DPO (Délégué à la Protection des Données) : tout savoir en 2026

Le rôle du DPO a pris une importance majeure depuis l’entrée en vigueur du RGPD le 25 mai 2018, qui a profondément transformé les pratiques des entreprises en matière de traitement des données personnelles.

Ce règlement instaure de nouvelles obligations juridiques, impose la présence d’informations obligatoires sur les sites internet et rend, dans certains cas, la désignation d’un Délégué à la Protection des Données (DPO) indispensable. Avant de mettre en place votre conformité, Legalstart vous aide à y voir plus clair.

Qu’est-ce qu’un DPO ?

Pour tout comprendre sur le DPO et le RGPD, revenons tout d’abord sur leurs définitions respectives.

Que veut dire RGPD ? 

Le RGPD, ou Règlement Général sur la Protection des Données, est un règlement européen entré en vigueur le 25 mai 2018. Ce texte instaure un cadre juridique unique sur le traitement et la protection des données personnelles dans l’Union européenne.

Face aux nouvelles pratiques des entreprises (essor du numérique, expansion des sites de commerce en ligne…), le texte vise à la fois à :

• renforcer les droits des citoyens concernant les traitements effectués sur leurs données (droit d’accès, droit de rectification, droit à l’oubli…) ;
• et créer de nouvelles responsabilités et obligations pour les entreprises traitant des données, notamment la réglementation sur les cookies informatiques et la désignation d’un DPO.

Le RGPD s’inscrit dans la continuité de la Loi Informatique et Libertés du 6 janvier 1978.

Que veut dire DPO ?

La création du métier de délégué à la protection des données, plus connu sous le nom de DPO (Data Protection Officer en anglais) est une des avancées principales du RGPD.

Le DPO est, par définition, la personne chargée de s’assurer que chaque traitement de données réalisé par l’entreprise soit conforme au RGPD. La désignation d’un DPO, selon le RGPD, est obligatoire dans certains organismes.

La désignation d’un DPO dans une entreprise est-elle obligatoire ?

Quelles entreprises doivent avoir un DPO ?

• est établi sur le territoire de l’Union européenne ;
• ou exerce une activité à destination des résidents de l’Union européenne.

Les sous-traitants amenés à traiter des données personnelles pour le compte d’autres organismes doivent également respecter le RGPD.

DPO : obligatoire ?

L’article 37 du RGPD prévoit que le DPO est obligatoire au sein :

• des autorités publiques et organismes publics (ministères, établissements publics, collectivités territoriales, enseignement supérieur, hôpitaux, etc.), à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle ;
• des entreprises dont l’activité principale exige un suivi régulier et systématique des personnes à grande échelle (banques ou compagnies d’assurance, par exemple) ;
• des entreprises amenées à traiter à grande échelle des données sensibles (relatives à la santé, à l'origine raciale ou ethnique, aux opinions politiques, à l'appartenance syndicale…) ou des données relatives à des condamnations pénales ou à des infractions.

Si la désignation d’un DPO n’est pas obligatoire dans les autres cas, elle est fortement recommandée et encouragée.

Si une entreprise ne respecte pas l’obligation de nomination d’un DPO, elle s’expose à une sanction de la CNIL telle que :

• un rappel à l’ordre ;
• une injonction de mise en conformité ;
• ou une amende administrative pouvant aller jusqu’à 10 millions d’euros.

Qui est le DPO dans une entreprise ?

Bien qu’il n’existe pas de formation de DPO, le RGPD précise que le délégué à la protection des données doit être désigné sur la base de ses qualités professionnelles, de ses connaissances spécifiques et de sa capacité à accomplir ses missions.

Le DPO peut être une personne externe ou interne à l’entreprise. S’il est assez courant que les grandes entreprises désignent un DPO en interne, les organismes, quelle que soit leur taille, ont la possibilité de recourir à un prestataire externe afin de mutualiser leurs coûts.

Comment devenir DPO ?

Si vous vous demandez comment devenir DPO, sachez que ce professionnel de la conformité doit pouvoir justifier de certaines compétences, de moyens suffisants et d'une capacité à agir en toute indépendance. 

Les compétences requises

Le futur DPO doit disposer de connaissances approfondies du droit et des pratiques en matière de protection des données personnelles. 

Il doit bien connaître le secteur d’activité et l’organisation de l’entreprise l’ayant désigné (types de traitement réalisés, systèmes d’information, nécessités en matière de protection et de sécurité des données).

Il est aussi attendu de lui une aptitude à communiquer efficacement et une importante éthique professionnelle.

Des moyens suffisants

Pour être désigné DPO, la personne doit :

• disposer de suffisamment de temps pour accomplir ses missions ;
• obtenir des moyens matériels et humains adaptés ;
• pouvoir accéder à toutes les informations nécessaires ;
• être positionné efficacement au sein de son entreprise.

Une capacité à agir en toute indépendance

Le DPO doit pouvoir exercer ses missions en toute indépendance : il ne peut exister aucun conflit d’intérêts avec ses autres missions.

Par exemple, un élu politique ne peut être DPO pour sa collectivité, car il participe aux décisions pour le traitement de ces données.

Quelles sont les missions d’un DPO ? 

La mission du DPO, selon le RGPD, consiste à s’assurer que l’organisme l’ayant désigné traite les données personnelles en conformité avec RGPD. Pour mener à bien sa mission, il est notamment chargé :

• d'informer et conseiller le responsable de traitement des données de son organisme (ou le sous-traitant) et les employés sur toutes les obligations qui s’imposent à eux en vertu du RGPD ;
• de contrôler la bonne application de la réglementation (RGPD, droit européen, droit national…) en matière de protection des données ;
• de proposer à l’organisme de réaliser une analyse d'impact relative à la protection des données et veiller à sa bonne exécution ;
• de coopérer avec la CNIL ;
• et d'être l’interlocuteur de toute personne concernée par un traitement de données personnelles.

Quelles sont les obligations d’un DPO ?

Afin de conduire son organisme vers sa mise en conformité au RGPD, le DPO est tenu de :

• cartographier les traitements de données effectués par l’organisme ;
• prioriser les actions à mener pour conformer son organisme au RGPD ;
• gérer les risques en menant, pour chaque traitement, une analyse d'impact relative à la protection des données ;
• organiser des procédures internes visant à garantir la protection des données traitées ;
• rassembler la documentation nécessaire afin de prouver, en cas de contrôle, la conformité de son organisme au RGPD.