Le DPO que vous venez de nommer est peut-être en conflit d'intérêts — les 7 étapes d'une désignation qui tient

Il existe un scénario que nous rencontrons régulièrement en audit de conformité. Une organisation nous présente fièrement son DPO. La désignation date de plusieurs années, la personne est compétente, elle connaît ses dossiers. Puis on demande quelle est sa fonction principale, et la réponse tombe : directeur des systèmes d'information.

À ce moment précis, la désignation est fragile. Non parce que la personne fait mal son travail — souvent, elle le fait très bien — mais parce que la structure elle-même est incompatible avec le rôle. Et cette fragilité ne se révèle qu'au pire moment : lors d'un contrôle, ou après un incident, quand il faut démontrer que le dispositif était réel.

Voici la méthode que nous appliquons pour une désignation qui tient. Sept étapes, chacune assortie de la question de contrôle qui permet de vérifier qu'elle est réellement franchie.

Étape 1 — Déterminer si la désignation est obligatoire

Avant de chercher la bonne personne, il faut savoir si vous êtes tenu d'en avoir une. Le RGPD prévoit trois cas de désignation obligatoire.

Le premier concerne les autorités et organismes publics, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle. C'est le cas le plus simple à trancher.

Le deuxième vise les organismes dont les activités de base consistent en un suivi régulier et systématique de personnes à grande échelle. L'expression « activités de base » est déterminante : il s'agit de l'activité qui constitue le cœur du métier, pas d'une fonction support. Une entreprise qui surveille ses locaux par vidéo n'est pas concernée à ce titre ; une entreprise dont le métier est le ciblage publicitaire l'est.

Le troisième vise le traitement à grande échelle de données sensibles — santé, opinions, appartenance syndicale, données biométriques — ou de données relatives à des condamnations et infractions.

Si aucun des trois ne s'applique, la désignation reste possible à titre volontaire. Attention toutefois : une désignation volontaire n'est pas un DPO « allégé ». Dès lors que vous désignez quelqu'un comme DPO, l'ensemble du régime s'applique — indépendance, moyens, protection contre la sanction, notification. Si vous souhaitez simplement un référent interne sans ce régime, ne l'appelez pas DPO et ne le notifiez pas comme tel.

Étape 2 — Choisir entre interne, externe et mutualisé

Trois configurations sont possibles, et le RGPD les autorise toutes.

Le DPO interne est un salarié qui exerce cette fonction à temps plein ou à temps partiel. Son avantage est la connaissance fine de l'organisation. Son inconvénient, pour une PME, est double : le temps partiel crée mécaniquement un risque de conflit avec la fonction principale, et la compétence juridique est difficile à maintenir sur une activité minoritaire.

Le DPO externe est un prestataire désigné par contrat. Il apporte une compétence à jour et une indépendance structurelle — il n'a pas de supérieur hiérarchique dans l'organisation contrôlée. Son inconvénient est la distance : un DPO externe qui n'est saisi qu'une fois par an ne peut pas jouer son rôle de conseil en amont des projets.

Le DPO mutualisé est partagé entre plusieurs entités d'un même groupe, à condition qu'il reste facilement joignable depuis chaque établissement. C'est une solution efficace pour les groupes de PME, à condition de dimensionner le temps disponible.

Notre recommandation pour une structure de moins de deux cents personnes aux traitements classiques : l'externalisation, complétée par un correspondant interne clairement identifié qui sert de relais opérationnel. Cette combinaison résout le problème de compétence sans créer le problème de conflit.

Étape 3 — Vérifier l'absence de conflit d'intérêts

C'est l'étape que la majorité des organisations franchissent sans la traiter, et c'est celle qui invalide le plus souvent le dispositif.

Le principe est simple à énoncer : le DPO ne peut pas occuper une fonction qui l'amène à déterminer les finalités et les moyens des traitements. La raison est évidente une fois formulée : il contrôlerait ses propres décisions.

En pratique, cela exclut les fonctions de direction générale, de direction financière, de direction des ressources humaines, de direction marketing et — le cas le plus fréquent — de direction des systèmes d'information.

Le cas du DSI mérite d'être détaillé parce qu'il est contre-intuitif. On le nomme DPO en croyant bien faire : c'est la personne qui comprend les systèmes, qui connaît les données, qui parle aux prestataires. Mais c'est aussi la personne qui choisit l'hébergeur, qui paramètre les durées de conservation, qui décide des outils de mesure d'audience. Elle détermine des moyens. La désigner DPO revient à lui demander de contrôler ses propres arbitrages.

Le cas du RSSI est plus nuancé. La sécurité et la protection des données sont des disciplines voisines mais distinctes, et la fonction de RSSI n'implique pas nécessairement de déterminer les finalités. L'analyse doit être menée au cas par cas selon le périmètre réel de décision. Notre position : c'est possible dans une petite structure où le RSSI n'a pas de pouvoir de décision sur les traitements, risqué partout ailleurs.

Étape 4 — Formaliser la lettre de mission et les moyens

Une désignation sans lettre de mission est une intention. La lettre transforme l'intention en dispositif vérifiable, et c'est elle que l'on vous demandera de produire.

Quatre éléments doivent y figurer explicitement.

Le périmètre : quelles entités, quels établissements, quels traitements. Pour un groupe, la question de savoir si le DPO couvre les filiales n'a rien d'évident et se règle par écrit.

Le temps alloué : un pourcentage d'équivalent temps plein pour un interne, un volume de jours pour un externe. Un DPO à qui l'on n'a alloué aucun temps identifiable ne peut pas exercer, et ce point est vérifiable objectivement.

Le budget de formation : le droit de la protection des données évolue, la jurisprudence aussi. Un DPO qui n'a pas de budget pour maintenir sa compétence perd sa qualification en deux ou trois ans.

Les accès : le DPO doit pouvoir consulter les traitements, interroger les équipes, accéder aux contrats de sous-traitance. Sans accès formalisés, chaque demande devient une négociation.

Étape 5 — Notifier la CNIL et publier les coordonnées

Cette étape est purement administrative et pourtant fréquemment omise. La désignation doit être notifiée à l'autorité de contrôle — la CNIL en France — et les coordonnées du DPO doivent être publiées, typiquement dans la politique de confidentialité et sur la page de contact.

Deux erreurs reviennent. La première est de publier une adresse générique non relevée, du type « contact@ », qui vide la mesure de son sens : les personnes concernées doivent pouvoir joindre le DPO directement pour exercer leurs droits. La seconde est d'oublier de mettre à jour la notification lors d'un changement de titulaire — un DPO parti depuis deux ans et toujours notifié est un indicateur immédiat pour un contrôleur.

Notez que la publication des coordonnées n'oblige pas à publier le nom : une adresse fonctionnelle dédiée, effectivement relevée par le DPO, satisfait l'exigence tout en protégeant la personne.

Étape 6 — Organiser le rattachement et la saisine

Le RGPD prévoit que le DPO fait directement rapport au niveau le plus élevé de la direction. Ce n'est pas une marque de prestige, c'est une protection : le DPO doit pouvoir signaler un problème sans que l'information soit filtrée par la personne concernée par ce problème.

Concrètement, cela signifie que le DPO ne peut pas être rattaché à la direction informatique ou à la direction juridique si celles-ci sont parties prenantes des traitements. Le rattachement se fait à la direction générale, avec un canal de remontée direct.

Le second volet est la saisine en amont. Le règlement prévoit que le DPO soit associé « d'une manière appropriée et en temps utile » à toutes les questions relatives à la protection des données. En pratique, cela veut dire que le DPO est consulté avant le lancement d'un projet qui traite des données, pas après.

Le mécanisme le plus simple consiste à inscrire une case « DPO consulté » dans le processus de validation des projets. C'est rudimentaire et redoutablement efficace : ce qui n'est pas dans le processus n'existe pas.

Étape 7 — Mettre en place le reporting annuel

Le rapport annuel du DPO est l'élément qui démontre que le dispositif fonctionne réellement. Il n'a pas de forme imposée, et quelques pages suffisent.

Un contenu utile comprend : les traitements ajoutés ou modifiés dans l'année, les demandes d'exercice de droits reçues et leur délai de traitement, les analyses d'impact menées, les incidents et leur suite, les actions de sensibilisation réalisées, et les points d'alerte non traités.

Ce dernier point est le plus important et le plus souvent absent. Un rapport qui ne signale aucune difficulté est un rapport qui n'a pas été écrit librement. La valeur du document tient précisément à sa capacité à documenter ce qui n'a pas été fait — c'est ce qui prouve l'indépendance du DPO et ce qui protège l'organisation en démontrant qu'elle avait mis en place un dispositif de détection.

Les 3 erreurs qui reviennent le plus souvent

• Nommer le responsable informatique. Erreur structurelle, la plus fréquente, et la plus simple à corriger : externalisez la fonction de DPO et gardez le DSI comme interlocuteur technique. Les deux rôles deviennent complémentaires au lieu d'être en conflit.
• Désigner sans moyens. Un DPO sans temps alloué, sans budget de formation et sans accès formalisés est une case cochée. Cela ne protège de rien et cela crée une exposition supplémentaire : vous avez désigné, donc vous êtes soumis au régime complet.
• Croire que le DPO porte la responsabilité juridique. Il ne la porte pas. Le responsable de traitement reste responsable. Une organisation qui présente le DPO comme le porteur du risque se prive du bénéfice du dispositif et envoie un signal défavorable en cas de contrôle.

Cette démarche s'articule avec le reste de votre dispositif de conformité. Nos ressources sur le périmètre d'application de NIS2 précisent comment articuler protection des données et obligations de sécurité, et notre guide RGPD pratique en entreprise couvre le registre des traitements, qui est le premier livrable que tout DPO réclamera. Sur la gestion des incidents impliquant des données personnelles, notre plan de sauvegarde informatique détaille les mesures techniques attendues.

Pour les équipes techniques qui construisent les traitements eux-mêmes, nos confrères de D-Open publient sur l'audit des dépendances et la traçabilité logicielle, et Plug-Tech documente les obligations qui pèsent sur les systèmes d'IA — un sujet où le DPO est systématiquement sollicité et rarement outillé.

Questions fréquentes

La désignation d'un DPO est-elle obligatoire pour une PME ?

Pas systématiquement. Le RGPD impose la désignation dans trois cas : lorsque l'organisme est une autorité ou un organisme public ; lorsque les activités de base consistent en un suivi régulier et systématique de personnes à grande échelle ; lorsque les activités de base consistent en un traitement à grande échelle de données sensibles ou relatives à des condamnations. Beaucoup de PME ne relèvent d'aucun de ces cas, mais la désignation volontaire est possible et emporte alors les mêmes obligations.

Peut-on nommer le responsable informatique comme DPO ?

C'est le cas le plus fréquent et le plus problématique. Le DPO ne peut pas occuper une fonction qui l'amène à déterminer les finalités et les moyens des traitements, car il contrôlerait alors ses propres décisions. Un directeur des systèmes d'information choisit les outils, décide des durées de conservation et arbitre les hébergements : il détermine des moyens. Les fonctions de direction générale, financière, marketing, ressources humaines et informatique sont généralement considérées comme incompatibles.

Le DPO est-il responsable en cas de manquement au RGPD ?

Non. La responsabilité de la conformité reste celle du responsable de traitement, c'est-à-dire l'organisme et sa direction. Le DPO informe, conseille et contrôle ; il ne décide pas. C'est d'ailleurs pourquoi son indépendance est protégée : il doit pouvoir signaler un manquement sans craindre de sanction. Une organisation qui présente le DPO comme le porteur du risque juridique a mal compris le dispositif et fragilise sa propre défense.

Combien coûte un DPO externalisé ?

Le coût dépend du volume de traitements et du niveau d'accompagnement. Pour une PME dont les traitements sont classiques — ressources humaines, clients, prospection, vidéosurveillance — une prestation récurrente de quelques jours par an suffit généralement à tenir le registre, traiter les demandes d'exercice de droits et produire le rapport annuel. Le principal facteur de coût n'est pas la taille de l'organisation mais la présence de traitements sensibles ou d'un site web fortement instrumenté.