C’est l’une des premières questions que me posent les dirigeants de petites entreprises, souvent avec une pointe d’inquiétude : « Est-ce que je dois avoir un DPO ? ». Le sigle recouvre simplement le délégué à la protection des données, la personne chargée de veiller à ce que l’organisme respecte le RGPD. La réponse courte : dans la plupart des TPE, ce n’est pas obligatoire. Mais « pas obligatoire » ne veut pas dire « inutile », et il y a des cas où la loi l’impose. Voici comment faire le tri.

Les trois cas où la désignation est obligatoire

L’article 37 du règlement européen (RGPD) prévoit trois situations. Un organisme doit désigner un délégué dans l’un des cas suivants :

Il s’agit d’une autorité ou d’un organisme public : commune, intercommunalité, établissement public, à l’exception des tribunaux dans l’exercice de leur fonction juridictionnelle.
Son activité principale consiste à suivre les personnes de manière régulière et systématique, à grande échelle : par exemple une entreprise dont le cœur de métier est la géolocalisation de personnes ou le suivi de leur comportement en ligne.
Son activité principale consiste à traiter à grande échelle des données sensibles (santé, opinions, origine, vie sexuelle, données biométriques ou génétiques) ou des données relatives à des condamnations et infractions.

Les mots qui comptent sont « activité principale » et « à grande échelle ». La paie de vos salariés ou votre fichier clients ne constituent pas votre activité principale, même s’ils sont indispensables. Et un cabinet de quelques personnes ne traite pas, en règle générale, des données « à grande échelle ». En revanche, la CNIL précise que cette appréciation dépend du nombre de personnes concernées, du volume de données, de la durée et de l’étendue géographique : chaque situation se regarde au cas par cas.

Et pour une TPE ordinaire ?

Un commerce, un artisan, un cabinet de comptabilité, une agence immobilière ou un bureau d’études n’entre le plus souvent dans aucun de ces trois cas. La désignation est alors facultative. Cela ne dispense pas de respecter le RGPD : le registre des traitements, l’information des personnes, la sécurité des données et l’encadrement des sous-traitants restent des obligations, comme je l’explique dans l’article sur les obligations essentielles du RGPD pour les TPE.

La CNIL encourage d’ailleurs la désignation volontaire, parce qu’elle donne un point de référence clair dans l’organisation. Dans une petite structure, la question utile n’est donc pas « suis-je obligé ? » mais « qui, chez nous, a le temps et la compétence pour tenir ce rôle ? ».

Ce que fait réellement un délégué

L’article 39 du règlement liste ses missions. En pratique :

informer et conseiller l’organisme et ses salariés sur leurs obligations ;
contrôler que les règles sont appliquées, au fil des nouveaux outils, des nouveaux prestataires et des nouveaux usages ;
conseiller sur les analyses d’impact lorsqu’un traitement présente un risque élevé ;
être le point de contact de la CNIL et des personnes qui exercent leurs droits.

Le délégué conseille, il ne décide pas à la place du dirigeant. La responsabilité de la conformité reste celle de l’organisme.

Désigner un salarié ou faire appel à un prestataire ?

Le règlement permet les deux : le délégué peut être un membre du personnel ou exercer ses missions sur la base d’un contrat de service (article 37, paragraphe 6). Deux points demandent de la vigilance si vous choisissez un salarié :

L’absence de conflit d’intérêts (article 38) : la personne ne peut pas être celle qui décide des finalités et des moyens des traitements. Le dirigeant, le responsable informatique ou le responsable des ressources humaines se retrouvent souvent dans cette situation.
Le temps et les connaissances : la fonction suppose une double compétence, réglementaire et technique, et du temps réservé. Dans une petite équipe, c’est rarement disponible.

C’est pour cela que beaucoup de petites structures choisissent un délégué externalisé, à temps partagé. Je détaille cette organisation sur la page délégué à la protection des données externalisé à Caen et en Normandie.

Comment procéder si vous décidez d’en désigner un

Faire le point sur vos traitements de données, pour savoir ce que le délégué aura à suivre. Le registre des traitements est le meilleur point de départ.
Choisir la personne ou le prestataire, en vérifiant l’absence de conflit d’intérêts.
Formaliser la mission par écrit : périmètre, fréquence des points, interlocuteurs.
Déclarer la désignation à la CNIL, par le téléservice prévu à cet effet, et rendre les coordonnées du délégué accessibles, par exemple dans votre politique de confidentialité.

Une précision utile

Cet article présente le cadre général, pas une consultation juridique. Si votre situation est particulière (données de santé, activité de suivi de personnes, litige en cours), faites-la examiner au cas par cas ; en cas de litige, l’avis d’un avocat s’impose.

Pour y voir clair sur votre situation

Je m’appelle Brandon Bayeux, je suis installé au 14 rue Saint-Pierre à Caen et j’accompagne les TPE, associations et collectivités du Calvados et de Normandie sur le RGPD. Pour savoir si la désignation d’un délégué a un sens chez vous, le plus simple est d’en parler : demandez un premier échange, ou appelez le 06 86 46 38 46 du lundi au samedi, de 9 h à 19 h. Vous pouvez aussi réserver un rendez-vous en ligne.

Sources

Règlement (UE) 2016/679, articles 37 à 39 : eur-lex.europa.eu
CNIL, « Le délégué à la protection des données : est-ce obligatoire ? » : cnil.fr
CNIL, « Désignez en ligne votre délégué à la protection des données auprès de la CNIL » : cnil.fr
Loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : legifrance.gouv.fr