Le délégué à la protection des données est votre interlocuteur sur vos données. Où trouver ses coordonnées, quoi lui demander, sous quel délai il répond.
Le délégué à la protection des données, ou DPO, est la personne à qui l'on s'adresse dans une entreprise pour toute question portant sur ses données personnelles. Ses coordonnées doivent être publiées : elles figurent le plus souvent en bas de page du site, dans la politique de confidentialité, et la CNIL met à disposition un moteur de recherche public. Il doit vous répondre dans un délai d'un mois.
Elle est créée par le règlement général sur la protection des données, aux articles 37 à 39. Le DPO peut être un salarié de l'entreprise ou un prestataire externe sous contrat de service, et un groupe d'entreprises peut n'en désigner qu'un seul, à condition qu'il soit facilement joignable depuis chaque établissement.
L'article 38 lui donne un statut protégé : il ne reçoit aucune instruction dans l'exercice de ses missions, il ne peut être relevé de ses fonctions ni pénalisé pour cet exercice, et il fait directement rapport au niveau le plus élevé de la direction. Il est tenu au secret professionnel ou à une obligation de confidentialité.
L'article 39 énumère ses missions : informer et conseiller l'entreprise et ses employés, contrôler le respect du règlement, conseiller sur les analyses d'impact, coopérer avec la CNIL et faire office de point de contact auprès d'elle.
Non, et le critère surprend souvent : ce n'est ni l'effectif ni le chiffre d'affaires. L'article 37.1 rend la désignation obligatoire dans trois cas seulement :
Hors de ces cas, la désignation reste facultative, et beaucoup d'entreprises en désignent un volontairement.
Le point décisif pour vous est ailleurs, à l'article 37.7 : « Le responsable du traitement ou le sous-traitant publient les coordonnées du délégué à la protection des données et les communiquent à l'autorité de contrôle. » Quand un DPO existe, ses coordonnées sont donc publiques par obligation.
Trois chemins, du plus rapide au plus sûr.
1. Le moteur de recherche de la CNIL. La CNIL publie la liste des contacts communiqués par les organismes et propose un moteur de recherche par nom d'organisme, par ville ou par numéro SIREN. Il est accessible sur cnil.fr, page « Recherche DPO ». La CNIL indique que des dizaines de milliers d'organismes s'appuient aujourd'hui sur un délégué.
2. Le site de l'entreprise. La CNIL décrit la méthode en quatre temps dans sa réponse « Comment trouver les coordonnées d'un DPO sur un site internet ? » : ouvrir la page d'accueil, descendre en bas de page, cliquer sur le lien « Politique de protection des données », parfois intitulé « Vie privée », « Données personnelles », « Confidentialité » ou « RGPD », puis chercher la rubrique « Comment exercer vos droits ». Les coordonnées du DPO s'y trouvent en principe.
3. À défaut. Le service client, puis les mentions légales, puis le registre du commerce pour l'adresse du siège. Une demande envoyée au siège avec mention « à l'attention du délégué à la protection des données » fait courir le délai de réponse.
L'article 38.4 est large : les personnes concernées peuvent prendre contact avec le DPO « au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits » que leur confère le règlement.
En recherche d'emploi, cela couvre trois demandes utiles :
Demander ses données après une candidature détaille le courrier à envoyer, et Combien de temps une entreprise garde une candidature rappelle la durée de conservation admise par la CNIL. La CNIL met aussi à disposition des modèles de courriers sur son site.
Un mois au maximum, en application de l'article 12 du règlement. La CNIL le formule ainsi : l'organisme doit répondre le plus rapidement possible et au plus tard dans le délai d'un mois.
Ce délai peut être prolongé de deux mois, soit trois mois au total, si la demande est complexe, mais à une condition ferme : l'organisme doit vous en informer dans le délai d'un mois. Autrement dit, dans tous les cas, vous devez recevoir une réponse sous un mois, ne serait-ce qu'une réponse d'attente motivée.
L'organisme peut également, en cas de doute raisonnable sur votre identité, demander une pièce justificative avant de répondre.
Vous pouvez saisir la CNIL. Sa page « Adresser une plainte à la CNIL » fixe quatre étapes préalables :
1. vérifier que le droit invoqué s'applique à votre situation ;
2. identifier l'organisme ou son DPO ;
3. exercer votre droit auprès de lui et conserver les preuves de la demande ;
4. attendre la réponse, un mois au maximum.
Passé ce délai sans réponse, la plainte se dépose en ligne sur cnil.fr, rubrique « plaintes », avec une copie de la demande initiale. Si la réponse reçue vous paraît incomplète ou erronée, la CNIL demande de la contester d'abord auprès de l'organisme avant de la saisir.
Ce que la CNIL peut faire : instruire, puis prononcer des rappels à l'ordre, des mises en demeure ou des sanctions financières. Ce qu'elle ne peut pas faire, et c'est la principale source de déception : exercer vos droits à votre place, traiter une plainte imprécise ou sans justificatif des démarches, vous obtenir des dommages et intérêts, ou régler un litige qui relève du droit du travail, du droit à l'image ou du droit pénal.
Le DPO travaille pour l'entreprise, est-il vraiment indépendant ?
Il est salarié ou prestataire, mais l'article 38 lui garantit de ne recevoir aucune instruction sur ses missions, de rapporter au plus haut niveau et de ne pas être sanctionné pour leur exercice. La CNIL exige en outre l'absence de conflit d'intérêts.
Une petite entreprise sans DPO doit-elle quand même me répondre ?
Oui. L'obligation de répondre sous un mois pèse sur le responsable du traitement, qu'il ait désigné un délégué ou non. Écrivez alors au siège ou à l'adresse indiquée dans la politique de confidentialité.
Combien coûte une demande d'accès ?
Rien. L'exercice des droits est gratuit.
Puis-je demander les notes prises pendant mon entretien ?
Oui. Le guide « Recrutement » de la CNIL range les résultats de tests et des autres méthodes d'évaluation dans le champ du droit d'accès du candidat.
Un recruteur peut-il appeler mon ancien employeur sans me le dire ?
Non. L'article L1221-9 du code du travail interdit la collecte d'informations par un dispositif non porté à la connaissance du candidat, et la CNIL impose une information au plus tard un mois après une collecte indirecte. Le sujet est traité dans Lettre de recommandation : comment la demander.
Où déposer la plainte si je ne suis pas à l'aise avec les formulaires ?
La CNIL publie une version en facile à lire et à comprendre de sa procédure de plainte.
---
Sources : règlement (UE) 2016/679, articles 12, 37, 38 et 39, texte intégral publié par la CNIL ; CNIL, pages « Le délégué à la protection des données », « Désigner un DPO » (mise à jour le 3 avril 2026), « Recherche DPO », « Retrouver les coordonnées d'un organisme pour exercer vos droits », « Exercice des droits : dans quel délai doit-on me répondre ? » et « Adresser une plainte à la CNIL » ; CNIL, guide « Recrutement », 30 janvier 2023 ; code du travail, article L1221-9. Vérifié le 24 septembre 2026.