DPO mutualisé : conditions, convention et pièges 2026

Sur les 2 390 délégués qui ont répondu à l’enquête DPO 2025 de la CNIL, de l’AFCDP et du ministère du Travail, publiée le 3 juillet 2026, 234 — soit 10 % — exercent comme DPO internes mutualisés, c’est-à-dire désignés par plusieurs organismes à la fois. Ajoutez les DPO externes qui portent un portefeuille de clients et les groupes qui désignent un seul délégué pour toutes leurs filiales : la mutualisation est devenue l’un des modes d’organisation les plus courants de la fonction. C’est aussi celui qui produit le plus de « DPO fantômes » — désignés partout, présents nulle part. Voici ce que les textes permettent réellement, ce que la CNIL exige, et comment monter une mutualisation qui tient lors d’un contrôle.

Ce que le RGPD autorise vraiment

Le « DPO mutualisé » n’est pas un statut juridique. C’est une modalité d’organisation que le règlement admet dans trois hypothèses distinctes, et il faut savoir dans laquelle on se trouve avant de rédiger quoi que ce soit.

Le groupe d’entreprises — Art. 37(2). Un groupe au sens de l’Art. 4(19) — une entreprise qui exerce le contrôle et les entreprises qu’elle contrôle — « peut désigner un seul délégué à la protection des données à condition qu’un délégué à la protection des données soit facilement joignable à partir de chaque lieu d’établissement ». La condition est unique, mais elle est lourde : joignable ne veut pas dire mentionné dans un organigramme. Les lignes directrices WP243 du G29, reprises par le CEPD, précisent que le délégué doit pouvoir communiquer efficacement avec les personnes concernées et coopérer avec les autorités de contrôle compétentes, ce qui pose immédiatement la question de la langue et des fuseaux horaires dès que le groupe a des filiales dans plusieurs États membres.

Les autorités et organismes publics — Art. 37(3). « Un seul délégué à la protection des données peut être désigné pour plusieurs autorités ou organismes de ce type, compte tenu de leur structure organisationnelle et de leur taille. » C’est le fondement des DPO mutualisés territoriaux : un délégué porté par une communauté de communes, un syndicat mixte, une agence technique départementale ou un centre de gestion, désigné par des dizaines de communes et d’établissements publics locaux. Le critère de taille et de structure n’est pas une formule de style : c’est ce que la CNIL regarde pour apprécier si la mutualisation est réaliste.

Le prestataire externe désigné par plusieurs organismes — Art. 37(6). Le DPO « peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d’un contrat de service ». Deux organismes qui ne forment pas un groupe au sens de l’Art. 4(19) — aucun ne contrôle l’autre, que ce soit par le capital, les statuts ou le pouvoir d’imposer des règles — ne relèvent pas de l’Art. 37(2). Ils peuvent néanmoins désigner la même personne : un prestataire externe, ou le salarié de l’un d’eux désigné par l’autre sur la base d’un contrat de service. Le guide pratique de la CNIL sur les DPO parle de mutualisation dans les deux cas, « qu’il s’agisse d’un délégué interne ou externe ». Juridiquement, chaque désignation est indépendante des autres, et le délégué relève du régime du DPO externalisé à l’égard de chaque organisme dont il n’est pas salarié.

Cette distinction commande tout le reste : la convention obligatoire ne concerne que les organismes visés par l’article 84 du décret n° 2019-536 — collectivités, groupements, établissements publics locaux, personnes morales de droit privé gérant un service public —, l’analyse des conflits d’intérêts est différente selon que les entités sont liées ou non, et la désignation auprès de la CNIL se fait, dans tous les cas, entité par entité. Pour le cadre général de la désignation — cas obligatoires, qualités requises, publication des coordonnées — je renvoie à mon commentaire de l’article 37 du RGPD ; pour savoir si vous êtes tenu de désigner un délégué, à DPO obligatoire : les trois cas.

Secteur public local : la convention de mutualisation est obligatoire

Le droit français ajoute une exigence que beaucoup de collectivités ignorent. L’article 84 du décret n° 2019-536 du 29 mai 2019, pris pour l’application de la loi Informatique et Libertés, dispose que lorsque des collectivités territoriales, leurs groupements, des établissements publics locaux ou des personnes morales de droit privé gérant un service public désignent un même délégué, une convention détermine les conditions dans lesquelles s’exerce la mutualisation. Le guide pratique de la CNIL le rappelle sous forme de « focus » : ces organismes « ont l’obligation de conclure une convention de mutualisation ». Chaque partie à la convention reste responsable de ses propres traitements.

En amont, l’article 44 de la loi Informatique et Libertés — issu de l’article 31 de la loi n° 2018-493 du 20 juin 2018 — autorise les collectivités territoriales et leurs groupements à conclure entre eux des conventions ayant pour objet la réalisation de prestations de service liées au traitement de données à caractère personnel, et à se doter d’un service unifié chargé d’assumer en commun les charges et obligations liées à ces traitements. Ce texte, issu d’un amendement sénatorial, visait à sécuriser les mutualisations que les outils classiques du code général des collectivités territoriales — service commun de l’Art. L. 5211-4-2 entre un EPCI à fiscalité propre et ses communes membres, service unifié de l’Art. L. 5111-1-1 pour les départements, régions et leurs groupements, mise à disposition individuelle d’un agent — ne couvraient pas clairement, notamment entre collectivités de catégories différentes.

Les quatre véhicules que je rencontre sur le terrain

Dans les mutualisations publiques que j’ai accompagnées, le montage repose presque toujours sur l’un des schémas suivants.

Le service commun de l’EPCI : la communauté de communes ou d’agglomération recrute ou affecte un agent DPO, et chaque commune membre le désigne. La convention de service commun fixe la clé de répartition financière et la part de temps affectée à chaque commune. C’est le montage le plus simple, mais aussi celui qui expose le plus au conflit d’intérêts croisé dont je parle plus loin, car l’EPCI est fréquemment sous-traitant de ses communes.

Le centre de gestion de la fonction publique territoriale ou le syndicat mixte informatique : une structure départementale ou régionale propose la fonction DPO comme prestation à ses adhérents, sur la base d’une convention d’adhésion et d’une tarification par strate de population. Ces structures ont souvent des équipes de deux à six délégués couvrant plusieurs centaines de collectivités — les seules, en pratique, à pouvoir absorber une telle volumétrie.

La mise à disposition individuelle d’un agent d’une collectivité au profit d’une ou plusieurs autres, avec accord de l’agent, arrêté et convention de remboursement. Ce schéma fonctionne pour deux ou trois communes voisines, rarement au-delà.

Le groupement de commandes pour recruter un DPO externe commun : ce n’est pas une mutualisation du délégué au sens strict, mais une mutualisation de l’achat. Chaque collectivité contracte ensuite individuellement et désigne le prestataire.

Pour les collectivités, la mutualisation n’est pas un choix de confort : la désignation d’un DPO est obligatoire pour toute autorité ou tout organisme public au titre de l’Art. 37(1)(a), commune de 200 habitants comprise. Le guide de la CNIL décrit la mutualisation comme « une solution particulièrement adaptée pour les plus petites collectivités territoriales ». J’ai détaillé les autres obligations propres aux communes et intercommunalités dans RGPD et collectivités territoriales.

Groupes privés : pas de convention obligatoire, mais un contrat indispensable

Rien, dans le règlement ni dans le droit français, n’impose de convention écrite pour mutualiser un DPO au sein d’un groupe d’entreprises. C’est une erreur de s’en passer. Chaque filiale est un responsable de traitement distinct, tenu par l’Art. 38(2) de fournir au délégué « les ressources nécessaires » et par l’Art. 38(1) de l’associer « d’une manière appropriée et en temps utile » à toutes les questions de protection des données. Sans document qui organise ces obligations entre les entités, la filiale contrôlée ne pourra pas démontrer qu’elle les a remplies — et c’est elle, non la maison mère, qui répondra devant la CNIL.

Le guide de la CNIL donne l’exemple d’un groupe de six filiales implantées dans différents États membres : un seul délégué, salarié d’une des filiales ou prestataire externe, peut être désigné pour la maison mère et l’ensemble des sociétés, « à condition de mettre en place une organisation adéquate ». N’étant pas physiquement présent dans chaque filiale, le délégué doit pouvoir s’appuyer sur un réseau de relais ou de référents chargés de l’appui opérationnel et de la remontée des questions.

Concrètement, la convention intragroupe — ou la lettre de mission annexée au contrat de travail du DPO lorsqu’il est salarié d’une entité — doit fixer au minimum :

• la liste des entités couvertes, avec leur numéro SIREN, et la procédure d’ajout ou de retrait d’une entité (acquisition, cession, fusion) ;
• le temps affecté à chaque entité, en jours par an, et son mode de révision ;
• la clé de refacturation entre entités, pour que la prise en charge des « ressources nécessaires » soit traçable ;
• le niveau de direction auquel le DPO fait directement rapport dans chaque entité (Art. 38(3)), et son rattachement administratif ;
• le réseau de référents : un par entité ou par site, avec une fiche de mission qui précise qu’ils ne sont pas DPO et ne prennent aucune décision sur les finalités et les moyens ;
• les langues de travail et les plages horaires de joignabilité, dès qu’il y a des établissements hors de France ;
• l’accès du DPO aux systèmes, aux contrats de sous-traitance et aux registres de chaque entité ;
• la procédure de gestion des violations de données, qui identifie pour chaque entité qui décide de la notification à la CNIL, dans les meilleurs délais et si possible sous 72 heures (Art. 33(1)) ;
• le rapport d’activité annuel, entité par entité ;
• la clause de sortie : que se passe-t-il pour la documentation d’une filiale cédée.

Un point est souvent négligé lorsque le DPO est salarié d’une filiale et désigné par les autres : la garantie de l’Art. 38(3) — ne pas être relevé de ses fonctions ni pénalisé pour l’exercice de ses missions — s’impose à chaque entité qui l’a désigné, mais seul son employeur détient le pouvoir disciplinaire, et les autres entités peuvent exercer une pression indirecte en demandant son retrait ou en mettant fin à leur désignation. La convention intragroupe doit prévoir expressément qu’aucune entité couverte ne peut demander qu’il soit relevé de ses fonctions ou pénalisé en raison de l’exercice de ses missions.

La désignation auprès de la CNIL se fait entité par entité

C’est la règle que les groupes et les intercommunalités appliquent le moins bien. La mutualisation ne crée pas de désignation collective. Le guide de la CNIL est explicite : en cas de mutualisation pour un groupe d’entités, « chacune de ces entités doit, en tant que responsable de traitement ou sous-traitant, compléter un formulaire de désignation du délégué ». Chaque désignation est rattachée au SIREN de l’organisme désignant et produit son propre numéro de désignation (DPO-xxx). Pour les structures qui ont un nombre important de désignations à réaliser — un centre de gestion qui couvre 300 communes — la CNIL propose une procédure de « désignation multiple » sur demande auprès de son service des délégués.

Trois conséquences pratiques :

1. Le changement de DPO doit être déclaré par chaque entité. Quand le DPO d’un centre de gestion quitte ses fonctions, ce sont toutes les collectivités adhérentes qui doivent déclarer son remplacement via le téléservice de la CNIL, chacune avec son numéro de désignation et son SIREN. Une convention bien rédigée confie cette formalité au porteur de la mutualisation, avec un mandat en ce sens.

2. Chaque entité doit publier les coordonnées du délégué (Art. 37(7)) et les faire figurer dans ses mentions d’information (Art. 13(1)(b) et 14(1)(b)). La mention « DPO du groupe » sans adresse fonctionnelle ni moyen de contact propre ne satisfait pas l’obligation. Une adresse dédiée du type dpo@nom-de-l-entite ou un formulaire par entité, tous routés vers le même délégué, règlent le problème.

3. Lorsque les entités sont établies dans plusieurs États membres, chacune désigne le délégué auprès de sa propre autorité de contrôle. L’exemple du guide de la CNIL est celui d’un DPO mutualisé pour une maison mère italienne et sa filiale française : la filiale désigne le DPO auprès de la CNIL pour ses traitements, la maison mère le désigne auprès du Garante pour les siens. Aucune démarche de la filiale française n’est requise en Italie, et inversement.

Le modèle de courrier de désignation du DPO que j’ai publié peut servir de base pour formaliser la décision de chaque entité en interne, avant la démarche en ligne.

Le piège n° 1 : les conflits d’intérêts croisés

L’Art. 38(6) autorise le délégué à exercer d’autres missions à condition qu’elles n’entraînent pas de conflit d’intérêts. Dans une mutualisation, le conflit ne vient pas seulement du cumul de fonctions au sein d’un même organisme ; il vient de la relation entre les organismes désignants. La fiche publiée par la CNIL le 10 août 2026 sur les conflits d’intérêts du DPO consacre une rubrique spécifique au « DPO mutualisé entre plusieurs organismes » et pose une question à laquelle il faut pouvoir répondre par écrit avant toute désignation : le DPO a-t-il également été désigné par un organisme susceptible d’avoir des intérêts contraires à ceux de l’organisme désignant — sous-traitant, responsable conjoint d’un traitement, source ou destinataire de données traitées par l’organisme ?

Cette question touche directement les montages les plus fréquents.

L’EPCI ou le syndicat informatique sous-traitant de ses membres. Une communauté de communes qui héberge les applications de ses communes membres, opère leur messagerie ou gère leur paie est en principe leur sous-traitant au sens de l’Art. 4(8), avec un contrat de l’Art. 28(3) à la clé. Si l’agent DPO de la communauté est aussi le DPO des communes, il contrôle pour le compte des communes la conformité d’un prestataire qui est son propre employeur. Le même schéma existe avec un centre de gestion qui assure la paie ou la médecine préventive de ses collectivités adhérentes tout en leur fournissant le DPO.

La maison mère sous-traitante de ses filiales. Dans la plupart des groupes, la holding ou une entité de services partagés opère le SIRH, l’ERP ou l’infrastructure informatique du groupe pour le compte des filiales. Elle est sous-traitante de chacune d’elles, et le DPO unique se retrouve des deux côtés du contrat.

Les responsables conjoints. Deux entités qui déterminent ensemble les finalités et les moyens d’un traitement — base clients commune, dispositif de fidélité de groupe — sont responsables conjoints au sens de l’Art. 26 et doivent répartir leurs obligations par accord. Un DPO qui conseille les deux parties dans la négociation de cet accord n’est pas dans une position neutre.

La conclusion n’est pas que la mutualisation est impossible dans ces cas. La CNIL indique la voie de sortie : documenter le risque, puis mettre en place une remédiation effective. Lorsque le DPO est une personne morale, confier l’exercice effectif des fonctions à des collaborateurs distincts pour le responsable de traitement et pour le sous-traitant, chacun tenu au secret professionnel, sans lien de subordination entre eux sur ce périmètre. Lorsque le DPO est une personne physique, prévoir un déport au profit d’un « DPO suppléant » sur le périmètre du conflit — un déport réel, avec pouvoir de décision, et non un simple contreseing. Ce suppléant n’est pas déclaré à la CNIL — le DPO désigné reste l’interlocuteur unique de l’autorité — mais il doit bénéficier des garanties des Art. 37 à 39 (moyens, formation, indépendance, absence de subordination au DPO sur ce périmètre), et l’organisme doit s’assurer qu’il est informé lorsque la CNIL le sollicite sur des traitements relevant de son périmètre.

La CJUE a fixé la ligne en droit : dans l’arrêt X-FAB Dresden du 9 février 2023 (C-453/21), elle juge qu’un conflit d’intérêts peut exister lorsque le délégué se voit confier des missions qui l’amèneraient à déterminer les finalités et les moyens du traitement, ce qu’il appartient au juge national d’apprécier au cas par cas. Et les autorités sanctionnent : l’Autorité belge de protection des données a infligé 50 000 € d’amende, par sa décision 18/2020 du 28 avril 2020, à une société dont le DPO cumulait la direction de la conformité, de la gestion des risques et de l’audit interne. Une mutualisation qui place le même délégué de part et d’autre d’un contrat de sous-traitance, sans remédiation documentée, relève exactement de cette logique.

Le piège n° 2 : la disponibilité réelle

Le second risque est arithmétique. L’enquête DPO 2025 mesure que 85 % des DPO internes et mutualisés exercent à temps partiel, que 60 % consacrent 25 % ou moins de leur temps de travail à la fonction, que 66 % n’ont pas de budget et que 77 % travaillent seuls. Le profil que l’étude appelle « DPO ponctuel » — 32 % des répondants — cumule très peu de temps, aucune équipe, aucun budget et, dans 64 % des cas, moins de deux ans d’expérience. Mutualiser un DPO qui est déjà dans cette situation ne crée pas un expert partagé : cela divise un temps insuffisant entre davantage d’organismes.

Aucun texte ne fixe de ratio maximal d’entités par délégué. Le règlement raisonne en obligations de moyens : l’Art. 38(2) impose aux organismes désignants de fournir les ressources nécessaires, et le guide de la CNIL demande de vérifier que le délégué « dispose du temps suffisant pour exercer ses missions ». Dans ma pratique, la seule méthode qui tienne consiste à chiffrer le temps entité par entité avant de signer. Les ordres de grandeur que j’utilise, à ajuster selon la sensibilité des traitements :

Type d’entité	Charge annuelle indicative	Ce qui la fait varier
Commune de moins de 1 000 habitants, sans traitement sensible	1 à 2 jours	Vidéoprotection, cantine et périscolaire, CCAS
Commune de 3 000 à 10 000 habitants	3 à 6 jours	Police municipale, état civil dématérialisé, marchés publics
PME de 50 à 250 salariés, traitements courants	3 à 5 jours	Prospection, télétravail, outils RH cloud
Filiale de 250 salariés et plus, ou activité à données sensibles	10 à 20 jours	Santé, données financières, IA, transferts hors UE
Socle commun (veille, procédures, outillage, rapport)	10 à 15 jours par an, quel que soit le nombre d’entités	Hétérogénéité des systèmes

Additionnez, comparez à un équivalent temps plein d’environ 200 jours ouvrés, et vous obtenez le nombre d’entités qu’un délégué peut réellement couvrir. Pour de très petites communes homogènes, quelques dizaines par délégué restent tenables si le socle commun est industrialisé — procédures types, registre type par strate, référent formé dans chaque mairie. Au-delà, ou dès que les entités sont hétérogènes, la fonction devient nominale — ce qu’un contrôle de la CNIL fait apparaître très vite, en demandant le dernier rapport d’activité et la date de dernière mise à jour du registre.

Organiser la mutualisation pour qu’elle tienne

Une mutualisation qui fonctionne repose sur quatre briques, et aucune n’est optionnelle.

Un référent par entité. Ce n’est pas un DPO adjoint et il n’est pas désigné auprès de la CNIL. C’est le correspondant qui connaît les traitements de son organisme, reçoit les demandes d’exercice de droits, alerte le délégué en cas d’incident et met à jour la fiche de traitement quand un nouvel outil arrive. Sa fiche de mission doit préciser qu’il ne décide pas des finalités et des moyens, faute de quoi vous recréez un conflit d’intérêts un niveau plus bas.

Une documentation séparée par entité. L’Art. 30(1) impose un registre à chaque responsable de traitement ; un outil partagé est possible, mais un registre unique « du groupe » ou « de l’intercommunalité » qui ne distingue pas les traitements de chaque entité ne répond pas à cette exigence et devient inexploitable en cas de demande de la CNIL adressée à l’une d’elles. La bonne architecture est un socle de fiches types, dupliquées et adaptées dans le registre de chaque entité, avec l’indication du sous-traitant lorsque le traitement est opéré par la structure porteuse. Même logique pour les analyses d’impact : une AIPD réalisée pour un dispositif mutualisé — vidéoprotection intercommunale, SIRH de groupe — doit identifier chaque responsable de traitement et être versée au dossier de chacun. C’est le type de gestion multi-entités que Legiscope prend en charge : un socle de traitements types, des registres distincts par organisme, et un délégué qui pilote l’ensemble depuis un seul espace sans ressaisir.

Un rapport d’activité par entité. La CNIL a rappelé dans sa fiche du 27 avril 2026 l’intérêt du rapport d’activité du DPO pour piloter la conformité et rendre compte à la direction. La CNIL admet d’en mutualiser certaines parties lorsque le délégué intervient pour plusieurs structures ; je recommande néanmoins que chaque organisme dispose de sa propre synthèse — traitements inventoriés, demandes de droits reçues, violations, actions restant à mener — présentée au niveau le plus élevé de sa direction, maire ou dirigeant compris, conformément à l’Art. 38(3). C’est aussi la pièce qui prouve, entité par entité, que le DPO a effectivement exercé.

Une procédure de crise qui nomme le décideur. La notification d’une violation à la CNIL incombe au responsable de traitement, dans les meilleurs délais et si possible sous 72 heures (Art. 33(1)) ; le DPO conseille et peut en assurer matériellement le dépôt, mais la décision et la responsabilité restent celles de l’organisme. Dans une mutualisation, la procédure doit dire qui, dans chaque entité, reçoit l’alerte du DPO, qui arbitre la notification et qui signe. Une commune sans cette procédure découvre le week-end d’un rançongiciel que personne n’a mandat pour décider.

Sur le choix du DPO lui-même — agent interne, prestataire ou combinaison avec un outil —, les critères que j’ai développés dans DPO externe ou logiciel RGPD s’appliquent sans changement à la mutualisation.

Convention de mutualisation : la checklist des clauses

Que la convention soit obligatoire (secteur public) ou seulement recommandée (groupe privé), je vérifie systématiquement la présence des dix clauses suivantes.

1. Objet et fondement : désignation d’un délégué commun sur le fondement de l’Art. 37(2) ou 37(3), et pour le public, référence à l’article 84 du décret n° 2019-536 et à l’article 44 de la loi Informatique et Libertés.
2. Périmètre : liste nominative des organismes, SIREN, traitements exclus le cas échéant, procédure d’entrée et de sortie.
3. Rappel de la responsabilité : chaque partie reste responsable de traitement ou sous-traitant pour ses propres traitements ; la mutualisation ne transfère aucune obligation de l’Art. 24.
4. Missions : reprise de l’Art. 39(1) et, le cas échéant, missions complémentaires — avec une analyse de compatibilité.
5. Analyse des conflits d’intérêts : identification des relations de sous-traitance et de responsabilité conjointe entre parties, mesures de remédiation retenues, désignation d’un DPO suppléant si nécessaire.
6. Moyens : temps affecté par organisme, accès aux systèmes et aux documents, budget de formation, outillage commun.
7. Positionnement : niveau de reporting dans chaque organisme, garantie d’absence d’instruction et de sanction pour l’exercice des missions, extension de cette garantie à toutes les parties.
8. Référents : désignation d’un référent par organisme et description de son rôle.
9. Financement : clé de répartition, modalités de facturation ou de remboursement, révision.
10. Formalités et fin : mandat donné au porteur pour effectuer les désignations, remplacements et mises à jour auprès de la CNIL ; sort de la documentation et continuité de la fonction en cas de retrait d’une partie ou de départ du délégué.

Une convention qui contient ces dix points prend une dizaine de pages. Celles que je vois circuler dans les intercommunalités en font souvent deux, et se limitent à la clé financière. Ce sont elles qui ne survivent pas à un contrôle.

Vous suivez ces sujets ? Chaque semaine, je publie une analyse des textes et décisions qui comptent en protection des données et conformité numérique — fiches CNIL, jurisprudence de la CJUE, enquêtes sur la fonction DPO. Inscrivez-vous à la newsletter.

Ce qu’il faut retenir

• Le DPO mutualisé repose sur trois fondements distincts : Art. 37(2) pour les groupes d’entreprises (condition de joignabilité depuis chaque établissement), Art. 37(3) pour les organismes publics (selon leur structure et leur taille), Art. 37(6) pour un prestataire externe désigné par plusieurs organismes sans lien entre eux.
• Dans le secteur public local (collectivités, groupements, établissements publics locaux, gestionnaires privés d’un service public), la convention de mutualisation est obligatoire (article 84 du décret n° 2019-536) ; dans un groupe privé, elle n’est pas imposée mais indispensable pour prouver que chaque filiale a fourni les ressources de l’Art. 38(2).
• La désignation auprès de la CNIL se fait entité par entité, avec un numéro de désignation par SIREN ; chaque organisme publie les coordonnées du délégué et déclare son remplacement.
• Le premier risque est le conflit d’intérêts croisé : un DPO désigné à la fois par un sous-traitant et par ses clients, ou par des responsables conjoints, doit faire l’objet d’une analyse et d’une remédiation documentées (fiche CNIL du 10 août 2026, Art. 38(6), CJUE X-FAB C-453/21).
• Le second risque est le temps : aucun ratio n’est fixé par les textes, mais 85 % des DPO internes et mutualisés sont à temps partiel ; chiffrez la charge par entité avant de signer, et exigez un référent, un registre et un rapport d’activité par organisme.

FAQ

Deux entreprises sans lien entre elles peuvent-elles partager un DPO ?

Pas au titre de l’Art. 37(2), qui est réservé aux groupes d’entreprises au sens de l’Art. 4(19). Elles peuvent en revanche désigner chacune la même personne sur le fondement de l’Art. 37(6) : un prestataire externe, personne physique ou morale, ou le salarié de l’une d’elles désigné par l’autre dans le cadre d’un contrat de service. Chaque entreprise contracte, désigne auprès de la CNIL et fournit les ressources séparément, et le prestataire doit vérifier qu’il n’est pas désigné par deux organismes aux intérêts contraires — par exemple un sous-traitant et son client.

La convention de mutualisation est-elle obligatoire pour un groupe privé ?

Non. L’obligation de l’article 84 du décret n° 2019-536 vise les collectivités territoriales, leurs groupements, les établissements publics locaux et les personnes morales de droit privé gérant un service public. Pour un groupe de sociétés, aucun texte n’impose de convention, mais sans document organisant le temps affecté, l’accès aux systèmes, le reporting et la protection du délégué dans chaque filiale, aucune d’elles ne pourra démontrer le respect des Art. 38(1) à 38(3).

Faut-il une désignation CNIL par entité ou une seule pour le groupe ?

Une désignation par entité. Chaque responsable de traitement ou sous-traitant remplit son propre formulaire, rattaché à son SIREN, et reçoit son propre numéro de désignation. Une désignation faite par la seule maison mère ou par le seul EPCI ne couvre pas les filiales ou les communes membres. Pour les volumes importants, la CNIL propose une procédure de désignation multiple sur demande auprès de son service des délégués.

Combien d’organismes un DPO mutualisé peut-il couvrir ?

Le règlement ne fixe aucun plafond ; il impose que le délégué dispose du temps et des moyens nécessaires (Art. 38(2)) et reste facilement joignable (Art. 37(2)). La réponse dépend donc de la charge réelle par entité : quelques dizaines de très petites communes homogènes, avec référents et procédures industrialisées, restent couvrables par un délégué à temps plein ; une poignée de filiales à traitements sensibles peuvent en absorber l’intégralité. Chiffrez avant de désigner.