Depuis l’entrée en application du RGPD, beaucoup de dirigeants de petites entreprises se demandent s’ils doivent nommer un délégué à la protection des données, le DPO. La réponse est le plus souvent non, mais pas toujours : la taille de l’entreprise ne compte pas, c’est la nature de son activité qui décide. Voici les critères posés par la fiche de Service Public Entreprendre et par l’encyclopédie de Bpifrance Création.
Les cas où le DPO est obligatoire
Pour une entreprise privée, la désignation d’un DPO est obligatoire dans deux situations, selon Service Public Entreprendre :
- Surveillance régulière et systématique à grande échelle : les activités principales consistent à suivre des personnes, par exemple par géolocalisation ou vidéosurveillance. Bpifrance Création cite aussi le traitement d’échanges bancaires.
- Données sensibles à grande échelle : les activités principales portent sur des données sensibles (santé, biométrie) ou sur des condamnations pénales et infractions. Bpifrance Création donne l’exemple d’un laboratoire de santé.
Un troisième cas concerne les organismes publics qui collectent des données, à l’exception des juridictions dans leur fonction juridictionnelle. Il ne vise pas les entreprises privées.
La notion de « grande échelle » s’apprécie au cas par cas. Service Public Entreprendre retient le nombre de personnes concernées, le volume et la variété des données, la durée du traitement et son étendue géographique. La même fiche précise que le cabinet d’un médecin ou d’un avocat exerçant à titre individuel ne relève pas de cette notion.
Les sous-traitants sont aussi concernés
Une petite entreprise qui traite des données pour le compte d’un client n’est pas exonérée. Bpifrance Création l’écrit clairement : les sous-traitants sont légalement concernés par la désignation d’un DPO. Un prestataire informatique qui héberge des données de santé pour un cabinet, ou qui gère un système de vidéosurveillance, doit donc se poser la question pour son propre compte.
En dehors des cas obligatoires, la désignation reste possible : Service Public Entreprendre indique qu’elle est encouragée, et Bpifrance Création qu’elle est fortement recommandée par la CNIL.
Les missions du DPO
Selon Service Public Entreprendre, le délégué informe et conseille le responsable de traitement ou le sous-traitant ainsi que les salariés sur leurs obligations, contrôle le respect du RGPD et des règles internes, donne des avis sur demande et coopère avec la CNIL dont il est l’interlocuteur. Bpifrance Création y ajoute la veille juridique, la cartographie des traitements, le suivi des analyses d’impact et la sensibilisation du personnel, avec des relais dans chaque service ou filiale.
Comment savoir si votre entreprise doit en désigner un
- Lister vos traitements : paie, fichier clients, vidéosurveillance, géolocalisation des véhicules, données de santé.
- Repérer l’activité principale : la surveillance ou les données sensibles sont-elles le cœur du métier, ou un simple outil annexe ?
- Évaluer la grande échelle avec les critères de Service Public Entreprendre : nombre de personnes, volume de données, durée, zone géographique.
- Vérifier votre rôle de sous-traitant : si vous traitez ces données pour des clients, l’obligation peut vous viser aussi.
- Tenir le registre des traitements : même sans DPO, il s’impose à une entreprise de moins de 250 salariés dès qu’un traitement n’est pas occasionnel (paie, gestion clients), présente un risque ou porte sur des données sensibles.
- En cas de doute, consulter la CNIL : ce guide ne remplace pas une analyse de votre situation particulière.
Ce que l’on risque sans DPO
Service Public Entreprendre détaille l’échelle des mesures en cas de défaut de désignation alors qu’elle est obligatoire : un rappel à l’ordre, une injonction de se mettre en conformité, ou une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Le même plafond s’applique à l’absence d’analyse d’impact lorsqu’elle est exigée.
Questions fréquentes
Une TPE de cinq salariés doit-elle avoir un DPO ?
Seulement si son activité principale relève de la surveillance à grande échelle ou des données sensibles à grande échelle. La taille seule ne crée pas l’obligation.
Un sous-traitant peut-il être obligé de désigner un DPO ?
Oui. Bpifrance Création précise que traiter des données pour le compte d’un client ne dispense pas de cette obligation.
Le registre des traitements est-il obligatoire sans DPO ?
Oui dans de nombreux cas : sous 250 salariés, il l’est dès qu’un traitement est régulier, risqué ou porte sur des données sensibles ; à partir de 250 salariés, il l’est toujours.
Quelle amende en cas d’absence de DPO obligatoire ?
Jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé, après éventuel rappel à l’ordre ou injonction.
Peut-on nommer un DPO sans y être obligé ?
Oui. La désignation volontaire est encouragée par Service Public Entreprendre et fortement recommandée par la CNIL selon Bpifrance Création.
Sources
- Le délégué à la protection des données — Bpifrance Création, 2026-02-01
- Obligations en matière de protection des données personnelles (RGPD) — Entreprendre.Service-Public.fr (DILA), 2024-04-26