Reprendre un dossier RGPD après le départ du DPO

Le départ du DPO ne suspend ni les demandes des personnes ni les obligations de l’organisme. La priorité est de transmettre les échéances, les décisions et les accès qui permettent d’agir dès la reprise. Un dossier documentaire complet mais inaccessible au successeur ne remplit pas cet objectif.

La direction organise la continuité ; le DPO sortant apporte l’état de ses travaux ; le successeur vérifie ce qu’il reçoit et signale les réserves. La signature d’une passation ne vaut ni certification de conformité ni approbation rétroactive des décisions anciennes. Voici comment constituer une remise utilisable, avec un exemple renseigné.

Ce qu’il faut retenir

• Conservez la date initiale et l’échéance de chaque demande : elles ne repartent pas au changement de DPO.
• Remettez ensemble les pièces, les avis, les décisions et les actions encore attendues.
• Vérifiez les accès et les canaux de contact avant de considérer le transfert comme achevé.
• Actualisez la désignation et les coordonnées, sans confondre remplacement et simple modification de contact.

Qui doit assurer la continuité ?

Le responsable du traitement demeure tenu de ses obligations. Il doit donner au DPO les ressources et les accès nécessaires, l’associer aux questions pertinentes et préserver son indépendance. Le DPO conseille et contrôle ; il ne devient pas le responsable de toutes les opérations ni le décideur unique des mesures à prendre. Art. 24(1), 38(1) à 38(3) et 39(1) du RGPD.

La direction doit donc identifier un relais pour les demandes, les incidents et les projets pendant la transition. Le nommer « référent provisoire » ne suffit pas à le transformer en DPO. Si la désignation est obligatoire, le remplacement doit répondre aux conditions applicables, notamment les compétences et l’absence de conflit d’intérêts. Le départ du titulaire ne fait pas disparaître les critères de l’Art. 37(1).

Avant la reprise, fixez par écrit la date de fin de mission, la date de prise de fonction, la personne qui surveille chaque canal dans l’intervalle et celle qui peut mobiliser les métiers. Ne laissez pas une alerte dépendre d’un salarié déjà parti ou d’un cabinet dont la prestation est terminée.

Remettre des dossiers exploitables, pas seulement un répertoire

Le rapport d’activité du DPO donne une vue d’ensemble des risques et des travaux. Il doit être complété par un index des dossiers ouverts. Pour chacun, indiquez un identifiant, l’entité concernée, la date de réception ou de découverte, les échéances, le responsable de l’action, les pièces accessibles et le prochain résultat attendu.

Un dossier peut comporter un avis favorable sous réserve, une décision de lancement et une mesure jamais réalisée. Ne les résumez pas par « validé ». Distinguez le document préparatoire, l’avis du DPO, l’arbitrage de la direction et la preuve d’exécution. Cette distinction évite au successeur de découvrir trop tard qu’une condition essentielle était seulement annoncée.

Les contrats, notices, registres et analyses d’impact doivent conserver leur version applicable et leur historique utile. Inutile de reproduire partout les mêmes pièces personnelles : un lien vers un emplacement maîtrisé peut suffire. Vérifiez cependant que le nouveau DPO peut réellement l’ouvrir, y compris après la désactivation du compte sortant.

Pour un groupe, chaque dossier garde le nom de l’organisme qui agit et les limites de consultation. La coordination des demandes entre plusieurs enseignes ne justifie pas de rendre tous les dossiers visibles à toutes les sociétés.

Exemple : une passation avec quatre décisions immédiates

L’exemple suivant est entièrement hypothétique. La société Atelier Cobalt remplace son DPO externe le 1er octobre 2026. Elle a identifié quatre dossiers ouverts. Le tableau ci-dessous constitue un extrait renseigné de sa remise, et non un modèle officiel imposé par la CNIL.

A-34 n’est pas réenregistré au 1er octobre : sa date de réception reste le 15 septembre. L’Art. 12(3) impose de répondre dans les meilleurs délais et, en tout état de cause, dans le mois de la réception. La prolongation éventuelle de deux mois dépend de la complexité et du nombre de demandes ; elle doit être annoncée et motivée dans le premier mois. Le changement de DPO ne crée pas, à lui seul, un droit à prolongation. Art. 12(3) et 12(4).

Pour V-8, une nouvelle prise de connaissance par le successeur ne remplace pas celle de l’organisme. Le dossier conserve la chronologie initiale, les motifs de l’évaluation des risques et les informations déjà communiquées. Les renseignements manquants peuvent être transmis de manière échelonnée, sans autre retard indu, dans les conditions de l’Art. 33(4). La passation n’autorise pas à attendre une reconstitution parfaite pour poursuivre l’action nécessaire.

P-7 et F-5 restent ouverts. Le fait qu’ils figurent dans un procès-verbal signé ne lève ni la réserve sur les accès ni l’incertitude sur le support. Le nouveau DPO sait ainsi quelles décisions réclament son intervention, sans devoir réexaminer d’abord tous les documents historiques.

Recevoir les dossiers avec des réserves précises

Dans cet exemple, le successeur ouvre les pièces d’A-34 et V-8, mais constate que le rapport technique de P-7 est seulement stocké chez le cabinet sortant. La remise porte donc la mention : « P-7 reçu avec réserve ; rapport technique absent ; chef de projet chargé de récupérer la pièce ou de refaire le contrôle avant toute proposition de lancement ».

Cette formulation est plus utile que « documents reçus, sous réserve de vérification ». Elle décrit la pièce manquante, son effet et le responsable de la suite. Lorsque le rapport est fourni, le successeur consigne sa référence et clôt uniquement cette réserve documentaire. Il ne transforme pas la réception du rapport en conclusion favorable sur les accès : le résultat doit encore être examiné.

Pour organiser votre propre réception, utilisez trois états : reçu et accessible ; reçu avec réserve identifiée ; non remis. Chaque réserve comporte une action et une date de suivi choisie selon l’urgence. Aucun délai interne de trente jours ne prime sur une échéance légale, une demande de l’autorité ou une mesure nécessaire face à un incident.

Si le sortant est indisponible, reconstituez les priorités avec la messagerie fonctionnelle, les équipes sécurité, achats et relation client, et les références des procédures. Notez ce qui reste inconnu. Une absence de pièce ne démontre pas qu’aucune demande ou violation n’a existé.

Transférer les accès sans multiplier les copies

La continuité concerne autant les canaux que les dossiers. Vérifiez la réception depuis le formulaire public, l’adresse fonctionnelle, le courrier et les contacts utilisés par les prestataires. Un message de contrôle sans donnée réelle permet de constater son arrivée chez le relais désigné. L’existence d’une règle de transfert affichée dans un outil ne prouve pas que le destinataire peut lire la demande.

Attribuez des accès nominatifs adaptés à la fonction et fermez ceux devenus inutiles. Ne remettez pas le mot de passe personnel du sortant. Évitez également le transfert global et automatique de sa messagerie : les documents professionnels nécessaires doivent être identifiés en tenant compte de la confidentialité et des règles applicables aux autres correspondances.

Avec un DPO externe, précisez les documents rendus, les accès retirés et les éventuelles pièces conservées par le cabinet, avec leur motif, leur durée et leur protection. Ne supposez ni que le contrat permet toute conservation ni que toute pièce doit disparaître immédiatement malgré une justification valable. Les dossiers sensibles ne doivent pas rester indéfiniment consultables par deux intervenants parce que la clôture technique a été oubliée. Ces choix mettent en œuvre les exigences de sécurité et de confidentialité des Art. 32(1), 32(2) et 38(5).

Mettre à jour la désignation et les coordonnées

L’Art. 37(7) prévoit de publier les coordonnées du DPO et de les communiquer à l’autorité. La CNIL distingue le remplacement du titulaire d’une simple modification de ses coordonnées. Les démarches de désignation, de remplacement et de fin de mission passent par son téléservice dédié. Préparez le numéro de désignation et le SIREN de l’organisme. CNIL, gérer la désignation, page du 3 avril 2026.

La FAQ officielle précise notamment la conduite à tenir si le compte utilisé initialement n’est plus accessible ou si l’organisme n’a pas de SIREN. Elle demande de signaler immédiatement la fin de mission ou le remplacement. Conservez l’accusé de réception et vérifiez la date de prise d’effet ; un brouillon non transmis ne prouve pas l’achèvement de la démarche.

Mettez aussi à jour les notices, l’annuaire interne et les coordonnées communiquées aux fournisseurs. Une adresse fonctionnelle stable peut faciliter la continuité, à condition que ses destinataires et habilitations soient effectivement actualisés.

Préserver les désaccords et l’indépendance du successeur

La remise doit conserver les avis non suivis, leurs motifs et les décisions prises. La fiche d’arbitrage entre DPO et direction aide à distinguer une recommandation, la solution retenue et ses conditions. Le successeur peut demander un réexamen à la lumière des faits ; il n’a pas à réécrire l’ancien avis pour faire disparaître le désaccord.

Examinez enfin ses autres fonctions. Si certaines le conduisent à déterminer les finalités ou moyens d’un traitement qu’il devrait contrôler, l’organisation doit résoudre ce conflit. Un déport du DPO suppose un dispositif effectif, pas la seule promesse de ne pas participer à une réunion.

FAQ

Faut-il refaire toutes les analyses d’impact ?

Non, le seul remplacement ne l’impose pas. Transmettez les versions, les avis et les mesures ; vérifiez leur actualité au regard des opérations et des risques. L’Art. 35(11) prévoit un réexamen si nécessaire, au moins lorsque le risque change.

Peut-on fermer une demande parce que son interlocuteur a quitté l’organisme ?

Non. Identifiez un nouveau responsable de la réponse et conservez la chronologie. Si des pièces manquent, recherchez-les et appliquez les règles du droit concerné ; la disparition de l’interlocuteur ne vaut pas réponse.

La réception du dossier décharge-t-elle la direction ?

Non. Elle établit un état de remise. Les obligations de l’organisme, ses choix et les actions à réaliser subsistent ; le DPO les conseille et les contrôle dans son rôle propre.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.