Le référent RGPD est-il obligatoire ?

Non, aucun texte ne l'impose ni ne le définit. C'est une bonne pratique d'organisation, fréquemment demandée en interne par les groupes à leurs filiales, mais sans valeur de désignation.

Peut-on transformer le référent interne en DPO ?

Oui, à trois conditions : qu'il ait ou acquière une compétence réelle, qu'il n'occupe pas une fonction en conflit d'intérêts comme la direction informatique, marketing ou générale, et que l'entreprise lui donne du temps et des moyens. C'est souvent là que le bât blesse.

Un DPO externe et un référent interne, n'est-ce pas payer deux fois ?

Non, parce qu'ils ne font pas le même travail. Le référent y consacre quelques heures par mois sur son temps existant ; le DPO externe apporte ce que l'entreprise n'a pas en interne. C'est le cumul des deux rôles sur une seule tête non formée qui coûte cher, en risque.

DPO ou référent RGPD, qui désigner et qu'est-ce que ça change

Publié le 18 septembre 2026

Le DPO est une fonction définie par le RGPD : désigné auprès de la CNIL, protégé dans son indépendance, obligatoire dans certains cas. Le référent RGPD, lui, n'existe dans aucun texte : c'est un usage, la personne qui s'occupe du sujet en interne. Les deux sont utiles, mais ils ne se remplacent pas, et croire qu'un référent vaut désignation est une erreur qui se voit au premier questionnaire client.

C’est une des questions que Google associe le plus souvent aux recherches sur le DPO, et elle mérite mieux qu’une réponse de glossaire, parce qu’elle engage une vraie décision d’organisation.

Ce qu’est un DPO, précisément

Le délégué à la protection des données est défini par les articles 37 à 39 du RGPD. Il est désigné officiellement auprès de la CNIL, son identité est communicable aux personnes concernées, et le règlement lui garantit trois choses : des moyens, un accès direct au plus haut niveau de direction, et une protection contre toute sanction liée à l’exercice de sa mission. Il informe, conseille, contrôle la conformité et fait office de point de contact avec l’autorité. Il peut être interne ou externe, salarié ou prestataire.

Sa désignation est obligatoire dans trois cas : organismes publics, suivi régulier et systématique de personnes à grande échelle, traitement à grande échelle de données sensibles. Hors de ces cas, elle est volontaire, avec une conséquence souvent ignorée : un DPO désigné volontairement est soumis à toutes les exigences du statut, comme s’il était obligatoire.

Ce qu’est un référent, en creux

Le référent RGPD est tout ce que l’organisation décide d’en faire, et rien de plus. Aucune désignation officielle, aucune protection statutaire, aucune exigence d’indépendance ni de compétence. C’est souvent un juriste, un responsable qualité, un directeur administratif et financier ou un office manager qui a hérité du sujet. Ce n’est pas péjoratif : un bon référent, identifié et un minimum formé, vaut infiniment mieux que personne. Il tient le registre, fait remonter les questions, garde le contact avec le prestataire ou l’avocat.

Mais ses limites sont structurelles. Il n’apparaît sur aucun document officiel, ce qui laisse la case DPO vide dans les questionnaires de vos clients. Il cumule le plus souvent sa mission avec un poste opérationnel qui décide des traitements, ce qui créerait un conflit d’intérêts s’il était DPO. Et il n’a aucune protection quand son avis dérange.

Le test simple pour savoir où vous en êtes

Trois questions suffisent. Êtes-vous dans un des cas de désignation obligatoire ? Si oui, le débat est clos, il vous faut un DPO, et l’absence de désignation est un manquement sanctionnable. Vos clients ou financeurs vous demandent-ils le nom de votre DPO ? Si la case vide vous a déjà coûté un échange embarrassant, la réponse commerciale précède la réponse juridique. Le sujet dépasse-t-il ce que votre référent peut porter, en temps ou en compétence ? Un référent qui passe ses soirées sur des questions d’analyse d’impact est le signal qu’il faut passer à l’étape suivante.

Basculer sans tout casser

Le passage du référent au DPO n’efface pas le référent, il le complète. Le schéma qui fonctionne le mieux chez nos clients est le binôme : un DPO externe désigné auprès de la CNIL, qui apporte le statut, la compétence et l’indépendance, et un référent interne qui reste les yeux et les oreilles du quotidien, connaît les équipes et fait circuler l’information. Le DPO externe sans relais interne travaille à l’aveugle ; le référent sans DPO porte un sujet sans en avoir les moyens. Ensemble, chacun fait ce qu’il sait faire.

C’est très exactement le modèle de l’accompagnement que nous décrivons sur la page DPO externalisé : la désignation, le statut et la méthode d’un côté, la connaissance du terrain de l’autre.

Questions fréquentes

Le référent RGPD est-il obligatoire ?: Non, aucun texte ne l'impose ni ne le définit. C'est une bonne pratique d'organisation, fréquemment demandée en interne par les groupes à leurs filiales, mais sans valeur de désignation.
Peut-on transformer le référent interne en DPO ?: Oui, à trois conditions : qu'il ait ou acquière une compétence réelle, qu'il n'occupe pas une fonction en conflit d'intérêts comme la direction informatique, marketing ou générale, et que l'entreprise lui donne du temps et des moyens. C'est souvent là que le bât blesse.
Un DPO externe et un référent interne, n'est-ce pas payer deux fois ?: Non, parce qu'ils ne font pas le même travail. Le référent y consacre quelques heures par mois sur son temps existant ; le DPO externe apporte ce que l'entreprise n'a pas en interne. C'est le cumul des deux rôles sur une seule tête non formée qui coûte cher, en risque.