L’article en bref
- L’article 39 du RGPD confie au DPO au moins cinq missions, du conseil au contrôle, jusqu’à la relation avec la CNIL.
- Le délégué tient compte du risque associé aux traitements, selon leur nature, leur portée, leur contexte et leurs finalités.
- Le responsable demande conseil au DPO pour toute analyse d’impact, et la notification d’une violation à la CNIL mentionne ses coordonnées.
- Le registre reste une obligation du responsable : la CNIL recommande de préciser dans la lettre de mission qui le tient.
- L’article 38 protège la fonction : aucune instruction, rapport direct au plus haut niveau de la direction, ressources nécessaires.
- Le DPO n’est pas responsable de la conformité : l’organisme l’est, et aucune délégation de pouvoir ne peut la lui transférer.
Les missions du DPO sont fixées par l’article 39 du règlement (UE) 2016/679, dit RGPD. Le texte en énumère cinq, « au moins » : la liste forme un socle minimal. Le rôle du DPO déborde pourtant de cet article. D’autres dispositions l’associent à l’analyse d’impact, aux violations de données et au registre. L’article 38 encadre enfin ses conditions d’exercice.
Si vous vous demandez d’abord si votre organisme doit désigner un délégué, lisez notre article sur les cas où le DPO est obligatoire. Lorsque les ressources internes manquent, un DPO externalisé exerce les mêmes missions sur la base d’un contrat de service.
Faits et sources vérifiés le 1er octobre 2026.
Les cinq missions du DPO prévues par l’article 39 du RGPD
L’article 39.1 énumère les missions du délégué sous cinq lettres, de a) à e). Le guide pratique de la CNIL les regroupe en quatre axes. Le DPO conseille et accompagne, contrôle l’effectivité des règles, sert de point de contact et assure la documentation des traitements.
Informer et conseiller
Le DPO informe et conseille le responsable du traitement, le sous-traitant et les employés qui procèdent au traitement (article 39.1 a). Ce conseil porte sur leurs obligations en matière de protection des données. Concrètement, le délégué éclaire la direction et les équipes avant toute décision qui touche aux données personnelles.
Contrôler le respect des règles
Le délégué contrôle le respect du RGPD, du droit applicable et des règles internes de l’organisme (article 39.1 b). Ce contrôle inclut la répartition des responsabilités, la sensibilisation et la formation du personnel. Il couvre également les audits qui s’y rapportent. Le DPO vérifie ainsi que les procédures écrites sont réellement appliquées.
Conseiller sur l’analyse d’impact
Le DPO dispense des conseils, sur demande, sur l’analyse d’impact relative à la protection des données (article 39.1 c). Il vérifie aussi l’exécution de cette analyse, prévue à l’article 35.
Coopérer avec la CNIL et lui servir de point de contact
Le délégué coopère avec l’autorité de contrôle, en France la CNIL (article 39.1 d). Il fait office de point de contact de cette autorité, y compris pour la consultation préalable de l’article 36 (article 39.1 e). Les personnes concernées peuvent aussi le contacter sur toute question relative à leurs données et à leurs droits (article 38.4). Le guide de la CNIL précise que le DPO n’est pas tenu de répondre lui-même à toutes les demandes. Il s’assure en revanche qu’elles sont traitées dans les délais.
Une action guidée par les risques
L’article 39.2 impose au délégué de tenir compte du risque associé aux opérations de traitement. Il apprécie ce risque selon la nature, la portée, le contexte et les finalités des traitements. Il consacre donc plus de temps aux traitements les plus risqués pour les personnes concernées.
| Mission | Fondement | En pratique |
|---|---|---|
| Informer et conseiller | Art. 39.1 a) RGPD | Éclairer la direction, le sous-traitant et les employés sur leurs obligations |
| Contrôler le respect des règles | Art. 39.1 b) RGPD | Vérifier la répartition des responsabilités, la sensibilisation, la formation et les audits |
| Conseiller sur l’analyse d’impact | Art. 39.1 c) et 35.2 RGPD | Rendre un avis au responsable et vérifier l’exécution de l’analyse |
| Coopérer avec l’autorité de contrôle | Art. 39.1 d) RGPD | Entretenir les échanges avec la CNIL |
| Servir de point de contact | Art. 39.1 e) et 38.4 RGPD | Recevoir les sollicitations de la CNIL, y compris pour la consultation préalable, et celles des personnes concernées |
| Tenir compte du risque | Art. 39.2 RGPD | Hiérarchiser son action selon la nature, la portée, le contexte et les finalités des traitements |
Le rôle du DPO dans l’analyse d’impact, les violations et le registre
L’analyse d’impact : un avis que le responsable doit solliciter
Lorsqu’il effectue une analyse d’impact, le responsable « demande conseil au délégué », si un délégué a été désigné (article 35.2). L’analyse reste donc conduite par le responsable du traitement. Le DPO rend un avis, puis vérifie l’exécution de l’analyse. Notre guide détaille la méthode de l’analyse d’impact RGPD.
La violation de données : un interlocuteur désigné
La notification d’une violation à la CNIL communique le nom et les coordonnées du délégué ou d’un autre point de contact (article 33.3 b). Le DPO devient alors un interlocuteur identifié de l’autorité. Cette place ne le rend pas responsable de la violation : l’organisme demeure responsable des manquements au RGPD. Voir notre page sur les violations de données personnelles.
Le registre : préciser qui le tient
Le registre du responsable comporte le nom et les coordonnées du délégué (article 30.1 a). Le registre du sous-traitant contient la même mention (article 30.2 a). La tenue du registre reste l’obligation du responsable ou du sous-traitant. Le guide de la CNIL range pourtant la documentation des traitements parmi les missions du DPO. Il recommande donc de préciser, dans la lettre de mission, qui tient le registre. Notre guide pratique explique comment réaliser et gérer un registre RGPD.
Les garanties de la fonction prévues par l’article 38
L’organisme associe le délégué, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données (article 38.1). L’organisme lui fournit aussi les ressources nécessaires et l’accès aux données et aux opérations de traitement (article 38.2). Il lui permet enfin d’entretenir ses connaissances.
Indépendance et secret
Le délégué ne reçoit aucune instruction pour l’exercice de ses missions (article 38.3). Il ne peut être relevé de ses fonctions ni pénalisé pour l’exercice de ces missions. Il fait directement rapport au niveau le plus élevé de la direction. Le guide de la CNIL laisse le rattachement libre et recommande un rapport annuel. Le DPO est enfin soumis au secret professionnel ou à une obligation de confidentialité (article 38.5).
Autres missions et conflit d’intérêts
L’article 38.6 autorise le délégué à exécuter d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts. La CJUE a précisé cette notion dans l’arrêt X-FAB Dresden du 9 février 2023 (aff. C-453/21). Un conflit est susceptible d’exister lorsque le DPO se voit confier des missions qui le conduiraient à déterminer les finalités et les moyens du traitement. Le juge national apprécie la situation au cas par cas.
La CNIL a publié le 10 août 2026 une fiche sur les conflits d’intérêts. Elle juge généralement incompatibles les fonctions de directeur général ou de responsable des ressources humaines. Notre article sur le choix d’un DPO interne ou externe revient sur ces points.
Ce que le DPO n’est pas
Le guide de la CNIL est sans ambiguïté : le DPO n’est pas personnellement responsable des manquements au RGPD. L’organisme l’est. Aucune délégation de pouvoir ne permet de transférer cette responsabilité au délégué. Sur le plan pénal, le DPO n’est pas responsable de la conformité. Il peut toutefois l’être s’il enfreint intentionnellement les dispositions pénales, ou en tant que complice.
Sur le plan civil, le DPO salarié est couvert par la responsabilité de son employeur. Le DPO externe qui commet une faute professionnelle causant un préjudice peut voir sa responsabilité recherchée par le responsable de traitement. Le délégué n’est pas non plus un décideur : il conseille et contrôle, mais ne fixe ni les finalités ni les moyens des traitements.
Les obligations des articles 37 à 39 entrent dans le champ de l’article 83.4 a) du RGPD. Leur violation expose l’organisme à une amende administrative jusqu’à 10 000 000 €. Pour une entreprise, le plafond atteint 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, si ce montant est plus élevé.
Confier les missions du DPO à un avocat
L’article 37.6 permet d’exercer les missions du délégué sur la base d’un contrat de service. Hashtag Avocats propose de confier la fonction de délégué à un avocat du cabinet. Un avocat référent est nommément identifié, avec un suppléant. Le cabinet est désigné auprès de la CNIL. La mission s’organise autour de 4 points de pilotage par an, avec une disponibilité les jours ouvrés entre ces points.
L’offre démarre dès 1 000 € HT par mois, sur un périmètre arrêté avec le client. Le contentieux et les procédures de sanction restent hors forfait, par choix déontologique : le contrôle reste indépendant de la défense. La mission peut aussi s’ajouter à notre abonnement juridique, sur devis. Les facteurs qui font varier le prix sont présentés dans notre article sur le coût d’un DPO externe.
Questions fréquentes sur les missions du DPO
Quel est le rôle du DPO ?
Le DPO informe et conseille l’organisme, contrôle le respect du RGPD et coopère avec la CNIL. Il sert aussi de point de contact pour l’autorité et pour les personnes concernées.
Le DPO est-il responsable en cas de manquement au RGPD ?
Non. Selon le guide de la CNIL, l’organisme reste responsable des manquements, et aucune délégation de pouvoir ne peut transférer cette responsabilité au délégué. Sa responsabilité pénale reste possible en cas d’infraction intentionnelle.
Le DPO peut-il exercer d’autres fonctions ?
Oui, à condition que ces fonctions n’entraînent pas de conflit d’intérêts (article 38.6). La CJUE retient qu’un conflit peut exister lorsque le délégué détermine les finalités et les moyens d’un traitement. La CNIL recommande d’analyser chaque situation avant la désignation.
Le DPO doit-il tenir le registre des traitements ?
Le registre est une obligation du responsable du traitement ou du sous-traitant, qui y mentionne les coordonnées du délégué. La CNIL recommande de préciser dans la lettre de mission qui tient le registre. Le DPO peut s’en charger si l’organisme le lui confie.
Comment déclarer son DPO à la CNIL ?
La désignation passe exclusivement par le téléservice de la CNIL, sans courrier ni justificatif. Elle devient effective le lendemain de la validation du formulaire. Notre article sur la désignation du DPO auprès de la CNIL détaille les étapes.
Peut-on mettre fin aux fonctions d’un DPO ?
Le DPO n’est pas un salarié protégé et ne bénéficie pas d’une procédure de licenciement dédiée. Le licencier pour l’exercice de ses missions constituerait toutefois une infraction au RGPD. Le contrat d’un DPO externe prend fin selon ses stipulations.
Sources officielles
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 30, 33, 35, 37, 38, 39 et 83 – EUR-Lex
- RGPD, chapitre IV « Responsable du traitement et sous-traitant » – CNIL
- CJUE, 9 février 2023, X-FAB Dresden, aff. C-453/21 – EUR-Lex
- Guide pratique RGPD – Délégués à la protection des données, édition novembre 2021 – CNIL
- Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO, 10 août 2026 – CNIL
- Désigner un DPO ou modifier une désignation, mise à jour du 3 avril 2026 – CNIL
Cet article présente l’état du droit à titre d’information générale, tel que vérifié le 1er octobre 2026. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée.
