Blog

Le délégué à la protection des données (DPO) : faut-il en désigner un ?

5 septembre 2026 — 6 min de lecture

« Est-ce qu'on doit avoir un DPO ? » revient dans presque toutes les discussions RGPD de PME — souvent suivi d'une confusion entre « obligatoire » et « recommandé ». Les deux réponses comptent, mais elles ne se traitent pas de la même façon.

Quand la désignation est légalement obligatoire

Le RGPD impose un DPO dans trois cas précis : vous êtes un organisme public ; votre activité de base implique un suivi régulier et systématique des personnes à grande échelle (par exemple un service de géolocalisation ou de scoring de comportement) ; ou votre activité de base implique un traitement à grande échelle de données sensibles (santé, origine, opinions...) ou judiciaires. La très grande majorité des PME — un cabinet comptable, un e-commerçant, une agence de communication — ne rentre dans aucun de ces trois cas, et n'a donc aucune obligation légale de désigner un DPO.

Ce que le DPO fait réellement

Le DPO n'est pas responsable de la conformité à la place de l'entreprise — cette responsabilité reste celle du responsable de traitement (souvent le dirigeant). Son rôle est de conseiller et de contrôler : informer et conseiller l'organisme et ses salariés, vérifier le respect du RGPD en interne, être le point de contact de la CNIL et des personnes concernées, et coopérer avec l'autorité de contrôle en cas de besoin. Il agit en toute indépendance, sans recevoir d'instruction sur la façon d'exercer ses missions.

Interne, mutualisé, ou externalisé

Quand la désignation s'impose (ou quand une PME choisit d'en désigner un volontairement, souvent pour rassurer des clients ou des partenaires exigeants), trois formats existent : un salarié interne qui cumule cette fonction avec d'autres missions (à condition d'éviter tout conflit d'intérêt — un DRH ou un DSI qui déciderait lui-même des traitements qu'il est censé contrôler pose problème) ; un DPO mutualisé entre plusieurs structures d'un même groupe ou territoire ; ou un DPO externe, prestataire indépendant désigné officiellement auprès de la CNIL.

Pas de DPO ne veut pas dire pas de pilote

L'absence d'obligation de désigner un DPO ne dispense de rien d'autre : le registre des traitements, la réponse aux demandes des personnes, la sécurité des données restent dus. C'est là que la confusion coûte cher : des dirigeants concluent « pas de DPO obligatoire » = « rien à faire », alors que la bonne lecture est « quelqu'un en interne doit porter le sujet, sans que ce soit nécessairement un poste dédié ». C'est exactement le point de départ décrit dans notre article sur par où commencer en RGPD.