DPO obligatoire RGPD dans l’UE : les quatre tests

Un DPO — dont l’équivalent français est DPD, délégué à la protection des données — est obligatoire au titre du RGPD dès qu’une des quatre voies juridiques est satisfaite. L’effectif et le chiffre d’affaires ne donnent pas la réponse. Il faut examiner les activités réelles de chaque entité, puis produire soit un rôle protégé, soit une évaluation négative datée ¹.

Réponse rapide — Un DPO est obligatoire au titre du RGPD dès qu’une des quatre voies est positive : organisme public, suivi régulier et systématique à grande échelle, traitement massif des données des articles 9 ou 10, ou droit applicable. Un oui impose le rôle protégé ; quatre non exigent une évaluation datée et révisable ¹.

Dernière mise à jour : 26 août 2026

Commencer par quatre voies, jamais par l’effectif

Commencez par nommer la personne morale qui agit comme responsable du traitement ou sous-traitant, puis les activités qui lui appartiennent ; le secteur affiché, la taille totale du groupe ou le contrat d’une autre filiale ne répondent pas pour elle. Cette délimitation est le socle du test : une seconde entité reçoit sa propre fiche dès que son statut, ses activités ou le droit applicable diffèrent.

Une réponse positive termine le test de nécessité, mais ouvre le travail de mise en œuvre. L’article 37 encadre la compétence et la désignation ¹ ; l’article 38 impose ensuite une position, un accès et des moyens effectifs ² ; le tableau ne permet donc pas de passer directement de « oui » à un nom dans l’organigramme.

Une réponse négative n’est pas une dispense attachée à l’entreprise. Elle doit montrer les faits examinés, les sources utilisées et la raison pour laquelle aucune route ne s’applique à la date retenue. Une information absente n’est pas un non : attribuez la recherche manquante et gardez la décision ouverte jusqu’à l’obtention de la preuve.

Le parcours donne à chaque branche un résultat de travail. Un oui arrête la recherche de nécessité et lance l’installation du rôle ; un non fait passer au test suivant. La dernière branche ne ferme le dossier qu’avec quatre réponses motivées. Les deux issues conservent des déclencheurs, car une nouvelle activité, une autre échelle ou une règle nationale modifiée peut changer la conclusion.

Ce test européen diffère des règles britanniques sur la désignation d’un DPO^EN(article en anglais). Ne transposez ni une définition ni un seuil venant du Royaume-Uni dans la branche européenne.

Tester séparément les trois cas de l’article 37

Le premier cas vise le traitement effectué par une autorité ou un organisme public, sauf les juridictions lorsqu’elles agissent dans l’exercice de leur fonction juridictionnelle ¹. L’exception est liée à cette capacité précise : elle ne permet pas de soustraire indistinctement tous les traitements administratifs d’une juridiction. L’entité doit d’abord établir sa qualification en droit applicable, puis identifier la fonction concernée.

Le deuxième cas réunit quatre éléments : une activité de base, un suivi des personnes, un caractère régulier et systématique, et une grande échelle ¹. Il ne suffit pas qu’un outil produise des journaux techniques ou que l’entreprise examine occasionnellement des statistiques. Décrivez le but du suivi, les personnes observées, la manière dont l’observation est organisée et les facteurs d’échelle. Si un élément manque, indiquez lequel au lieu de condenser la réponse en « pas de surveillance ».

Le troisième cas concerne une activité de base consistant à traiter à grande échelle les catégories particulières de l’article 9 ou les données relatives aux condamnations et infractions de l’article 10 ¹. La seule présence d’une donnée de santé ou d’une information pénale ne suffit pas : son rôle dans l’activité et son échelle doivent être établis. Inversement, une échelle importante ne suffit pas si les données ne relèvent pas de ces catégories.

Traitez les trois cas comme des portes autonomes. Une entité non publique peut entrer par le suivi ou les données sensibles ; une autorité publique n’a pas à démontrer ces deux autres cas ; le responsable du traitement et le sous-traitant sont tous deux visés et répondent pour leurs propres faits ¹. Une clause demandant au client de « gérer le DPO » ne déplace donc pas l’obligation éventuelle du prestataire.

Aucun chiffre isolé ne ferme cette partie du test ; le nombre de personnes, de dossiers, de sites ou de jours peut alimenter l’analyse, mais aucune de ces valeurs n’est un seuil universel. Une règle interne de tri sert seulement à repérer les dossiers à examiner ; la conclusion conserve toujours les faits complets et leur contexte.

La qualité d’organisme public dépend du droit national

Le RGPD ne définit pas « autorité ou organisme public » pour l’article 37. La qualification doit être recherchée dans le droit de l’État membre applicable à l’entité ⁴. Une organisation financée par des fonds publics, chargée d’une mission d’intérêt général ou détenue par une collectivité n’entre pas automatiquement dans la catégorie sur ce seul indice. Ces faits orientent la recherche ; ils ne remplacent pas le texte compétent.

La recherche part du territoire, de la forme juridique et de la capacité dans laquelle l’entité agit. Relevez ensuite le texte officiel susceptible de la qualifier, sa version et la date de consultation. La note de décision met face à face chaque condition de la source et un fait vérifié. Un point incertain reçoit un propriétaire et une question précise avant toute conclusion définitive.

L’exclusion des juridictions est elle aussi fonctionnelle. Elle vise les juridictions lorsqu’elles agissent dans l’exercice de leur fonction juridictionnelle ¹. Une même institution peut donc devoir distinguer cette fonction de ses autres traitements. La fiche indique la capacité examinée afin que l’exception ne devienne pas une immunité générale.

Une liste paneuropéenne d’entités publiques serait trompeuse ; le livrable utile est local et vérifiable : source officielle, date, passage pertinent, faits correspondants et conclusion. N’importez pas une définition britannique et ne présentez pas l’interprétation d’un pays comme la règle de tous les autres. Si la qualification reste ouverte, les autres voies peuvent avancer, mais la fiche finale reste ouverte elle aussi.

Définir l’activité de base, l’échelle et le suivi

Une activité de base correspond aux opérations essentielles nécessaires pour atteindre les objectifs du responsable ou du sous-traitant. Les fonctions auxiliaires habituelles, comme certaines tâches administratives de soutien, ne deviennent pas centrales uniquement parce qu’elles utilisent des données. En revanche, un traitement intrinsèquement lié au service principal ne devient pas accessoire parce qu’il est confié à une équipe technique ou à un prestataire ⁴.

Pour établir le lien, formulez le résultat principal de l’entité, puis retirez mentalement le traitement examiné. Si le service ne peut plus produire son résultat, ce constat soutient le caractère central ; s’il continue sans changement substantiel, l’opération peut relever du soutien. Conservez la place du traitement, les personnes touchées et les décisions qu’il alimente, afin que « informatique » ou « administratif » ne serve pas d’étiquette automatique.

La grande échelle s’apprécie à partir de plusieurs facteurs. Conservez le nombre de personnes concernées et leur proportion dans la population pertinente, le volume ou la diversité des données, la durée ou la permanence des opérations et leur étendue géographique ⁴. Une valeur n’a de sens qu’avec son dénominateur et son contexte. Écrivez donc les mesures disponibles, les hypothèses et la période observée plutôt que « volume élevé ».

Le suivi est régulier lorsqu’il est continu, récurrent, périodique ou organisé selon un cycle ; il est systématique lorsqu’il est planifié, méthodique, intégré à une stratégie ou réalisé dans le cadre d’un dispositif structuré ⁴. Ces indices doivent être appliqués au fonctionnement réel. Une collecte isolée peut rester hors de cette route, tandis qu’une observation permanente ou répétée, conçue pour analyser ou prédire des personnes, peut y entrer.

La conclusion met les facteurs en relation. Une opération durable dans plusieurs territoires peut avoir une portée différente d’un traitement ponctuel et local, même si un compteur brut paraît proche. Écrivez ce qui pousse vers la grande échelle, ce qui limite l’ampleur et pourquoi la combinaison finale justifie la réponse. Ce raisonnement est plus réutilisable qu’une case « élevé » sans unité ni période.

Vérifier la branche du droit de l’Union ou national

L’article 37, paragraphe 4, est une voie à part entière : le droit de l’Union ou d’un État membre peut exiger la désignation dans des situations autres que les trois cas du paragraphe 1 ¹. La placer en note de bas de page ferait perdre une obligation qui peut être décisive. Ouvrez cette branche avant de signer une conclusion négative.

La branche commence par le rattachement : quels États membres et quelles règles matérielles peuvent concerner cette entité ou cette activité ? Cette réponse détermine les sources officielles à ouvrir. La fiche conserve pour chacune titre, référence, version, adresse officielle, date et passage appliqué, puis relie les conditions aux faits. La mention « droit local vérifié » sans ces éléments n’est pas une preuve.

Une source nationale peut employer ses propres catégories ou imposer la désignation à certains organismes. Elle ne doit pas être transformée en seuil européen ; le compte rendu distingue donc la règle, son territoire et la personne morale concernée. S’il existe plusieurs rattachements plausibles, attribuez une vérification pour chacun et indiquez ce qui permet de retenir la conclusion finale.

Datez la vérification au jour où la source officielle a réellement été lue. Une exigence sectorielle retenue de mémoire n’est ni traçable ni assez précise pour décider. Ajoutez aussi les événements qui imposent une nouvelle recherche : entrée dans un territoire, changement de statut, autre activité réglementée ou modification connue du texte. La branche nationale devient ainsi révisable sans inventer une règle commune.

Une désignation volontaire reste une vraie désignation

Une organisation peut désigner un DPO même lorsqu’aucune voie ne l’y oblige. Dès qu’elle emploie ce titre pour la fonction, les articles 37 à 39 s’appliquent dans leur ensemble ⁴. La désignation volontaire n’autorise donc ni un rôle honorifique, ni une indépendance réduite, ni une sélection partielle des missions jugées pratiques.

Avant ce choix, séparez deux questions. L’article 37 exige les qualités professionnelles et la capacité à remplir les missions ¹. L’article 38 oblige l’organisation à fournir ressources et accès, à prévenir les conflits d’intérêts et à permettre un rapport direct au plus haut niveau ². Une excellente expertise sans temps ni indépendance ne rend pas la fonction réelle.

L’alternative honnête consiste à nommer un responsable de la vie privée, un référent ou une fonction de conformité sans utiliser le titre protégé. Son mandat peut être utile et substantiel, mais la documentation précise qu’il ne s’agit pas du DPO prévu par les articles 37 à 39. Cette clarté évite de donner aux personnes concernées ou à l’autorité de contrôle l’impression qu’un rôle légal a été établi.

Alignez le titre, le mandat et les actes. Une adresse publique intitulée DPO, associée à un mandat interne qui refuse l’accès ou l’indépendance, crée une promesse juridique incohérente. Si le régime est choisi, rendez les pouvoirs, les ressources et les communications conformes ; sinon, adoptez partout le titre distinct de la fonction de protection de la vie privée.

Si la réponse est oui, rendre le rôle effectif

La nomination n’est que le premier livrable. L’article 37 encadre la désignation et l’accessibilité ¹, l’article 38 protège la position ², et l’article 39 fixe les missions ³ ; le tableau transforme ces trois dimensions en travail attribué : chaque ligne reçoit une preuve, une personne responsable et une date de mise en service.

Un DPO commun à plusieurs entreprises est permis s’il est facilement accessible depuis chaque établissement ¹. L’accessibilité ne se réduit pas à une adresse électronique : les équipes doivent savoir quand le saisir, la personne doit comprendre les activités couvertes et sa charge doit lui permettre de répondre. La structure du groupe ne dispense pas d’établir une capacité adaptée pour chaque entité.

Le recours à un prestataire externe est également possible ¹ ; le contrat doit protéger l’indépendance, la confidentialité, la continuité et l’accès nécessaires. Il précise l’équipe autorisée, les remplacements, les canaux de contact et la manière de traiter un conflit d’intérêts. L’externalisation ne transfère pas à un fournisseur l’obligation de donner au rôle une place réelle.

Les missions ne font pas du DPO le propriétaire universel de la conformité : il informe, conseille, contrôle, accompagne les AIPD et coopère avec l’autorité ³. Les responsables opérationnels décident et mettent les mesures en œuvre. La trace distingue l’avis, la décision, son auteur et le suivi, ce qui protège à la fois l’indépendance du DPO et la responsabilité des métiers.

Enfin, adaptez le plan de travail aux risques associés aux opérations, en tenant compte de leur nature, portée, contexte et finalités ³. Un calendrier rigide identique pour toutes les activités ne satisfait pas cette logique ; le DPO doit pouvoir concentrer son attention sur les traitements qui justifient un examen plus profond sans perdre l’accès aux autres changements pertinents.

Si la réponse est non, consigner l’évaluation

Une conclusion négative doit produire un dossier assez clair pour être repris par une personne absente de l’analyse. Il conserve la date, l’entité, les quatre voies, les faits, les sources et le décideur. Il nomme aussi une fonction de protection de la vie privée qui ne porte pas le titre de DPO et les événements qui rouvriront l’examen.

Placez dans la fiche les faits qui pourraient inverser le résultat : statut de l’entité, activité de base, population observée, extension géographique, nouvelles catégories particulières, données pénales ou règle applicable. Pour chaque fait, identifiez le système ou la décision où le changement apparaîtra, la personne qui le verra et celle qui devra rouvrir l’analyse.

Le responsable de la vie privée peut coordonner l’inventaire, la formation ou les demandes internes, mais sa dénomination et ses documents ne doivent pas laisser croire qu’il est DPO. Si l’organisation souhaite plus tard lui donner ce titre, elle ouvre alors l’ensemble du régime des articles 37 à 39 et vérifie notamment l’indépendance et les conflits d’intérêts.

Ne fixez pas un réexamen uniquement à une date lointaine. Une revue périodique peut servir de filet de sécurité proportionné, tandis que les événements importants déclenchent une analyse immédiate. Conservez la version précédente, les nouveaux faits et la raison du changement ou du maintien de la conclusion.

La conclusion appartient à un décideur identifié. Un DPO déjà présent peut conseiller, mais l’organisation ne lui transfère pas la responsabilité de déterminer si elle devait le désigner. La signature ne suffit pas : le lecteur suivant doit pouvoir retrouver les quatre voies, les pièces, les questions encore ouvertes et la raison de chaque réponse.

Appliquer les tests à cinq situations limites

Les exemples suivants illustrent le chemin de décision sans créer de seuil ni de refuge automatique. Chaque organisation doit remplacer les faits indicatifs par ses propres mesures, son statut et le droit réellement applicable.

Le premier cas montre pourquoi un article européen ne doit pas dresser une liste d’organismes. La source nationale et la capacité réelle font le travail ; le deuxième et le troisième distinguent les deux routes d’activité de base : le suivi exige sa régularité et son organisation, tandis que les données sensibles exigent les catégories pertinentes ; tous deux demandent une grande échelle.

Le quatrième préserve une vraie branche négative. La taille de l’entreprise apparaît comme un fait descriptif avant tout examen de l’effectif, mais elle ne décide rien. Ce sont les quatre voies, appliquées aux activités réelles et aux sources applicables, qui soutiennent le non ; le cinquième rappelle qu’une question ouverte doit rester ouverte jusqu’à sa résolution.

Chaque exemple doit finir par un déclencheur observable. Un suivi devenu permanent, une extension territoriale, une autre catégorie de données, une réforme ou un changement de statut indiquent qui doit reprendre la fiche et avec quelles pièces. L’exemple cesse alors d’être une analogie décorative : il montre comment une conclusion vit avec l’activité.

Questions fréquentes sur l’obligation de désigner un DPO

Quand un DPO est-il obligatoire au titre du RGPD ?

Un DPO est obligatoire dès qu’une seule voie est positive : autorité ou organisme public, activités de base impliquant un suivi régulier et systématique à grande échelle, activités de base comprenant à grande échelle des données des articles 9 ou 10, ou exigence du droit de l’Union ou national ¹. Testez le responsable du traitement et le sous-traitant séparément, pour une personne morale et des activités délimitées.

Le nombre de salariés impose-t-il la désignation d’un DPO ?

Non. L’article 37 ne fixe aucun seuil d’effectif ou de chiffre d’affaires ¹. Une petite entreprise peut satisfaire l’une des voies, tandis qu’une structure plus grande peut ne pas les satisfaire. L’effectif n’est pas non plus un substitut à la grande échelle : examinez la population concernée, le volume et la diversité des données, la durée et la géographie ⁴.

Comment savoir si un traitement est réalisé à grande échelle ?

Appréciez ensemble le nombre de personnes et leur proportion, le volume ou la diversité des données, la durée ou la permanence du traitement et son étendue géographique ⁴. Il n’existe pas de seuil numérique universel. Conservez les mesures, la période, le dénominateur et le raisonnement afin que la conclusion puisse être reprise lorsque le service évolue.

Un DPO peut-il être externe ou partagé entre plusieurs entités ?

Oui ; le DPO peut être membre du personnel ou exercer sur la base d’un contrat de services ; un groupe peut aussi désigner un DPO unique s’il reste facilement accessible depuis chaque établissement ¹ ; le montage doit garantir une capacité suffisante, l’accès aux opérations, la confidentialité, l’indépendance et l’absence de conflit d’intérêts ².

Que se passe-t-il si une organisation désigne volontairement un DPO ?

Le régime complet des articles 37 à 39 s’applique après une désignation volontaire ⁴. L’article 38 couvre notamment ressources, accès, indépendance et rattachement ², tandis que l’article 39 porte les missions ³. Si l’organisation préfère une fonction sans ce régime, elle emploie un titre distinct et explique clairement le mandat du responsable de la vie privée.

Le droit national peut-il étendre l’obligation de désigner un DPO ?

Oui. L’article 37, paragraphe 4, ouvre expressément cette possibilité ¹. Identifiez les territoires applicables, consultez la source officielle, conservez sa référence, sa version et sa date, puis reliez ses conditions aux faits de l’entité. Ne transformez jamais une exigence nationale en règle générale de l’Union et rouvrez l’analyse si le rattachement ou le texte change.

La vérification finale tient en quatre colonnes : voie, faits, source et conclusion. Une cellule inconnue maintient le dossier ouvert ; le oui produit un rôle protégé avec des moyens vérifiables ; le non produit une évaluation datée, une responsabilité de protection de la vie privée clairement nommée et des événements capables de déclencher le prochain examen.