Délégué à la protection des données : à partir de quand une entreprise doit en désigner un

À partir de 20 salariés occupés de façon régulière au traitement automatisé de données à caractère personnel, les entreprises doivent désigner un délégué à la protection des données et notifier cette désignation à l'autorité de contrôle compétente.

En bref : un délégué à la protection des données (DPD) veille au respect du RGPD dans l'entreprise. La désignation devient obligatoire dès qu'au moins 20 personnes sont en règle générale occupées en permanence à un traitement automatisé de données, ou, indépendamment de ce seuil, dans certains cas d'analyse d'impact relative à la protection des données ou de transferts. Si le DPD fait défaut malgré l'obligation, des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires annuel sont encourues.

Qui est concerné par l'obligation de désigner un délégué à la protection des données ?

Sont concernées les entreprises dans lesquelles, selon le § 38 BDSG (loi fédérale allemande sur la protection des données) en lien avec l'art. 37 RGPD, au moins 20 personnes sont en règle générale occupées en permanence au traitement automatisé de données à caractère personnel. Seul ce nombre de salariés liés au traitement de données est déterminant – ni l'effectif total ni le chiffre d'affaires de l'entreprise. Une petite entreprise comptant de nombreux salariés au service client ou à la comptabilité, qui travaillent chaque jour avec des bases de données ou des systèmes CRM, peut donc atteindre le seuil plus vite qu'on ne le pense. Indépendamment de ce chiffre, l'obligation existe aussi lorsque l'entreprise doit réaliser certaines analyses d'impact relatives à la protection des données ou lorsque certains cas de transfert de données se présentent. Qui n'est pas sûr que son entreprise relève de ce groupe devrait recenser systématiquement les traitements de données internes et documenter le nombre de salariés liés aux données.

Quelles sont les missions du délégué à la protection des données ?

Le délégué à la protection des données est l'interlocuteur central pour les questions de protection des données dans l'entreprise : il contrôle que les données à caractère personnel sont traitées légalement, conseille la direction et les collaborateurs lors de nouveaux traitements et constitue en même temps le point de contact des personnes concernées et de l'autorité de contrôle. Cette double fonction – conseiller en interne, être joignable en externe – explique pourquoi les coordonnées doivent être publiées et la désignation notifiée.

Que devez-vous faire concrètement ?

Lorsqu'il est établi que l'obligation s'applique, le chemin vers le délégué à la protection des données passe par les étapes suivantes :

1. Vérifier si le seuil de 20 personnes occupées à un traitement automatisé de données est atteint.
2. Décider : délégué à la protection des données interne ou externe.
3. Qualifier le DPD sur le plan professionnel ou mandater un prestataire justifiant d'une expertise avérée.
4. Publier les coordonnées du DPD sur le site web.
5. Notifier la désignation à l'autorité de contrôle compétente.

Lors du choix entre une solution interne et une solution externe, il convient d'examiner de près les éventuels conflits d'intérêts : un délégué externe se situe en dehors de la hiérarchie de l'entreprise et évite ainsi les questions de responsabilité qui peuvent surgir lors d'une désignation interne au sein de sa propre entreprise. Dès la sélection, il est utile de considérer les formations ou certifications pertinentes, afin que la qualification professionnelle soit démontrable en cas de litige.

Jusqu'à quand et à quelle fréquence l'obligation s'applique-t-elle ?

L'obligation de désignation naît dès que l'une des conditions citées est remplie pour la première fois. Il ne s'agit pas d'une date butoir unique que l'on coche une fois pour toutes : tant que le seuil de 20 personnes occupées à un traitement automatisé de données est atteint, ou qu'un cas correspondant d'analyse d'impact ou de transfert existe, un délégué à la protection des données désigné doit être disponible en permanence. Cela vaut aussi lorsque le poste doit entre-temps être repourvu, par exemple parce qu'un DPD interne quitte l'entreprise. Les entreprises devraient donc vérifier régulièrement le nombre de salariés concerné, afin de détecter à temps une obligation nouvelle – en phase de croissance notamment, le seuil peut être franchi sans qu'on s'en aperçoive.

Que risque-t-on en cas de violation de l'obligation de désignation ?

Si un délégué à la protection des données n'est pas désigné malgré l'obligation, des amendes pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires annuel sont encourues. Cet ordre de grandeur montre que la désignation n'est pas une formalité, mais qu'elle est prise au sérieux par les autorités de contrôle. Un outil comme Company Audit donne un aperçu des obligations qui s'appliquent concrètement à votre entreprise.

Les points essentiels en un coup d'œil :

Questions fréquentes

Les réponses suivantes approfondissent les principales questions autour de l'obligation de désignation.

Toute entreprise doit-elle désigner un délégué à la protection des données ?

Non. L'obligation n'apparaît que lorsqu'au moins 20 personnes sont en règle générale occupées en permanence au traitement automatisé de données à caractère personnel, ou lorsque, indépendamment de cela, certains cas d'analyse d'impact relative à la protection des données ou de transferts se présentent.

Un délégué interne ou externe est-il préférable ?

Les deux sont admis. Un délégué externe évite les conflits d'intérêts et les questions de responsabilité qui peuvent surgir lors d'une désignation interne au sein de sa propre entreprise.

L'obligation s'applique-t-elle aussi en dessous de 20 salariés ?

Formellement, elle n'est pas impérative, mais même en dessous de ce seuil, un délégué à la protection des données peut être judicieux si l'entreprise traite des données particulièrement sensibles.

Où les coordonnées du délégué à la protection des données doivent-elles être publiées ?

Les coordonnées doivent être publiées sur le site web de l'entreprise, afin que les personnes concernées et l'autorité de contrôle puissent joindre le délégué à la protection des données.

À qui la désignation du délégué à la protection des données doit-elle être notifiée ?

La désignation doit être notifiée à l'autorité de contrôle compétente – en plus de la publication des coordonnées sur le site de l'entreprise.

Source : § 38 BDSG · Art. 37 RGPD. Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. Date : juillet 2026.