Mon n+2 veut que je devienne RGPD, gratuitement ou au mieux pour des clopinettes. Je risque quoi? Envoie les scenarios cauchemar.

Mon n+2 veut que je devienne RGPD, gratuitement ou au mieux pour des clopinettes. Je risque quoi? Envoie les scenarios cauchemar.

En acceptant de devenir DPO (Délégué à la Protection des Données / "RGPD" ) sans moyens, sans temps et sans rémunération, vous risquez de servir de fusible juridique et de faire un burn-out.
Si votre N+2 cherche un "DPO de paille" juste pour cocher une case face à la CNIL, c'est un piège. Le RGPD (Règlement Général sur la Protection des Données) impose que le DPO dispose de temps, de ressources et d'une indépendance réelle.
Voici les scénarios cauchemars qui vous attendent si vous plongez sans garanties :
## 1. Le scénario "Le Fusible" (Le contrôle de la CNIL)
 
* Ce qui se passe : L'entreprise subit un contrôle de la CNIL ou une plainte massive de clients. La direction panique.
* Le cauchemar : Votre N+2 pointe immédiatement du doigt en disant : « C’est lui/elle le responsable RGPD, c'était son travail. » Même si vous n'êtes pas pénalement responsable à la place de l'employeur (le responsable de traitement reste le dirigeant), votre réputation professionnelle est détruite. Vous subissez des pressions internes dantesques, des entretiens disciplinaires, et servez de bouc émissaire pour masquer l'inaction de la direction.
 
## 2. Le scénario "La Cyberattaque à 4h du matin" (La crise de ransomware)
 
* Ce qui se passe : Un hacker pirate la base de données de l'entreprise. Les données médicales, bancaires ou RH de milliers de personnes sont en ligne.
* Le cauchemar : La loi impose de notifier la CNIL en 72 heures maximum. N'étant pas formé et payé des "clopinettes", vous ne savez pas quoi faire. Vous passez 3 nuits blanches sous une pression folle. Si le délai est dépassé ou la notification mal faite, la responsabilité de l'entreprise est engagée, et la direction vous reprochera le fiasco en disant que vous auriez dû anticiper.
 
## 3. Le scénario "Le Conflit d'Intérêts" (Le piège juridique)
 
* Ce qui se passe : En plus de votre poste actuel (par exemple : Responsable Marketing, DRH ou Responsable IT), on vous ajoute la casquette RGPD.
* Le cauchemar : C'est strictement interdit par le RGPD. Vous ne pouvez pas être le maillon qui décide comment utiliser les données (ex: faire du ciblage pub ou surveiller les salariés) et celui qui contrôle la conformité. Lors d'un contrôle, la CNIL constatera le conflit d'intérêts. L'entreprise sera sanctionnée, et votre travail quotidien sera invalidé juridiquement.
 
## 4. Le scénario "Le Mur des Tâches" (Le burn-out invisible)
 
* Ce qui se passe : Vous acceptez le rôle "gratuitement" en pensant que ce sera léger.
* Le cauchemar : Cartographier les données, gérer les demandes de suppression des clients mécontents, auditer les sous-traitants, rédiger les mentions légales... Cela représente des centaines d'heures de travail. Comme vous avez déjà vos missions quotidiennes, vous devez faire cela sur votre temps libre ou bâcler votre vrai poste. Vous finissez épuisé, sous l'eau, pour 0€ de plus.
 
------------------------------
## Comment contre-attaquer ?
Ne dites pas non frontalement, mais utilisez le jargon du RGPD pour formaliser le refus implicite. Répondez par écrit (mail) à votre N+2 en demandant ces 4 éléments obligatoires :
 
* La fiche de poste officielle avec la description de la mission.
* Le budget alloué pour votre formation certifiante (indispensable) et les outils de conformité.
* Le volume d'heures hebdomadaires officiellement dégagé de vos missions actuelles pour occuper cette fonction (le RGPD interdit de faire cela "sur son temps restant" ).
* L'avenant au contrat de travail avec la revalorisation salariale correspondante à cette nouvelle responsabilité.
 
S'il refuse ces points, vous avez le motif parfait pour refuser : l'entreprise ne respecte pas les conditions légales de désignation d'un DPO prévues par l'article 38 du RGPD.
Pour vous aider à cadrer la suite, pouvez-vous me dire quel est votre poste actuel dans l'entreprise et si votre N+2 a déjà formalisé cette demande par écrit ?

On m'a dit que je serai responsable RGPD, pas DPO.

C’est une astuce sémantique de votre N+2, mais cela ne change rien aux risques opérationnels et au volume de travail. [1, 2]  
En vous nommant "responsable RGPD" (ou "référent RGPD" ) plutôt que DPO (Data Protection Officer), votre direction utilise un rôle qui n'existe pas officiellement dans le texte de la loi européenne. Le RGPD ne connaît que le Responsable de traitement (le grand patron de l'entreprise) et le DPO (le délégué officiel). [2, 3, 4, 5, 6]  
Voici ce que cache réellement cette distinction et pourquoi le piège reste entier :
## 1. Pourquoi votre N+2 fait cette distinction ?
 
*  
* Pour éviter le cadre protecteur du DPO : Un DPO officiel déclaré à la [CNIL](https://www.cnil.fr/fr/passer-laction/le-delegue-la-protection-des-donnees-dpo) bénéficie d'une protection légale : il ne peut pas être licencié ou sanctionné pour avoir fait son travail de contrôle. En vous appelant "responsable RGPD", l'entreprise évite de vous accorder cette protection. [1, 2, 3, 7]  
* Pour ne pas vous déclarer à la CNIL : Nommer un DPO oblige à transmettre son nom et ses coordonnées à les autorités. Le rôle de "référent" reste un arrangement 100 % interne. [2, 7]  
* Pour justifier les "clopinettes" : Un DPO officiel demande légitimement une revalorisation ou un statut cadre. Un "référent/responsable" interne est souvent présenté comme une "petite mission d'aide en plus" pour masquer la charge de travail. [1, 2]  
*  
 
## 2. Ce qui ne change pas : La charge de travail
Même sans le titre de DPO, si vous acceptez d'être le "responsable RGPD" opérationnel, c'est vous qui allez devoir faire tout le travail concret : [2]  
 
*  
* Tenir le registre des activités de traitement.
* Nettoyer les fichiers Excel sauvages pleins de données clients ou salariés.
* Rédiger les mentions d'information pour le site web ou les contrats.
* Gérer les réponses aux clients qui exercent leur droit d'accès ou de suppression. [1, 2, 8]  
*  
 
Le risque de burn-out par surcharge de travail non payée reste exactement le même.
## 3. Le vrai danger juridique : Le transfert de responsabilité masqué
Sur le plan strictement légal, la responsabilité civile et pénale en cas d'amende de la CNIL pèse sur l'entreprise et son représentant légal (le PDG ou gérant), pas sur vous. [6, 9]  
Cependant, si vous signez une fiche de poste ou un document interne qui stipule que vous êtes "Responsable de la conformité RGPD de l'entreprise" sans en avoir les moyens, la direction essaiera de requalifier une faute lourde ou une négligence professionnelle contre vous en interne en cas de problème (cyberattaque, fuite de données). [10]  
## Quelle posture adopter face à votre N+2 ?
Vous pouvez utiliser sa propre sémantique pour désamorcer la situation :
 
"Puisque je ne suis pas DPO officiel mais 'référent RGPD' en soutien, mon rôle se limite strictement à relayer les bonnes pratiques. Je ne peux ni valider la conformité juridique des projets, ni assumer la charge opérationnelle de la mise en conformité, qui nécessite des compétences d'expert et un temps dédié que je n'ai pas sur mon poste actuel."
 
Si vous souhaitez préparer une réponse écrite ou négocier, dites-moi : quel est votre métier actuel (RH, Informatique, Commercial...) ? Cela me permettra de vous lister les conflits d'intérêts et les limites techniques à opposer à votre N+2. [1, 11]  
 
[1] [https://www.projectivegroup.com](https://www.projectivegroup.com/privacy-officer-versus-data-protection-officer-the-differences/)
[2] [https://phenix-privacy.com](https://phenix-privacy.com/responsable-rgpd/)
[3] [https://www.cnil.fr](https://www.cnil.fr/fr/passer-laction/le-delegue-la-protection-des-donnees-dpo)
[4] [https://captaincompliance.com](https://captaincompliance.com/education/data-controller-vs-data-protection-officer/)
[5] [https://www.cnil.fr](https://www.cnil.fr/fr/definition/responsable-de-traitement)
[6] [https://gdprwise.eu](https://gdprwise.eu/en/kennisbank/verplichtingen/dpo-guide/)
[7] [https://formation.lefebvre-dalloz.fr](https://formation.lefebvre-dalloz.fr/actualite/qui-est-le-dpo-ce-pilote-de-la-mise-en-conformite-du-rgpd)
[8] [https://www.dpdpa.com](https://www.dpdpa.com/blogs/data_protection_officer_dpo_dpdpa_qualifications.html)
[9] [https://www.deshoulieres-avocats.com](https://www.deshoulieres-avocats.com/mise-en-conformite-rgpd-en-20-etapes/referent-rgpd-qui-choisir-pour-votre-entreprise/)
[10] [https://www.rgpd-avocat.net](https://www.rgpd-avocat.net/role-du-referent-rgpd-responsabilites-et-competences-pour-assurer-la-conformite/)
[11] [https://www.dpo-consulting.com](https://www.dpo-consulting.com/blog/gdpr-representatives-vs-dpos)

# Comment contre-attaquer ?
Ne dites pas non frontalement, mais utilisez le jargon du RGPD pour formaliser le refus implicite. Répondez par écrit (mail) à votre N+2 en demandant ces 4 éléments obligatoires :
 
* La fiche de poste officielle avec la description de la mission.
* Le budget alloué pour votre formation certifiante (indispensable) et les outils de conformité.
* Le volume d'heures hebdomadaires officiellement dégagé de vos missions actuelles pour occuper cette fonction (le RGPD interdit de faire cela "sur son temps restant" ).
* L'avenant au contrat de travail avec la revalorisation salariale correspondante à cette nouvelle responsabilité.
 
S'il refuse ces points, vous avez le motif parfait pour refuser : l'entreprise ne respecte pas les conditions légales de désignation d'un DPO prévues par l'article 38 du RGPD.
Pour vous aider à cadrer la suite, pouvez-vous me dire quel est votre poste actuel dans l'entreprise et si votre N+2 a déjà formalisé cette demande par écrit ?