Que faire si la collectivité n’arrive pas à recruter un DPD ?

Si vous souhaitez procéder à un recrutement extérieur, effectivement, le poste peut être compliqué à pourvoir. Dans ce cas de figure, conservez précieusement la trace de toutes les démarches effectuées pour parvenir à ce recrutement, pour montrer votre bonne volonté.Posez-vous aussi les bonnes questions : ce poste ne peut-il pas être pourvu en interne, en chargeant un agent de cette tâche ? Puis-je externaliser la fonction (dans le cadre d’un marché public, par exemple), au moins pour la phase de diagnostic et de mise en conformité initiale ? Est-il possible de la mutualiser avec d’autres structures publiques, par exemple EPCI et collectivités membres ?

En cas de recrutement externe, comment s’assurer de la compétence de mon DPD ?

Il existe aujourd’hui de nombreux cursus et diplômes d’université dédiés à la formation des futurs DPD. Une expérience acquise en matière de droit des nouvelles technologies est évidemment un bon indice également.Par ailleurs, la Cnil a adopté deux référentiels en matière de certification de délégué à la protection des données : l’un concernant la compétence des DPD eux-mêmes et l’autre concernant les organismes souhaitant agréer cette compétence. Cette certification n’est jamais obligatoire, mais elle est un vrai plus dans un processus de recrutement.

Existe-t-il des outils susceptibles d’aider le DPD dans ses tâches ?

Oui, des outils de plus en plus nombreux ont été mis à disposition par la Cnil ou sont en cours d’élaboration pour assister le DPD dans ses missions, par exemple le logiciel open source PIA (Privacy Impact Assessment) qui permet de mesurer l’impact des traitements sur les données personnelles en facilitant la conduite et la formalisation d’analyses d’impact sur la protection des données telles que prévues par le RGPD. En termes plus clairs, ce logiciel permet d’aider le DPD à déterminer si ces traitements sont compatibles avec les règles du RGPD.Par ailleurs, de nombreux logiciels de marché permettent de tenir le registre des traitements, et proposent un accompagnement semi-guidé pour les collectivités.

Quelle est l’étendue de l’obligation d’alerte du DPD ?

Le devoir d’alerte du DPD à l’égard du maire et du conseil municipal est certain, puisqu’il est le fondement même de la fonction : donner à la collectivité les moyens de diagnostiquer les non-conformités et de les corriger.En revanche, et même si le RGPD est muet sur ce point, il ne semble pas tenable que le DPD doive dénoncer la collectivité ou ses décideurs en cas de non-conformité persistante. Il y aurait, s’il s’agit d’un agent, un manquement à son devoir de loyauté, et dans tous les cas une perte de confiance.

Le DPD se substitue-t-il à la Cnil pour contrôler les traitements de la collectivité ?

Non, la Cnil conserve l’intégralité de sa fonction de contrôle. Le délégué à la protection des données sera, dans ce cadre, son interlocuteur privilégié en cas de contrôle.

Comment mettre fin aux fonctions du DPD ?

Si la désignation du DPD doit être faite en respectant une procédure strictement définie, aucun texte ne prévoit pour le moment comment mettre fin à ses fonctions. D’un point de vue administratif, la Cnil a toutefois précisé sur son site quelles sont les formalités à effectuer auprès d’elle.

Si je change de DPD, dois-je de nouveau le notifier à la Cnil ?

Oui. Cette formalité a pour objet de communiquer au régulateur les coordonnées de celui qui sera son point d’entrée au sein de la collectivité. Il doit donc disposer d’un contact en fonction.La Cnil a récemment mis en place, sur la même page que celle permettant de désigner un DPD, un formulaire permettant de mettre fin à sa mission et d’en désigner (ou non) un nouveau. Un autre formulaire permet quant à lui de changer les coordonnées du DPD (situation où il s’agit, par exemple, du même prestataire qui aurait changé d’adresse).Une FAQ de la Cnil pourra vous aider dans ces différentes démarches.

Quel est le risque si je ne désigne pas de DPD ?

Jusque récemment, il était difficile d’apporter une réponse précise à cette question. Il était connu que la Cnil pouvait exercer son pouvoir de contrôle et sanctionner toute collectivité en cas de carence.Désormais, une première condamnation a été prononcée par le régulateur : le 22 juillet 2024, la Cnil a liquidé l’astreinte qu’elle avait prononcée à l’encontre de la commune de Kourou, pour ne pas avoir désigné de DPD malgré une première injonction prononcée en décembre 2023 (Cnil, délib. n° SAN-2024-009, 22 juillet 2024). La commune a dû payer la somme de 6 900 € (l’amende globale s’élevait à 20 000 €, du fait d’autres manquements). Ce montant n’est pas énorme, mais il s’agissait d’une première condamnation, et le montant de la pénalité pourrait varier fortement selon le type de personne publique concernée.

Quels rapports le DPD entretient-il avec les instances représentatives du personnel ?

Le DPD n’exerce, sur le fondement des textes, aucune fonction à l’égard des instances représentatives du personnel. Il se doit toutefois de répertorier les traitements de données existants, s’ils sont internes à la collectivité. Dans certains cas, il sera associé à l’information des représentants du personnel lorsqu’un traitement concerne les agents de la collectivité.

Le DPD peut-il être considéré comme un agent protégé ?

Une réponse ministérielle a indiqué (à propos d’un DPD salarié de droit privé) que le DPD n’est pas un salarié protégé au sens du droit du travail, même s’il bénéficie d’une protection spécifique prévue par la législation sur les données personnelles (Rép. min. n° 02896 : JO Sénat, 7 févr. 2019, p. 712). Il ne peut ainsi « être relevé de ses fonctions ou pénalisé par le responsable de traitement ou le sous-traitant pour l’exercice de ses missions » (RGPD, art. 38). Sont concernées les sanctions même indirectes telles que l’absence de promotion, les freins à l’avancement de carrière ou le refus d’octroi d’avantages dont bénéficient d’autres travailleurs. Cette position de l’administration est sans nul doute transposable aux DPD employés par une collectivité publique.

Fichepratique

Sommaire

1. Comprendre que la désignation du DPD est le plus souvent obligatoire, mais aménageable
2. Comprendre l’étendue des missions du DPD
3. Décider de recourir à un agent ou à un prestataire externe
4. Prévenir la Cnil de la nomination de votre DPD
5. Permettre un accès direct du public au DPD
6. Schéma

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Outils et modèles (3)

Fiches associées (2)

NTIC

Désigner un délégué à la protection des données

Réservé aux abonnés

Demande de devis Essai gratuit

Mis à jour le 1 oct. 2026 par Hélène Chalmeton | Référence : 11161

L'essentiel par l'éditeur

La désignation d'un délégué à la protection des données (DPD) est obligatoire pour les collectivités locales et établissements publics en vertu du RGPD. Le DPD assure la conformité des traitements de données, sensibilise les agents et est le point de contact avec la Cnil. Les collectivités peuvent choisir un agent interne ou un prestataire externe, chaque option ayant ses avantages. La nomination doit être notifiée à la Cnil, et le DPD doit être accessible au public pour toute question relative aux données personnelles.

La désignation d'un délégué à la protection des données est-elle obligatoire pour les collectivités locales ?
Quels sont les avantages de choisir un prestataire externe pour la fonction de DPD ?
Comment notifier la nomination d'un DPD à la Cnil ?

Depuis l’entrée en vigueur du règlement général pour la protection des données (RGPD), les obligations de la collectivité à l’égard des traitements de données personnelles ont beaucoup changé.

Historiquement, la protection des données était contrôlée par la Commission nationale de l’informatique et des libertés (Cnil), au travers des obligations d’autorisation ou de déclaration préalable de certains traitements. Les collectivités devaient faire un usage respectueux des données, sous peine de sanctions. Aujourd’hui, les obligations à la charge des personnes publiques sont beaucoup plus importantes : elles doivent mener une politique responsable et autonome de gestion de ces traitements et disposer d’une organisation interne de nature à le permettre. Pour ce faire, elles doivent entre autres nommer une personne qui est plus spécifiquement chargée de la mise en œuvre et du respect de toutes les obligations en lien avec les données personnelles au sein de la structure : le délégué à la protection des données (DPD, ou DPO en anglais). Voici ce qu’il faut savoir pour le désigner.

Comprendre que la désignation du DPD est le plus souvent obligatoire, mais aménageable

Aux termes du RGPD, la désignation d’un DPD est obligatoire pour toutes les personnes publiques effectuant des traitements de données (cf. Arrêté de désignation du DPD/DPO). Toutes les collectivités locales et tous les établissements publics de coopération intercommunale (EPCI) sont concernés, ainsi que les établissements publics administratifs et industriels et commerciaux (EPA/Epic).

Il s’agit d’une différence notable par rapport à la réglementation antérieure, qui prévoyait l’instauration facultative d’un correspondant informatique et libertés (CIL).

A noter

À la lettre des textes, vous devez avoir nommé un délégué à la protection des données depuis le 25 mai 2018. Si toutefois tel n’était pas le cas, il n’est pas trop tard pour le faire.

Ainsi, toutes les communes, même les plu...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 84% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique