Est-ce que j'ai besoin d'un DPO ? Le guide pour trancher en 2026

La question revient à chaque audit RGPD. Faut-il désigner un délégué à la protection des données, ou peut-on s'en passer ? Le RGPD pose trois cas d'obligation formelle, mais la réalité du marché est plus nuancée : la CNIL recommande la désignation bien au-delà du strict minimum et les sanctions pour omission deviennent régulières.

Ce guide expose les trois cas de désignation obligatoire, l'intérêt d'une désignation facultative et les réflexes de documentation attendus. Le choix du modèle, interne, externe ou mutualisé, fait l'objet d'un guide dédié. Pour trancher rapidement votre cas particulier, commencez par le quiz interactif ci-dessous.

L'essentiel en 30 secondes

Trois cas rendent la désignation obligatoire : autorité publique, suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles ou d'infractions. Hors ces cas, la désignation reste facultative, mais souvent recommandée dès lors qu'une entreprise traite des données clients, prospects ou salariés avec un certain volume. Les sanctions pour défaut de désignation atteignent 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Le DPO peut être interne, externe ou mutualisé, et la CNIL attend depuis sa fiche du 10 août 2026 une désignation exempte de conflit d'intérêts, analysée et documentée en amont.

Auto-diagnostic en quatre questions

Répondez aux questions du quiz interactif pour obtenir une orientation indicative selon votre situation. Le diagnostic s'appuie sur les articles 37 et suivants du RGPD et sur les lignes directrices du Comité européen à la protection des données.

Les trois cas où la désignation est obligatoire

Le premier cas vise les autorités publiques et les organismes publics, à l'exception des juridictions agissant dans leur fonction juridictionnelle. Mairies, hôpitaux, universités, agences de l'État sont concernés. Le Comité européen à la protection des données recommande également la désignation par les organismes privés chargés de missions de service public (transports publics, logement social), même si l'obligation stricte ne s'applique pas.

Le deuxième cas concerne les traitements supposant un suivi régulier et systématique à grande échelle des personnes. Cette formulation vise principalement les traitements de segmentation comportementale, de scoring, de lutte contre la fraude, de géolocalisation ou de vidéosurveillance. Pour apprécier l'échelle, le CEPD retient le nombre de personnes concernées, le volume de données traitées, la durée de l'activité et l'étendue géographique. De très nombreuses entreprises tombent dans le champ dès qu'un traitement est central à leur activité opérationnelle.

Le troisième cas couvre le traitement à grande échelle de données sensibles au sens de l'article 9 du RGPD (origine raciale, opinions politiques, convictions religieuses, données génétiques, biométriques, de santé, vie ou orientation sexuelle) ou de données d'infraction et de condamnation pénale au sens de l'article 10. Les laboratoires, établissements de santé, plateformes RH spécialisées, certains acteurs de l'assurance ou du recrutement entrent typiquement dans ce périmètre.

Quand désigner un DPO même sans obligation

Au-delà des trois cas légaux, la désignation facultative présente un intérêt commercial et juridique. La CNIL et le CEPD recommandent une analyse interne documentée pour démontrer que la question a été examinée, conformément au principe d'accountability.

Plusieurs indicateurs militent en faveur d'une désignation : un volume élevé de traitements opérationnels, le recours fréquent à des sous-traitants ou à des partenaires de partage de données, l'export régulier de données hors de l'Union européenne, la mise en œuvre d'études d'impact, ou encore la sophistication des outils de prospection, de lutte contre la fraude et de gestion des ressources humaines. Pour une startup tech en croissance, ces critères sont fréquemment réunis dès la série A.

Désigner un DPO devient alors un argument commercial dans les due diligence d'achat des grands comptes et dans les tours de financement. À l'inverse, une décision motivée de ne pas en désigner doit être consignée par écrit, datée, signée, et tenue à jour lors de tout changement d'activité.

Une désignation valable : l'exigence d'absence de conflit d'intérêts

Désigner ne suffit pas, encore faut-il que la désignation soit robuste. La fiche publiée par la CNIL le 10 août 2026 demande une analyse des conflits d'intérêts avant toute désignation. Le délégué ne peut cumuler sa fonction avec un rôle qui détermine les finalités et les moyens des traitements : direction générale, ressources humaines, DSI, RSSI décisionnaire ou représentant du personnel votant sur des dispositifs de surveillance.

Cette analyse vaut pour le délégué interne comme pour le prestataire externe, avocat compris. Elle se documente et se conserve, car elle sera demandée lors d'un contrôle comme en due diligence. Le choix du modèle et la gestion des cumuls sont détaillés dans notre guide consacré au choix du DPO, à lire avec la fiche CNIL.

Le rôle de l'avocat dans la décision

Trancher la question du DPO suppose une analyse juridique fine du périmètre des traitements, de leur échelle, des données concernées et de la chaîne contractuelle. Un avocat en droit du numérique aide à qualifier la situation, à documenter la décision (positive ou négative), à rédiger la lettre de mission, et le cas échéant à exercer lui-même la fonction de DPO externe avec les garanties propres à la profession.

Vous hésitez sur la désignation d'un DPO, vous avez besoin d'auditer celui en place ou vous souhaitez confier la fonction à un avocat externe ? Je vous propose un échange initial pour qualifier votre situation et identifier la solution la mieux adaptée à votre activité.