Question de : Mme Colette Capdevielle
Pyrénées-Atlantiques (5e circonscription) - Socialistes et apparentés

Mme Colette Capdevielle attire l'attention de M. le garde des sceaux, ministre de la justice, sur l'encadrement juridique des délégués à la protection des données (DPO) externalisés et les risques d'atteinte au périmètre du droit que soulève l'exercice de leurs missions. La Cour de cassation a admis, dans un arrêt du 19 mars 2025, qu'une juriste désignée comme déléguée à la protection des données peut accéder au barreau à titre dérogatoire, son activité de mise en conformité au RGPD relevant d'un service juridique spécialisé. Si cette décision reconnaît que les missions des DPO peuvent parfois relever du droit, elle ne précise toutefois pas la frontière entre information juridique et consultation juridique réservée aux professionnels du droit. Or les missions définies à l'article 39 du RGPD (informer, conseiller, contrôler et sensibiliser au droit) impliquent une interprétation et une application spécifique de celui-ci, donnant lieu à des prestations juridiques individualisées et à la rédaction d'actes en matière juridique. La CNIL souligne d'ailleurs que les DPO doivent être désignés en raison de leurs « connaissances spécialisées du droit ». Toutefois, seuls 28 % d'entre eux disposent d'un profil juridique et 43 % sont issus de secteurs relevant de l'administratif, de la finance, de la conformité, de l'audit, etc. La certification des DPO, délivrée par les organismes agréés par la CNIL, est accessible après deux années d'expérience professionnelle, sans formation juridique obligatoire. Ainsi, un nombre croissant de DPO externes délivrent des conseils personnalisés portant sur l'application du droit, sans être soumis aux garanties attachées aux professions réglementées. Dans ce contexte, elle souhaite connaître les intentions du Gouvernement quant à l'encadrement de la possibilité, donnée aux consultants DPO externes, de délivrer des consultations juridiques, afin de garantir la sécurité juridique des entreprises et des administrations, ainsi que le respect du périmètre du droit.

Réponse publiée le 28 juillet 2026

L'arrêt n° 23 19.915 de la Cour de cassation du 19 mars 2025 auquel il est fait référence dans la question concerne la nature de l'activité d'un juriste d'entreprise lui permettant l'accès dérogatoire au barreau mais ne porte pas sur la nature de l'activité ou la production de consultations juridiques par le délégué à la protection des données externe à l'entreprise. La fonction de délégué à la protection des données (DPD) a été introduite par le règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit règlement général sur la protection des données (RGPD). Le statut et les missions du DPD sont fixés par la section 4 du chapitre IV du RGPD, complétés par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (LIL) et le décret n° 2019-536 du 29 mai 2019. Il ressort de l'article 37, paragraphe 6 du RGPD, que le délégué peut exercer ses missions sur la base d'un contrat de services. Le comité européen de la protection des données (CEPD) précise en outre dans ses lignes directrices que le niveau d'expertise requis du délégué à la protection des données doit être proportionné à la sensibilité, à la complexité et au volume des données traitées par l'organisme. De ce fait, ni le RGPD, ni la loi « informatique et libertés » n'exigent l'obtention d'un diplôme particulier ou le suivi d'une formation spécifique pour exercer l'activité de délégué à la protection des données. L'article 37, paragraphe 5 du RGPD, précise néanmoins que « Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données et de ses capacités à accomplir les missions visées à l'article 39. ». Ainsi, son rôle présente un caractère par nature hybride, en ce qu'il ne se limite ni à des missions exclusivement techniques ou opérationnelles, ni à des missions strictement juridiques. En pratique, près de 10 % des 40 000 délégués à la protection des données désignés auprès de la CNIL exercent leur activité en tant que délégués externes. La CNIL estime aujourd'hui à moins de 25 % la part des délégués issus d'un domaine d'expertise juridique. Les responsables de traitement apparaissent donc avoir en majorité besoin d'un appui technique plutôt que juridique. La fonction du délégué à la protection des données est d'apporter en amont de l'information, et en aval d'auditer les traitements existants, pour veiller à la bonne mise en œuvre du RGPD et de la loi informatique au sein d'une structure. Ainsi le DPD fournit au responsable de traitement de manière proactive des informations globales et transversales, et le cas échéant des conseils sur la réglementation applicable. Sa prestation ne s'apparente pas à la fourniture d'une consultation juridique. Par conséquent, il n'est pas envisagé de permettre aux délégués à la protection des données externes de délivrer des consultation juridique au sens des articles 54 et suivants de la loi du 31 décembre 1971 dans la mesure où ces consultations dépassent l'information à caractère documentaire que prévoit l'article 39 du RGPD.

Données clés

Auteur : Mme Colette Capdevielle

Type de question : Question écrite

Rubrique : Professions judiciaires et juridiques

Ministère interrogé : Justice

Ministère répondant : Justice

Dates :
Question publiée le 19 mai 2026
Réponse publiée le 28 juillet 2026

partager