Comment obtenir une certification DPO et devenir DPO ?
.png)
DPO Consulting Rejoint Grant Thornton
Sommaire
La certification DPO atteste qu'une personne physique possède les compétences attendues d'un délégué à la protection des données. Elle est volontaire. Le RGPD ne la mentionne nulle part comme condition pour exercer la fonction ou pour être désigné auprès de la CNIL.
Cette distinction compte pour deux publics différents. Pour un professionnel qui veut devenir DPO, elle dit où placer l'effort, sur l'expérience et sur les compétences démontrables plutôt que sur l'empilement de certificats. Pour une entreprise qui doit désigner un délégué, elle déplace la question vers ce que le RGPD exige réellement du titulaire, et vers le choix entre un profil interne et un prestataire externe.
La certification DPO, ou certification des compétences du délégué à la protection des données, est un mécanisme volontaire qui permet à une personne physique de justifier qu'elle répond aux exigences de compétences prévues par le RGPD. La CNIL l'a lancée après une consultation publique en 2018 et l'a construite sur deux référentiels, un référentiel de certification qui fixe les conditions d'accès et les 17 compétences attendues, et un référentiel d'agrément qui encadre les organismes autorisés à la délivrer.
Un point est souvent mal compris. La CNIL ne délivre aucun certificat. Les certificats sont délivrés par des organismes certificateurs agréés par la CNIL, qui doivent eux-mêmes être accrédités par le COFRAC pour la certification de personnes selon la norme EN ISO/IEC 17024. Le tableau ci-dessous résume le dispositif tel que la CNIL le décrit.
La certification est réservée aux personnes physiques. Un cabinet ou un prestataire ne peut pas être certifié DPO au titre de ce dispositif, même si les consultants qui le composent le sont à titre individuel.
Non. Le RGPD ne conditionne la désignation d'un délégué ni à un certificat ni à un diplôme. La CNIL le confirme sans ambiguïté, la certification n'est obligatoire ni pour exercer les fonctions de délégué, ni pour être désigné auprès d'elle. Les quatre points ci-dessous expliquent ce que le texte exige à la place, et dans quels cas un certificat garde une vraie valeur.
L'article 37.5 du RGPD prévoit que le délégué est désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, ainsi que de sa capacité à accomplir les missions de l'article 39. Le texte parle de compétences réelles, jamais d'un titre. Un responsable de traitement doit donc pouvoir documenter pourquoi la personne désignée tient ces exigences.
Le considérant 97 précise que le niveau de connaissances requis se détermine en fonction des traitements réalisés et de la protection exigée pour les données traitées. Un DPO dans un groupe de santé qui traite des données de patients n'a pas le même niveau d'exigence qu'un DPO dans une PME de services. Cette proportionnalité est la raison pour laquelle le règlement n'a pas fixé de qualification unique.
Le législateur européen a choisi une obligation de résultat sur la compétence plutôt qu'une condition de diplôme. Imposer un certificat aurait créé un marché fermé et exclu des profils solides venus du juridique, de la sécurité des systèmes d'information ou de l'audit. La CNIL rappelle d'ailleurs que tout organisme reste libre de certifier des DPO sur son propre référentiel, non approuvé par elle, ce qui rend l'intitulé seul peu informatif.
Le certificat devient utile quand il faut prouver un niveau à un tiers. Un DPO externe qui répond à un appel d'offres, un candidat qui se positionne sur un poste très disputé, ou un organisme public qui doit justifier son choix de désignation gagnent tous à s'appuyer sur un référentiel reconnu. Il sert de preuve, il ne remplace pas l'expérience que le référentiel exige en amont.
Toute personne disposant des qualités professionnelles exigées par l'article 37.5 peut devenir DPO, quel que soit son parcours initial. L'article 37.6 ajoute que le délégué peut être un membre du personnel du responsable de traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service. Les trois voies habituelles sont donc ouvertes.
Une limite structure ce choix. L'article 38.6 interdit que les autres missions du délégué créent un conflit d'intérêts. Cela écarte en pratique les personnes qui déterminent les finalités et les moyens des traitements, par exemple un directeur des systèmes d'information, un directeur marketing ou un directeur des ressources humaines. Notre guide sur le rôle du DPO et ses responsabilités détaille le périmètre de la fonction.
Aucune qualification n'est imposée par le RGPD, mais le référentiel de la CNIL fixe des conditions d'accès claires pour se présenter à l'épreuve de certification. Le candidat doit justifier soit de deux ans d'expérience professionnelle dans des projets ou des tâches liés aux missions du DPO, soit de deux ans d'expérience et d'une formation d'au moins 35 heures en protection des données suivie auprès d'un organisme de formation.
Dans les faits, les profils qui réussissent combinent trois socles, une base juridique solide sur le RGPD et la loi Informatique et Libertés, une compréhension opérationnelle des traitements et de la sécurité, et la capacité à faire passer des messages auprès des métiers. Nos exigences de formation relatives au RGPD précisent ce qu'un organisme doit prévoir pour ses équipes, au-delà du seul délégué.
Une formation DPO certifiante prépare aux trois domaines évalués par le QCM du référentiel, qui testent les 17 compétences listées par la CNIL. Le contenu couvre le cadre juridique, la mise en conformité opérationnelle et le pilotage de la fonction. Savoir identifier la base légale d'un traitement, tenir un registre, conduire une analyse d'impact, gérer une violation de données ou construire un programme de sensibilisation font partie des savoir-faire attendus.
Une précision s'impose sur la formation DPO CNIL, une expression très cherchée qui recouvre une réalité différente de ce que beaucoup imaginent. La CNIL ne dispense pas de formation de DPO et indique explicitement qu'elle n'oriente pas les candidats vers des organismes de formation. Ce qu'elle propose, c'est un MOOC gratuit, l'Atelier RGPD, ouvert à tous et utile comme première marche, pas comme préparation complète à l'épreuve. Une formation DPO CNIL au sens strict n'existe donc pas, il existe des formations privées alignées sur le référentiel de la CNIL.
Pour les équipes internes, une formation DPO certifiante ne remplace pas la montée en compétence du reste de l'organisation. Une formation RGPD adaptée aux métiers reste le levier qui fait baisser le nombre d'incidents, bien plus que le certificat d'une seule personne.
Le coût se décompose en deux postes, la formation préparatoire et l'épreuve de certification, et aucun des deux n'est fixé par la CNIL. Chaque organisme certificateur agréé définit ses propres tarifs, et les organismes de formation sont libres de leurs prix. La liste des organismes agréés est publiée par la CNIL, ce qui permet de comparer les offres sur une base fiable plutôt que sur un classement commercial.
La question d'une certification DPO gratuite revient souvent. La réponse est non pour le certificat lui-même, puisqu'il suppose une épreuve organisée par un organisme accrédité. En revanche, l'Atelier RGPD de la CNIL est gratuit et couvre les fondamentaux, et une partie des formations préparatoires peut entrer dans un plan de développement des compétences financé par l'employeur. Chercher une certification DPO gratuite conduit donc surtout vers de la formation gratuite, ce qui n'est pas la même chose.
La certification DPO est valable trois ans à compter de sa délivrance. Le renouvellement suppose de réussir une nouvelle épreuve écrite de même format et de démontrer au moins un an d'expérience professionnelle liée aux missions du délégué sur la période. Cette durée limitée est voulue, elle oblige à se remettre à niveau sur un droit qui bouge vite.
Le calendrier réel dépend ensuite du parcours. La formation de 35 heures représente environ une semaine, à laquelle s'ajoutent la préparation personnelle et le délai de programmation de l'épreuve auprès de l'organisme choisi. Un candidat qui remplit déjà la condition d'expérience peut viser quelques semaines, un profil en reconversion doit raisonner en mois.
Le choix se joue sur trois critères, la connaissance de l'organisation, la couverture des compétences et l'indépendance. Le RGPD autorise les deux modèles sans préférence. Le tableau ci-dessous compare ce que chacun apporte, avant le détail section par section.
Un DPO interne connaît les processus, les équipes et l'historique des projets, ce qui raccourcit chaque arbitrage. Le modèle suppose un temps réellement dédié à la fonction et une protection effective contre les instructions, exigée par l'article 38.3. Le risque principal est le cumul de fonctions, qui crée un conflit d'intérêts et fragilise la désignation.
Un DPO externe est désigné sur la base d'un contrat de service, conformément à l'article 37.6. Il apporte une pratique multi-clients et une indépendance plus facile à démontrer, puisqu'il ne dépend pas de la hiérarchie interne. Il doit en contrepartie être intégré aux instances et aux projets, faute de quoi il découvre les traitements trop tard.
Un DPO externalisé donne accès à une équipe plutôt qu'à une personne, ce qui couvre le juridique, la sécurité et les spécificités sectorielles sans multiplier les recrutements. La continuité est assurée pendant les absences, le volume d'intervention s'ajuste aux projets, et la responsabilité contractuelle est écrite. Pour une structure qui n'a pas le volume justifiant un poste à temps plein, c'est le modèle le plus simple à tenir dans la durée.
Partez du volume et de la sensibilité des traitements, pas de la taille de l'entreprise. Un acteur de 80 personnes qui traite des données de santé a besoin de plus de capacité qu'un industriel de 500 personnes sans données sensibles. Un modèle mixte fonctionne bien, un référent interne au quotidien et un coaching de DPO interne pour les sujets complexes. Notre guide comment choisir un DPO en 2026 détaille les critères de sélection.
DPO Consulting accompagne des organisations européennes et internationales sur la conformité au RGPD depuis plus de dix ans, avec plus de 50 experts internes. Selon le modèle retenu, l'intervention prend la forme d'une désignation de DPO externalisé, d'un accompagnement du délégué déjà en poste, ou de la formation des équipes métiers.
Si vous hésitez entre recruter et externaliser, parlez à un expert DPO Consulting pour cadrer le volume de traitements à couvrir et le niveau de compétence requis avant d'ouvrir un poste.
Non. La CNIL indique que la certification n'est obligatoire ni pour exercer les fonctions de délégué, ni pour être désigné auprès d'elle. Le RGPD exige des qualités professionnelles et des connaissances spécialisées, appréciées au regard des traitements de l'organisme.
Oui. L'article 37.6 du RGPD prévoit que le délégué peut exercer ses missions sur la base d'un contrat de service. En revanche, la certification de compétences de la CNIL est réservée aux personnes physiques, un cabinet ne peut donc pas être certifié en tant que tel.
Oui, à deux conditions. Il doit disposer des connaissances spécialisées exigées par l'article 37.5, et ses autres missions ne doivent pas créer de conflit d'intérêts au sens de l'article 38.6. Un salarié qui décide des finalités et des moyens d'un traitement ne peut pas contrôler ce même traitement.
Dans la plupart des cas, l'externalisation est plus réaliste qu'un recrutement. Une petite structure a rarement le volume justifiant un poste dédié, et un cumul de fonctions mal construit crée un risque de conflit d'intérêts. Le critère reste la nature des traitements, pas l'effectif.
Non. Les certificats délivrés sur le référentiel de la CNIL passent par un organisme agréé et accrédité, ce qui implique un coût. Le MOOC Atelier RGPD de la CNIL est gratuit, mais il s'agit d'une formation d'initiation, pas d'une certification.
.png)
.svg)
.png)
.png)
