La Commission Nationale de l'Informatique et des Libertés (CNIL) détaille les conditions et la procédure pour la désignation, la modification ou la fin de mission d'un délégué à la protection des données.

L'autorité rappelle les trois conditions essentielles à respecter avant toute désignation. Le délégué doit posséder une expertise juridique et technique en protection des données, ainsi qu'une connaissance du secteur d'activité et de l'organisation, le niveau d'expertise requis variant selon la sensibilité et le volume des données. Il doit également disposer de moyens suffisants, incluant le temps nécessaire, des ressources adéquates, un accès aux informations et une association à toutes les questions pertinentes. Enfin, son indépendance doit être garantie, ce qui implique l'absence de conflit d'intérêts, la capacité de rendre compte au plus haut niveau de la direction et l'interdiction de recevoir des instructions ou d'être sanctionné dans l'exercice de ses missions.

La procédure de désignation, de modification ou de fin de mission s'effectue exclusivement via un service en ligne. Pour toute démarche autre qu'une première désignation, le numéro de SIREN de l'organisme et le numéro de la désignation précédente (format DPO-XXXX) sont nécessaires. La gestion peut être réalisée depuis n'importe quel compte CNIL. Les organismes ne disposant pas de numéro de SIREN doivent cocher une case spécifique lors de la désignation initiale et ne peuvent pas utiliser le service en ligne pour les modifications ultérieures, devant alors contacter directement le service des délégués.