# DPO externalisé avec plusieurs clients : gérer le RGPD de tous sans se noyer URL: https://pulsaiq.com/fr/guides/dpo-externalise-plusieurs-clients/ Dernière révision: 2026-10-23 Langue: fr Base juridique: RGPD, art. 37 à 39 Une routine pour qui travaille comme DPO externalisé, le délégué à la protection des données (DPO) de plusieurs organismes à la fois : ce qu’exige la loi, où s’arrête votre rôle et comment organiser clients, délais et preuves pour arriver au vendredi à jour. ## En deux minutes - **Vous pouvez être DPO de plusieurs organismes.** Le RGPD prévoit expressément un DPO lié par un contrat de service. La condition est d’avoir assez de temps et de moyens pour chaque client, et les autorités ont commencé à le vérifier. - **Le DPO conseille et contrôle ; le client décide.** Si c’est vous qui fixez les finalités et les moyens, ou qui réalisez seul les analyses d’impact relatives à la protection des données (AIPD), votre indépendance est en jeu. - **Les délais sont ceux du client, pas les vôtres.** Les 72 heures d’une violation de données personnelles courent dès que le client en a connaissance, et le mois pour répondre à une demande d’accès court dès le jour de sa réception, même si personne ne l’a lue. C’est pourquoi le tri commence toujours par là. - **On passe à l’échelle avec une seule méthode.** Classez les clients par risque, utilisez la même arborescence de dossiers et le même format de registre pour tous, suivez un calendrier annuel et notez chaque avis que vous rendez. ## Pour qui est ce guide : DPO externalisés et consultants
Pensé pour

Les DPO externalisés, les consultants et les petites équipes qui suivent de cinq à quelques dizaines d’organismes.

Utile aussi, en partie

Si vous êtes le DPO interne d’une seule entreprise, les parties sur l’indépendance et les preuves vous serviront aussi ; le reste, peut-être pas.

## Quatorze clients, quatorze façons de s’organiser

Inês ouvre sa messagerie avec le premier café. Rien de tout cela n’est extraordinaire. Le problème, c’est que tous les clients semblent urgents et que chacun a son propre système.

La boîte de réception d’Inês

Inês n’a pas besoin de travailler plus d’heures ; elle a besoin d’une seule façon de travailler avec tous. Cette routine, c’est ce que décrit ce guide.

Inês, l’Oficina Rocha et les autres clients sont fictifs. Inês travaille au Portugal ; nous signalons ce qui change en France.

## Ce que la loi permet, et exige, d’un DPO avec plusieurs clients Le RGPD le dit clairement : le DPO peut être un membre du personnel de l’organisme ou exercer ses missions « sur la base d’un contrat de service ». En France, la CNIL le confirme : le DPO peut être interne ou externe, personne physique ou personne morale, et mutualisé entre plusieurs organismes. Aucun diplôme n’est exigé. La CNIL a adopté un référentiel de certification des compétences du DPO, délivrée par des organismes agréés, mais cette certification est volontaire. Au Portugal, où travaille Inês, la loi 58/2019 ajoute que le DPO agit avec une autonomie technique, quelle que soit la relation juridique, et n’a pas besoin de certification professionnelle. Art. 37, paragraphe 6, du RGPD ; [CNIL, guide pratique des délégués à la protection des données](https://www.cnil.fr/sites/cnil/files/atoms/files/guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees.pdf) ; loi 58/2019, art. 9 Être externe ne change pas les obligations de celui qui vous engage. Chaque client doit toujours : - vous associer, d’une manière appropriée et en temps utile, à toutes les questions de protection des données ; - vous fournir les ressources nécessaires, y compris l’accès aux données personnelles et aux opérations de traitement ; - ne pas vous donner d’instructions sur l’exercice de vos missions, et vous permettre de faire rapport directement au niveau le plus élevé de la direction ; - publier vos coordonnées et les communiquer à l’autorité de contrôle. En France, la désignation se fait en ligne auprès de la CNIL, avec son [téléservice de désignation](https://www.cnil.fr/fr/designation-dpo), et chaque organisme désigne de son côté. Au Portugal, elle se communique à la CNPD (l’autorité portugaise de protection des données), avec son propre formulaire. Art. 37, paragraphe 7, et art. 38, paragraphes 1 à 3, du RGPD ; [CNPD, Encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) (en portugais) De votre côté, trois règles pèsent plus lourd quand les clients sont nombreux. Vous êtes soumis au secret professionnel, qui continue après la fin de votre mission. Vous pouvez exécuter d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts. Et vous devez tenir dûment compte du risque associé aux opérations de traitement, ce qui revient en pratique à donner la priorité à ce qui est le plus risqué, sans négliger le reste. Art. 38, paragraphes 5 et 6, et art. 39, paragraphe 2, du RGPD Le RGPD vous protège aussi : vous ne pouvez être relevé de vos fonctions ni pénalisé pour l’exercice de vos missions (art. 38, paragraphe 3). Et les personnes concernées peuvent vous contacter directement pour toute question sur le traitement de leurs données et l’exercice de leurs droits (art. 38, paragraphe 4). Cela compte pour le tri : ces messages arrivent souvent avec un délai qui court déjà. Au Portugal, la loi 58/2019 confie en plus au DPO les audits, la sensibilisation pour détecter les incidents et la relation avec les personnes concernées (art. 11). [Loi 58/2019, art. 11](https://files.diariodarepublica.pt/1s/2019/08/15100/0000300040.pdf) (Diário da República, en portugais) Si vous travaillez en équipe, les lignes directrices européennes sur les DPO admettent qu’un groupe de personnes exerce la fonction, mais recommandent une règle simple : une personne désignée comme contact principal et responsable de chaque client. Pour le client, ce ne devrait jamais être « l’équipe ». Lignes directrices WP243 concernant les délégués à la protection des données, section 2.5 (reprises par le Comité européen de la protection des données, CEPD) ## Ce qu’ont trouvé les autorités En 2023, 25 autorités européennes, dont la CNIL, ont mené une action coordonnée sur la désignation et la position des DPO. Le rapport du CEPD, publié en janvier 2024, décrit le quotidien de ceux qui lisent ce guide.
Réponses recueillies (organismes et DPO)17 490C’est le portrait le plus complet de la profession en Europe.
Réponses où le DPO prépare et réalise les AIPD≈ 1 sur 3L’analyse d’impact incombe au responsable. Si vous la réalisez, vous ne pouvez plus la contrôler en toute impartialité.
Fréquence la plus courante des rapports à la direction1–2 par anUn rapport annuel est le minimum. Dans quatre pays, 30 % ou plus ont répondu que même cela n’était pas prévu.
Formation annuelle des DPO≤ 24 hLa plupart restent en dessous. Planifiez votre propre formation comme vous planifiez celle de vos clients.

Source : CEPD, rapport de l’action coordonnée de 2023 sur la désignation et la position des DPO (valeurs médianes entre autorités).

Deux conclusions touchent directement le DPO externalisé. Plusieurs autorités ont averti qu’un DPO qui travaille pour de nombreux clients risque de « trop se disperser ». Et le CEPD recommande qu’en engageant un DPO externe, l’organisme vérifie combien de clients il suit, pour s’assurer qu’il a assez de temps et de capacité. Il recommande aussi que les missions et les conditions figurent dans une lettre de mission.
Il n’y a pas de nombre maximal de clients, ni dans la loi ni dans le rapport. Ce qu’on attend de vous, c’est de pouvoir démontrer que le temps suffit. L’étape 4 explique comment.
[CEPD, rapport de l’action coordonnée de 2023 sur la désignation et la position des DPO](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf), sections 4.2 à 4.6 (en anglais) ## Où s’arrête votre rôle Plus un client vous fait confiance, plus il est tentant de décider à sa place. C’est là que l’indépendance se perd, presque toujours par bonne volonté.
La scène · mardi, 15 h 20
« On va installer la reconnaissance faciale à l’entrée. Fais-nous l’analyse d’impact et signe-la, on te fait confiance. »La directrice d’un cabinet dentaire, au téléphone

Inês propose autre chose : le cabinet réalise l’analyse avec un modèle qu’elle lui fournit, elle rend par écrit son avis sur la méthode et les conclusions, et la décision finale est consignée comme celle de la direction.

Scène fictive.

Les lignes directrices européennes sont directes : c’est le responsable du traitement, et non le DPO, qui réalise l’analyse d’impact lorsqu’elle est nécessaire. Le DPO conseille sur l’opportunité de la faire, la méthode à suivre et la conformité des conclusions au RGPD. Art. 35, paragraphe 2, et art. 39, paragraphe 1, point c, du RGPD ; WP243, section 4.2 Sur les conflits d’intérêts, la Cour de justice de l’Union européenne (CJUE) a jugé dans l’affaire X-FAB qu’il y a conflit lorsque le DPO exerce d’autres missions qui le conduisent à déterminer les finalités et les moyens du traitement, et que cela s’apprécie au cas par cas. Les lignes directrices européennes donnent un exemple qui intéresse les consultants : il y a conflit si l’on demande au DPO externe de représenter le client en justice dans une affaire de protection des données. [CJUE, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CJ0453) ; WP243, section 3.5 En pratique, trois habitudes vous protègent : - Rendez vos avis par écrit, même brefs. - Quand le client ne suit pas votre avis, demandez-lui de consigner pourquoi. Les lignes directrices européennes en font une bonne pratique, et l’analyse d’impact doit justifier pourquoi l’avis n’a pas été suivi. - Refusez les tâches qui vous placent du côté de celui qui décide, comme valider des campagnes, choisir des prestataires ou signer au nom du client. WP243, sections 3.1 et 4.2 ; art. 38, paragraphe 6, du RGPD ## Classez les clients par risque, pas par honoraires Le client qui paie le plus n’est pas forcément celui qui a le plus besoin d’attention. Le RGPD demande au DPO de tenir compte du risque associé aux opérations de traitement, et c’est ce qui fixe la fréquence de suivi de chacun. Un modèle simple, avec six critères notés de 0 à 2 :
0 point1 point2 points
Nombre de personnes concernéesMoins de 1 000De 1 000 à 50 000Plus de 50 000
Catégories particulières ou données pénales (art. 9 et 10)NonOccasionnellementActivité principale
Suivi systématique (vidéosurveillance, géolocalisation, profilage)NonLimitéÀ grande échelle
Transferts hors de l’EEENonAvec décision d’adéquationAvec d’autres garanties
Violations ou réclamations sur les 12 derniers moisAucuneUneDeux ou plus
Changement en cours (nouveau système, fusion, nouveau produit)NonPetitImportant

Modèle de travail proposé par Pulsaiq, fondé sur l’art. 39, paragraphe 2, du RGPD. Ce n’est pas un critère légal : adaptez-le à votre portefeuille de clients.

Niveau A8–12 points
Réunion mensuelle, revue trimestrielle du registre8 h par mois
Niveau B4–7 points
Réunion trimestrielle, revue semestrielle du registre4 h par mois
Niveau C0–3 points
Réunion semestrielle, revue annuelle du registre2 h par mois

Heures par mois comme point de départ.

Le calcul d’Inês3 clients A · 6 B · 5 C
A 24 h · B 24 h · C 10 hmarge 12 h70 h disponibles

Les heures servent à un calcul qu’il vaut mieux faire avant d’accepter un client de plus. Inês a 3 clients de niveau A, 6 de niveau B et 5 de niveau C : 24 + 24 + 10 = 58 heures par mois de suivi prévu, avant les violations, les demandes et les imprévus. Si elle n’a que 70 heures par mois pour ce travail, la marge est mince. C’est exactement la vérification que le CEPD recommande aux clients, et mieux vaut la faire vous-même d’abord.

Revoyez le classement une fois par an et chaque fois que survient un événement du dernier critère. ## Le même kit d’accueil pour tous les clients Le temps se perd surtout en changeant de contexte : chaque client s’organise à sa façon. Réglez cela dès le premier jour, avec quatre pièces.
1Lettre de mission2Questionnaire initial3La même arborescence de dossiers4Des contacts nommés

1. Lettre de mission

C’est la recommandation du CEPD, et c’est aussi votre protection. Elle doit indiquer au minimum :

2. Questionnaire initial

Une seule liste de questions pour tous. Les réponses alimentent le classement par risque et la première version du registre des activités de traitement.

activitéssystèmesprestataires qui traitent des données personnellestransfertsvidéosurveillanceincidents passésdocumentation existante

3. La même arborescence de dossiers

Nom_Client/
01_Designation_et_contratlettre, désignation auprès de l’autorité02_Registre_activitesun format pour tous03_AIPDanalyses et avis04_Violationsregistre de l’art. 33, paragraphe 505_Demandes_personnesregistre et réponses06_Sous-traitantscontrats de l’art. 2807_Formationprésence et supports08_Rapports_directionrapport annuel09_Avis_et_preuvesregistre des preuves

Ouvrir le dossier 04 de n’importe quel client et savoir tout de suite où se trouve le registre des violations fait gagner des minutes chaque jour. Sur un an, des jours.

4. Des contacts nommés

Pour chaque client, une personne pour les incidents et une autre pour les demandes des personnes concernées, avec un suppléant. Et une adresse de contact du DPO qui ne soit pas votre e-mail personnel, pour qu’aucune demande ne se perde dans une boîte que vous ne regardez que le vendredi.

Le registre mérite son propre guide : voyez Registre des activités de traitement : faire le vôtre en un après-midi.

## Le calendrier annuel Avec le même calendrier pour tous, le travail récurrent cesse de dépendre de la mémoire. Chaque client a ces tâches les mêmes mois ; le niveau de risque ne fixe que la fréquence des revues et des réunions.
Tous les clientsSeulement les niveaux indiqués
  1. JanvierRapport annuel à la direction
  2. Février—
  3. MarsRevue du registre des activités
  4. AvrilFormation et sensibilisation
  5. MaiRevue des sous-traitants (art. 28)
  6. JuinRevue du registre · A seulement
  7. JuilletAudit interne
  8. AoûtVide exprès
  9. SeptembreRevue du registre · A et BRevue du classement par risque
  10. OctobreFormation et sensibilisation
  11. NovembreExercice de violation de données
  12. DécembreRevue du registre · A seulement

Proposition de Pulsaiq ; la loi ne fixe pas ces dates.

Août reste vide exprès. Les incidents ne partent pas en vacances, mais vos clients si, et les réunions de ce mois-là ont rarement lieu. ## Le tri : quand tout arrive en même temps Revenons au lundi d’Inês. L’ordre ne dépend pas de qui crie le plus fort, mais de l’horloge qui tourne.
  1. 1

    Violations de données possibles

    72 heures

    Le responsable a 72 heures, à partir du moment où il en a pris connaissance, pour notifier l’autorité de contrôle (la CNIL en France, la CNPD au Portugal), sauf si la violation n’est pas susceptible d’engendrer un risque. L’horloge est celle du client et elle tourne déjà. Si le client est sous-traitant, il doit prévenir le responsable dans les meilleurs délais. Et toute violation est documentée, y compris celles qui ne sont pas notifiées.

    Art. 33, paragraphes 1, 2 et 5, du RGPD · voir le guide Violation de données personnelles : que faire dans les 72 premières heures
  2. 2

    Demandes des personnes concernées

    1 mois

    Un mois à compter de la réception, prolongeable de deux mois si la demande est complexe ou si elles sont nombreuses, à condition d’en informer la personne dans le premier mois. La demande vieille de neuf jours qu’a reçue Inês a déjà consommé près d’un tiers du délai.

    Art. 12, paragraphe 3, du RGPD · voir le guide Droit d’accès et droit à l’effacement
  3. 3

    Délais fixés par le client ou l’autorité

    Date fixe

    Demandes d’information de l’autorité de contrôle, suites d’un contrôle de la CNIL, réclamations transmises par l’autorité, réunions de direction, lancements de produits.

  4. 4

    Tout le reste

    Au calendrier

    Va au calendrier, avec une date, au lieu de rester dans la boîte de réception.

15min

Les 15 premières minutes de chaque jour

Parcourez les boîtes de contact de tous vos clients en ne cherchant que deux choses : les incidents et les demandes des personnes concernées. Notez-les tout de suite : la date et l’heure de la prise de connaissance par le client, pour les violations, et la date d’arrivée, pour les demandes. C’est ce registre qui démontre ensuite que les délais ont été tenus.

## Un registre des preuves qui démontre le travail Le principe de responsabilité oblige le client à respecter le RGPD et à pouvoir le démontrer. Une grande partie de cette démonstration repose sur votre travail : les avis, la formation, les revues. Si ce n’est pas écrit, en cas de contrôle, c’est comme si cela n’avait jamais eu lieu. Art. 5, paragraphe 2, et art. 24 du RGPD Une ligne par intervention suffit, dans un registre unique pour tous les clients :
Clínica Sorriso · Reconnaissance faciale à l’entrée2026-10-13
AvisAIPD obligatoire ; propose une alternative par badge
Décision du clientRéaliser l’AIPD et décider en novembre
Suivi ?Oui
Prochaine étapeRelire l’AIPD avant le 2026-11-10
Oficina Rocha · E-mail avec des données clients envoyé par erreur2026-10-16
AvisNotifier la CNPD sous 72 h (le risque ne peut être écarté) ; ne pas contacter les clients pour l’instant ; réévaluer en cas d’indice d’utilisation abusive
Décision du clientNotifié le 19/10 à 9 h 30 ; information complémentaire envoyée
Suivi ?Oui
Prochaine étapeFormation sur l’envoi de pièces jointes
Coop. Vale Verde · Conservation des CV des candidats2026-10-16
AvisSupprimer à 12 mois sauf consentement
Décision du clientConserver 3 ans
Suivi ?Non motif consigné par la direction
Prochaine étapeÀ inclure dans le rapport annuel

Exemples fictifs. En pratique, ajoutez une colonne avec le lien vers le document dans le dossier 09 du client.

Ce registre fait trois choses à la fois
Il montre ce que vous avez fait pour chaque client.
Il vous écrit la moitié du rapport annuel.
Il vous protège si un jour quelqu’un demande pourquoi votre avis n’a pas été suivi.
## Tableurs ou logiciel ? Tout ce que décrit ce guide fonctionne avec des tableurs et une bonne arborescence de dossiers. Pour beaucoup de DPO avec peu de clients, c’est suffisant. Les problèmes apparaissent avec l’échelle, et presque toujours aux mêmes endroits : | Où ça coince | Avec des tableurs | Ce qu’un outil dédié devrait régler | |----------------------------|--------------------------------------------------------------|---------------------------------------------------------------------------| | Versions | « Registre_v4_final_revu.xlsx » à trois endroits | Une seule version, avec l’historique des modifications | | Délais | Rappels dans votre agenda personnel, créés à la main | Délais de 72 heures et d’un mois calculés à l’ouverture du dossier | | Vue d’ensemble | Ouvrir 14 fichiers pour savoir où en est chacun | Un tableau de bord avec tous les clients et ce qui est en retard | | Preuves | Copier les avis des e-mails vers le registre | Avis, décisions et documents reliés entre eux | | Partage avec le client | Pièces jointes contenant des données personnelles | Accès contrôlé à un espace propre à chaque client | Quel que soit votre choix, la méthode passe d’abord. Un outil ne corrige pas un portefeuille sans classement par risque ni un client qui ne signale pas ses incidents. Mis à jour le 21 octobre 2026 ### Ce qui pourrait changer Deux propositions de l’UE en cours modifient le RGPD. Aucune ne touche au cœur de ce guide : les missions et la position du DPO. Mais elles changent le travail que vous faites pour vos clients. - **Registre des activités de traitement (Omnibus IV).** La Commission a proposé d’étendre l’exemption du registre aux organismes de moins de 750 salariés. Dans l’accord provisoire du 26 juin 2026, le Conseil et le Parlement ont relevé le seuil à moins de 1 000 personnes, en maintenant le registre obligatoire pour les activités à risque élevé, pour celles qui exigent un DPO et pour les organismes publics. Le vote en plénière est prévu le 23 novembre 2026. Certains clients de niveau C pourraient ne plus être tenus au registre, mais ils devront toujours connaître leurs données pour répondre aux demandes et démontrer leur conformité. - **Violations et demandes (Digital Omnibus).** La proposition de novembre 2025 ne ferait notifier à l’autorité que les violations à risque élevé, porterait le délai à 96 heures, créerait un point d’entrée unique de l’UE pour les notifications et préciserait quand une demande d’accès est abusive. Elle prévoit aussi des listes communes à l’UE des traitements qui exigent, ou non, une analyse d’impact. Le CEPD et le Contrôleur européen de la protection des données soutiennent plusieurs de ces mesures, avec des réserves. Les ambassadeurs des États membres discutaient du mandat de négociation du Conseil le 21 octobre 2026. **Tant que les nouvelles règles ne sont pas publiées au Journal officiel et applicables, ce sont les règles actuelles qui s’appliquent :** 72 heures, notification dès qu’il y a un risque, et le registre avec l’exemption actuelle de l’art. 30, paragraphe 5. Nous expliquons ce que le Digital Omnibus change pour les violations de données et les demandes d’accès dans notre article sur le Digital Omnibus. [Procédure 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) ; [COM(2025) 837](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex:52025PC0837) ; [CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) ; [ordre du jour du Coreper, 21 oct. 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) ## Checklist du DPO externalisé avec plusieurs clients
0 sur 11 cochés
Désignation
Portefeuille et capacité
Méthode commune
Routine et indépendance
## Questions fréquentes ### Combien de clients un DPO externalisé peut-il avoir ? La loi ne fixe pas de maximum, et le rapport du CEPD non plus. On attend de vous que vous puissiez démontrer que vous avez le temps et les moyens pour chaque client, et le CEPD recommande aux organismes de le vérifier avant de vous engager. La feuille Capacité du kit du DPO multi-clients fait ce calcul pour vous. ### Un DPO externalisé peut-il réaliser l’analyse d’impact du client ? Il ne devrait pas. L’analyse d’impact incombe au responsable du traitement (art. 35, paragraphe 2). Le DPO conseille sur sa nécessité, la méthode à suivre et la conformité des conclusions au RGPD (art. 39, paragraphe 1, point c). Il peut fournir le modèle, mais la décision est consignée comme celle du client. ### Un DPO doit-il être certifié en France ? Non, ce n’est pas obligatoire. La CNIL a adopté un référentiel de certification des compétences du DPO, délivrée par des organismes agréés, mais elle est volontaire. Ce qu’exige le RGPD, c’est que le DPO soit désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données (art. 37, paragraphe 5). ### Qui communique à la CNIL les coordonnées du DPO ? Chaque client, de son côté. L’organisme qui désigne le DPO publie ses coordonnées et les communique à l’autorité de contrôle (art. 37, paragraphe 7). En France, cela se fait en ligne sur le site de la CNIL, avec le téléservice de désignation. La lettre de mission doit dire qui s’en charge et quand. ### Et si le client ne suit pas l’avis du DPO ? Demandez que le motif soit consigné. L’avis écrit et la décision du client vont dans le registre des preuves, et une analyse d’impact doit justifier pourquoi l’avis n’a pas été suivi. Ainsi, la décision reste entre les mains de celui qui l’a prise, et votre travail est documenté. ## Sources ### Législation et jurisprudence - [Règlement (UE) 2016/679 (RGPD)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679), art. 5, 12, 24, 33, 35 et 37 à 39 (EUR-Lex) - [Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés](https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460) (Légifrance) - [Loi portugaise n° 58/2019 du 8 août 2019](https://files.diariodarepublica.pt/1s/2019/08/15100/0000300040.pdf), art. 9 à 11 (Diário da República, en portugais) - [CJUE, arrêt du 9 février 2023, C-453/21, X-FAB Dresden](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CJ0453) ### CEPD et autorités nationales - [CNIL, guide pratique RGPD : délégués à la protection des données](https://www.cnil.fr/sites/cnil/files/atoms/files/guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees.pdf), qui reprend les lignes directrices WP243 - [CNIL, désigner un délégué à la protection des données](https://www.cnil.fr/fr/designation-dpo) - [CEPD, action coordonnée de 2023 : désignation et position des DPO](https://www.edpb.europa.eu/system/files/2024-01/edpb_report_20240116_cef_dpo_en.pdf) (janvier 2024, en anglais) - [CNPD, Encarregado de proteção de dados](https://www.cnpd.pt/organizacoes/outras-obrigacoes/encarregado-de-protecao-de-dados/) (en portugais) ### Changements en cours - [Parlement européen, procédure 2025/0130(COD)](https://oeil.europarl.europa.eu/oeil/en/procedure-file?reference=2025%2F0130%28COD%29) (Omnibus IV) - [COM(2025) 837, proposition Digital Omnibus](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=celex:52025PC0837) - [CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (en anglais) - [Conseil de l’UE, ordre du jour du Coreper du 21 octobre 2026](https://data.consilium.europa.eu/doc/document/ST-14633-2026-INIT/en/pdf) (en anglais) **Dernière révision :** 21 octobre 2026. Nous révisons ce guide chaque fois que la loi ou les orientations des autorités changent. Ce guide est une information générale et ne remplace pas un conseil juridique sur un cas particulier. Les personnes, les entreprises et les situations des scènes sont fictives.