L’article en bref
- La désignation d’un DPO auprès de la CNIL se fait exclusivement en ligne, depuis le téléservice dédié.
- Trois formulaires coexistent : désigner un DPO, mettre fin à la désignation ou le remplacer, mettre à jour la désignation.
- Le formulaire de désignation compte 4 étapes et se termine par un récapitulatif PDF téléchargeable.
- Aucun justificatif ni courrier n’est demandé ; la désignation prend effet le lendemain de la validation du formulaire.
- Le représentant légal ou une personne mandatée remplit le formulaire ; le « contact CNIL » de l’organisme ne peut pas être le délégué.
- Un DPO mutualisé suppose un formulaire de désignation par entité.
La désignation d’un DPO auprès de la CNIL est la formalité qui rend officielle la nomination de votre délégué à la protection des données. L’article 37.7 du RGPD impose au responsable du traitement et au sous-traitant de communiquer ses coordonnées à l’autorité de contrôle. En France, cette communication passe par un téléservice de la CNIL, sans papier ni pièce justificative. On parle souvent de « déclaration DPO CNIL », mais les textes visent une désignation.
La démarche en ligne est brève, mais le choix qui la précède compte davantage. Vérifiez d’abord si votre organisme relève des cas où la désignation d’un DPO est obligatoire. Décidez ensuite qui exercera la fonction : un salarié, un délégué mutualisé ou un DPO externalisé lié par un contrat de service.
Faits et sources vérifiés le 1er octobre 2026.
Désignation du DPO auprès de la CNIL : ce que prévoient les textes
Selon l’article 37.7 du RGPD, le responsable du traitement ou le sous-traitant publient les coordonnées du délégué et les communiquent à l’autorité de contrôle.
L’article 83 du décret n° 2019-536 du 29 mai 2019 précise le contenu de cette communication. Elle comporte les nom, prénom et coordonnées professionnelles du responsable ou du sous-traitant, ou de son représentant. Elle comporte aussi ceux du délégué. Pour une personne morale, il faut indiquer sa dénomination, son siège social et l’organe qui la représente.
Si le délégué est une personne morale, le décret exige les mêmes renseignements sur le préposé chargé des missions.
La communication intervient sans délai et par voie électronique. Toute modification suit la même voie. La CNIL diffuse ensuite la dénomination et les coordonnées de l’organisme, ainsi que les moyens de contacter le délégué. Cette diffusion se fait dans un format ouvert et aisément réutilisable, c’est-à-dire en open data.
Les trois conditions à vérifier avant de désigner votre DPO
La page de la CNIL « Désigner un DPO ou modifier une désignation », mise à jour le 3 avril 2026, liste trois conditions à vérifier en amont.
- Les compétences : expertise juridique et technique, connaissance du secteur et de l’organisation. Le niveau d’expertise attendu dépend de la sensibilité, de la complexité et du volume des données traitées.
- Des moyens suffisants : être associé à toutes les questions de protection des données, disposer de temps, de moyens matériels et humains. Il doit aussi accéder aux informations, se former et rester joignable.
- L’indépendance : pas de conflit d’intérêts, un rapport au plus haut niveau de la direction. Le délégué ne reçoit aucune instruction et ne subit aucune sanction pour l’exercice de ses missions.
La certification n’est pas obligatoire, rappelle la CNIL. Le délégué doit en revanche pouvoir justifier des compétences exigées. Sur l’indépendance, la CNIL recommande depuis le 10 août 2026 d’analyser les risques de conflit d’intérêts avant la désignation. Le choix entre les profils est détaillé dans notre article sur le choix entre DPO interne, externe ou mutualisé. Les tâches confiées au délégué sont présentées dans notre article consacré aux missions du DPO.
Le téléservice de la CNIL et ses trois formulaires
La désignation, le remplacement ou la fin de mission se font, selon la CNIL, « exclusivement depuis le téléservice dédié ». Le téléservice propose trois formulaires.
| Formulaire | Quand l’utiliser | Ce qu’il faut avoir |
|---|---|---|
| Désigner un DPO | Première désignation, ou nouvelle désignation après une fin de mission. Le délégué peut être une personne physique ou morale. | Informations sur l’organisme, identité et coordonnées du délégué (et du préposé pour une personne morale), deux moyens de contact publics. |
| Mettre fin à la désignation ou remplacer mon DPO | Fin de la mission du délégué, ou changement de la personne désignée. | Les références de la désignation en cours et, pour un remplacement, l’identité et les coordonnées du nouveau délégué. |
| Mettre à jour la désignation d’un DPO | Changement des coordonnées, sans changement d’identité du délégué. | Le numéro de désignation (DPO-xxx) et le numéro SIREN de l’organisme. |
Attention : changer l’identité du DPO ne relève pas du formulaire de mise à jour. Il faut passer par le formulaire de remplacement. Conservez donc votre numéro DPO-xxx dès la première désignation.
Comment déclarer un DPO : la démarche pas à pas
Le guide pratique de la CNIL décrit un formulaire en quatre étapes. Avec les vérifications préalables, la démarche se déroule ainsi :
- Vérifiez les trois conditions de compétences, de moyens et d’indépendance du futur délégué.
- Identifiez l’autorité de contrôle compétente pour vos traitements.
- Rassemblez les informations sur l’organisme, le délégué et, le cas échéant, son préposé.
- Étape 1 du formulaire : renseignez les informations sur l’organisme.
- Étape 2 : identifiez le délégué, personne physique ou morale. Pour une personne morale, indiquez la personne physique qui exerce les missions.
- Étape 3 : saisissez les informations publiques, soit deux moyens de contact dont une adresse électronique ou un formulaire en ligne. Ils seront publiés en open data.
- Étape 4 : relisez le récapitulatif, envoyez le formulaire et téléchargez le récapitulatif au format PDF.
Qui remplit le formulaire ?
Le formulaire est rempli par le représentant légal de l’organisme ou par une personne mandatée. Le téléservice demande aussi un « contact CNIL » pour l’organisme. Ce contact ne peut pas être le délégué lui-même.
Date d’effet et absence de justificatif
La désignation devient effective le lendemain de la validation du formulaire. Aucun justificatif n’est demandé, pas même une délibération. La désignation ne peut pas être partielle : le délégué couvre l’ensemble des traitements de l’organisme. Une seule personne est désignée, mais elle peut s’appuyer sur une équipe ou des relais. L’information des représentants du personnel n’est pas exigée, mais la CNIL la présente comme une bonne pratique.
Quelle autorité de contrôle saisir ?
Pour des traitements locaux, la désignation est communiquée à l’autorité du pays concerné, soit la CNIL pour la France. Pour des traitements transfrontaliers, c’est l’autorité chef de file qui est compétente. Elle se détermine par l’établissement principal.
Le cas du DPO mutualisé
Plusieurs responsables ou sous-traitants peuvent désigner un seul délégué, selon l’article 84 du décret de 2019. Un groupe d’entreprises le peut aussi, si le délégué reste facilement joignable depuis chaque établissement (article 37.2 du RGPD). Chaque entité remplit alors son propre formulaire de désignation. Le service des DPO de la CNIL peut aussi être contacté pour une procédure de « désignation multiple ».
Après la désignation : publier, documenter, tenir à jour
La désignation n’achève pas la démarche. L’article 37.7 impose aussi de publier les coordonnées du délégué. Plusieurs documents doivent ensuite les reprendre :
- l’information des personnes concernées, au titre des articles 13.1 b) et 14.1 b) du RGPD ;
- le registre des activités de traitement, qui comporte le nom et les coordonnées du délégué (article 30) ;
- la notification d’une violation de données à la CNIL, qui communique ses coordonnées ou celles d’un autre point de contact (article 33.3 b).
Formalisez la relation : lettre de mission pour un salarié, contrat de service pour un délégué externe. Le guide de la CNIL propose un modèle de lettre. Précisez-y qui tient le registre, comme le recommande la CNIL. Si une équipe exerce la mission, le contrat répartit les tâches et identifie la personne contact.
Une désignation à durée limitée reste possible pour les organismes non soumis à l’obligation. Sa durée, suffisante, figure dans la lettre de mission ou le contrat. Tout changement passe par le formulaire adapté du téléservice. Le contrat d’un DPO externe prend fin selon le droit des contrats ou de la commande publique et ses propres stipulations.
Confier la désignation et la fonction de délégué à un avocat
Hashtag Avocats propose d’exercer la fonction de délégué sous la forme d’un DPO externe confié à un avocat. Un avocat référent nommément identifié intervient avec un suppléant. Le cabinet est désigné auprès de la CNIL. La mission démarre par un cadrage et une vérification de l’absence de conflit. Viennent ensuite la convention d’honoraires, la désignation CNIL et la reprise de la documentation.
La mission prévoit 4 points de pilotage par an et une disponibilité les jours ouvrés entre ces points. Elle débute dès 1 000 € HT par mois, sur un périmètre arrêté avec le client. Le contentieux et les procédures de sanction restent hors forfait, par choix déontologique : le contrôle reste indépendant de la défense. La mission peut aussi s’ajouter à notre abonnement juridique, sur devis. Les paramètres qui font varier le budget sont détaillés dans notre article sur le coût d’un DPO externe. Pour une démarche plus large, voyez notre page sur la mise en conformité RGPD.
Questions fréquentes sur la désignation d’un DPO auprès de la CNIL
Comment déclarer un DPO à la CNIL ?
La déclaration se fait uniquement en ligne, avec le formulaire « Désigner un DPO » du téléservice de la CNIL. Le formulaire comporte quatre étapes : organisme, délégué, informations publiques, récapitulatif et envoi. Le représentant légal ou une personne mandatée le remplit.
Faut-il envoyer un justificatif ou une délibération à la CNIL ?
Non. Selon le guide pratique de la CNIL, aucun justificatif n’est demandé et aucun courrier postal n’est accepté.
À partir de quand la désignation du DPO est-elle effective ?
La désignation devient effective le lendemain de la validation du formulaire.
Peut-on désigner une société comme DPO ?
Oui, le délégué peut être une personne morale, par exemple un cabinet d’avocats lié par un contrat de service. Le formulaire et le décret de 2019 exigent alors l’identité de la personne physique qui exerce les missions.
Comment changer de DPO auprès de la CNIL ?
Utilisez le formulaire « Mettre fin à la désignation ou remplacer mon DPO ». Le formulaire de mise à jour sert seulement à modifier des coordonnées. Pour une mise à jour, munissez-vous du numéro DPO-xxx et du SIREN de l’organisme.
Les coordonnées du DPO sont-elles rendues publiques ?
Oui, en partie. La CNIL diffuse en open data la dénomination et les coordonnées de l’organisme, ainsi que les moyens de contacter le délégué.
Sources officielles
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 13, 14, 30, 33 et 37 – EUR-Lex
- RGPD, chapitre IV, articles 37 à 39 (délégué à la protection des données) – CNIL
- Décret n° 2019-536 du 29 mai 2019, articles 83 et 84 – Légifrance
- « Désigner un DPO ou modifier une désignation », mise à jour du 3 avril 2026 – CNIL
- Guide pratique RGPD – Délégués à la protection des données, édition novembre 2021 – CNIL
- « Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO », 10 août 2026 – CNIL
Cet article présente l’état du droit à titre d’information générale, tel que vérifié le 1er octobre 2026. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée.
