Encadrement juridique des DPO externalisés de l'entreprise

{"question": {"@xmlns": "http://schemas.assemblee-nationale.fr/referentiel", "@xmlns:xsi": "http://www.w3.org/2001/XMLSchema-instance", "@xsi:type": "QuestionEcrite_Type", "uid": "QANR5L17QE14924", "identifiant": {"numero": "14924", "regime": "5eme Republique", "legislature": "17"}, "type": "QE", "indexationAN": {"rubrique": "professions judiciaires et juridiques", "teteAnalyse": null, "analyses": {"analyse": "Encadrement juridique des DPO externalisés de l'entreprise"}}, "auteur": {"identite": {"acteurRef": "PA842045", "mandatRef": "PM843581"}, "groupe": {"organeRef": "PO845439", "abrege": "ECOS", "developpe": "Écologiste et Social"}}, "minInt": {"organeRef": "PO873682", "abrege": "Justice", "developpe": "Ministère de la justice"}, "minAttribs": {"minAttrib": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-05-05", "pageJO": null, "numJO": null, "urlLegifrance": null, "referenceNOR": null}, "denomination": {"organeRef": "PO873682", "abrege": "Justice", "developpe": "Ministère de la justice"}}}, "textesQuestion": {"texteQuestion": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-05-05", "pageJO": "3889", "numJO": "20260018", "urlLegifrance": null, "referenceNOR": null}, "texte": "Mme Julie Ozenne attire l'attention de M. le garde des sceaux, ministre de la justice, sur l'encadrement juridique des délégués à la protection des données (DPO) externalisés et donc non-salariés de l'entreprise ou de l'organisation pour laquelle ils interviennent et les risques d'atteinte au périmètre du droit que soulève l'exercice de leurs missions. Un arrêt de la Cour de cassation du 19 mars 2025 (Civ. 1re, 19 mars 2025, n° 23 19.915) a admis l'accès dérogatoire au barreau d'une juriste, désignée par son employeur en qualité de déléguée à la protection des données auprès de la CNIL, considérant que l'activité consistant, pour le juriste, à assurer la mise en œuvre des exigences de conformité, notamment en ce qui concerne le règlement général de protection des données, peut relever du traitement de problèmes juridiques et constituer un service juridique spécialisé au sens de l'article 98, 3° du décret n° 91-1197 du 27 novembre 1991 organisant la profession d'avocat. Si cette décision laisse entendre que les missions d'un DPO peuvent, dans certains cas, s'apparenter à un exercice du droit, elle ne clarifie pas la frontière entre information juridique et consultation juridique au sens des articles 54 et suivants de la loi du 31 décembre 1971, qui réservent l'activité de consultation juridique et de rédaction d'actes sous seing privé pour autrui exercée à titre habituel et rémunéré aux seuls professionnels du droit. Or les missions définies à l'article 39 du RGPD, à savoir l'information et le conseil sur les obligations légales, le contrôle du respect du droit applicable, l'avis sur les analyses d'impact, la participation à l'évolution de contrats et la sensibilisation des équipes impliquent nécessairement une interprétation et une application spécifique du droit de la protection des données et donnent lieu en pratique à la réalisation de prestations individualisées de consultation juridiques et de rédaction d'actes en matière juridique (rédaction et révision de contrats, etc.) destinées à analyser la situation de l'entreprise ou de l'organisation concernée et à orienter ses actions de mise en conformité avec la règlementation applicable en matière de traitements de données personnelles. La CNIL souligne d'ailleurs que les DPO doivent être désignés en raison de leurs « connaissances spécialisées du droit et des pratiques en matière de protection des données », tout en rappelant que seuls 28 % d'entre eux disposent d'un profil juridique et 43 % sont issus de l'administratif, de la finance, de la conformité, de l'audit, etc. (et environ 29 % ont un profil informatique). La certification des compétences des DPO, délivrée par des organismes agréés par la CNIL, est accessible sur la seule base d'une expérience professionnelle de deux ans, sans exigence de formation juridique préalable. Ainsi, un nombre croissant de DPO externes délivrent des conseils personnalisés portant sur l'application du droit, sans être soumis aux garanties attachées aux professions réglementées. Une situation de fait s'est installée, sans que le législateur n'ait précisé si ces consultations relèvent de l'article 54 de la loi du 31 décembre 1971. Dans ce contexte, elle souhaite connaître les intentions du Gouvernement quant à l'encadrement de la possibilité, donnée aux consultants DPO externes, de délivrer des consultations juridiques, afin de garantir la sécurité juridique des entreprises et des administrations, ainsi que le respect du périmètre du droit."}}, "textesReponse": {"texteReponse": {"infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-08-04", "pageJO": "7388", "numJO": "20260031", "urlLegifrance": null, "referenceNOR": null}, "texte": "L'arrêt n° 23 19.915 de la Cour de cassation du 19 mars 2025 auquel il est fait référence dans la question concerne la nature de l'activité d'un juriste d'entreprise lui permettant l'accès dérogatoire au barreau mais ne porte pas sur la nature de l'activité ou la production de consultations juridiques par le délégué à la protection des données externe à l'entreprise. La fonction de délégué à la protection des données (DPD) a été introduite par le règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit Règlement Général sur la Protection des Données (RGPD). Le statut et les missions du DPD sont fixés par la section 4 du chapitre IV du RGPD, complétés par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (LIL) et le décret n° 2019-536 du 29 mai 2019. Il ressort de l'article 37, paragraphe 6 du RGPD, que le délégué peut exercer ses missions sur la base d'un contrat de services. Le comité européen de la protection des données (CEPD) précise en outre dans ses lignes directrices que le niveau d'expertise requis du délégué à la protection des données doit être proportionné à la sensibilité, à la complexité et au volume des données traitées par l'organisme. De ce fait, ni le RGPD, ni la loi « informatique et libertés » n'exigent l'obtention d'un diplôme particulier ou le suivi d'une formation spécifique pour exercer l'activité de délégué à la protection des données. L'article 37, paragraphe 5 du RGPD, précise néanmoins que « Le délégué à la protection des données est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données et de ses capacités à accomplir les missions visées à l'article 39. ». Ainsi, son rôle présente un caractère par nature hybride, en ce qu'il ne se limite ni à des missions exclusivement techniques ou opérationnelles, ni à des missions strictement juridiques. En pratique, près de 10 % des 40 000 délégués à la protection des données désignés auprès de la CNIL exercent leur activité en tant que délégués externes. La CNIL estime aujourd'hui à moins de 25 % la part des délégués issus d'un domaine d'expertise juridique. Les responsables de traitement apparaissent donc avoir en majorité besoin d'un appui technique plutôt que juridique. La fonction du délégué à la protection des données est d'apporter en amont de l'information, et en aval d'auditer les traitements existants, pour veiller à la bonne mise en œuvre du RGPD et de la loi informatique au sein d'une structure. Ainsi le DPD fournit au responsable de traitement de manière proactive des informations globales et transversales, et le cas échéant des conseils sur la réglementation applicable. Sa prestation ne s'apparente pas à la fourniture d'une consultation juridique. Par conséquent, il n'est pas envisagé de permettre aux délégués à la protection des données externes de délivrer des consultation juridique au sens des articles 54 et suivants de la loi du 31 décembre 1971 dans la mesure où ces consultations dépassent l'information à caractère documentaire que prévoit l'article 39 du RGPD."}}, "cloture": {"codeCloture": "REP_PUB", "libelleCloture": "Réponse publiée", "dateCloture": "2026-08-04", "infoJO": {"typeJO": "JO_QUESTION", "dateJO": "2026-08-04", "pageJO": "7388", "numJO": "20260031", "urlLegifrance": null, "referenceNOR": null}}, "signalement": null, "renouvellements": null}}