DPO obligatoire : l'article 37 du RGPD expliqué, cas par cas

Publié le 10 septembre 2026 · Mis à jour le 10 septembre 2026 · L'équipe Besoin d'un DPO ?

La désignation d'un délégué à la protection des données est obligatoire dans trois cas, fixés par l'article 37 §1 du RGPD : lorsque le traitement est effectué par une autorité ou un organisme public ; lorsque les activités de base exigent un suivi régulier et systématique à grande échelle des personnes ; lorsque les activités de base consistent en un traitement à grande échelle de données sensibles ou relatives aux condamnations. Ni l'effectif ni le chiffre d'affaires n'entrent en compte. Le test en 5 questions applique ces critères.

Cas a) : les autorités et organismes publics

Toute autorité publique et tout organisme public désignent un DPO, à l'exception des juridictions dans l'exercice de leur fonction juridictionnelle. La notion d'organisme public s'entend largement : État, collectivités territoriales, établissements publics, et, selon le droit national, personnes morales de droit privé chargées d'une mission de service public. Une commune de 500 habitants est concernée au même titre qu'un ministère ; la mutualisation entre plusieurs organismes (article 37 §3) est prévue précisément pour ce cas.

Cas b) : le suivi régulier et systématique à grande échelle

Trois conditions cumulatives. Il doit s'agir d'une activité de base, c'est-à-dire indispensable à l'objectif principal de l'organisme, et non d'une fonction support. Le suivi doit être régulier (continu ou récurrent) et systématique (organisé, méthodique, selon un plan). Il doit être à grande échelle. Les lignes directrices citent le suivi en ligne et le profilage, la publicité comportementale, la géolocalisation, les programmes de fidélité, les objets connectés, la vidéosurveillance, le suivi de la santé et de la forme par des applications.

Cas c) : les données sensibles à grande échelle

Même logique d'activité de base et de grande échelle, appliquée aux catégories particulières de données de l'article 9 (santé, génétique, biométrie, origine, opinions politiques, convictions religieuses, appartenance syndicale, vie ou orientation sexuelle) et aux données relatives aux condamnations et infractions de l'article 10. Établissements de santé, laboratoires, mutuelles et assureurs santé, organismes de recherche médicale, plateformes de télémédecine, mais aussi syndicats et partis politiques pour les données de leurs adhérents, sont dans ce cas.

Tableau : exemples de situations

Que signifie « grande échelle » ?

Le règlement ne fixe aucun seuil chiffré. Les lignes directrices WP243 retiennent quatre facteurs : le nombre de personnes concernées, en valeur absolue ou en proportion de la population ; le volume et la variété des données ; la durée ou la permanence du traitement ; son étendue géographique. Elles donnent des exemples : un hôpital, un opérateur de transport urbain, une chaîne de restauration rapide traitant la géolocalisation en temps réel, un assureur ou une banque, un moteur de recherche à des fins publicitaires sont à grande échelle ; un praticien de santé individuel ou un avocat individuel ne le sont pas.

Les pièges

Confondre taille de l'entreprise et grande échelle : une start-up de 12 salariés qui suit des millions d'utilisateurs est à grande échelle. Oublier la condition d'activité de base : un traitement sensible en fonction support (données de santé du personnel dans un service RH) ne déclenche pas l'obligation. Croire que la désignation volontaire est sans conséquence : un DPO désigné volontairement est soumis aux mêmes règles d'indépendance et de mission (articles 37 à 39). Ignorer les sous-traitants : ils sont visés pour leurs propres activités.

Et si l'obligation ne s'applique pas ?

Le cas des groupes et des filiales

L'obligation s'apprécie entité par entité, mais un groupe d'entreprises peut désigner un seul DPO, à condition qu'il soit facilement joignable depuis chaque établissement (article 37 §2). Une filiale dont l'activité de base repose sur le suivi à grande échelle déclenche l'obligation pour elle-même ; le groupe peut y répondre par un DPO commun. Les sous-traitants du groupe restent tenus de leur propre analyse.

Documenter l'analyse, même négative

Que la conclusion soit positive ou négative, la CNIL attend une trace : la liste des traitements examinés, les critères appliqués (activité de base, grande échelle, suivi régulier et systématique, données sensibles), la conclusion et sa date. Cette note d'une page dans le registre suffit à démontrer que la question a été posée sérieusement, et se révise à chaque nouveau traitement significatif.

Documentez l'analyse dans votre registre : c'est ce que la CNIL demandera en cas de contrôle. Désignez éventuellement un référent interne sans le titre de DPO, ou faites appel à une mission ponctuelle. Si l'obligation s'applique, choisissez entre DPO interne ou externalisé et suivez la procédure de désignation à la CNIL ; les prestataires sont comparés sur la page DPO externalisé.