Vous avez decide (ou vous avez ete contraint) de designer un Delegue a la Protection des Donnees. Super. Vous pensez que le travail est fait ? Pas du tout. Le RGPD impose une declaration officielle a la CNIL, avec trois conditions a verifier avant, une procedure en ligne specifique, et des formulaires differents selon votre situation. Et si vous vous trompez d'etape, votre DPO n'est pas reconnu et vous etes toujours en infraction.
On vous deroule tout, avec le vocabulaire des non-juristes. Source officielle : cnil.fr/fr/designation-dpo (derniere mise a jour CNIL : 3 avril 2026).
D'abord, etes-vous oblige de designer un DPO ?
L'article 37 du RGPD impose une obligation de designation dans trois cas :
- Organisme public : mairie, prefecture, hopital public, etablissement scolaire, organisme de securite sociale.
- Suivi regulier et systematique a grande echelle : plateforme e-commerce avec des millions de profils utilisateurs, outil de tracking publicitaire, reseau social, editeur de logiciel avec tracking comportemental.
- Traitement a grande echelle de donnees sensibles ou relatives a des condamnations : sante, religion, opinions politiques, orientation sexuelle, biometrie aux fins d'identifier, donnees genetiques, casier judiciaire.
Une PME classique de 20 a 100 salaries en B2B n'est pas soumise a l'obligation. Vous pouvez designer un DPO volontairement -- c'est meme fortement encourage pour les entreprises de services traitant des donnees clients et RH.
Si vous designez volontairement, attention : toutes les obligations du DPO s'appliquent de la meme facon. Vous ne pouvez pas demi-designer. C'est un choix.
Les 3 conditions cumulatives avant de declarer
Avant de remplir le formulaire CNIL, verifiez que la personne choisie reunit les trois conditions cumulatives imposees par le RGPD (articles 37 et 38).
Condition 1 -- Le statut
Le DPO doit pouvoir exercer ses missions sans conflit d'interets et en toute independance. Concretement :
- Il ne peut pas recevoir d'instructions sur la maniere dont il exerce ses missions.
- Il doit pouvoir rendre compte directement au plus haut niveau de direction.
- Il ne peut pas etre licencie ni sanctionne pour l'exercice de ses missions.
- Il ne peut pas cumuler avec une fonction qui determine les finalites et les moyens des traitements (DSI, DRH, dirigeant, responsable marketing, etc.).
Consequence pratique : votre DSI ne peut pas etre DPO. Votre dirigeant non plus. Votre responsable commercial non plus.
Condition 2 -- Les competences
Le DPO doit avoir des qualites professionnelles, notamment :
- Connaissance experte du droit de la protection des donnees personnelles.
- Connaissance des pratiques de protection des donnees.
- Connaissance du secteur d'activite de votre organisme.
- Capacite a communiquer avec les personnes concernees et avec la CNIL.
Pas besoin de diplome specifique, mais une certification CNIL ou AFNOR est un solide atout.
Condition 3 -- Les moyens
Vous devez donner a votre DPO les moyens necessaires pour exercer ses missions :
- Du temps (temps de travail consacre au DPO).
- Un budget (formations, outils, deplacements).
- Un acces a l'information (acces aux systemes, aux contrats, aux decisions strategiques).
- Du personnel si necessaire.
Si vous designez un DPO a 0 % de temps de travail, sans budget, sans acces aux systemes : c'est une fraude administrative. La CNIL peut considerer la designation comme non valide.
DPO interne ou externe : quelle option choisir ?
Option A -- DPO interne
Vous designez un salarie qui devient DPO. Avantages : connaissance fine de l'entreprise, reactivite. Inconvenients : conflit d'interets si il cumule, investissement formation, dependance a une seule personne.
Option B -- DPO externe personne physique
Vous externalisez a un consultant ou avocat independant. Avantages : expertise, independance naturelle, moins cher au demarrage. Inconvenients : moins de presence terrain.
Option C -- DPO externe personne morale
Vous externalisez a un cabinet specialise. Avantages : continuite en cas d'absence, veille juridique professionnelle, reseau. Inconvenients : cout, distance.
Pour une PME de 20 a 100 salaries, l'option B (DPO externe personne physique) est souvent le meilleur equilibre. Comptez 200 a 500 EUR par mois selon la complexite.
La procedure de declaration en ligne -- etape par etape
Etape 1 -- Acceder au service en ligne CNIL
Rendez-vous sur le service de designation en ligne officiel accessible depuis cnil.fr/fr/designation-dpo. Vous devrez creer un compte si vous n'en avez pas deja un.
Etape 2 -- Reunir les informations obligatoires
Avant de commencer, preparez :
- Votre numero SIREN (ou RNA pour les associations).
- L'identite complete du DPO :
- Si personne physique : nom, prenom, date de naissance, fonction, coordonnees professionnelles.
- Si personne morale : raison sociale, SIREN, adresse, personne de contact responsable du DPO.
- La date de prise de fonction.
- Un email de contact specifique pour les demandes DPO (formulation classique :
dpo@monsite.fr).
Etape 3 -- Choisir le bon formulaire
Selon votre situation :
- Premiere designation (vous n'avez jamais eu de DPO) : formulaire de designation initiale.
- Remplacement : formulaire de modification (vous aurez besoin du numero
DPO-xxxactuel). - Fin de mission sans remplacement : formulaire de fin de mission.
- Mise a jour d'informations (changement de coordonnees, de fonction) : formulaire de modification.
Piege classique : une PME a deja eu un DPO il y a 3 ans, le DPO est parti, on a oublie de declarer la fin. On veut designer un nouveau : il faut d'abord declarer la fin de mission de l'ancien, puis designer le nouveau. Sinon le formulaire refuse d'avancer.
Etape 4 -- Recevoir votre numero DPO-xxx
A l'issue de la declaration, la CNIL vous attribue un numero de designation au format DPO-xxxxx. Ce numero est le votre a vie pour votre organisme. Il apparait dans le registre public DPO accessible a tous.
Conservez ce numero : il vous servira pour toute modification future et pour prouver votre conformite a vos clients et partenaires.
Etape 5 -- Communiquer le DPO aux personnes concernees
Une fois le DPO declare, vous devez publier ses coordonnees :
- Sur votre politique de confidentialite (email et fonction du DPO, pas obligatoirement son nom).
- Aux salaries (affichage, note interne, intranet).
- Aux sous-traitants avec qui vous avez un DPA.
Si vous oubliez cette etape, vous avez un DPO declare... que personne ne peut contacter. C'est inutile.
"Comment savoir si je suis deja declare ?"
Cas typique : vous reprenez une entreprise qui a 10 ans et vous n'avez aucune visibilite sur le RGPD. La question se pose naturellement.
Deux methodes :
Methode 1 -- Le registre public DPO de la CNIL
La CNIL tient un registre public accessible a tous. En general, vous pouvez y rechercher par nom d'organisme. Si votre societe y figure avec un numero DPO-xxx : vous etes deja declare, a jour.
Methode 2 -- Outil de verification externe
Des services comme verify-org (developpe par rgpdsimplement) permettent de consulter en un coup d'oeil la declaration DPO d'une entreprise par son SIREN. Utile pour verifier vous-meme, ou pour verifier un prestataire.
"Combien de temps pour etre liste publiquement ?"
La CNIL met a jour le registre public en general sous 72 heures ouvrables apres validation de votre declaration. En periode de forte activite (fin d'annee, entree en vigueur de nouvelles obligations sectorielles), comptez jusqu'a 10 jours ouvres.
Si apres 15 jours votre designation n'apparait pas publiquement : contactez le service de designation de la CNIL via l'espace personnel qui a servi a la declaration.
Les 5 erreurs frequentes a eviter
Erreur 1 -- Designer le dirigeant comme DPO
Interdit. Il y a conflit d'interets automatique entre le dirigeant qui decide des traitements et le DPO qui les controle. Meme si vous etes une TPE de 3 personnes : non. Prenez un DPO externe.
Erreur 2 -- Designer le DSI comme DPO
Interdit pour les memes raisons. Le DSI decide des outils et des traitements ; il ne peut pas se controler lui-meme.
Erreur 3 -- Mettre l'email du DPO en copie d'un email general
Le DPO doit avoir un email specifique (dpo@, protection-donnees@, rgpd@). Un email generique type contact@ ne convient pas : les demandes d'exercice de droits qui arrivent sur l'adresse CNIL doivent etre tracables et isolees.
Erreur 4 -- Oublier de declarer la fin de mission du precedent DPO
Bloque les futures declarations. Prenez 5 minutes pour faire le menage avant de designer un nouveau.
Erreur 5 -- Ne pas donner de moyens au DPO
Si votre DPO n'a aucun temps alloue et aucun acces aux systemes, la designation est factice. En cas de controle, la CNIL peut qualifier la situation de "designation fictive" et ajouter une sanction specifique.
FAQ
Est-ce que la designation DPO est payante ? Non, le service de designation CNIL est gratuit. Ce qui coute, c'est la remuneration du DPO lui-meme.
Je suis une TPE de 5 personnes, je n'ai aucune obligation. Vaut-il le coup de designer ? Designer un DPO externe sur un forfait leger (par exemple 199 EUR par an pour un accompagnement de base) vous apporte : un interlocuteur pour toute question, un contact officiel en cas de controle CNIL, un argument commercial pour vos clients B2B exigeants. Pour une TPE, le ratio est souvent favorable.
Mon DPO est hors UE. C'est possible ? Oui, mais il est recommande d'avoir un DPO dans l'Union europeenne si vous traitez des donnees de citoyens europeens. L'argument : le DPO doit pouvoir dialoguer avec les autorites europeennes. Un DPO base a Montreal ou Londres post-Brexit est juridiquement possible mais operationnellement complique.
Mon DPO change tous les 6 mois (rotation en cabinet) : ca pose probleme ? Oui. La CNIL apprecie la continuite de la fonction. Un turnover eleve est un signal negatif en cas de controle. Preferez un DPO personne physique stable, ou un cabinet (personne morale) qui assure la continuite meme si le contact change.
Pour aller plus loin
- Designer un delegue a la protection des donnees -- page officielle CNIL
- [[2026-04-25-verifier-prestataire-conforme-rgpd-3-minutes|Verifier un prestataire conforme RGPD en 3 minutes]]
- Guide pratique RGPD -- Delegues a la protection des donnees -- PDF CNIL
La declaration DPO, c'est 30 minutes un mercredi apres-midi, et c'est fait pour plusieurs annees. Mais c'est un formulaire que vous devez remplir correctement : si le statut ou les moyens du DPO sont vicies, votre conformite l'est aussi.
Si vous voulez deleguer cette etape completement, rgpdsimplement propose un accompagnement avec un partenaire DPO externe : on configure la declaration, on documente les moyens mis a disposition, et on publie automatiquement vos coordonnees DPO sur votre politique de confidentialite. Voir les options.
-- Cloclo