Digital··4 min
Protection des données : faut-il désigner un DPO dans votre entreprise ?
Un test en deux questions posé par la CNPD permet de savoir en quelques minutes si votre entreprise doit désigner un délégué à la protection des données, avant la marche à suivre pour le déclarer et les sanctions déjà prononcées à connaître.
Au Luxembourg, la désignation d'un délégué à la protection des données (DPO) n'est pas systématique : elle dépend de la nature de votre activité, pas de la taille de votre entreprise. Un test en deux questions, posé par la CNPD elle-même, permet de trancher en quelques minutes, avant d'entamer si besoin une déclaration gratuite auprès de l'autorité.
Le test en deux questions de la CNPD
La base légale tient en trois articles du RGPD, applicables au Luxembourg depuis le 25 mai 2018 : les articles 37 à 39. Selon la CNPD, une entreprise privée doit désigner un DPO si son activité de base implique l'une de ces deux situations.
| Question à se poser | Ce que ça vise concrètement |
|---|---|
| Votre activité de base repose-t-elle sur un suivi régulier et systématique à grande échelle des personnes ? | Profilage, scoring, tracking comportemental étendu, géolocalisation continue de clients ou d'usagers |
| Votre activité de base implique-t-elle un traitement à grande échelle de données sensibles (art. 9 RGPD) ou de données pénales (art. 10 RGPD) ? | Santé, origine, opinions, orientation, condamnations pénales, traitées en volume |
Si l'une de ces deux réponses est oui et que le traitement concerné constitue bien le cœur de votre activité, et non un usage accessoire, la désignation d'un DPO n'est plus une option mais une obligation légale au sens des articles 37 à 39 du RGPD. La nuance porte sur l'expression « activité de base » : un cabinet de recrutement qui traite ponctuellement des données de santé dans un dossier RH n'est pas dans la même situation qu'une clinique ou un assureur dont le traitement de données sensibles est la raison d'être.
Négatif au test ? Documentez quand même votre choix
Beaucoup de dirigeants s'arrêtent là et referment le dossier. C'est une erreur au regard du principe d'accountability qui structure tout le RGPD. Même lorsque le test ne déclenche aucune obligation, la CNPD attend de l'entreprise qu'elle formalise par écrit l'analyse ayant conduit à ne pas désigner de DPO, afin de pouvoir la présenter en cas de contrôle. Un simple document interne, daté et argumenté au regard des deux critères ci-dessus, suffit à couvrir cette exigence. C'est aussi l'occasion de vérifier vos autres pratiques : la prospection par email en B2B obéit par exemple à des règles distinctes de celles du DPO, mais tout aussi encadrées.
Comment déclarer un DPO à la CNPD, étape par étape
Si le test est positif, ou si vous désignez un DPO par choix, la démarche reste simple. D'après la CNPD et le portail Guichet.lu, qui confirment les mêmes modalités :
- La déclaration se fait via un formulaire dédié, envoyé à l'adresse [email protected].
- Le formulaire doit être signé par un représentant de l'entreprise, jamais par le DPO lui-même.
- La déclaration doit intervenir dès la prise de fonction du DPO, pas après coup.
- La procédure est entièrement gratuite.
Aucun frais, aucun agrément préalable de la CNPD n'est requis : l'entreprise reste responsable du choix de son DPO, en interne ou externalisé, et de sa compétence réelle sur les articles 37 à 39.
Ce que les sanctions CNPD révèlent sur les erreurs à éviter
La CNPD ne se contente pas de recevoir les déclarations, elle contrôle leur application. Son registre public des décisions et sanctions recense, entre 2021 et 2025, plusieurs affaires liées directement à la fonction de DPO. Des amendes allant jusqu'à 18 000 euros ont déjà été prononcées pour non-implication du DPO dans les décisions de l'entreprise ou pour absence de ressources adéquates mises à sa disposition, selon l'analyse de ces décisions publiée par le cabinet Lexing Avocats le 26 novembre 2021. Autrement dit, nommer un DPO sur le papier sans le consulter réellement, ou sans lui donner le temps et les moyens d'exercer sa mission, expose au même risque que de ne pas en désigner du tout.
Le défaut pur et simple de désignation ou de communication à la CNPD a lui aussi été sanctionné, notamment chez des communes luxembourgeoises. La CNPD a publié en décembre 2023 une série de décisions sur la désignation d'un DPO par les communes, faisant suite à une première vague de constats en 2021. Le message de la CNPD est constant depuis plusieurs années : la désignation d'un DPO n'est pas un exercice cosmétique, elle est vérifiée dans les faits, jusque dans la place réelle que l'organisation lui accorde. Pour un dirigeant luxembourgeois, le réflexe utile reste le même : refaire le test des deux questions à chaque évolution significative de l'activité, garder une trace écrite de la décision, et si un DPO est désigné, s'assurer qu'il est réellement associé aux décisions qui touchent aux données, pas seulement nommé sur un organigramme.
