Reprendre un dossier RGPD après le départ du DPO
Organiser la passation d’un DPO : récupérer les dossiers, maintenir les délais et actualiser les contacts et la désignation CNIL.
Le départ du DPO ne suspend ni les demandes des personnes ni les obligations de l’organisme. Une passation utile permet au successeur de retrouver les décisions, les échéances et les interlocuteurs, sans dépendre d’une boîte électronique personnelle ou d’un classement connu du seul titulaire sortant.
Ce qu’il faut retenir
- La continuité porte d’abord sur les dossiers urgents et les canaux de contact.
- L’inventaire doit distinguer documents validés, brouillons, décisions et actions ouvertes.
- Le remplacement du DPO et les coordonnées publiées doivent être actualisés.
- Un planning de trente jours est un outil de reprise, pas un délai de grâce juridique.
Préparer une remise utilisable
Réunissez les documents dans un espace maîtrisé avec leurs propriétaires et versions. Un accès à des milliers de fichiers sans index ne permet pas une reprise efficace. Le rapport d’activité du DPO aide à comprendre les priorités, mais ne remplace pas l’état des dossiers en cours.
| Ensemble | À remettre | Priorité de reprise |
|---|---|---|
| Droits des personnes | Demandes ouvertes, échéances, actions et réponses | Dossiers proches du délai ou bloqués |
| Incidents | Faits, évaluations, notifications et mesures | Incidents actifs et décisions attendues |
| Analyses d’impact | Versions, avis et mesures non terminées | Projets proches du lancement |
| Gouvernance | Registre, décisions, responsabilités et contacts | Écarts empêchant l’action |
| Fournisseurs | Contrats, évaluations et changements annoncés | Dépendances à risque et échéances proches |
Les articles 38(1) et 38(2) imposent l’association appropriée du DPO et les ressources nécessaires, notamment l’accès aux données et opérations utiles. La passation doit rendre cet accès concret pour la personne qui reprend la fonction. RGPD, chapitre IV.
Maintenir les canaux et les habilitations
Vérifiez la réception des courriers, formulaires et alertes adressés au DPO. Désignez qui les surveille pendant la transition et qui dispose du pouvoir d’obtenir une action métier. Ne transférez pas sans analyse toute la messagerie personnelle du titulaire sortant : séparez les éléments professionnels nécessaires selon les règles applicables.
Révoquez les accès devenus inutiles et attribuez les nouveaux selon les responsabilités effectives. Pour un DPO externe, vérifiez la restitution des documents et les conditions de conservation résiduelle prévues par la mission. Une passation ne doit pas laisser deux cabinets accéder indéfiniment aux mêmes dossiers sensibles.
Les dossiers couvrant plusieurs sociétés nécessitent une attention particulière : la coordination multi-enseignes doit conserver ses propriétaires et ses limites d’accès.
Mettre à jour la désignation et l’information
L’article 37(7) prévoit la publication des coordonnées du DPO et leur communication à l’autorité de contrôle. La CNIL indique depuis sa page actualisée le 3 avril 2026 que la désignation, le remplacement et la fin de mission se gèrent par le téléservice dédié. Elle distingue un changement de coordonnées d’un changement d’identité du DPO. CNIL, gérer la désignation.
Sa FAQ précise la démarche de remplacement, les informations à préparer et les cas particuliers, notamment l’absence de numéro SIREN. Consultez-la pour le parcours applicable, plutôt que de réutiliser une ancienne procédure d’envoi par courriel. FAQ officielle de gestion des DPO.
Actualisez les notices, coordonnées publiques et messages internes concernés. La fin de mission ne supprime pas une obligation de désigner un DPO lorsque les conditions de l’article 37(1) restent réunies.
Organiser les trente premiers jours
Exemple d’organisation à adapter : durant les premiers jours, vérifier les canaux et dossiers urgents ; la semaine suivante, rapprocher les engagements des responsables métiers ; avant la fin du premier mois, arrêter les priorités et les moyens nécessaires avec la direction. Les délais légaux propres à chaque dossier prévalent toujours sur ce planning.
Conservez les désaccords et décisions antérieurs avec leurs motifs. Un nouveau DPO doit pouvoir comprendre pourquoi une recommandation n’a pas été retenue et quels faits justifieraient son réexamen. La fiche d’arbitrage RGPD fournit ce support.
FAQ
La signature d’un procès-verbal de passation suffit-elle ?
Non. Elle peut attester d’une remise, mais il faut vérifier l’accès effectif aux pièces, la clarté des responsabilités et la continuité des dossiers urgents.
Le nouveau DPO doit-il valider toutes les décisions passées ?
La reprise appelle un examen proportionné aux risques et aux changements. Elle ne transforme pas automatiquement le successeur en auteur ou garant de toutes les décisions historiques.
Peut-on attendre le successeur pour répondre aux demandes ?
Les obligations de l’organisme continuent. Prévoyez des relais compétents et des circuits d’escalade pendant la transition, sans créer un délai supplémentaire non prévu par les textes.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.