Le DPO (data protection officer), ou délégué à la protection des données, est la personne qu’un organisme désigne pour le conseiller et contrôler la conformité de ses traitements de données personnelles au RGPD.
En français, la fonction est aussi abrégée DPD. Le règlement rend sa désignation obligatoire dans trois cas : les autorités et organismes publics, les organismes dont l’activité de base implique un suivi régulier et systématique des personnes à grande échelle, et ceux qui traitent à grande échelle des données sensibles ou relatives aux condamnations pénales. Hors de ces cas, la désignation reste possible. Le délégué peut être un salarié ou un intervenant externe, éventuellement commun à plusieurs organismes sous conditions. En France, la désignation se fait en ligne auprès de la CNIL.
Ses missions sont fixées par l’article 39 du RGPD. Il informe et conseille le responsable de traitement, le sous-traitant et leurs employés. Il contrôle le respect du règlement. Il conseille sur l’analyse d’impact relative à la protection des données et en vérifie l’exécution. Il coopère avec l’autorité de contrôle et sert de point de contact aux personnes concernées. Son statut protège son indépendance : il fait directement rapport au niveau le plus élevé de la direction, ne peut être sanctionné pour l’exercice de ses missions et ne doit pas déterminer lui-même les finalités et les moyens d’un traitement.
Le délégué ne porte pas la responsabilité de la conformité : elle reste celle du responsable de traitement ou du sous-traitant. Il se distingue du chief data officer, chargé de valoriser les données de l’entreprise, alors que le délégué veille aux droits des personnes dont les données sont traitées. Seule la désignation prévue par le RGPD confère le statut de délégué, quel que soit l’intitulé du poste. En marketing, le délégué intervient sur la prospection, les fichiers clients, les traceurs et le choix des prestataires qui reçoivent des données.
Beaucoup d’organisations attendent du DPO qu’il « valide » les projets. C’est une lecture erronée du texte. Le délégué conseille et contrôle ; la décision reste à la direction et aux métiers. La CNIL le rappelle dans sa page « Devenir délégué à la protection des données » (2016) : le délégué n’est pas responsable en cas de non-respect du règlement, et cette responsabilité ne peut pas lui être transférée par délégation de pouvoir. Nous recommandons de formaliser ce partage dès la désignation : qui décide, qui documente, qui tranche en cas de désaccord. Un avis du délégué qui n’est pas suivi doit être tracé, avec le motif de la décision.
Le choix ne se fait pas d’abord sur le coût. Il dépend de deux questions. Le délégué aura-t-il le temps et l’accès à l’information pour suivre les projets en amont ? Peut-il exercer sans conflit d’intérêts ? La CNIL écarte les fonctions qui conduisent à déterminer les finalités et les moyens d’un traitement, pour éviter que le délégué soit « juge et partie », et apprécie la situation au cas par cas. Un directeur marketing ou un responsable de la relation client est donc mal placé pour cumuler le rôle. Un délégué externe apporte du recul, mais il voit moins les projets naissants. Il lui faut alors un relais identifié dans chaque direction qui manipule des fichiers.
Nous proposons quelques repères, qui ne sont pas des normes. La part des projets marketing soumis au délégué avant leur lancement. Le délai de réponse aux demandes de droit d’accès, à comparer au délai d’un mois fixé par le RGPD, qui peut être porté à trois mois selon la complexité ou le nombre de demandes, selon la CNIL. Le nombre de fiches du registre revues dans l’année. La proportion d’avis du délégué suivis d’une action. Un délégué saisi uniquement après coup révèle un défaut d’organisation, pas un défaut de compétence.
Advalians diagnostique votre organisation et ses points de friction, puis vous aide à répartir les rôles entre équipes internes, prestataires et ressources mutualisées.
Advalians, cabinet de conseil indépendant en marketing et communication, vous aide à clarifier vos choix et à décider.
C’est déconseillé dans la plupart des cas, car ces fonctions déterminent les finalités et les moyens des traitements. La CNIL considère qu’un délégué ne peut pas être « juge et partie » et apprécie le conflit d’intérêts au cas par cas. Un chief data officer cherche à exploiter les données ; le délégué contrôle que cette exploitation respecte les droits des personnes. Critère pratique : si la personne pilote le budget ou le choix des outils marketing, désignez quelqu’un d’autre, en interne ou en externe.
Commencez par vérifier si votre organisme entre dans l’un des trois cas de désignation obligatoire prévus par le RGPD. Définissez ensuite le profil, le temps alloué et le rattachement, qui doit permettre un rapport direct au plus haut niveau de la direction. Formalisez la désignation par une lettre de mission, puis déclarez-la en ligne auprès de la CNIL. Enfin, nommez un correspondant dans chaque direction qui traite des données, en particulier le marketing et le service client.
Évaluez l’organisation qui l’entoure autant que la personne. Suivez la part des projets qui lui sont soumis avant lancement, le délai de traitement des demandes de droits, à comparer au délai d’un mois prévu par le RGPD, et le taux de mise à jour du registre. Ajoutez la proportion de ses avis suivis d’une action. Ces repères sont des propositions, non des normes. Une baisse des saisines en amont est un signal d’alerte à traiter en comité de direction.
Non : la responsabilité de la conformité reste celle du responsable de traitement ou du sous-traitant. La CNIL précise qu’elle ne peut pas être transférée au délégué par délégation de pouvoir. Le risque réel est ailleurs : croire que la présence d’un délégué suffit à couvrir l’organisme. Pour l’éviter, tracez chaque avis rendu, la décision prise et son motif. En cas de contrôle, ce dossier montre que l’organisme a été conseillé et qu’il a arbitré en connaissance de cause.
Le choix dépend du volume de projets et de la capacité à éviter les conflits d’intérêts. Un délégué interne connaît les équipes et voit les projets tôt, mais une PME a rarement une personne disponible et sans rôle de décision sur les traitements. Un délégué externe, éventuellement mutualisé entre plusieurs organismes sous conditions, apporte du recul et une expertise à jour. Dans ce cas, prévoyez un relais interne et un rendez-vous mensuel pour lui présenter les projets en cours.
