Désigner un DPO à la CNIL : procédure, formulaire, informations à fournir, publication des coordonnées

Publié le 10 septembre 2026 · Mis à jour le 10 septembre 2026 · L'équipe Besoin d'un DPO ?

Désigner un DPO à la CNIL se fait en ligne, par le téléservice de désignation, qui propose trois formulaires : désignation, remplacement et mise à jour. L'article 37 §7 du RGPD impose de communiquer les coordonnées du DPO à l'autorité de contrôle et de les publier. La démarche prend quelques minutes une fois les informations réunies ; c'est ce qui vient après (moyens, association aux projets, point de contact) qui demande du travail. Vérifiez d'abord si vous y êtes tenu avec le test.

Avant la désignation : vérifier les conditions

Le futur DPO remplit-il les conditions de l'article 37 §5 (qualités professionnelles, connaissances spécialisées) ? Est-il exempt de conflit d'intérêts (article 38 §6) ? Dispose-t-il du temps et des ressources (article 38 §2) ? Pour un prestataire, le contrat de service est-il signé, avec le point de contact désigné ? Ces vérifications évitent une désignation à refaire. Le choix entre interne et externe est traité dans DPO interne ou externalisé.

Les informations à préparer

La démarche, étape par étape

1. Accéder au téléservice de désignation sur le site de la CNIL et choisir le formulaire « désignation ».
2. Renseigner l'organisme, le type de désignation et l'identité du DPO.
3. Indiquer les coordonnées de contact qui seront communiquées aux personnes concernées.
4. Valider ; conserver l'accusé de réception dans le registre des traitements.
5. Publier les coordonnées : mentions d'information, politique de confidentialité, site internet, formulaires.
6. Informer le personnel de l'existence et du rôle du DPO.

Le remplacement et la mise à jour (changement de coordonnées, fin de contrat d'un prestataire) utilisent les deux autres formulaires du téléservice.

Après la désignation : les obligations qui suivent

La désignation n'est que le début. Le responsable du traitement doit associer le DPO en temps utile à toutes les questions de protection des données, lui fournir les ressources, ne lui donner aucune instruction dans l'exercice de ses missions, lui garantir un accès direct au plus haut niveau de la direction et ne pas le sanctionner pour l'exercice de ses missions (article 38). Le DPO exerce ses missions de l'article 39, décrites dans les missions du DPO.

Publication des coordonnées : ce qui est attendu

Les personnes concernées doivent pouvoir contacter le DPO facilement : une adresse électronique dédiée et un canal postal suffisent ; le nom du DPO n'a pas à être publié si une adresse fonctionnelle est fournie, mais il est communiqué à la CNIL. Les coordonnées figurent dans les mentions d'information (article 13 et 14), donc dans les formulaires, les contrats, les politiques de confidentialité et, pour les employeurs, dans l'information du personnel.

Cas concrets

Commune désignant le DPO mutualisé de l'intercommunalité. Formulaire de désignation avec le type « mutualisé », coordonnées de l'intercommunalité, publication sur le site de la commune.

PME remplaçant un prestataire. Formulaire de remplacement, mise à jour de la politique de confidentialité et du registre, récupération de la documentation auprès de l'ancien prestataire.

Clinique nommant un salarié. Formulaire de désignation, adresse dpo@ dédiée, lettre de mission précisant le temps alloué et le rattachement à la direction.

Que se passe-t-il sans désignation ?

Ce que la CNIL vérifie à réception

La désignation n'est pas soumise à validation : la CNIL enregistre les informations et publie les coordonnées de contact dans son annuaire des DPO. Elle ne contrôle pas à ce stade les compétences du délégué ni l'absence de conflit d'intérêts ; ces points sont examinés en cas de contrôle ou de plainte. Une désignation incomplète ou avec des coordonnées invalides sera en revanche signalée : utilisez une adresse électronique fonctionnelle et relevée.

Les documents à conserver en interne

La lettre de mission ou le contrat de service du DPO, précisant les missions, le temps alloué, le rattachement hiérarchique et l'absence d'instructions ; l'accusé de réception de la désignation ; l'organigramme montrant l'accès direct à la direction ; la note d'analyse justifiant, le cas échéant, la désignation volontaire. Ces documents constituent la première demande de la CNIL lors d'un contrôle portant sur la gouvernance des données.

Désignation volontaire : mêmes formalités

Un organisme non tenu de désigner un DPO peut le faire volontairement ; la désignation suit alors la même procédure et le DPO est soumis aux mêmes règles d'indépendance et de mission (articles 37 à 39). Un « référent RGPD » sans désignation à la CNIL n'est pas un DPO au sens du règlement et ne doit pas être présenté comme tel dans les mentions d'information.

L'absence de DPO lorsqu'il est obligatoire est un manquement aux articles 37 à 39, sanctionnable au titre de l'article 83 §4 du RGPD ; le détail figure dans les sanctions en cas d'absence de DPO.