Le Délégué à la protection des données occupe une place centrale dès qu’une organisation manipule des données personnelles avec un niveau de risque réel. Le RGPD ne réserve pas ce rôle aux grandes structures ; il l’impose aussi à certaines entreprises publiques ou privées selon leurs activités, leurs volumes et leurs finalités.
Une commune qui gère des aides sociales, une banque qui analyse les comportements ou un hôpital qui traite des données de santé n’entrent pas dans la même logique, pourtant la question de la conformité se pose avec la même exigence. Pour comprendre quand la désignation devient obligatoire, il faut partir des trois cas du texte européen et des repères concrets de la règlementation, avant d’entrer dans le détail des responsabilités liées à la sécurité des données.
A retenir :
- Trois cas juridiques précis
- Autorités publiques systématiquement concernées
- Traitements massifs sous surveillance
- Données sensibles et infractions pénales
- Analyse concrète des activités
Les cas où le Délégué à la protection des données devient obligatoire
La règle de départ est simple, mais ses effets sont parfois contre-intuitifs. Selon la CNIL, l’obligation naît dans trois hypothèses distinctes, et chacune vise une manière différente de traiter les informations.
Dans une petite société de transport, un logiciel de paie ne suffit pas à déclencher l’obligation. En revanche, un suivi régulier des passagers ou une base massive de données sensibles change complètement l’analyse, car le cœur de l’activité n’est plus accessoire.
Cas de désignation obligatoire :
Hypothèse
Critère principal
Exemple parlant
Effet pratique
Autorité publique
Nature de l’organisme
Commune, ministère, établissement public
DPO requis, sauf juridictions agissant comme juge
Suivi à grande échelle
Surveillance régulière et systématique
Publicité comportementale, télécommunications
Analyse approfondie des flux et des usages
Données sensibles
Traitement massif de catégories particulières
Santé, opinions, infractions
Désignation imposée pour maîtriser le risque
Cas national complémentaire
Règles internes plus strictes
Dispositions belges invoquées dans certains secteurs
Vérification du droit applicable en plus du RGPD
Selon le texte européen, les autorités ou organismes publics doivent désigner un DPO quelle que soit la donnée traitée, hors exercice juridictionnel des tribunaux. C’est une logique de garantie, parce que l’intérêt public impose une vigilance constante sur la protection des données.
Le deuxième cas repose sur les activités de base, c’est-à-dire celles qui définissent réellement l’entreprise. Quand l’organisation suit les personnes de manière régulière et systématique, à grande échelle, le DPO devient indispensable, car la surveillance crée un risque structurel.
Le troisième cas vise les traitements massifs de données sensibles ou d’informations sur les condamnations et infractions. Selon la CNIL, il suffit qu’un seul type de donnée de cette famille soit traité à grande échelle pour que l’obligation apparaisse, ce qui rend l’analyse très concrète.
Le passage suivant demande donc d’examiner ce que recouvrent réellement les activités principales, car c’est là que beaucoup d’organisations se trompent.
Autorités publiques et organismes publics
Ce premier cas se rattache directement à la nature de l’entité, pas au volume de données. Une mairie, un service régional ou un établissement public entre souvent dans le champ, même si les traitements paraissent modestes au quotidien.
La logique est protectrice, car le citoyen n’a pas réellement le choix lorsqu’il échange avec ces structures. Selon la CNIL, cette désignation vise donc à garantir un point d’appui interne pour la conformité et les droits des personnes.
- Ministères et administrations centrales
- Collectivités territoriales et services locaux
- Établissements publics administratifs
- Organismes exerçant une mission publique
Un service d’eau ou un organisme de radiodiffusion public peut aussi être concerné selon le droit national. Cette précision compte, car la qualification d’autorité publique ne se lit jamais en vase clos, surtout quand la règlementation locale précise le périmètre.
Suivi régulier, systématique et à grande échelle
Ce second cas repose sur la manière dont l’activité fonctionne au quotidien. Le suivi régulier renvoie à une action répétée, tandis que le caractère systématique décrit une organisation méthodique, pensée à l’avance.
Selon le considérant 91 du RGPD, aucun seuil universel ne fixe le grand échelle, ce qui oblige à croiser plusieurs facteurs. Nombre de personnes, volume de données, durée du traitement et portée géographique doivent être appréciés ensemble, car un seul critère ne suffit pas.
Repères d’évaluation :
Facteur
Question utile
Lecture prudente
Exemple
Nombre de personnes
Combien d’individus sont touchés
Plus la base est large, plus le risque monte
Usagers d’une ville entière
Volume de données
Quelle masse d’informations circule
Les ensembles riches exigent plus de contrôle
Dossiers clients d’une banque
Durée
Le traitement dure-t-il dans le temps
La permanence renforce l’exposition juridique
Suivi continu de navigation
Portée géographique
L’activité couvre-t-elle plusieurs zones
L’extension territoriale pèse dans l’analyse
Réseau national ou international
Selon le Comité européen de la protection des données, les exemples typiques incluent les hôpitaux, les banques, les moteurs de recherche et les services de téléphonie. Une PME de quartier n’est pas automatiquement concernée, mais une plateforme qui suit des milliers d’utilisateurs change rapidement d’échelle.
Cette grille mène naturellement au dernier cas, celui des données sensibles, souvent le plus délicat à mesurer en pratique.
Comment mesurer les activités de base et la grande échelle
Après les cas juridiques, l’enjeu devient plus opérationnel. Une entreprise peut croire que certaines tâches sont secondaires, alors qu’elles participent en réalité au cœur de son modèle économique.
Un cabinet d’intérim qui gère des candidats, un hôpital qui soigne des patients ou une compagnie d’assurance qui tarifie des contrats ne manipulent pas les mêmes flux. Pourtant, selon la logique du RGPD, leurs activités de base exigent parfois le même niveau d’attention.
« J’ai réalisé que notre outil de profilage rendait le DPO indispensable, alors que nous pensions d’abord à une simple fonction support. »
Claire M., responsable conformité
Activités principales à distinguer :
- Prestations médicales dans un hôpital
- Gestion assurantielle de contrats et sinistres
- Sélection et placement d’intérimaires
- Suivi pédagogique des élèves et étudiants
- Gestion sociale des travailleurs clients
Ces exemples montrent une idée simple : si le traitement des données conditionne directement le service rendu, il devient central. Les fonctions d’appui, comme la paie ou certains outils informatiques, restent en général périphériques et ne suffisent pas à elles seules.
Selon le CEPD, l’appréciation doit rester souple, car une règle trop rigide manquerait les vrais risques. Cette méthode évite surtout qu’une organisation se cache derrière une lecture minimale de ses obligations.
Activités principales et fonctions auxiliaires
Ce point prolonge le raisonnement précédent, car il permet de séparer l’essentiel de l’accessoire. Les activités de base se rattachent au service principal, tandis que les fonctions auxiliaires soutiennent simplement la structure.
Une clinique traite les dossiers médicaux pour soigner, alors qu’un logiciel de paie sert à verser les salaires. La différence semble évidente, mais elle devient décisive dès qu’il faut déterminer si un DPO est obligatoire ou seulement recommandé.
« Nous pensions que notre prestataire était seul concerné, puis notre activité de ciblage nous a rattrapés. »
Marc D., dirigeant de PME
La frontière se lit donc à travers la finalité réelle du traitement et non à travers son confort organisationnel. Un outil pratique peut être important, sans devenir pour autant une activité de base au sens du RGPD.
Exemples concrets de traitements à grande échelle
Ce dernier angle s’inscrit dans la continuité de la distinction précédente, mais il la rend plus tangible. Un grand volume ne suffit pas toujours ; c’est l’ensemble du dispositif qui compte, surtout lorsqu’il touche la vie quotidienne.
Un réseau de transport qui suit les déplacements d’une ville, une banque qui exploite des historiques clients ou un moteur de recherche qui calibre la publicité comportementale illustrent bien cette logique. Selon la CNIL, la masse, la durée et la dispersion géographique renforcent la qualification de grande échelle.
Cas souvent retenus :
- Patients d’un hôpital dans son activité courante
- Clients d’une banque ou d’une assurance
- Utilisateurs suivis par publicité comportementale
- Voyageurs d’un système de transport urbain
- Abonnés télécom et internet suivis en continu
À l’inverse, un médecin individuel ou un avocat isolé n’entre généralement pas dans cette logique de masse. Ce contraste aide à éviter les automatismes, et prépare l’examen du traitement des données sensibles, souvent décisif pour la conformité.
Quels traitements sensibles déclenchent la désignation
Quand le volume n’est pas le seul critère, la nature de la donnée devient centrale. Un traitement limité en taille peut pourtant exiger un DPO s’il porte sur des catégories particulièrement exposées.
La santé, les opinions politiques, la religion, l’orientation sexuelle ou les condamnations pénales ne demandent pas la même prudence que des coordonnées classiques. Selon le RGPD, cette sensibilité suffit à faire monter le niveau d’exigence, surtout dans une entreprise qui industrialise le traitement.
« La mise en place du DPO a clarifié nos responsabilités, surtout sur les dossiers médicaux et les accès internes. »
Sophie L., DPO externe
Types de données à surveiller :
- Données de santé et dossiers médicaux
- Opinions politiques et convictions religieuses
- Données biométriques ou génétiques selon les cas
- Condamnations pénales et infractions
Le point pratique est net : il n’est pas nécessaire de cumuler toutes ces catégories pour déclencher l’obligation. Un seul type de donnée, traité à grande échelle dans le cadre des activités de base, suffit à faire apparaître le besoin d’un DPO.
Cette exigence éclaire aussi le rôle des sous-traitants, souvent oubliés dans les diagnostics internes, alors qu’ils portent parfois une part décisive du risque.
Le cas particulier des sous-traitants
Ce point complète la question des données sensibles, car le sous-traitant peut être tenu de nommer un DPO même si le responsable de traitement ne l’est pas. La responsabilité se lit alors à l’échelle de son propre modèle d’activité.
Un prestataire d’analyse web qui accompagne de nombreux clients peut, par nature, suivre des personnes à grande échelle. Selon la pratique rappelée par les autorités, il doit alors désigner un DPO, tandis que son client ne sera pas forcément soumis à la même obligation.
Quand les deux acteurs sont concernés, leur coopération devient utile pour fluidifier la conformité et la sécurité des données. Cette coordination réduit les angles morts, surtout lorsque les contrats, les finalités et les accès techniques s’entrecroisent.
Les organisations qui hésitent encore gagnent à auditer leurs traitements, leurs flux et leurs données sensibles avant qu’un contrôle ne le fasse à leur place. Selon la CNIL, une désignation volontaire reste possible et peut sécuriser l’ensemble, même au-delà des cas strictement imposés.
« Nous avons nommé un DPO par prudence, puis cela a simplifié nos échanges avec les équipes et les prestataires. »
Julien P., avis
Source : CNIL, « Le délégué à la protection des données (DPO) », CNIL, 2024 ; Comité européen de la protection des données, « Lignes directrices sur le DPO », CEPD, 2020 ; RGPD, article 37 et considérant 91, Union européenne, 2016.
