Votre entreprise a besoin d’un DPO lorsque personne ne sait où sont les données personnelles, lorsqu’une demande d’accès d’un salarié ou d’un client vous prend au dépourvu, lorsque des outils SaaS traitent vos fichiers sans contrat, ou lorsque votre sécurité repose entièrement sur votre prestataire informatique. Ces signes n’attendent ni un contrôle de la CNIL ni une fuite de données pour devenir urgents. Cet article les décrit, explique ce qu’un DPO fait concrètement pour chacun, et vous aide à décider si la désignation s’impose.
Cet article fait partie de notre dossier sur le DPO externalisé : découvrir la mission de DPO externalisé et comment choisir son DPO externe.
L’essentiel
- La désignation d’un DPO est obligatoire pour les organismes publics et pour les traitements à grande échelle (article 37 du RGPD) ; elle est recommandée bien au-delà.
- Les cinq signes : données non cartographiées, données sensibles non identifiées, demandes de droits improvisées, sous-traitants SaaS sans contrat, sécurité déléguée au prestataire informatique.
- Un DPO externalisé démarre à 189 € HT par mois et traite ces cinq points dans ses premiers mois de mission.
- Première action : lister vos outils et vos fichiers, même sur une feuille, avant tout rendez-vous.
Signe 1 : vous gérez des données personnelles sans savoir lesquelles, ni où elles sont
CRM, logiciel de recrutement, outil d’e-mailing, ERP, fichiers Excel partagés, Drive personnels : les données personnelles sont partout dans une PME, et rares sont les dirigeants qui en ont une vue claire et documentée. Le RGPD impose pourtant un registre des activités de traitement (article 30) que l’organisme doit pouvoir présenter à la CNIL à tout moment.
Un exemple courant : un service RH qui conserve des années de CV non triés, dont certains contiennent des informations sensibles, ou un commercial qui garde ses fiches clients sur un espace personnel. Tant que rien ne se passe, personne ne s’en inquiète ; le jour où un ancien salarié demande l’accès à ses données ou où un ordinateur disparaît, l’absence de cartographie devient un problème.
Ce qu’un DPO fait : il cartographie les traitements (qui, quoi, où, pourquoi, combien de temps), hiérarchise les risques et construit un registre lisible que vos équipes peuvent maintenir. Notre exemple de registre rempli montre le résultat attendu.
Signe 2 : vous traitez des données sensibles sans en mesurer la gravité
Données de santé dans les arrêts de travail et les dossiers de prévoyance, données biométriques d’un contrôle d’accès, opinions syndicales dans un fichier du personnel, données relatives aux infractions dans un contentieux : ces catégories relèvent des articles 9 et 10 du RGPD et exigent une base légale spécifique, des mesures de sécurité renforcées et, souvent, une analyse d’impact.
Beaucoup de PME les traitent sans le savoir, parce qu’elles arrivent par les flux ordinaires : la paie, la médecine du travail, la vidéosurveillance, les notes de frais. Les sanctions de la CNIL sur ces données sont parmi les plus lourdes, et les plaintes des salariés portent souvent dessus.
Ce qu’un DPO fait : il identifie ces données dans vos flux, vérifie la base légale, restreint les accès, fixe les durées de conservation et décide si une analyse d’impact s’impose.
Signe 3 : vos clients ou vos anciens salariés demandent des réponses et vous improvisez
« Je veux récupérer toutes mes données. » « Supprimez-moi de votre base. » « Avez-vous partagé mes informations avec un tiers ? »
Ces demandes relèvent des droits d’accès, d’effacement et d’information (articles 15 à 22). Vous devez y répondre dans un délai d’un mois, même pour refuser, en motivant la réponse. Depuis l’arrêt de la Cour de cassation du 18 juin 2025, un salarié qui part peut en outre exiger la remise de ses courriels professionnels, ce qui demande un tri préalable des informations de tiers.
Sans procédure, chaque demande mobilise plusieurs personnes pendant des jours, et un retard ou une réponse incomplète alimente une plainte auprès de la CNIL, première source de contrôles pour les PME.
Ce qu’un DPO fait : il met en place une procédure (adresse dédiée, vérification d’identité, modèles de réponse, délais), répond lui-même aux demandes en tant que point de contact désigné, et conserve la preuve de chaque réponse. Notre guide sur l’anonymisation de la boîte mail d’un salarié partant traite le cas le plus délicat.
Signe 4 : vous utilisez des outils SaaS sans savoir ce qu’ils font de vos données
Outil de prise de rendez-vous, plateforme d’e-mailing, logiciel de paie en ligne, assistant IA, CRM hébergé : chacun est un sous-traitant au sens de l’article 28 du RGPD. Vous devez avoir signé avec lui un contrat qui précise ce qu’il fait des données, où il les héberge, et ce qu’il advient en cas de violation. Beaucoup de ces outils transfèrent des données hors de l’Union européenne sans que personne l’ait vérifié.
Ce qu’un DPO fait : il inventorie vos sous-traitants, vérifie leurs conditions contractuelles et leurs garanties, fait signer les clauses manquantes et documente les transferts. Notre fiche sur l’article 28 et les sous-traitants donne la checklist.
Signe 5 : votre cybersécurité repose uniquement sur votre prestataire informatique
Un bon prestataire installe les sauvegardes, les antivirus et le pare-feu. Il ne décide pas à votre place qui a accès à quoi, combien de temps vous conservez les données, ni comment vous réagissez à une violation. Or l’article 32 vous impose des mesures techniques et organisationnelles « appropriées au risque », et l’article 33 vous oblige à notifier une violation à la CNIL sous 72 heures : la responsabilité reste la vôtre, pas celle du prestataire.
Ce qu’un DPO fait : il traduit vos obligations en règles organisationnelles (habilitations, départ d’un collaborateur, télétravail, mots de passe), rédige la procédure de violation de données et, le jour venu, qualifie l’incident et prépare la notification. Il travaille avec votre prestataire, pas à sa place.
Ce que je constate en mission
Les cinq signes vont presque toujours ensemble. Lorsqu’une entreprise m’appelle pour une demande d’accès qu’elle ne sait pas traiter, je retrouve dans les semaines qui suivent les quatre autres : pas de registre, des données sensibles dans la paie, trois outils SaaS sans contrat et une sécurité confiée au prestataire. C’est pour cela qu’une mission de DPO commence toujours par un audit, et non par la réponse au problème du jour. — Thomas Blanc, DPO externalisé depuis 2018
Que faire si vous reconnaissez votre entreprise ?
- Listez vos outils et vos fichiers contenant des données personnelles, même sommairement : c’est le point de départ de toute mission.
- Identifiez les données sensibles qui circulent (santé, biométrie, infractions, opinions) et qui y a accès.
- Vérifiez que vos trois principaux sous-traitants ont signé un contrat conforme à l’article 28.
- Désignez un DPO, interne ou externalisé, et déclarez-le à la CNIL : notre comparatif DPO interne ou externe vous aide à choisir.
- Faites réaliser un audit RGPD pour transformer ces constats en plan d’action priorisé.
Questions fréquentes
À partir de quand la désignation d’un DPO est-elle obligatoire ?
Pour les organismes publics, pour les entreprises dont l’activité de base implique un suivi régulier et systématique des personnes à grande échelle, et pour celles qui traitent à grande échelle des données sensibles ou relatives aux infractions (article 37 du RGPD). Notre fiche sur l’article 37 vous aide à trancher.
Un DPO est-il utile si ma PME n’y est pas obligée ?
Oui, dès que les cinq signes ci-dessus se présentent. Les obligations de conformité (registre, information, sécurité, réponse aux demandes) s’appliquent à toutes les entreprises ; le DPO est la personne qui les porte. Beaucoup de PME le désignent volontairement pour disposer d’un référent compétent et joignable.
Qui peut être DPO dans l’entreprise ?
Toute personne compétente, rattachée à la direction et sans conflit d’intérêts : elle ne doit pas décider des traitements qu’elle contrôle, ce qui exclut la direction générale, la DSI, la DRH et le marketing. Voir les fonctions incompatibles avec celle de DPO.
Combien coûte un DPO externalisé ?
À partir de 189 € HT par mois pour une petite structure, selon le nombre de traitements et le secteur. Notre guide sur le tarif d’un DPO externe détaille le calcul et le compare à un recrutement.
Vous reconnaissez au moins un de ces signes ?
Un échange de 30 minutes suffit pour mesurer votre exposition réelle et savoir si la désignation d’un DPO s’impose, et sous quelle forme.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 37 à 39
- CNIL, « Le délégué à la protection des données (DPO) »
- CNIL, sanctions prononcées
