Ce que ça veut dire pour votre entreprise
Le DPO (Délégué à la Protection des Données) est le référent officiel de la protection des données dans une organisation : il conseille, contrôle la conformité et sert de point de contact avec la CNIL. La plupart des TPE n'ont pas l'obligation d'en désigner un — mais cette absence d'obligation ne dispense pas d'être conforme.
Le bon réflexe en TPE : désigner un référent RGPD interne (souvent le dirigeant lui-même ou l'assistant de direction), sans le titre officiel de DPO, qui porte le sujet : tenir le registre à jour, répondre aux demandes des personnes, suivre le plan d'actions. Un rôle de quelques heures par trimestre quand la démarche est bien outillée.
Ce que dit la loi
L'article 37 du RGPD impose un DPO dans trois cas : organisme public, suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles. « Grande échelle » exclut de fait la quasi-totalité des TPE. À noter : si vous désignez volontairement un DPO officiel, il doit être déclaré à la CNIL et disposer de moyens réels — mieux vaut un référent interne assumé qu'un DPO de façade.
Par où commencer
- Vérifiez si l'un des trois cas de l'article 37 vous concerne (c'est rarement le cas en TPE).
- Nommez un référent interne et notez-le dans votre registre — la plateforme prévoit ce champ dès la fiche société.
- Donnez-lui un outil qui structure le travail : le suivi devient une routine, pas une expertise.