« On est trop petits pour être concernés. » C'est la phrase qu'on entend le plus souvent au sujet du délégué à la protection des données. Elle est presque toujours fausse, non parce que l'entreprise serait obligée d'en nommer un, mais parce que la taille n'est jamais le bon critère.

Le RGPD ne fixe aucun seuil de salariés, de clients ou de chiffre d'affaires. Il regarde une seule chose : ce que vous faites des données personnelles. Trois situations rendent la désignation obligatoire.

Cas 1 : Vous êtes un organisme public

Les autorités et organismes publics doivent désigner un DPO, quel que soit le volume de données traité. C'est le cas le plus simple à identifier : le critère ne dépend ni des effectifs, ni de l'activité.

Cas 2 : Vous suivez les gens à grande échelle

Si le cœur de votre activité consiste à observer des personnes de façon régulière et systématique, à grande échelle, le DPO devient obligatoire. Concrètement : traçage en ligne, profilage comportemental, géolocalisation, publicité ciblée, notation, prévention de la fraude, objets connectés.

« Grande échelle » ne se mesure pas à un nombre magique. On apprécie ensemble le nombre de personnes concernées, le volume et la variété des données, la durée du traitement et son étendue géographique.

Une activité « support » en apparence devient une activité de base dès qu'elle est précisément le service que vous vendez.

Cas 3 : Vous traitez des données sensibles à grande échelle

Données de santé, biométrie, opinions, appartenance syndicale, orientation sexuelle, infractions et condamnations : si vous traitez ces catégories à grande échelle et que c'est au centre de votre activité, la désignation s'impose. Le niveau d'expertise et de sécurité attendu monte d'un cran.

Hors de ces cas : facultatif, mais rarement neutre

Si aucun des trois cas ne s'applique, vous n'êtes pas obligé. Beaucoup d'entreprises choisissent pourtant de désigner un DPO volontaire, parce que leurs traitements sont nombreux, complexes ou sensibles. Attention à un point mal connu : un DPO volontaire relève du même régime qu'un DPO obligatoire : indépendance, ressources, absence de conflit d'intérêts, missions réglementaires. On ne nomme pas un DPO « pour faire joli ».

La vraie obligation, c'est d'y avoir réfléchi

Même quand la réponse est « non », le RGPD attend de vous que vous puissiez le démontrer. La bonne pratique tient en une page : une note datée qui décrit vos activités, vos catégories de données, vos mécanismes de suivi, vos volumes, et qui conclut sur l'obligation, ou son absence.

Cette note se réexamine après chaque changement d'échelle : une acquisition, un nouveau produit numérique, une plateforme d'IA, une centralisation de données, une expansion à l'international. C'est elle qui, le jour d'un contrôle, prouve que vous n'avez pas ignoré la question.

Concrètement

Posez-vous une seule question avant tout le reste : le suivi des personnes ou le traitement de données sensibles est-il au cœur de mon activité, à grande échelle ? Si oui, la désignation n'est pas une option. Si non, écrivez-le noir sur blanc, datez-le, et rangez la note avec vos preuves de conformité.

La bonne question n'est pas « suis-je assez grand ? », mais « qu'est-ce que je fais, vraiment, des données que je collecte ? »