Non, car toutes les entreprises ne sont pas concernées par l’obligation d’avoir un Délégué à la Protection des Données à caractère personnel au sein de leur structure. Cependant, le DPO est néanmoins fortement recommandé par la CNIL. Il a le rôle de conseiller et permet de piloter votre conformité RGPD. En outre, l’article 37.7 du RGPD prévoit l’obligation de désigner un DPO dans 3 cas précis : Lorsque le traitement de données à caractère personnel est effectué par uneautorité ou un organisme public, à l’exception des juridictions agissant dans l’exercice de leur fonction juridictionnelle. Lorsque les activités principales du responsable de traitement et du sous-traitant impliquent un suivi régulier et systématique à grande échelle des personnes concernées par les opérations de traitement : vidéosurveillance, géolocalisation, traitement des échanges bancaires, traitement clients nombreux : tout traitement recouvrant un nombre conséquent de personnes concernées. Lorsque les activités principales du responsable de traitement et du sous-traitant impliquent un traitement à grande échelle de catégories de données sensibles (données de santé, données biométrique …) ou encore de données personnelles relatives à des condamnations pénales et des infractions. A noter que le Groupe de l’Article 29 est venu préciser que les entreprises privées qui effectuent des missions de service public ne sont pas tenues à cette obligation de désignation. Toutefois, le G29 recommande une nouvelle fois cette désignation. Le conseil de Data Legal Drive En cas de contrôle, la CNIL vous demandera de justifier la non-présence d’un DPO, il sera donc essentiel de justifier dans votre documentation les arguments qui auront été déterminants dans votre choix de ne pas en désigner. Dans les faits désigner un DPO interne ou mutualisé avec une autre structure, c’est garantir une conformité RGPD grâce à un interlocuteur unique.