Absence de DPO : quelles sanctions ? Amende jusqu'à 10 M€ ou 2 % (article 83 §4 du RGPD), mises en demeure, contrôles

Publié le 10 septembre 2026 · Mis à jour le 10 septembre 2026 · L'équipe Besoin d'un DPO ?

Ne pas désigner de délégué à la protection des données alors que l'article 37 du RGPD l'impose, ou le désigner sans lui donner les moyens et l'indépendance requis par l'article 38, est un manquement aux articles 37 à 39. Ces manquements relèvent de l'article 83 §4 : amende administrative jusqu'à 10 000 000 € ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La CNIL dispose aussi de mesures correctrices avant l'amende. Vérifiez votre obligation avec le test.

Le cadre juridique des sanctions

L'article 83 du RGPD organise deux niveaux d'amende. Le premier, jusqu'à 10 M€ ou 2 %, vise notamment les obligations du responsable et du sous-traitant des articles 25 à 39, dont celles relatives au DPO. Le second, jusqu'à 20 M€ ou 4 %, vise les principes fondamentaux, les droits des personnes et les transferts. L'absence de DPO relève du premier niveau ; elle s'accompagne souvent d'autres manquements (information des personnes, sécurité) qui relèvent du second.

Tableau : manquements liés au DPO

Ce que fait la CNIL en pratique

La CNIL dispose d'une gamme de mesures (article 58) : avertissement, rappel à l'ordre, mise en demeure de se conformer dans un délai, limitation ou interdiction d'un traitement, et amende administrative. Les mises en demeure, publiques ou non, sont fréquentes pour l'absence de DPO ou son manque de moyens ; l'amende intervient en cas d'inaction ou de manquements cumulés. Les critères de l'article 83 §2 pondèrent la sanction : nature, gravité et durée du manquement, caractère délibéré ou négligent, mesures prises, coopération, catégories de données concernées.

Cas concrets d'exposition

Clinique sans DPO. Activité de base à grande échelle sur des données de santé : manquement caractérisé à l'article 37 §1 c), aggravé par la sensibilité des données.

Collectivité ayant désigné le DSI comme DPO. Conflit d'intérêts (article 38 §6) : mise en demeure probable, avec délai pour désigner un DPO indépendant, par exemple mutualisé.

Régie publicitaire avec un DPO externalisé jamais consulté. Désignation formelle mais manquement à l'article 38 §1 ; en cas de contrôle, l'absence de trace de consultation du DPO sur les projets pèse lourd.

PME de services sans obligation. Aucune sanction possible au titre de l'article 37 ; une analyse documentée dans le registre suffit.

Au-delà de l'amende

Comment se déroule un contrôle de la CNIL sur ce point

Le contrôle, sur place, sur pièces, en ligne ou sur audition, commence souvent par la demande de la désignation du DPO et de sa lettre de mission. La CNIL vérifie ensuite l'effectivité : le DPO est-il consulté sur les projets, dispose-t-il de temps, a-t-il accès à la direction, tient-il des comptes rendus, a-t-il organisé des actions de sensibilisation ? Un DPO désigné sur le papier, sans trace d'activité, est traité comme un manquement aux articles 38 et 39. Les organismes qui documentent l'activité du DPO (ordres du jour, avis rendus, formations) sont dans une position très différente.

Régulariser avant le contrôle

La désignation prend quelques minutes ; l'effectivité prend quelques semaines : lettre de mission, temps alloué, premier point avec la direction, revue du registre. Une régularisation spontanée, avant toute plainte ou tout contrôle, est prise en compte dans l'appréciation des sanctions (article 83 §2 : mesures prises pour atténuer le dommage, coopération, manquements antérieurs). Elle ne fait pas disparaître le manquement passé, mais elle change son traitement.

Les autres manquements souvent associés

L'absence de DPO s'accompagne fréquemment d'un registre incomplet (article 30), de mentions d'information absentes (articles 13 et 14), de contrats de sous-traitance non conformes (article 28) et d'une gestion des violations inexistante (articles 33 et 34). Ces manquements relèvent en partie du niveau supérieur d'amende (20 M€ ou 4 %). Désigner un DPO et lui donner les moyens d'exercer ses missions est le moyen le plus direct de traiter l'ensemble.

Un mot sur les sous-traitants

Un sous-traitant tenu de désigner un DPO pour ses propres activités de base (hébergeur de données de santé, prestataire de vidéosurveillance à grande échelle) encourt les mêmes sanctions que le responsable du traitement ; ses clients, de leur côté, doivent vérifier ses garanties (article 28). L'absence de DPO chez un sous-traitant est donc aussi un risque contractuel pour ses clients.

L'absence de DPO prive l'organisme d'un interlocuteur lors d'un contrôle, d'une violation de données ou d'une réclamation, et signale à la CNIL un défaut de gouvernance. Elle expose aussi les dirigeants aux actions des personnes concernées et à la publicité des décisions. Régulariser prend quelques minutes pour la désignation, décrite dans désigner un DPO à la CNIL ; donner au DPO les moyens d'exercer ses missions est le vrai chantier. Les prestataires sont comparés sur la page DPO externalisé.