Changer de DPO se fait en trois temps : récupérer le dossier de l’ancien DPO, déposer la nouvelle désignation sur le service en ligne de la CNIL, puis auditer la conformité pour repartir sur une base saine. L’opération prend quelques jours si elle est préparée, et elle ne doit laisser aucune période sans DPO déclaré. Cet article décrit les étapes, les pièges et la checklist que nous utilisons lorsqu’un client nous confie la reprise d’une mission.
Cet article fait partie de notre dossier sur le DPO externalisé : découvrir la mission de DPO externalisé et comment choisir son DPO externe.
L’essentiel
- Les coordonnées du DPO doivent être communiquées à la CNIL et publiées (article 37, paragraphe 7 du RGPD) : tout changement se déclare.
- La démarche passe par le service en ligne de désignation de la CNIL : modification ou fin de l’ancienne désignation, puis nouvelle désignation.
- Avant le changement, récupérez le registre, les procédures, l’historique des demandes de droits et des violations.
- Après le changement, un audit de reprise documente l’état de la conformité à la date de transition.
Pourquoi changer de DPO ?
Quatre situations reviennent. Le DPO quitte l’entreprise ou change de poste, ce qui est fréquent lorsque la fonction était confiée à temps partiel à un cadre. Un conflit d’intérêts apparaît, parce que le DPO est devenu responsable informatique, RH ou marketing, fonctions que la CNIL juge incompatibles. Le niveau d’expertise ne suit plus l’évolution des textes et des contrôles. Enfin, l’entreprise choisit d’externaliser la fonction pour gagner en compétence, en indépendance et en coût.
L’absence de DPO valablement désigné, ou une désignation qui ne correspond plus à la réalité, est l’un des premiers points que la CNIL vérifie lors d’un contrôle. Un changement mal géré expose donc l’entreprise à une mise en demeure, même si le fond de la conformité est correct.
Quelles sont les étapes officielles auprès de la CNIL ?
1. Récupérer le dossier de l’ancien DPO
Avant toute démarche, demandez au DPO sortant la remise complète de son dossier : le registre des activités de traitement et sa dernière date de mise à jour, les politiques et procédures, l’historique des demandes de droits avec les réponses apportées, le registre des violations de données, les analyses d’impact, la liste des sous-traitants et des contrats signés, et les échanges avec la CNIL. Cette remise se formalise par un simple procès-verbal daté, qui protège les deux parties.
2. Modifier la désignation sur le service en ligne de la CNIL
La CNIL ne reçoit pas de courrier : tout passe par son service en ligne de désignation d’un délégué. Vous y retrouvez la désignation existante grâce au numéro reçu lors du dépôt initial, vous la modifiez ou vous y mettez fin, puis vous déposez la nouvelle désignation avec les coordonnées du nouveau DPO, interne ou externe. Vous recevez un accusé de réception et un nouveau numéro de désignation.
Le nouveau DPO externalisé peut effectuer la démarche à votre place, à condition de disposer des informations de l’ancienne désignation. C’est ce que nous faisons pour chaque client que nous reprenons.
3. Mettre à jour vos documents d’information
Les coordonnées du DPO figurent dans votre politique de confidentialité, vos mentions d’information, vos contrats de travail ou votre règlement intérieur, et parfois sur vos formulaires. Mettez-les à jour le jour du changement : des coordonnées périmées empêchent les personnes d’exercer leurs droits, ce qui constitue un manquement en soi.
4. Réaliser un audit de reprise
Le nouveau DPO vérifie l’état réel de la conformité : écarts entre le registre et les traitements effectifs, demandes de droits en attente, violations non clôturées, sous-traitants sans contrat, analyses d’impact manquantes. Le rapport date la situation à la transition et sert de point de départ au plan d’action. Notre page sur l’audit RGPD décrit les livrables.
Remplacer un DPO interne par un DPO externalisé : comment ça se passe ?
La reprise suit les quatre étapes ci-dessus, avec une attention particulière à la transmission de la connaissance des métiers que détenait le DPO interne. Nous organisons un entretien de passation avec lui lorsqu’il est encore présent, et nous désignons un référent interne qui relaie les demandes et signale les nouveaux projets. Le cabinet dépose ensuite sa propre désignation, avec un suppléant, et prend en charge les demandes de droits dès le premier jour.
Le coût de la mission démarre à 189 € HT par mois ; notre guide sur le tarif d’un DPO externe détaille ce qui est compris.
Ce que je constate en mission
Dans la moitié des reprises que je mène, l’ancien DPO est déjà parti et personne ne retrouve le numéro de désignation ni le registre. On repart alors de l’accusé de réception reçu en 2018 ou 2019, que le service administratif a souvent archivé, et d’un audit complet. Mon conseil : avant même de chercher un remplaçant, mettez la main sur ce numéro et sur la dernière version du registre. — Thomas Blanc, DPO externalisé depuis 2018
Checklist pour changer de DPO sans rupture
- Retrouver le numéro de la désignation en cours auprès de la CNIL
- Obtenir la remise du dossier de l’ancien DPO (registre, procédures, demandes, violations, AIPD, sous-traitants) avec un procès-verbal daté
- Choisir le nouveau DPO : interne sans fonction incompatible, ou externalisé avec suppléant et assurance
- Modifier ou clore l’ancienne désignation, déposer la nouvelle, conserver l’accusé de réception
- Mettre à jour la politique de confidentialité, les mentions d’information et les contrats
- Informer les équipes et désigner un référent interne
- Réaliser l’audit de reprise et lancer le plan d’action
Questions fréquentes
Dans quel délai faut-il déclarer le changement de DPO à la CNIL ?
Le RGPD ne fixe pas de délai chiffré, mais l’organisme doit publier et communiquer à la CNIL les coordonnées de son DPO (article 37, paragraphe 7). En pratique, déposez la nouvelle désignation le jour où le nouveau DPO prend ses fonctions, pour qu’il n’y ait jamais de période sans DPO déclaré.
Faut-il « démissionner » l’ancien DPO ?
Le formulaire en ligne de la CNIL permet de modifier ou de mettre fin à une désignation existante. Vous déposez ensuite la nouvelle. L’ancien DPO n’a pas de démarche à faire lui-même ; en revanche, il doit vous remettre le registre, les documents et l’historique des demandes.
Peut-on remplacer un DPO interne par un DPO externe ?
Oui, c’est le cas le plus fréquent dans les PME. La transition suit les mêmes étapes ; le cabinet reprend le dossier, le met à niveau et dépose sa propre désignation. Notre comparatif DPO interne ou externe aide à décider.
Comment vérifier la conformité après le changement ?
Par un audit de reprise : état du registre, demandes en cours, violations non clôturées, sous-traitants, analyses d’impact. C’est la première tâche de tout nouveau DPO, et le document qui protège l’entreprise si un contrôle survient pendant la transition.
Vous devez remplacer votre DPO ?
Un échange de 30 minutes suffit pour organiser la transition, récupérer le dossier et déposer la nouvelle désignation sans période de vide.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 37 à 39
- CNIL, « Le délégué à la protection des données (DPO) »
- CNIL, service en ligne de désignation d’un DPO
