Fin 2024, la CNIL recensait déjà plus de 103 600 organismes ayant notifié un délégué à la protection des données, et en 2025 la Cour des comptes a chiffré à environ 32 000 le nombre d'organismes ayant réellement désigné un DPO actif, dont près de 60 % en mutualisation entre plusieurs entités (CNIL, Cour des comptes, 2026). Si votre entreprise traite des données personnelles en France, dans l'Union européenne ou dans un pays doté de sa propre loi de protection des données, la question « ai-je besoin d'un DPO ? » ne se résout pas par une réponse générique trouvée sur un forum.
Votre service juridique a probablement déjà entendu utiliser « DPO », « délégué à la protection des données » et « privacy officer » comme s'il s'agissait d'un seul et même statut valable partout. Ce n'est pas le cas. Le RGPD, la loi californienne CCPA, la LGPD brésilienne, la PIPEDA canadienne, la PDPA thaïlandaise et la POPIA sud-africaine définissent chacune, avec leurs propres critères, qui doit nommer ce responsable, ce qu'il fait concrètement et ce qui se passe en cas d'absence de désignation. Confondre les règles d'un texte avec celles d'un autre reste l'erreur la plus fréquente, et la plus coûteuse, en matière de conformité multi-juridictions.
Points Clés
➤ Le RGPD n'impose un DPO que dans trois cas précis de l'article 37 : autorité publique, suivi systématique à grande échelle, ou traitement à grande échelle de données sensibles. Ce n'est pas une obligation universelle.
➤ La CNIL recensait plus de 103 600 organismes ayant notifié un DPO à fin 2024, mais la Cour des comptes estime que seuls environ 32 000 disposent d'un DPO réellement actif et à jour, révélant un écart de fiabilité que l'institution veut corriger d'ici fin 2027 (CNIL, Cour des comptes 2026).
➤ La taille de l'entreprise n'est pas, en elle-même, un critère du RGPD : une PME peut être concernée si son activité principale implique un traitement à grande échelle, tandis qu'une grande entreprise sans ce type de traitement peut ne pas l'être.
➤ Hors Union européenne, les critères diffèrent radicalement : la LGPD brésilienne impose un encarregado à la quasi-totalité des responsables de traitement, tandis que la POPIA sud-africaine rend la désignation obligatoire pour toute organisation, sans aucun seuil.
Qu'est-ce qu'un Délégué à la Protection des Données (DPO) ?
Délégué à la protection des données (DPO) : la personne désignée par un organisme pour servir de point de contact entre l'entreprise, les personnes concernées et l'autorité de contrôle compétente, tout en supervisant le respect de la réglementation applicable en matière de données personnelles.
Le nom change selon le texte : « délégué à la protection des données » dans le RGPD français et la PDPA thaïlandaise, « encarregado » dans la LGPD brésilienne, « privacy officer » dans la PIPEDA canadienne, « information officer » dans la POPIA sud-africaine. La fonction, elle, reste la même : conseiller l'organisme sur ses obligations, surveiller l'application des politiques internes de protection des données, et servir de canal pour les réclamations des personnes concernées comme pour les demandes du régulateur.
Ce rôle diffère de celui d'un représentant légal. Certains textes, comme le RGPD pour les entreprises hors UE traitant des données de résidents européens, ou la PDPA thaïlandaise pour les entreprises étrangères, exigent en plus la désignation d'un représentant local servant de point de contact formel avec l'autorité : une obligation distincte, qui peut coexister avec celle du DPO sans s'y substituer.
Pour exercer sa mission efficacement, le DPO doit disposer d'une véritable indépendance : la CNIL rappelle qu'il ne peut recevoir aucune instruction dans l'exercice de ses missions, ne doit pas être pénalisé pour l'exécution de ses tâches, et doit pouvoir rendre compte directement au niveau le plus élevé de la direction (CNIL, définition du DPO).
Quelles Sont les Responsabilités du DPO ?
L'article 39 du RGPD liste les missions minimales du DPO, et cette liste sert souvent de référence pratique même hors de l'Union européenne :
- Informer et conseiller le responsable du traitement, le sous-traitant et les employés sur leurs obligations en matière de protection des données.
- Contrôler le respect du RGPD, des autres dispositions applicables et des politiques internes de l'organisme en matière de protection des données.
- Dispenser des conseils sur les analyses d'impact relatives à la protection des données (AIPD) et vérifier leur exécution, conformément à l'article 35.
- Coopérer avec l'autorité de contrôle.
- Faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable prévue à l'article 36.
Dans la pratique quotidienne, ces missions se traduisent par des activités que la loi ne détaille pas mot pour mot mais qui en découlent directement : former les équipes internes, tenir à jour le registre des risques liés à la vie privée de l'organisme, et revoir les contrats avec les sous-traitants qui manipulent des données personnelles pour le compte du responsable.
Une confusion revient souvent : le DPO conseille, il ne décide pas. Si l'équipe marketing choisit un nouvel outil d'automatisation, c'est au DPO d'évaluer si ce prestataire, en tant que sous-traitant, respecte les exigences légales et de recommander des ajustements, pas de valider ou de bloquer seul l'achat. C'est précisément pour cette raison que la responsable marketing ne devrait pas cumuler la fonction de DPO : le conflit entre « ce qui sert le mieux le marketing » et « ce qui sert le mieux la conformité » ne se résout pas toujours dans le même sens.
Garder cette traçabilité organisée, savoir quelle base légale, quel contrat de sous-traitance et quelle analyse de risque justifient chaque activité de traitement, devient rapidement intenable sur un simple tableau au-delà d'un certain volume. Le module Politiques & Documents de la Plateforme de Gouvernance de la Vie Privée et de l'IA de Secure Privacy centralise ces politiques, leurs versions et leurs approbations en un seul endroit : le type de preuve qu'un DPO doit pouvoir produire en premier lors d'un contrôle.
Qui Doit Désigner un DPO ? Comparaison de Six Textes
Chaque loi de protection des données applique son propre test pour déterminer qui doit désigner un DPO, et présumer qu'un seul critère (la taille, le secteur, le volume) s'applique partout est la source d'erreur la plus fréquente dans les audits multi-juridictions.
| Texte | Quand le DPO est obligatoire | Qui désigne | Publicité de la désignation exigée ? | Sanction en cas de non-conformité |
|---|---|---|---|---|
| RGPD (Union européenne) | Uniquement dans trois cas de l'art. 37 : autorité/organisme public ; suivi régulier et systématique à grande échelle comme activité principale ; ou traitement à grande échelle de données sensibles/pénales comme activité principale | Responsable du traitement ou sous-traitant | Oui : les coordonnées du DPO doivent être communiquées à l'autorité de contrôle et, en pratique, publiées pour les personnes concernées | Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (art. 83, §4) |
| CCPA/CPRA (Californie, États-Unis) | N'exige pas nommément un « DPO » ; impose seulement qu'un responsable interne ou externe de la conformité soit désigné | L'entreprise responsable du traitement | Aucune obligation de publier le nom du responsable désigné | 2 663 USD par manquement non intentionnel ; 7 988 USD par manquement intentionnel ou concernant des mineurs (montants 2025-2026 ajustés par la CPPA) |
| LGPD (Brésil) | Obligatoire pour la quasi-totalité des responsables de traitement (art. 41), avec dispense conditionnelle pour les agents de petite taille via la Résolution CD/ANPD n° 2/2022 | Responsable du traitement (le sous-traitant peut aussi en désigner un volontairement) | Oui : l'identité et les coordonnées doivent être publiées de façon claire et objective (art. 41, §1) | Avertissement, blocage/suppression des données, amende simple jusqu'à 2 % du chiffre d'affaires au Brésil, plafonnée à 50 millions de reais par infraction |
| PIPEDA (Canada) | N'utilise pas le terme « DPO », mais impose à toute organisation soumise à la loi de désigner un « privacy officer » responsable de la conformité, au titre du principe de responsabilisation | L'organisation, quelle que soit sa taille | Oui : le nom ou la fonction du responsable doit être communiqué en interne et en externe (site web notamment) | Jusqu'à 100 000 CAD par infraction dans les poursuites par mise en accusation |
| PDPA (Thaïlande) | Obligatoire uniquement pour : les organismes publics désignés ; les responsables/sous-traitants identifiés par avis du PDPC (grande échelle ou suivi systématique) ; ou une activité principale portant sur des données sensibles (section 41) | Responsable du traitement ou sous-traitant | Oui : l'identité et le canal de contact du DPO doivent être communiqués au PDPC et aux personnes concernées | Amende administrative jusqu'à 1 000 000 THB (environ 27 000 USD) |
| POPIA (Afrique du Sud) | Obligatoire pour toute « responsible party » (tout organisme traitant des données personnelles), sans seuil conditionnel de taille ou de type de données | La responsible party (l'entreprise elle-même) | Oui : l'enregistrement de l'Information Officer est obligatoire auprès de l'Information Regulator avant l'exercice de ses fonctions | Jusqu'à 10 millions de rands et/ou jusqu'à 10 ans d'emprisonnement pour les infractions les plus graves (section 107) |
Une logique se dégage nettement de ce tableau : la LGPD et la POPIA traitent la désignation comme une règle générale avec peu d'exceptions, tandis que le RGPD et la PDPA conditionnent l'obligation à des critères précis d'échelle ou de type de données, et la CCPA comme la PIPEDA évitent le terme « DPO » sans pour autant dispenser d'une fonction équivalente. Traiter ces six textes comme des variantes d'une seule et même règle est l'erreur qui revient le plus souvent lors des audits de conformité multi-juridictions.
Le Cas Particulier de la France : Ce Que Dit la CNIL
Pour une entreprise établie en France ou visant le marché français, le RGPD se lit toujours à travers la doctrine et les procédures propres à la CNIL, qui va parfois plus loin que le texte européen sur des points pratiques.
Trois critères, pas un seuil de taille. La CNIL le rappelle explicitement : le nombre de salariés ou le chiffre d'affaires n'est pas, en soi, un critère de l'obligation. Une start-up peut être concernée dès que son activité principale repose sur un traitement massif de données personnelles ou de catégories particulières de données, tandis qu'une entreprise de taille intermédiaire sans ce type de traitement peut légitimement ne pas l'être (CNIL, guide pratique RGPD des DPO).
La désignation se notifie en ligne, et une seule fois par SIREN actif. L'organisme doit vérifier trois prérequis avant de désigner son DPO via le téléservice de la CNIL : les compétences juridiques et techniques du candidat, les ressources et le temps qui lui sont alloués, et son indépendance vis-à-vis de tout conflit d'intérêts (CNIL, désignation d'un DPO).
Le DPO mutualisé, une solution très répandue en pratique. Un groupe d'entreprises peut désigner un seul délégué pour plusieurs entités, à condition qu'il reste facilement joignable depuis chaque établissement. C'est loin d'être une exception marginale : selon l'estimation de la Cour des comptes publiée en 2026, près de 60 % des organismes ayant un DPO actif partagent ce même délégué avec au moins une autre structure.
Un écart de fiabilité que la CNIL elle-même reconnaît. Fin 2024, la base de la CNIL recensait plus de 103 600 organismes ayant notifié un DPO. Mais un rapport de la Cour des comptes publié en 2026 a identifié de nombreuses incohérences dans cette base et estimé qu'environ 32 000 organismes seulement disposaient d'un DPO réellement actif et à jour, recommandant à la CNIL de fiabiliser ce fichier d'ici fin 2027. Concrètement : être inscrit dans la base ne suffit pas, il faut aussi mettre à jour la désignation dès qu'elle change, sous peine de créer soi-même l'écart que le régulateur cherche à corriger.
L'enquête DPO de la CNIL confirme une démocratisation du métier. Sur 3 625 DPO ayant répondu à l'enquête 2024 de la CNIL, la part de ceux qui travaillent dans des structures de moins de 250 salariés a progressé de 19 points depuis 2019, atteignant 57 % des DPO internes et mutualisés. Le rôle n'est donc plus l'apanage des grands groupes : il s'est diffusé dans les PME, souvent sans profil juridique ou informatique dédié, ce qui explique en partie pourquoi la CNIL insiste autant sur les ressources et la formation continue mises à disposition du DPO (CNIL, Observatoire DPO 2024).
Le risque de sanction est réel, même sans faute grave. En 2025, la CNIL a prononcé 486,8 millions d'euros d'amendes cumulées sur 83 décisions, un record par rapport aux 55,2 millions de 2024, dont 67 sanctions traitées par la procédure simplifiée pouvant atteindre 20 000 euros pour des manquements courants. Le défaut de désignation d'un DPO obligatoire n'entraîne pas systématiquement une sanction financière immédiate : la CNIL privilégie d'abord le rappel à l'ordre, mais le plafond légal reste celui de l'article 83 du RGPD, soit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (CNIL, bilan des sanctions 2025).
Un exemple concret : la commune de Kourou. En avril 2022, la CNIL a mis en demeure 22 communes n'ayant pas désigné de DPO, avec quatre mois pour se mettre en conformité. La commune de Kourou n'a ni désigné de délégué ni répondu à la CNIL dans ce délai : elle a d'abord reçu une sanction non publique de 5 000 euros en décembre 2023, puis une astreinte de 150 euros par jour de retard qui a fini par être liquidée à 6 900 euros en 2024, la procédure n'ayant été close qu'après la désignation effective d'un DPO (CNIL ; Archimag). Le cas illustre que même une amende modeste, cumulée à une astreinte journalière, finit par peser lourd sur une structure qui ignore les rappels du régulateur.
Ai-je Besoin d'un DPO ? Test de Décision
Si votre entreprise traite des données personnelles sous plusieurs des textes ci-dessus, la réponse n'est presque jamais un « oui » ou un « non » unique : elle dépend de la loi applicable à chaque activité. Pour trancher, posez-vous ces quatre questions.
- Dans quelles juridictions se trouvent vos personnes concernées ? Une entreprise française qui ne vend qu'en France reste soumise au seul RGPD français ; une entreprise qui vend aussi en Californie ou traite des données de résidents brésiliens doit évaluer séparément les critères CCPA et LGPD.
- Quelle est l'échelle de votre traitement ? Pour le RGPD et la PDPA thaïlandaise, c'est le critère décisif. Pour la LGPD et la POPIA, l'échelle ne joue qu'un rôle secondaire, dans l'appréciation des dispenses.
- Traitez-vous des données sensibles, ou faites-vous du suivi systématique comme activité principale ? Cette question est déterminante pour le RGPD et la PDPA ; pour la LGPD et la POPIA, elle n'affecte que l'éligibilité à une dispense spécifique.
- Votre entreprise est-elle soumise à plusieurs textes en même temps ? Dans ce cas, la voie la plus sûre consiste à désigner un DPO qui respecte le standard le plus exigeant parmi les textes applicables, plutôt que de maintenir des DPO ou des processus séparés par juridiction.
Si la réponse reste incertaine après ce test, la désignation volontaire reste une bonne pratique reconnue : le Comité européen de la protection des données recommande explicitement de désigner un DPO même en dehors des cas obligatoires, et la CNIL rappelle qu'aucune loi n'interdit à une PME dispensée de le faire par prudence.
Après la Désignation : Ce Qui Change au Quotidien
Désigner le DPO marque le début du travail, pas la fin. Une fois la désignation notifiée à la CNIL, l'organisme doit généralement :
- Donner accès à toutes les ressources pertinentes : politiques internes, contrats de sous-traitance et analyses de risque déjà réalisées.
- Garantir une autorité réelle : le DPO doit pouvoir remonter directement à la direction générale et recommander des changements sans crainte de représailles.
- Formaliser le canal avec les personnes concernées et le régulateur : publier les coordonnées du DPO là où le texte applicable l'exige (voir la colonne « publicité de la désignation » du tableau ci-dessus).
- Maintenir une veille continue : le report des obligations « haut risque » de l'AI Act européen, décidé par le Digital Omnibus en 2026 et repoussé au 2 décembre 2027 pour les systèmes autonomes et au 2 août 2028 pour l'IA intégrée à des produits réglementés, illustre bien le type de changement qu'un DPO doit suivre en temps réel plutôt qu'après coup.
Le périmètre du poste évolue de son propre chef : selon le rapport Salaire et Emploi 2025-26 de l'IAPP, 68 % des professionnels de la vie privée ont déjà pris en charge des responsabilités de gouvernance de l'IA, une extension d'un rôle qui, il y a encore quelques années, restait essentiellement juridique et opérationnel. Classer les systèmes d'IA par niveau de risque et documenter les décisions automatisées n'est donc plus une tâche isolée confiée à une équipe technique : ce travail rejoint le même programme que le DPO supervise déjà pour le RGPD.
Suivre cette cartographie manuellement, juridiction par juridiction et système d'IA par système d'IA, cesse rapidement d'être tenable. Le module Gouvernance de l'IA de la Plateforme de Gouvernance de la Vie Privée et de l'IA de Secure Privacy permet au DPO de classer les systèmes d'IA par niveau de risque, de les relier aux réglementations applicables et de générer une documentation prête pour un audit, sans dépendre d'un tableau différent par pays.
Foire Aux Questions
Toutes les entreprises doivent-elles désigner un DPO ?
Non. L'obligation dépend du texte applicable : le RGPD n'exige un DPO que dans trois cas précis de l'article 37 (autorité publique, suivi systématique à grande échelle, ou traitement à grande échelle de données sensibles), la LGPD brésilienne l'impose à la quasi-totalité des responsables de traitement, et la CCPA comme la PIPEDA n'utilisent même pas le terme « DPO », en exigeant simplement un responsable équivalent de la conformité.
Une PME française doit-elle désigner un délégué à la protection des données ?
Cela dépend de son activité, pas de sa taille. La CNIL le précise explicitement : le nombre de salariés n'est pas un critère du RGPD. Une PME est concernée si son activité principale implique un suivi systématique à grande échelle ou un traitement à grande échelle de données sensibles ; dans le cas contraire, la désignation reste recommandée mais non obligatoire.
Le RGPD s'applique-t-il à une entreprise établie hors de l'Union européenne ?
Oui, dès qu'elle traite les données personnelles de résidents de l'Union européenne dans le cadre d'une offre de biens ou de services, ou d'un suivi de leur comportement. Cette entreprise reste soumise aux mêmes critères de l'article 37 pour déterminer si elle doit désigner un DPO, et devra en général désigner en plus un représentant dans l'UE si elle n'y dispose d'aucun établissement.
Le DPO est-il personnellement responsable en cas de manquement au RGPD ?
Non. Le DPO ne répond pas personnellement des violations de la loi : la responsabilité finale de la conformité incombe au responsable du traitement ou au sous-traitant. Le rôle du DPO consiste à conseiller, surveiller et signaler les risques, pas à supporter la sanction à la place de l'organisme.
Quelles qualifications sont nécessaires pour devenir DPO ?
Le RGPD exige des « qualités professionnelles » et une connaissance spécialisée du droit et des pratiques de protection des données, sans imposer de diplôme juridique formel. Des certifications comme le CIPP/E ou le CDPO démontrent souvent cette expertise en pratique, et en France la CNIL agrée directement plusieurs organismes de certification des compétences du DPO (AFNOR Certification, Bureau Veritas Certification France, PECB, APAVE Certification, Lexing Technologies), mais aucun des six textes comparés n'en fait une exigence légale.
Peut-on désigner un DPO mutualisé entre plusieurs entités d'un même groupe ?
Oui, à condition que ce DPO reste facilement joignable depuis chaque établissement et conserve son indépendance envers chaque entité. La CNIL confirme que cette pratique, très répandue en France, est expressément autorisée lorsque plusieurs organismes appartiennent au même groupe.
Conclusion
Désigner un DPO n'est pas une exigence unique avec une réponse unique : ce sont six tests différents, chacun avec son propre déclencheur, sa propre règle de publicité et sa propre sanction. Traiter le RGPD comme s'il suivait le seuil universel de la LGPD, ou présumer que la POPIA conditionne la désignation à un critère qui n'existe en réalité que dans un autre texte, est le type d'erreur qui n'apparaît qu'au moment où un régulateur pose déjà la question.
Maintenir cette cartographie à la main, texte par texte et système d'IA par système d'IA, cesse de tenir dès qu'une entreprise opère dans plus d'une juridiction. La Plateforme de Gouvernance de la Vie Privée et de l'IA de Secure Privacy réunit la Cartographie des Données & Registre des Traitements, la gestion des DSAR, les évaluations d'impact (AIPD, TIA, AIA), la Gouvernance de la Maturité et un module dédié de Gouvernance de l'IA dans un même tableau de bord, couvrant plus de 60 réglementations, dont les six comparées ici. Réservez une démonstration pour voir comment votre équipe peut suivre les obligations du DPO dans chaque juridiction sans dépendre d'un tableau Excel.
