En cas de cyberattaque, le DPO se retrouve souvent en première ligne sans être pour autant juridiquement responsable de l’incident. Alexandra Iteanu, avocate à la Cour, revient sur cette frontière parfois mal comprise entre rôle de conseil, indépendance du DPO et responsabilités qui peuvent malgré tout être engagées.
Le règlement UE n°2016/679 dit « RGPD » impose de mentionner et donc d’impliquer le DPO dans toute notification de violation de données personnelles. Il ne fait pas pour autant de lui le responsable de la cyberattaque, c’est l’organisme qui en répond. Irresponsable ne veut cependant pas dire intouchable : les questions comme le licenciement, la responsabilité contractuelle du DPO externe voire même la responsabilité pénale restent des questions à se poser.
« Pour plus d’informations, n’hésitez pas à prendre contact avec notre DPO ». La formule se retrouve en bas des politiques de confidentialité et, plus dramatique, des courriers adressés aux clients (personnes concernées) après une cyberattaque. Elle n’a rien de décoratif : les articles 33 et 34 du RGPD imposent de communiquer, à la CNIL comme aux personnes concernées, le nom et les coordonnées du DPO lorsqu’il a été désigné.
Le rôle du DPO n’a cessé de prendre de l’ampleur ces dernières années, avec, d’une part, la numérisation des activités, tous secteurs confondus, d’autre part, la valeur accrue prise par les données personnelles, surtout à l’heure de l’intelligence artificielle. Cette valeur s’accompagne de risques : les cyberattaques et les exfiltrations de données n’ont fait que croître. En 2025, la CNIL a reçu 6.167 notifications de violations, un record en hausse de 9,5 % sur un an, dont une sur deux résulte d’un piratage.
Un malheur arrivant rarement seul, les organismes victimes voient de plus en plus leur responsabilité recherchée, jusqu’à être destinataires des demandes de dommages et intérêts. Le DPO se retrouve alors en première ligne, il est le point de contact privilégié des personnes physiques qui formulent leurs demandes de droits au titre du RGPD (droit à l’oubli, droit d’accès, droit de rectification…) et parfois … leur cible.
Dans ces moments de crise et de cyberattaque, la place du DPO peut aller jusqu’à être remise en cause. A titre d’illustration, une décision de l’autorité de protection Belge (ADP) datée du 28 avril 2020, qui a découvert lors d’un contrôle suite à une violation de données notifiée, que le DPO dirigeait aussi l’audit et la gestion des risques. La société a dès lors été sanctionnée pour “conflit d’intérêts” de son DPO, à hauteur de 50 .000 euros[1].
Quelle est alors sa part de responsabilité en cas de cyberattaque de l’organisme qui l’a désigné ?
- Le RGPD désigne bien un responsable mais ce n’est pas le DPO
En cas de cyberattaque, aucune des obligations légales imposées par le RGPD ne pèsent directement sur le DPO. La sécurité du traitement (article 32), la notification à la CNIL (article 33), la communication aux personnes (article 34) et la démonstration de la conformité (article 24) incombent au responsable du traitement et, pour partie, au sous-traitant. Ce sont eux que visent les amendes de l’article 83 et l’action en réparation de l’article 82.
Une ligne nette est de plus marquée entre l’organisme et ses représentants, responsables de traitement, qui définissent les moyens et modalités des traitement de données, et les missions du DPO, qui conseille et contrôle ces traitements. Comme le rappelle la CNIL dans ses publications, le DPO doit agir de manière indépendante, et bénéficier d’une « protection suffisante dans l’exercice de ses missions ».
Tout conflit d’intérêt doit donc être écarté entre la mission de DPO et des éventuelles fonctions au sein de l’organisation qui impliquerait des prises de décisions en lien avec les données personnelles traitées. La CJUE interdit ainsi de lui confier des missions qui le conduiraient à déterminer finalités et moyens[2] ; dans sa fiche du 10 août 2026 sur les conflits d’intérêts, la CNIL le résume : il ne doit pas être « juge et partie »[3].
Les lignes directrices du G29, endossées par le CEPD, en tirent la conséquence : le DPO n’est pas personnellement responsable du non-respect du RGPD. Il n’est donc pas le « garant » de la conformité, contrairement à une formule répandue.
La Cour de justice européenne va plus loin en considérant que la société responsable de traitement, ne peut pas invoquer la “négligence” d’un employé placé sous son autorité pour se dégager de sa responsabilité en cas de manquement[4]. En principe donc, un DPO qui ne signalerait pas une violation de données ou ne conseillerait pas de notifier à la CNIL ne pourrait être inquiété.
Il existe cependant certains cas où la responsabilité du DPO serait susceptible d’être engagée.
- Irresponsable mais pas intouchable
Aucune condamnation publiée d’un DPO n’est connue à ce jour. Il est cependant possible d’envisager les trois situations suivantes :
- La révocation du DPO par l’organisme reste possible. En France, contrairement à l’Allemagne, le DPO interne n’a pas le statut de salarié protégé. Sa protection réglementaire ne fait donc pas obstacle ni à un licenciement, ni à une sanction pour manquement aux règles internes applicables à tous les salariés. Mais n’y a-t-il un pas que des Conseils des Prud’hommes voire des chambres sociales de Cour d’appel, ne seraient pas prêtes à franchir ? Restreindre le droit au licenciement de l’employeur, droit intangible reconnu par les règles sociales, sans aller au bout de cette logique, cela peut-il tenir à terme ?
- Pour le DPO externe, la responsabilité sera contractuelle. En tant que prestataire, le DPO externe est lié par un contrat de prestation, et doit donc s’y conformer. La question de savoir si un client pourrait lui faire supporter tout ou partie d’une amende de la CNIL reste donc ouverte, car dans ce cas la responsabilité est de droit commun. Il faudra alors déterminer un manquement, qui peut être réglementaire, établir un préjudice et son lien de causalité avec la faute.
- La responsabilité pénale n’est pas exclue. L’irresponsabilité du DPO ne couvre que les manquements de l’organisme au RGPD. Mais il peut commettre personnellement d’autres infractions, comme la divulgation de données à un tiers non habilité, punissable même par négligence (article 226-22 du Code pénal). Il peut aussi se rendre complice de celles de l’organisme par un conseil illicite donné sciemment, ou par la promesse de ne pas s’y opposer, la simple abstention ne suffisant pas (article 121-7 du Code pénal).
- Hors de cause, mais pas hors jeu
Nous pensons que rechercher la responsabilité du DPO au lendemain d’une cyberattaque est en réalité une impasse : le RGPD et la CJUE la font peser en principe sur l’organisme. Le droit de la cybersécurité va dans le même sens et la fait remonter vers les dirigeants. La directive UE 2022/2555 dite NIS2 impose aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre et de se former, et permet de les tenir pour responsables (article 20)[5].
Cette responsabilité, au sens le plus large, devra être partagée à tous les niveaux : l’organisme dans ses choix, le DPO dans ses alertes, et le citoyen lui-même, dans la conscience de ce qu’il confie chaque jour aux machines.
Le DPO est un rouage essentiel du dispositif mis en œuvre dans l’Union Européenne. Il ne faut pas le fragiliser.
[1] APD belge, 28 avril 2020 – https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-18-2020.pdf
[2] CJUE, 9 février 2023, C-453/21
[3] https://www.cnil.fr/fr/dpo-identifier-gerer-conflits-interets
[4] CJUE, 11 avril 2024, C-741/21
[5] Sa transposition reste pourtant en suspens : le projet de loi a de nouveau été retiré de l’ordre du jour de l’Assemblée nationale le 6 octobre 2026.
