On imagine souvent le DPO comme une assurance qu'on active en cas de pépin. C'est l'inverse. Sa valeur se joue avant l'incident, au moment où une décision peut encore être changée. Consulté après coup, il ne peut que constater les dégâts.

La leçon d'un cas réel

En 2025, une grande enseigne a installé des caméras dissimulées dans ses réserves. Le DPO n'a été informé qu'une fois le dispositif posé, et déjà démonté. La CNIL a retenu, parmi plusieurs manquements, le fait de ne pas avoir associé le DPO en temps utile, et prononcé une amende globale de 100 000 euros.

Le message est limpide : consulter le DPO une fois le projet lancé ne suffit pas. S'il ne peut plus influencer la décision, l'obligation n'est pas remplie. L'urgence opérationnelle n'excuse rien : elle impose au contraire de prévoir une suppléance et une consultation préalable.

Un avis rendu trop tard n'est pas un avis. C'est un procès-verbal.

Le jalon qui change tout

Concrètement, un DPO utile est associé au cadrage d'un projet, pas à sa livraison : avant l'achat d'un logiciel, avant la conception d'un algorithme, avant le choix d'une base légale, avant d'installer une surveillance. Certains sujets déclenchent le jalon systématiquement : données sensibles, mineurs, biométrie, scoring, IA, surveillance des salariés, transfert hors Europe, collecte massive.

La fuite de données : 72 heures, une seule fois

En cas de violation de données, le compte à rebours est court : la notification à la CNIL doit intervenir, quand il y a un risque, dans les meilleurs délais et si possible sous 72 heures. Le DPO doit être informé immédiatement, conseiller sur le risque et la documentation, mais la décision de notifier reste au responsable de traitement.

Sans procédure ni suppléance, ces 72 heures se perdent en réunions. Une boîte dpo@ non surveillée pendant les congés, une dépendance à une seule personne, un accès de crise inexistant : autant de détails qui, ce jour-là, coûtent une notification hors délai.

Ce qu'un DPO ne fait pas, et c'est important

Un DPO ne prend pas votre responsabilité à sa charge. Il conseille, contrôle, alerte de façon indépendante ; la responsabilité de démontrer la conformité reste la vôtre. Se faire promettre « zéro sanction » par un prestataire devrait vous alerter : ce n'est pas ce que le droit prévoit, et ce n'est pas ce qui vous protège.

Ce qui vous protège, c'est la trace : les avis rendus et datés, les arbitrages assumés quand vous vous écartez de l'avis, la preuve que le DPO a été consulté à temps. Le jour du contrôle, c'est ce dossier qui parle pour vous.

Concrètement

Ajoutez une case « avis DPO » à vos projets touchant aux données, et écrivez dès aujourd'hui votre procédure de violation : qui alerte, qui décide, qui supplée pendant les absences. Ces deux réflexes valent plus que n'importe quelle clause dans un contrat.

Le meilleur moment pour appeler son DPO, c'est avant. Le pire, c'est quand la CNIL a déjà appelé.