèse sur les budgets d'une jeune entreprise.

Un DPO externe offre une alternative souple et souvent plus économique pour une PME tech. Le prestataire apporte une expertise immédiate, une vision transversale et une distance protectrice face aux pressions internes. Cette indépendance constitue d'ailleurs un atout : le délégué ne peut occuper une fonction qui le conduirait à contrôler ses propres décisions.

Le conflit d'intérêts mérite ici une vigilance réelle. Confier le rôle de DPO au dirigeant, au directeur technique ou au responsable marketing pose problème, car ces fonctions définissent les finalités des traitements qu'il faudrait contrôler. Le délégué se retrouverait alors juge et partie. Un prestataire externe écarte ce risque par construction, ce qui sécurise la valeur de ses analyses lors d'un audit ou d'un contrôle de la CNIL.

Les missions du délégué

Quel que soit son statut, le DPO exerce des missions définies par l'article 39. Il informe et conseille le responsable de traitement ainsi que les équipes sur leurs obligations. Il contrôle la conformité des traitements et des politiques internes, par des audits et un suivi régulier. Il coopère avec la CNIL et constitue le point de contact de l'autorité comme des personnes concernées.

Ces missions supposent une connaissance solide du droit et des pratiques techniques. Le délégué n'endosse pas la responsabilité juridique des manquements, qui reste celle de l'entreprise. Son rôle consiste à éclairer les décisions et à signaler les risques. Cette fonction de vigie, exercée en toute indépendance, distingue le DPO d'un simple correspondant administratif.