Les 3 cas où la désignation d'un DPO est obligatoire (article 37 RGPD expliqué simplement)
·
Par 
Bertrand Bucelle · 8 min de lecture
En bref
- La désignation d'un DPO est obligatoire dans trois cas (article 37 du RGPD) : 1) l'organisme est une autorité ou un organisme public ; 2) ses activités de base impliquent un suivi régulier et systématique de personnes à grande échelle ; 3) ses activités de base impliquent un traitement à grande échelle de données sensibles ou relatives à des condamnations. Hors ces cas, la désignation est recommandée mais facultative.
Les 3 cas où la désignation d'un DPO est obligatoire
La désignation d'un Délégué à la Protection des Données (DPO) n'est pas systématique. Le RGPD a défini trois cas précis où cette fonction devient une obligation légale. Comprendre ces cas est essentiel pour toute organisation traitant des données personnelles. Pour une vue complète du sujet, consultez notre guide complet du DPO externalisé.
Cas n°1 : les organismes publics
L'article 37 du RGPD stipule clairement que toute autorité publique ou tout organisme public doit désigner un DPO, indépendamment de sa taille ou du type de données traitées.
- Communes, départements, régions
- Hôpitaux publics, CHU
- Administrations publiques (impôts, éducation nationale…)
- Établissements publics à caractère industriel et commercial (EPIC)
La CNIL a fermement rappelé cette obligation via des mises en demeure et une sanction exemplaire à l'encontre d'une commune pour non-désignation.
Cas n°2 : le suivi régulier et systématique à grande échelle
Ce critère concerne les organisations dont les activités principales consistent en un suivi des personnes, « à grande échelle ». Régulier : continu ou récurrent selon un rythme défini. Systématique : automatique, préétabli et organisé.
- Profilage publicitaire (analyse du comportement pour cibler)
- Géolocalisation (suivi GPS des véhicules de service)
- Vidéosurveillance étendue suivie en continu
- Plateformes traçant le comportement des utilisateurs
Une application mobile qui suit les déplacements de dizaines de milliers d'utilisateurs atteint sans peine la notion de « grande échelle ».
Cas n°3 : le traitement à grande échelle de données sensibles
La désignation est obligatoire lorsque les activités de base impliquent un traitement à grande échelle de données sensibles (article 9 : santé, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques ou biométriques, vie ou orientation sexuelle) ou de données relatives à des condamnations pénales (article 10).
- Établissements de santé, cliniques, laboratoires
- Structures médico-sociales (EHPAD, IME)
- Entreprises analysant des données biométriques à grande échelle
Et si je ne suis dans aucun de ces cas ?
La désignation devient facultative, mais la CNIL la recommande fortement. Un DPO, même externalisé et à temps partagé, structure la gouvernance, réduit le risque et matérialise votre bonne foi. Beaucoup de donneurs d'ordre exigent désormais un DPO désigné de leurs sous-traitants : c'est devenu un critère dans les appels d'offres. Une solution efficace pour les petites structures est le DPO mutualisé.
Que risque-t-on en cas de non-désignation ?
Le défaut de désignation, lorsqu'elle est obligatoire, constitue un manquement au RGPD passible des sanctions de l'article 83 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Au-delà de l'amende, l'absence de DPO fragilise toute la gouvernance des données et la relation avec les autorités.
Passez à l’action
Téléchargez notre grille d'auto-évaluation « Suis-je obligé de désigner un DPO ? » et estimez votre conformité en 5 minutes.
Découvrir le DPO externalisé →Tester ma conformité gratuitement