Pour un régime juridique du délégué à la protection des données
Fichiers
Cette note de l'Observatoire de l'Éthique Publique, rédigée par Raphaël Maurel, dresse le constat de la fragilité juridique du Délégué à la protection des données (DPO) en France. Bien que considéré comme la « pierre angulaire » du RGPD, le DPO ne bénéficie en droit français d'aucun statut propre ni de protection spécifique. S'inspirant des cadres européens plus aboutis et des constats du CEPD, l'auteur formule 11 propositions concrètes pour consolider la profession. Le texte préconise notamment une protection contre le licenciement, une déontologie codifiée, une autonomie budgétaire et le secret professionnel. Une analyse essentielle pour faire évoluer la législation et sécuriser l'exercice de cette fonction stratégique
Huit ans après l’entrée en application du Règlement général sur la protection des données (RGPD), la fonction de délégué à la protection des données (DPO, pour Data Protection Officer) s’est massivement installée dans le paysage juridique européen : plus de 700 000 organisations ont déclaré un DPO dans l’espace économique européen, dont environ 34 250 sont désignés auprès de la CNIL en France. Présentée par le Groupe de l’article 29 puis par le Comité européen de la protection des données (CEPD) comme la « pierre angulaire » du dispositif de responsabilisation, cette fonction reste pourtant, en France, dépourvue de tout statut juridique propre. Aucune disposition législative ne précise les conditions d’accès à la profession, aucun ordre professionnel n’en garantit la déontologie, et la protection contre le licenciement n’est garantie qu’indirectement par la jurisprudence européenne. Le contraste est saisissant avec d’autres États membres. L’Allemagne, qui a inventé une fonction proche dès 1977, encadre depuis longtemps son exercice par un seuil de désignation obligatoire à vingt salariés, une protection contre le licenciement de douze mois après la fin de mission, et un secret professionnel adossé au droit de refus de témoigner. L’Espagne a inscrit dans sa loi organique de 2018 une liste de seize catégories d’organismes tenus de désigner un DPO et un schéma de certification accrédité par l’ENAC selon la norme ISO 17024.
À l’inverse, la France a fait le choix d’un dispositif minimaliste : une certification volontaire portée par la CNIL depuis 2018, une charte de déontologie purement associative publiée par l’AFCDP[8], et aucune protection spécifique. L’action coordonnée du CEPD pour 2023, dont les résultats ont été publiés le 16 janvier 2024 sur la base de plus de 17 000 réponses recueillies par vingt-cinq autorités de protection[9], a confirmé l’ampleur des fragilités : défauts de désignation lorsque celle-ci est obligatoire, ressources insuffisantes, conflits d’intérêts récurrents, lignes hiérarchiques compromises, formation initiale insuffisante.
La présente note plaide pour un changement de paradigme : doter le délégué à la protection des données d’un véritable statut juridique en droit français, articulé autour d’une déontologie codifiée s’inspirant des chartes professionnelles déjà éprouvées dans d’autres professions du numérique et de la conformité, c’est à la fois protéger la fonction, protéger ses titulaires, et protéger ses employeurs. Cette note formule onze propositions concrètes en vue d’un encadrement par la loi ou par décret.
Fichiers
Publié le 15/09/2026
L'auteur
Raphaël Maurel
Directeur du Département éthique du numérique