DPO externalisé : pour quelles organisations, quel périmètre, quel coût ?

Vous vous demandez si votre organisation doit désigner un délégué à la protection des données. Et si oui, faut-il recruter en interne ou confier la mission à un prestataire ?

La question est légitime. Recruter un expert à temps plein coûte cher et n'est pas toujours justifié. Pourtant, l'absence de DPO complexifie le déploiement d’un dispositif de conformité. Par ailleurs, cette absence peu vous exposer à une sanction de la CNIL.

Le DPO, ou délégué à la protection des données (en anglais Data Protection Officer), est le pilote de votre conformité au RGPD. Le règlement autorise expressément à externaliser cette fonction auprès d'un cabinet spécialisé.

Cet article répond à trois questions concrètes. Quelles organisations doivent désigner un DPO ? Que fait précisément un DPO externalisé ? Et combien cela coûte-t-il ? Vous y trouverez les cas d'obligation, le périmètre réel de la mission, et des repères de budget transparents.

Partie 1 — Suis-je obligé de désigner un DPO ?

1.    Le DPO, c'est quoi ?

Le rôle du DPO est encadré par les articles 37 à 39 du RGPD. Il informe, conseille et contrôle la conformité de votre organisation en matière de données personnelles.

Le règlement laisse le choix du format. L'article 37.6 prévoit que le DPO peut être un salarié ou exercer ses missions sur la base d'un contrat de service. L'externalisation est donc une option pleinement reconnue.

Ce choix séduit particulièrement les PME et les collectivités. Il évite le coût d'un poste dédié, tout en garantissant un niveau d'expertise difficile à maintenir en interne. Nous verrons que l'externalisation règle aussi un problème d'indépendance.

2.    Votre organisation est-elle concernée ?

La désignation n'est pas universelle. Elle dépend de deux choses : votre statut, public ou privé, et la nature de vos traitements. Un mot de vocabulaire d'abord, car il revient dans les trois cas ci-dessous. Le RGPD parle de traitement « à grande échelle » sans fixer de seuil chiffré. La CNIL apprécie cette notion au cas par cas, selon le nombre de personnes concernées, le volume de données et la portée géographique.

Les trois cas où le DPO est obligatoire

L'article 37.1 du RGPD impose la désignation d'un DPO dans trois situations précises :

• Vous êtes une autorité ou un organisme public, à l'exception des juridictions dans leur fonction de juger.

• Vos activités de base impliquent un suivi régulier et systématique à grande échelle des personnes, comme le scoring client ou la géolocalisation.

• Vos activités de base reposent sur un traitement à grande échelle de données sensibles, par exemple des données de santé, ou de données pénales.

Ces trois cas s'apprécient au regard de vos activités de base, c'est-à-dire votre cœur de métier. Un traitement purement accessoire, comme la paie de vos propres salariés, ne déclenche pas à lui seul l'obligation.

Un point mérite votre attention si vous êtes une collectivité. Toutes les collectivités territoriales sont concernées par l'obligation, quelle que soit leur taille. La CNIL l'a rappelé en sanctionnant la commune de Kourou. Par une décision du 12 décembre 2023, elle a prononcé une amende contre la commune, qui n'avait pas désigné de DPO malgré plusieurs rappels et ne coopérait pas avec ses services.

Et si vous n'êtes dans aucun de ces cas ?

Hors de ces trois cas, la désignation reste recommandée par la CNIL dès que vous traitez des données personnelles. Elle démontre votre bonne foi et structure votre gouvernance. Par ailleurs, il reste difficile de déployer et de piloter un dispositif de protection des données efficient en l’absence d’un DPO.

Le défaut de désignation, lorsqu'elle est obligatoire, constitue un manquement. Il relève du plafond de l'article 83.4 du RGPD, soit jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Ce plafond est inférieur à celui, souvent cité à tort, de 20 millions d'euros applicable à d'autres manquements.

Partie 2 — Que fait un DPO externalisé, et pourquoi ce format ?

1.    Pourquoi choisir l'externalisation ?

L'externalisation présente plusieurs avantages concrets pour une organisation de taille moyenne :

• Vous évitez un conflit d'intérêts, car le DPO ne peut pas être mobilisé sur des traitements qu'il pilote lui-même dans le cadre de ses autres fonctions.

• Vous accédez à une expertise spécialisée et maintenue à jour, sans effort de formation interne.

• Vous maîtrisez votre budget, en payant une prestation calibrée plutôt qu'un salaire à temps plein.

• Vous bénéficiez d'une continuité de service, indépendante des absences ou des départs.

Le conflit d'intérêts est le point le plus sous-estimé. L'article 38.6 du RGPD interdit au DPO de déterminer les finalités ou modalités des traitements. Désigner votre DSI ou votre directeur comme DPO crée donc une situation irrégulière, car il contrôlerait son propre travail.

2.    Quel périmètre pour un DPO externalisé ?

Le DPO externalisé exerce exactement les mêmes missions qu'un DPO interne. L'article 39 du RGPD les définit clairement.

Ses missions principales couvrent quatre domaines :

• Il informe et conseille votre direction et vos équipes sur leurs obligations.

• Il contrôle le respect du RGPD et de votre politique interne de protection des données.

• Il conseille sur les analyses d'impact (AIPD) et vérifie leur bonne réalisation.

• Il coopère avec la CNIL et devient votre point de contact officiel auprès d'elle.

En pratique, le DPO tient à jour votre registre des traitements, traite les demandes d'exercice des droits, et pilote vos plans de mise en conformité. Il forme aussi vos équipes aux bons réflexes.

Un point juridique souvent mal compris doit être clarifié. Le DPO conseille et contrôle, mais il n'endosse pas votre responsabilité. La responsabilité de la conformité reste celle du responsable de traitement, c'est-à-dire votre organisation.

La mission doit être formalisée. Vous signez un contrat de prestation qui définit le périmètre et la durée. Vous notifiez ensuite la désignation à la CNIL, dont les coordonnées sont publiées. Sans cette notification, la désignation n'est pas effective.

Une dernière souplesse mérite d'être connue. Un groupe d'entreprises ou plusieurs organismes publics peuvent mutualiser un même DPO. La condition posée par l'article 37.2 est qu'il reste facilement joignable depuis chaque site.

Partie 3 — Combien ça coûte ?

1. Quel coût pour un DPO externalisé ?

Soyons transparents sur ce point. Il n'existe pas de tarif officiel ni de statistique institutionnelle fiable sur le coût d'un DPO externalisé. Les repères ci-dessous sont des ordres de grandeur observés sur le marché.

Pour une PME, les tarifs mensuels d'un DPO externalisé se situent fréquemment entre 500 et 3 000 euros HT. Cette fourchette est large, car le prix dépend entièrement de votre contexte.

Plusieurs facteurs font varier ce budget de façon importante :

• Le nombre et la complexité de vos traitements augmentent la charge de travail du DPO.

• Votre secteur pèse fortement, car la santé ou la finance imposent des exigences renforcées.

• Votre niveau de maturité initial joue, selon que votre documentation existe déjà ou non.

• La fréquence des interventions sur site et l'accompagnement en cas de contrôle modulent la prestation.

Comparé à un recrutement interne, l'écart est net. Un DPO salarié représente un coût annuel chargé bien supérieur, rarement justifié pour une PME dont la charge réelle est partielle.

Le seul conseil robuste est donc le suivant. Faites chiffrer la prestation sur la base d'un périmètre précis, plutôt que sur une fourchette générique. Un devis adapté à vos traitements vaut mieux qu'un tarif moyen.

Ce qu’il faut retenir

Le DPO est obligatoire dans trois cas : organisme public, suivi à grande échelle, ou traitement à grande échelle de données sensibles. Hors de ces cas, la CNIL le recommande vivement.

L'externalisation, prévue par l'article 37.6, règle la question de l'indépendance et maîtrise le budget. Le DPO externalisé exerce les missions de l'article 39, mais votre organisation reste responsable de sa conformité.

Côté coût, retenez qu'aucun tarif standard n'existe et que le budget dépend de votre périmètre. Le bon réflexe est de le faire chiffrer précisément.

Vous hésitez sur la marche à suivre ?

La Robe Numérique assure des missions de DPO externalisé pour des entreprises, associations et des organismes publics. Nous déterminons si la désignation est obligatoire, nous formalisons la mission, et nous pilotons votre conformité dans la durée.

Adossés à notre cabinet d'avocats partenaire, nous couvrons aussi la dimension juridique, jusqu'à la défense en cas de contrôle de la CNIL. Découvrez notre offre de DPO externalisé