Faut-il un DPO dans une association ou une ONG ?

Cela dépend de ce que votre organisation fait des données des personnes, pas de sa taille. Ce guide donne le critère du RGPD, montre comment il se lit pour l’action humanitaire et le développement, et indique quoi faire dans les deux cas.

La réponse courte

Une ONG ou une association doit désigner un délégué à la protection des données (DPO) si son activité de base consiste en un suivi régulier et systématique de personnes à grande échelle, ou en un traitement à grande échelle de données sensibles comme la santé, l’origine ethnique ou la religion. Beaucoup d’organisations humanitaires remplissent le second critère. Les autres peuvent en désigner un volontairement, et les bailleurs demandent souvent qui est responsable.

Ce que dit le RGPD

L’article 37, paragraphe 1, du RGPD énumère trois cas où un responsable de traitement ou un sous-traitant doit désigner un DPO. Seuls les deux derniers concernent la plupart des ONG et des associations.

Une autorité ou un organisme public: Ce que cela veut dire: Agir en tant qu’organisme public, pas seulement travailler avec un. À quoi cela peut ressembler: Rare pour une ONG. Certains de vos interlocuteurs entrent dans ce cas, ce qui ne vous y fait pas entrer.
Suivi régulier et systématique à grande échelle: Ce que cela veut dire: Suivre des personnes dans la durée, de façon organisée, comme activité de base. À quoi cela peut ressembler: Contrôle biométrique à chaque distribution. Suivi du comportement des donateurs sur une large base. Géolocalisation de participants à un programme.
Traitement à grande échelle de données sensibles ou de condamnations pénales: Ce que cela veut dire: Santé, origine ethnique, religion, opinions politiques, orientation sexuelle, données biométriques ou génétiques, appartenance syndicale, condamnations. À quoi cela peut ressembler: Dossiers de patients d’un programme de soins. Dossiers de protection. Enregistrement de réfugiés ou de personnes déplacées qui note l’origine ethnique ou la religion.

Deux notions décident : l’« activité de base » et la « grande échelle ». L’activité de base, c’est ce pour quoi vous existez, pas le travail d’appui qui la soutient. Les dossiers médicaux d’une ONG de santé en font partie. Sa paie, non.

Ce qu’on entend par grande échelle

Le RGPD ne donne aucun chiffre. Les lignes directrices sur les délégués à la protection des données, rédigées par le groupe de travail « article 29 » et reprises par le Comité européen de la protection des données, citent les critères à peser :

Le nombre de personnes concernées, en valeur absolue ou en part d’une population.
Le volume de données et la variété des éléments traités.
La durée du traitement.
Son étendue géographique.

Ces lignes directrices considèrent que les dossiers des patients d’un hôpital relèvent de la grande échelle, et ceux d’un médecin isolé non. Un programme qui enregistre des milliers de personnes avec des informations sensibles sur chacune est plus proche de l’hôpital que du médecin, même si votre organisation compte vingt salariés. Le nombre de salariés ne fait pas partie du critère.

Si vous concluez que vous êtes sous le seuil, écrivez pourquoi. Un auditeur ou un bailleur vous le demandera, et ce raisonnement écrit est votre réponse.

Le RGPD s’applique-t-il à vous ?

Il s’applique aux traitements effectués dans le cadre d’un établissement situé dans l’UE, où que vivent les personnes concernées. Une ONG dont le siège est en Europe et les opérations en Afrique, en Asie ou au Moyen-Orient est couverte pour les données des personnes qu’elle y accompagne. Il s’applique aussi à une organisation hors UE qui propose des services à des personnes dans l’UE ou suit leur comportement.

Le droit national peut aller plus loin. L’Allemagne, par exemple, impose un DPO dès que vingt personnes ou plus traitent régulièrement des données personnelles de façon automatisée, quel que soit le type de données. Vérifiez la loi de chaque pays où vous êtes établi. Les pays hors UE ont leurs propres lois, parfois avec leurs propres règles sur le DPO, et les bailleurs inscrivent souvent le niveau du RGPD dans leurs conditions de subvention.

Si la désignation n’est pas obligatoire

Vous pouvez quand même en désigner un, et pour une organisation qui grandit c’est généralement le bon choix. Un DPO donne une personne responsable pour les violations de données, les demandes des personnes accompagnées, l’examen des nouveaux outils et les questions des bailleurs. Beaucoup de bailleurs et de partenaires posent la question lors de leurs vérifications préalables.

Il y a un piège. Les lignes directrices européennes précisent que si vous désignez un DPO volontairement, les mêmes règles s’appliquent à lui qu’à un DPO obligatoire : indépendance, accès à la direction, protection contre la sanction pour l’exercice de ses missions. Si vous voulez l’appui sans ces obligations, donnez un autre nom au rôle, par exemple référent ou conseiller protection des données, en précisant qu’il ne s’agit pas d’un DPO au sens du RGPD.

Ce qu’un DPO doit être et faire

Les articles 37 à 39 posent le cadre.

Des connaissances spécialisées du droit et des pratiques de protection des données, à la mesure de la sensibilité de ce que vous traitez.
L’indépendance. Le DPO ne reçoit aucune instruction sur l’exercice de ses missions et ne peut pas être relevé de ses fonctions ou pénalisé pour les avoir exercées.
Un rattachement direct au niveau le plus élevé de la direction.
Le temps et les moyens nécessaires, y compris l’accès aux personnes et aux systèmes qu’il doit examiner.
Des coordonnées publiées, communiquées à l’autorité de contrôle et accessibles aux personnes dont vous détenez les données.
Des missions : informer et conseiller l’organisation et son personnel, contrôler le respect des règles, conseiller sur les analyses d’impact, coopérer avec l’autorité de contrôle et en être le point de contact.

Le DPO n’est pas personnellement responsable de votre conformité. C’est l’organisation, en tant que responsable de traitement.

La règle du conflit d’intérêts

L’article 38, paragraphe 6, autorise le DPO à exercer d’autres missions, mais pas celles qui lui feraient déterminer les finalités et les moyens du traitement. En pratique, la direction générale, le responsable informatique, le responsable des ressources humaines et les responsables de programme ne peuvent pas être votre DPO. Les petites structures confient souvent le rôle à la responsable administrative ou à la personne qui s’occupe de l’informatique. C’est l’arrangement le plus exposé à une contestation.

Vos options

Un salarié comme DPO: Convient à: Les grandes organisations qui ont de quoi occuper un poste. À surveiller: Le conflit d’intérêts, et la mise à jour de ses connaissances
Un DPO externalisé, par contrat de service: Convient à: Les petites et moyennes structures, et celles qui travaillent dans plusieurs pays (article 37, paragraphe 6). À surveiller: Un périmètre clair, des délais de réponse et un interlocuteur nommé qui comprend le terrain
Un DPO mutualisé pour un groupe: Convient à: Les fédérations et réseaux. L’article 37, paragraphe 2, permet un seul DPO pour un groupe s’il est facilement joignable depuis chaque établissement. À surveiller: La langue, les fuseaux horaires et qui détient les coordonnées de chaque entité
Pas de DPO, avec une décision écrite: Convient à: Les organisations sous le seuil. À surveiller: Revoir la décision dès que vos activités changent

Un DPO externalisé peut être basé dans un autre pays. Ce qui compte, c’est que les personnes et l’autorité puissent le joindre facilement, dans une langue qu’elles utilisent.

Ce qui est en jeu

Un manquement aux obligations relatives au DPO peut entraîner une amende administrative pouvant aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 4). Pour la plupart des ONG, le risque le plus probable est pratique : une vérification préalable d’un bailleur qui ne trouve personne de responsable, ou une violation de données où personne ne sait qui décide de la suite.

Cinq étapes pour décider

Listez ce que vous traitez sur les personnes : qui, quels types de données, combien, pendant combien de temps, dans combien de pays.
Repérez les données sensibles et les activités qui suivent les personnes dans la durée. Demandez-vous si elles relèvent de votre mission de base.
Pesez l’échelle avec les quatre critères ci-dessus, et vérifiez le droit national là où vous êtes établi.
Décidez, et consignez le raisonnement avec la date et le nom de la personne qui l’a validé.
Si vous désignez un DPO, choisissez le modèle, vérifiez l’absence de conflit d’intérêts, publiez ses coordonnées et déclarez-le à l’autorité de contrôle. En France, cela se fait en ligne auprès de la CNIL. Si vous n’en désignez pas, notez une date pour revoir la décision.

Comment DP4G peut vous aider

DP4G est le service de Relief Applications pour les organisations qui ont besoin d’un DPO qui comprend le travail humanitaire. Nous intervenons comme DPO externalisé, mois par mois, ou nous commençons par un audit ponctuel pour voir où vous en êtes. Commencez par un audit gratuit ou un appel, sans engagement à ce stade. Voyez le service DP4G pour les formules.

Questions et réponses

Une petite association doit-elle avoir un DPO ?

La taille ne décide pas. Une petite structure qui enregistre beaucoup de personnes vulnérables, ou qui gère à grande échelle des dossiers de santé ou de protection, peut devoir en désigner un. Une petite association qui ne détient que des dossiers du personnel et une liste de donateurs n’en a généralement pas l’obligation.

Un administrateur, un bénévole ou la direction peuvent-ils être notre DPO ?

Pas s’ils déterminent les finalités et les moyens des traitements. Une personne qui a un rôle de gouvernance ou de direction détient ce pouvoir de décision, donc se trouverait en conflit d’intérêts. Un bénévole peut tenir le rôle seulement s’il a l’expertise et l’indépendance requises et peut y consacrer assez de temps, ce qui est difficile à garantir.

Faut-il dire à l’autorité qui est notre DPO ?

Oui. Vous publiez les coordonnées du DPO et les communiquez à l’autorité de contrôle (article 37, paragraphe 7). En France, la désignation se fait en ligne auprès de la CNIL.

Le DPO est-il responsable si nous nous trompons ?

Non. L’organisation est responsable de sa conformité. Le DPO conseille et contrôle, l’organisation décide.

Une même personne peut-elle être DPO de plusieurs organisations ?

Oui, pour un groupe d’entités liées si elle est facilement joignable depuis chacune, ou comme prestataire externe pour des organisations distinctes, à condition qu’il n’y ait pas de conflit d’intérêts et assez de temps pour chacune.

Et si nous n’avons aucun bureau dans l’UE ?

Le RGPD peut quand même s’appliquer si vous proposez des services à des personnes dans l’UE ou si vous suivez leur comportement. Beaucoup de bailleurs et de partenaires demandent aussi un niveau de pratique équivalent dans leurs accords, et le pays où vous travaillez peut avoir sa propre loi.

Pas sûr de votre situation ?

Commencez par un audit gratuit. Nous cartographions vos données et vous disons par écrit, sous cinq jours ouvrés, si vous avez besoin d’un DPO et ce qu’il faut faire ensuite.

Lancer votre audit gratuit

Pour aller plus loin

DPIA for NGOs: when you need one, how to do it, and a template (en anglais): L’analyse d’impact (AIPD) que votre DPO demandera avant un nouvel outil risqué.
DP4G, un DPO externalisé pour les organisations humanitaires: Formules, audits et équipe.

Ce guide est une information générale fondée sur le RGPD et les lignes directrices européennes sur les délégués à la protection des données. Ce n’est pas un conseil juridique, et les droits nationaux diffèrent. Relu le 11 novembre 2026 par l’équipe DP4G de Relief Applications.