1.1. Le délégué à la protection des données (DPO, ou DPD) est devenu une fonction essentielle depuis l’entrée en application du Règlement général sur la protection des données (RGPD) le 25 mai 2018. Ce règlement, qui harmonise au niveau européen des obligations auparavant nationales, concerne les organismes dans toutes leurs activités : gestion des ressources humaines, prospection, relations avec la clientèle ou les usagers, etc. Le traitement de données personnelles est désormais une composante fondamentale de la plupart des secteurs d’activité.
1.2. Le RGPD consacre trois de ses articles (articles 37 à 39) à la définition de la fonction de DPO, ce qui marque une évolution qualitative et quantitative par rapport à l’ancien correspondant Informatique et Libertés (CIL). Sur le plan qualitatif, l’esprit du règlement est de faire du DPO le « chef d’orchestre » de la gestion des données personnelles dans l’organisme qui le désigne. Son positionnement hiérarchique et les ressources mises à sa disposition doivent lui permettre d’accomplir pleinement son rôle de pilote de la conformité.
1.3. Le DPO ne doit pas travailler en vase clos : il doit être pleinement intégré aux activités opérationnelles de l’organisme. Il constitue un maillon essentiel de la gouvernance de la donnée, en lien étroit avec le RSSI (responsable de la sécurité des systèmes d’information) et la DSI (direction des systèmes d’information). Sur le plan quantitatif, le nombre de DPO a fortement augmenté du fait de l’obligation de désignation pesant sur de nombreux organismes : alors qu’environ 18 000 organismes s’étaient dotés d’un CIL, plus de 80 000 organismes avaient désigné un DPO en 2021, dont 26 000 dans le secteur public.
1.4. Consciente de cette évolution, la CNIL a adapté sa stratégie d’accompagnement des DPO en développant et soutenant des réseaux de délégués, organisés par secteurs ou par régions. Ces réseaux répondent à un premier niveau de questions du terrain, la CNIL intervenant ensuite avec ces représentants et fédérations. Le guide pratique RGPD pour les délégués à la protection des données s’inscrit dans cette logique d’accompagnement, en fournissant un cadre structuré pour le rôle du DPO, sa désignation, l’exercice de ses missions et l’accompagnement par la CNIL.
2.1. En France, la Commission nationale de l’informatique et des libertés (CNIL) est l’autorité chargée de veiller à la protection des données personnelles. Elle exerce quatre grandes missions complémentaires : informer et protéger les droits, anticiper et innover, accompagner la conformité et conseiller, contrôler et sanctionner.
2.2. Informer et protéger les droits : la CNIL répond aux demandes des particuliers et des professionnels et mène des actions de communication auprès du grand public et des acteurs économiques. Elle mobilise ses réseaux, la presse, son site web, sa présence sur les réseaux sociaux et met à disposition des outils pédagogiques. Toute personne peut s’adresser à la CNIL en cas de difficulté dans l’exercice de ses droits.
2.3. Anticiper et innover : la CNIL assure une veille technologique pour détecter et analyser les technologies ou nouveaux usages susceptibles d’avoir des impacts importants sur la vie privée. Elle contribue au développement de solutions technologiques protectrices de la vie privée, en conseillant les entreprises le plus en amont possible, dans une logique de privacy by design.
2.4. Accompagner la conformité et conseiller : pour aider les organismes privés et publics à se conformer au RGPD, la CNIL propose une boîte à outils complète et adaptée à leur taille et à leurs besoins. Elle recherche des solutions permettant aux organismes de poursuivre leurs objectifs légitimes dans le strict respect des droits et libertés des citoyens.
2.5. Contrôler et sanctionner : le contrôle permet à la CNIL de vérifier la mise en œuvre concrète de la loi. Elle peut imposer à un acteur de régulariser son traitement (mise en demeure) ou prononcer des sanctions (amendes, etc.). La Charte des contrôles précise les modalités de ces interventions, notamment les contrôles sur place, souvent inopinés.
3.1. Le RGPD fait du DPO un acteur clé du système de gouvernance des données personnelles. Ses missions consacrent son rôle de pilote de la démarche de mise en conformité permanente et dynamique dans laquelle les organismes doivent s’inscrire. La fonction est définie par les articles 37 à 39 du RGPD, la loi Informatique et Libertés, son décret d’application et les lignes directrices du Comité européen de la protection des données (CEPD).
3.2. Conseiller et accompagner l’organisme : le DPO apporte son expertise auprès de la direction pour assurer la conformité des traitements et diffuse la culture de protection des données auprès de toutes les personnes qui traitent des données personnelles. Il peut identifier et formaliser les moments clés où son intervention doit être systématique : création ou évolution d’un traitement, examen de la nécessité de réaliser une analyse d’impact relative à la protection des données (AIPD), rédaction ou tenue du registre des activités de traitement, élaboration des règles ou politiques internes, gestion des violations de données personnelles.
3.3. Le DPO sensibilise et accompagne les services traitant des données en veillant à l’adoption d’une culture « protection des données personnelles » (formations internes, actions de communication, affiches, guides pratiques, rappels des règles de sécurité, campagnes de phishing à but éducatif, etc.). Il se présente comme interlocuteur interne référent pour toute question en matière de protection des données, éventuellement avec des personnes relais.
3.4. Le DPO a une mission d’information, de conseil et de contrôle, mais il n’est pas responsable de la conformité de l’organisme. Il n’est pas juridiquement responsable de la tenue du registre, de la réalisation des AIPD ou des notifications de violations de données, même s’il en est un acteur clé dont les compétences sont essentielles pour le responsable de traitement.
3.5. Contrôler l’effectivité des règles : le DPO est investi d’une mission de contrôle du respect du RGPD. Cette mission peut prendre la forme de vérifications organisées (audits internes ou externes) menées en collaboration avec des fonctions clés comme le RSSI. Les contrôles peuvent porter sur l’exactitude du registre des traitements, la conformité des traitements sensibles au regard des AIPD, la mise en place d’outils de suivi et de contrôle (analyse de logs, vérification des durées de conservation, etc.) et l’effectivité des mesures techniques et organisationnelles.
3.6. Être le point de contact sur les sujets RGPD : le DPO coopère avec la CNIL et joue un rôle de facilitateur lors des échanges (contrôles sur place, instruction de réclamations, consultations dans le cadre d’AIPD, notifications de violations de données). Il peut consulter la CNIL sur toute question relative à la protection des données ou à sa fonction, sans que le responsable de traitement puisse lui interdire ces démarches.
3.7. La Charte d’accompagnement des professionnels publiée par la CNIL en février 2021 précise que la CNIL ne répond pas aux demandes de conseils d’organismes qui n’ont pas préalablement consulté leur DPO. Lors d’un contrôle sur place, le DPO peut être désigné comme responsable des lieux où se situent les traitements vérifiés et devient l’interlocuteur privilégié de la délégation de contrôle, chargé de la relecture et de la signature du procès-verbal.
3.8. Le DPO ne peut toutefois pas représenter seul l’organisme lors d’une audition sur convocation devant la CNIL, afin d’éviter tout conflit d’intérêts. Il peut en revanche accompagner un représentant de l’organisme pour apporter son expertise.
3.9. Avec les personnes concernées, le DPO est le point de contact des salariés, agents, clients, fournisseurs, étudiants, usagers, etc. Il peut organiser le traitement des demandes d’exercice de droits (accès, portabilité, etc.) pour garantir une réponse complète dans les délais. Dans le cadre d’une plainte, il agit comme point de contact avec la personne concernée et les agents de la CNIL, sans pouvoir communiquer les coordonnées directes de ces agents à des tiers.
4.1. La documentation occupe une place centrale dans la logique de responsabilisation (redevabilité, « accountability ») du RGPD. Elle permet au responsable de traitement ou au sous-traitant de garantir et démontrer le respect de ses obligations et les démarches entreprises.
4.2. De nombreux éléments peuvent être intégrés à cette documentation : registre des activités de traitement, AIPD, registre des violations de données et mesures correctrices, mentions d’information, preuves du recueil du consentement, procédures relatives à l’exercice des droits, contrats de sous-traitance, outils d’encadrement des transferts hors Union européenne, analyse écrite sur l’absence de conflit d’intérêts du DPO, etc. Tout élément permettant de justifier la conformité et de piloter les actions peut y figurer.
4.3. La documentation est un outil essentiel du DPO car elle lui donne une vision exhaustive des opérations de traitement et permet d’organiser leur pilotage. Le DPO doit s’assurer de la tenue de cette documentation, de sa pertinence et de son actualisation.
4.4. L’article 30 du RGPD prévoit que l’obligation de tenir un registre pèse sur le responsable de traitement ou le sous-traitant. En pratique, les activités du DPO peuvent le conduire à prendre en charge cette mission, le registre étant un outil de suivi et de contrôle des traitements. Il est recommandé de prévoir dans la lettre de mission du DPO que la tenue du registre fait partie de ses missions (si c’est le cas) et que les informations relatives à chaque traitement lui seront communiquées par les personnes en charge des traitements.
4.5. La CNIL met à disposition une fiche dédiée au registre des traitements et un modèle de registre simplifié en tableur, au format ouvert et librement réutilisable, ainsi que le registre de la CNIL lui-même, afin d’aider les organismes à structurer cette documentation.
5.1. Le DPO doit mettre en œuvre l’ensemble des missions prévues par le RGPD, mais l’article 39.2 précise qu’il doit tenir compte du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités. Le niveau de vigilance et de moyens doit donc être d’autant plus élevé que les risques sont importants (suivi rigoureux des traitements de données sensibles, formation des collaborateurs les plus exposés, audits internes sur les mesures de sécurité, etc.).
5.2. Le DPO n’est pas tenu de répondre lui-même à toutes les demandes extérieures. La CNIL et les personnes concernées doivent pouvoir s’adresser à lui, mais il peut organiser la réponse par les services compétents, en veillant au respect des délais et à l’adéquation des réponses.
5.3. Le DPO n’est pas personnellement responsable en cas de manquement au RGPD. La responsabilité incombe à l’organisme (responsable de traitement ou sous-traitant). Il est impossible de transférer au DPO, par délégation de pouvoir, la responsabilité du responsable de traitement ou les obligations propres du sous-traitant. Si les recommandations du DPO ne sont pas suivies, il est utile de documenter les décisions et les raisons pour lesquelles l’avis du DPO n’a pas été retenu.
5.4. Le DPO peut se voir confier d’autres missions que celles prévues à l’article 39 du RGPD, à condition que cela ne fasse pas obstacle à l’exécution de ses missions principales et ne crée pas de conflit d’intérêts. Certaines tâches sont particulièrement adaptées : tenue du registre des activités de traitement, participation à la réalisation ou à l’évaluation des AIPD, supervision des cas de violation de données personnelles. Ces missions ne peuvent toutefois pas être exercées de manière isolée : le DPO doit travailler avec les équipes qui déterminent ou mettent en œuvre les traitements.
6.1. La désignation d’un DPO est obligatoire pour les responsables de traitement et les sous-traitants dans trois cas principaux : autorités ou organismes publics (hors juridictions dans l’exercice de leurs fonctions juridictionnelles), organismes dont les activités de base impliquent un suivi régulier et systématique de personnes à grande échelle, organismes dont les activités de base impliquent le traitement à grande échelle de données sensibles ou de données relatives à des condamnations pénales et infractions.
6.2. Les autorités et organismes publics incluent les autorités nationales, régionales et locales, les structures de l’enseignement supérieur, les hôpitaux, les agences sanitaires, les autorités administratives indépendantes (AAI), les établissements publics à caractère administratif (EPA), etc. Les organismes privés chargés d’une mission de service public conservent leur statut de droit privé et ne sont pas automatiquement tenus de désigner un DPO, même si la désignation est fortement encouragée.
6.3. La notion d’activité de base renvoie au cœur de métier de l’organisme. Si un traitement de données personnelles est essentiel pour atteindre les objectifs de l’organisme, il s’agit d’une activité de base. Par exemple, pour une clinique, la fourniture de soins implique nécessairement le traitement de données de santé (dossiers médicaux), qui constitue une activité de base. En revanche, les activités de support (rémunération des employés, assistance informatique) ne sont pas des activités de base.
6.4. La notion de grande échelle vise les traitements portant sur un volume considérable de données personnelles au niveau régional, national ou supranational, affectant un nombre important de personnes et susceptibles d’engendrer un risque élevé (considérant 91 du RGPD). Il n’existe pas de seuil unique : une analyse au cas par cas est nécessaire, en tenant compte du nombre de personnes concernées, du volume et du spectre des données, de la durée ou permanence des traitements et de l’étendue géographique. Cette analyse doit être intégrée à la documentation.
6.5. Exemples de traitements à grande échelle : traitement des données de patients par un hôpital, traitement des données de voyage des passagers d’un transport public urbain, traitement des données de géolocalisation en temps réel des clients d’une chaîne internationale de restauration rapide, traitement des données de clients par une compagnie d’assurance ou une banque, traitement des données par un moteur de recherche à des fins de publicité ciblée, traitement des données (contenu, trafic, localisation) par des fournisseurs de services de téléphonie ou internet.
6.6. Exemples de traitements ne constituant pas une grande échelle : traitement des données de patients par un médecin de quartier exerçant à titre individuel avec une patientèle inférieure à 10 000 personnes par an, traitement des données relatives aux condamnations pénales et infractions par un avocat exerçant à titre individuel.
6.7. La notion de suivi régulier et systématique n’est pas définie par le RGPD, mais le considérant 24 évoque le suivi et le profilage en ligne à des fins de publicité comportementale. Le CEPD précise que « régulier » renvoie à des traitements continus, récurrents ou périodiques, et « systématique » à des traitements préétablis, organisés, méthodiques, s’inscrivant dans un programme général de collecte de données ou une stratégie.
6.8. Exemples de suivi régulier et systématique : activités de marketing personnalisé, profilage et notation pour l’évaluation des risques (crédit, primes d’assurance, prévention de la fraude, détection du blanchiment d’argent), géolocalisation par applications mobiles, programmes de fidélité, publicité comportementale, surveillance de données de santé et de bien-être via des dispositifs portables, télévision en circuit fermé, dispositifs connectés (voitures, compteurs intelligents, domotique).
6.9. Exemples de désignation d’un DPO : pour les partis politiques, les activités de base impliquent le traitement de données d’opinions politiques, ce qui impose d’évaluer le critère de grande échelle. Pour les partis nationaux avec une base d’adhérents importante, la désignation d’un DPO est vraisemblablement obligatoire. Pour les petits partis locaux, une analyse au cas par cas est nécessaire. Dans la grande distribution, la commercialisation, l’encaissement et la gestion des programmes de fidélité peuvent constituer des activités de base, mais il faut analyser si elles impliquent un suivi régulier et systématique à grande échelle.
7.1. Le RGPD impose que le DPO dispose d’un niveau d’expertise suffisant. La personne pressentie doit avoir une expertise juridique et technique en matière de protection des données, une bonne connaissance du secteur d’activité, de la réglementation sectorielle et de l’organisation de la structure, ainsi qu’une compréhension des opérations de traitement, des systèmes d’information et des besoins de l’organisme en matière de protection et de sécurité des données. Pour une autorité ou un organisme public, une bonne connaissance des règles et procédures administratives est également nécessaire.
7.2. Si la personne ne possède pas toutes ces connaissances avant sa prise de fonction, l’organisme doit mobiliser l’expertise interne et mettre en place un plan de formation à très court terme. Les qualités personnelles attendues sont l’intégrité, un haut niveau d’éthique professionnelle, la capacité à communiquer, vulgariser et convaincre. Le niveau d’expertise varie selon la sensibilité, la complexité et le volume de données traitées.
7.3. La certification du DPO constitue un outil de reconnaissance des compétences. Depuis 2018, la CNIL agrée des organismes qui délivrent une certification des compétences du DPO sur la base d’un référentiel. L’examen prend la forme d’un questionnaire à choix multiples d’au moins 100 questions portant sur la réglementation, la responsabilité et la sécurité. La certification est accessible après 2 ans d’expérience en lien avec la protection des données (ou 2 ans d’expérience générale et une formation d’au moins 35 heures) et est valable 3 ans. Elle n’est pas obligatoire, mais constitue un gage de confiance pour les organismes.
7.4. L’absence de conflit d’intérêts est une exigence centrale. Le DPO peut exercer d’autres fonctions (DPO à temps partiel), mais il ne doit pas avoir de pouvoir décisionnel sur la détermination des finalités et des moyens des traitements. Il ne doit pas être « juge et partie ». L’existence d’un conflit d’intérêts s’apprécie au cas par cas et doit être documentée.
7.5. Exemples de fonctions susceptibles de provoquer un conflit d’intérêts : directeur général des services, directeur des opérations, médecin-chef, responsable marketing, responsable des ressources humaines, responsable informatique. Des fonctions de niveau hiérarchique inférieur peuvent aussi être concernées si la personne participe en pratique à la détermination des finalités et moyens des traitements.
7.6. L’impartialité objective du DPO suppose qu’il ne contrôle pas ce qu’il a lui-même décidé, seul ou conjointement. L’impartialité subjective implique qu’il soit à l’abri d’influences guidées par des intérêts divergents susceptibles d’altérer la liberté de ses positionnements.
7.7. L’organisme doit documenter le choix de son DPO pour démontrer le respect des exigences du RGPD (connaissances, compétences, absence de conflit d’intérêts). La CNIL ne vérifie pas ces prérequis au moment de la désignation, mais peut les contrôler ultérieurement. La documentation peut inclure CV, fiche de poste, analyse écrite sur l’absence de conflit d’intérêts, certification éventuelle, etc.
7.8. Il n’existe pas de profil type de DPO. Une étude de l’AFPA en partenariat avec la CNIL indique qu’environ 28 % des DPO ont un profil informatique, 28 % un profil juridique, et 43 % proviennent de l’administratif, de la finance, de la conformité, de l’audit, etc. Aucun diplôme spécifique n’est exigé, mais les compétences doivent être démontrées, souvent via l’expérience professionnelle ou la formation continue.
7.9. Plusieurs situations particulières sont analysées : un RSSI peut être DPO s’il ne décide pas des finalités et moyens des traitements ; un délégué du personnel peut se trouver en conflit d’intérêts s’il vote sur des projets liés à la gestion du personnel ; un représentant dans l’Union européenne d’un responsable de traitement établi hors UE ne peut en principe pas être DPO pour ce même organisme ; un prestataire sous-traitant peut être DPO externe sous conditions d’indépendance ; un même DPO peut être désigné pour un responsable de traitement et son sous-traitant ou pour des organismes concurrents, sous réserve de garanties d’indépendance et de confidentialité.
7.10. Un avocat peut être DPO externe, mais ne doit pas représenter l’organisme devant les tribunaux dans des dossiers impliquant la protection des données. Un élu politique ne peut pas être DPO de sa collectivité en raison d’un conflit d’intérêts. Un secrétaire de mairie peut être DPO sous réserve de ne pas participer aux décisions sur les fichiers et de disposer de temps suffisant. La désignation d’un stagiaire ou apprenti comme DPO est jugée difficilement compatible avec les exigences de la fonction (connaissances spécialisées, absence d’instruction, mission de long terme).
7.11. Un organisme qui ne désigne pas de DPO alors que la désignation est obligatoire s’expose à des sanctions de la CNIL : rappel à l’ordre, injonction de se mettre en conformité, amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
8.1. Chaque organisme est libre d’organiser la fonction de DPO selon ses besoins, en choisissant un DPO interne, un DPO externe ou un DPO mutualisé. Ce choix dépend des ressources humaines disponibles, de l’organisation de la structure, des coûts et des avantages et inconvénients de chaque option.
8.2. DPO interne : le délégué peut être un membre du personnel, à temps plein ou partiel. Les avantages sont la connaissance de l’organisation, des services et du secteur d’activité, la proximité avec les interlocuteurs internes, une meilleure réactivité en cas de sollicitation et une présence plus facile à organiser lors d’un contrôle de la CNIL. Les points de vigilance concernent le risque de conflit d’intérêts si le DPO exerce d’autres missions, l’attribution de temps suffisant, un positionnement hiérarchique adéquat et la nécessité éventuelle d’un plan de formation.
8.3. DPO externe : la fonction peut être exercée sur la base d’un contrat de service conclu avec une personne physique (consultant, salarié d’une filiale du groupe) ou une personne morale (cabinet d’avocats, cabinet de conseil, centre de gestion, syndicat mixte, etc.). Les avantages sont la réponse à l’absence de ressources internes, le recours à l’expérience et aux outils développés par le délégué externe, la spécialisation sectorielle et la connaissance des bonnes pratiques pour des organismes similaires. Les points de vigilance portent sur l’organisation des échanges avec la direction et les équipes métiers, la facilité de contact et la sélection du prestataire.
8.4. DPO mutualisé : un même DPO peut être désigné pour plusieurs entités. Dans le secteur privé, un groupe d’entreprises peut désigner un seul DPO à condition qu’il soit facilement joignable à partir de chaque lieu d’établissement. Dans le secteur public, la fonction peut être mutualisée entre plusieurs autorités ou organismes publics, en tenant compte de leur structure et de leur taille.
8.5. Les avantages de la mutualisation sont le lissage des coûts, l’uniformisation des procédures entre entités et le pilotage transversal de la conformité entre organismes partageant les mêmes préoccupations. Les points de vigilance concernent l’organisation des points d’échange, le risque de défaut d’information du DPO sur certains sujets internes et la nécessité de mettre en place une organisation de pilotage efficiente (réseau de relais ou de référents).
8.6. Exemple : dans un groupe composé de plusieurs filiales implantées dans différents États membres de l’Union européenne, un seul DPO (salarié d’une filiale ou prestataire externe) peut être désigné pour la maison mère et l’ensemble des sociétés, à condition de mettre en place une organisation adéquate. Le DPO peut être soutenu par un réseau de relais ou de référents chargés d’apporter un appui opérationnel et de faire remonter les questions.
9.1. Le pilotage de la conformité par le DPO suppose une démarche active d’anticipation et d’organisation de ses interventions. Il est recommandé de formaliser les cas de consultation du DPO, de mettre en place un comité RGPD auprès des directions concernées pour arbitrer et orienter les actions relatives aux traitements de données, et d’associer le DPO à l’élaboration et à la mise à jour des documents de gouvernance (politique de sécurité du système d’information, charte informatique, livret d’accueil, règlement intérieur, etc.).
9.2. Le DPO doit entretenir un contact régulier avec les opérationnels qui traitent des données personnelles, être à leur écoute et en soutien. Il est pertinent de prévoir des procédures internes en cas de contrôle de la CNIL (modalités d’accueil, personnes à prévenir, informations à obtenir), de violation de données personnelles (information immédiate du DPO) ou de blocage interne (alerte du responsable de traitement, résolution des conflits).
9.3. Il convient également de définir les modalités de réponse aux demandes extérieures (modèles de réponse, information des services en relation avec le public), de prévoir une personne relais en cas d’absence du DPO, d’identifier les services pertinents pour les actions d’animation et de formation régulières, et de tenir un tableau de bord des activités du DPO pour alimenter des réunions de direction et un rapport d’activité.
9.4. Le DPO doit être acteur de son réseau professionnel en identifiant et en collaborant avec les interlocuteurs pertinents (relais internes, responsables conjoints de traitement, prestataires) et en entretenant ses connaissances techniques et opérationnelles via une veille (jurisprudence, publications des autorités de contrôle) et des formations ou partages d’expérience (réseaux géographiques ou professionnels de DPO).
10.1. L’ensemble des éléments présentés montre que le DPO RGPD est au cœur de la stratégie visant à sécuriser les traitements de données personnelles. Pour que cette fonction remplisse pleinement son rôle, il est indispensable de définir clairement ses missions (conseil, contrôle, point de contact, documentation), de préciser son statut (indépendance, absence de conflit d’intérêts, non-responsabilité directe de la conformité) et de lui attribuer des moyens adaptés (temps, ressources, accès à l’information, soutien de la direction).
10.2. La désignation du DPO dans les cas prévus par le RGPD, la documentation des choix opérés (profil, absence de conflit d’intérêts, organisation interne ou mutualisée), la mise en place de procédures de pilotage (comité RGPD, registre, AIPD, gestion des violations) et l’accompagnement par la CNIL (outils de formation, outils d’aide à la mise en conformité, FAQ, modèles de lettres de mission, formulaires de désignation) constituent les piliers d’une gouvernance des données robuste.
10.3. En structurant ainsi la fonction de DPO, les organismes se dotent d’un levier opérationnel et stratégique pour maîtriser les risques liés aux traitements de données personnelles, répondre aux exigences de redevabilité du RGPD et renforcer la confiance des personnes concernées, des partenaires et des autorités de contrôle.
11.1. www.cnil.fr
Type d’acte, par exemple : décret, arrêté, loi, ordonnance, délibération, recommandation, circulaire, instruction, avis, décision, communiqué, rapport, question ministérielle, réponse ministérielle, autre
Guide
Autorité / organisme : Reprendre l’autorité, le ministère, l’institution, l’organisme, l’autorité administrative indépendante ou autorité ayant rendu ce texte officiel
CNIL
Date du texte sous la forme jour mois année, exemple de sortie : 14 avril 2026
25 mai 2018
Numéro exact du texte sauf si non indiqué
Variantes exactes de recherche :
GUIDE PRATIQUE RGPD DÉLÉGUÉS À LA PROTECTION DES DONNÉES
guide pratique DPO CNIL
guide délégué à la protection des données CNIL
guide RGPD DPO 2018
articles 37 à 39 du RGPD délégué à la protection des données
CNIL guide DPO règlement (UE) 2016/679
Résumé :
Ce guide de la CNIL présente le rôle, les missions, les conditions de désignation et le statut du délégué à la protection des données (DPO) prévus aux articles 37 à 39 du RGPD et aux textes nationaux d’application. Il détaille les cas de désignation obligatoire, les profils possibles, les modalités de mutualisation, les moyens et garanties d’indépendance à assurer, ainsi que les relations du DPO avec la CNIL et les personnes concernées, en fournissant des modèles pratiques (lettre de mission, formulaire de désignation, questions clés) pour organiser la fonction au sein des organismes publics et privés.
Approfondir ce sujet :