DPO externalisé ou DPO interne : lequel choisir pour votre entreprise ?
·
Mis à jour le ·
Par 
Aymeric Guyard · 10 min de lecture
En bref
- Le RGPD autorise les deux modèles (article 37, paragraphe 6) et exige la même chose de chacun : compétence, indépendance, absence de conflit d'intérêts, moyens suffisants et accès direct à la direction. Le DPO interne convient aux organisations qui traitent des données à grande échelle en continu et peuvent dédier un poste à temps plein sans conflit d'intérêts. Le DPO externalisé convient à la majorité des PME, ETI et collectivités : il coûte moins qu'un poste, apporte une expertise multi-réglementaire immédiate et évite le risque de conflit d'intérêts le plus souvent sanctionné par la CNIL.
Quand la désignation d'un DPO est-elle obligatoire ?
L'article 37 du RGPD impose la désignation d'un délégué à la protection des données dans trois cas :
- Le traitement est effectué par une autorité ou un organisme public (sauf juridictions dans l'exercice de leur fonction juridictionnelle).
- Les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes (profilage, géolocalisation, publicité comportementale, surveillance).
- Les activités de base consistent en un traitement à grande échelle de données sensibles (santé, biométrie, opinions, orientation sexuelle…) ou de données relatives aux condamnations.
En dehors de ces cas, la désignation est volontaire, mais la CNIL la recommande et les mêmes règles s'appliquent dès qu'un DPO est désigné. En pratique, un cabinet de recrutement, une mutuelle, un éditeur d'application mobile avec traceurs, un établissement de santé ou une collectivité sont concernés. Le DPO doit être déclaré à la CNIL via le formulaire en ligne.
Ce que le RGPD exige du DPO, quel que soit son statut
L'article 38 fixe des garanties que le responsable de traitement doit assurer :
- Association en temps utile à toutes les questions relatives à la protection des données.
- Moyens nécessaires : temps, budget, accès aux données et aux traitements, formation continue.
- Indépendance : le DPO ne reçoit aucune instruction sur l'exercice de ses missions et ne peut être sanctionné ou relevé de ses fonctions pour les avoir exercées.
- Rattachement direct au niveau le plus élevé de la direction.
- Absence de conflit d'intérêts : le DPO ne peut pas déterminer lui-même les finalités et moyens des traitements. Le Comité européen de la protection des données cite comme incompatibles les fonctions de directeur général, directeur des opérations, directeur financier, directeur marketing, directeur des ressources humaines et directeur des systèmes d'information.
Ce dernier point est le plus discriminant. Dans une PME, le DPO interne est souvent le DSI, le DAF ou le juriste unique, précisément les fonctions listées comme incompatibles. Plusieurs autorités européennes, dont la CNIL, ont sanctionné des organisations pour conflit d'intérêts du DPO, et la CNIL a fait de la vérification de ces garanties un point systématique de ses contrôles.
Comparatif DPO interne et DPO externalisé
| Critère | DPO interne | DPO externalisé |
|---|---|---|
| Coût | Salaire chargé d'un profil juridique ou conformité expérimenté, plus formation et outillage | Forfait mensuel ou annuel, dimensionné au volume de traitements ; à titre d'ordre de grandeur, quelques centaines à quelques milliers d'euros par mois pour une PME ou une ETI |
| Délai de mise en place | Recrutement ou montée en compétence : 3 à 9 mois | Contractualisation et prise de poste : 2 à 4 semaines |
| Compétence | Dépend du profil ; un seul domaine le plus souvent | Équipe pluridisciplinaire (juridique, sécurité, métier), veille assurée, souvent couverture NIS2, DORA et AI Act |
| Indépendance et conflit d'intérêts | Risque élevé si cumul avec une fonction opérationnelle | Structurellement indépendant ; le conflit d'intérêts est contractuellement exclu |
| Connaissance de l'entreprise | Forte, présence quotidienne | À construire ; exige un correspondant interne et des points réguliers |
| Continuité | Fragile : départ, absence, changement de poste | Assurée par le prestataire (binôme, remplacement) |
| Responsabilité | Le responsable de traitement reste responsable ; le DPO n'est pas personnellement responsable de la conformité | Idem ; le prestataire engage sa responsabilité contractuelle sur ses livrables |
| Adapté à | Grands groupes, organismes traitant des données sensibles à grande échelle, secteurs très régulés | PME, ETI, collectivités, groupes de PME, filiales, organisations multi-réglementations |
Les questions à poser à un prestataire de DPO externalisé
- Qui sera nommément désigné DPO auprès de la CNIL, et qui le remplace en cas d'absence ?
- Combien de jours ou d'heures par mois sont réellement dédiés à votre organisation ?
- Quels livrables sont inclus : registre, AIPD, réponses aux demandes de droits, gestion des violations, formation, rapport annuel à la direction ?
- Le prestataire couvre-t-il aussi NIS2, DORA ou l'AI Act, ou faudra-t-il un second prestataire ?
- Quel outil de pilotage est fourni et à qui appartiennent les données en fin de contrat ?
- Le prestataire a-t-il déjà accompagné un contrôle CNIL, et avec quel résultat ?
- Comment le DPO accède-t-il à la direction et à quelle fréquence ?
Le modèle hybride, souvent le plus efficace
Beaucoup d'organisations retiennent une combinaison : un DPO externalisé désigné auprès de la CNIL, garant de l'indépendance et de l'expertise, et un référent interne (juriste, responsable qualité, DSI) qui porte la connaissance du terrain, collecte les informations et déploie les actions. Le RGPD le permet : il exige un DPO, pas un DPO seul. Ce modèle permet en outre de mutualiser l'expertise sur plusieurs réglementations, ce que la multiplication des textes (NIS2, DORA, AI Act) rend de plus en plus nécessaire.
Comment décider en quatre étapes
- Vérifier l'obligation de désignation (article 37) et, si elle n'existe pas, décider de désigner volontairement ou non.
- Cartographier les traitements : volume, sensibilité, nombre de personnes concernées ; c'est ce qui dimensionne le besoin en jours. Voir notre comparatif des prestataires de DPO externalisé.
- Tester le conflit d'intérêts pour chaque candidat interne : détermine-t-il les finalités et moyens de traitements (responsable de traitement) ?
- Comparer le coût complet sur trois ans (salaire chargé, formation, outillage, remplacement) avec un forfait externalisé, en intégrant le coût du risque : l'amende pour absence ou défaillance de DPO peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial (article 83, paragraphe 4). Commencez par l'autodiagnostic RGPD.
Passez à l’action
Pilotez votre conformité avec Data Comply One : logiciel tout-en-un et experts DPO/RSSI externalisés.
Découvrir le DPO externalisé →Tester ma conformité RGPD →Sources
- Règlement (UE) 2016/679 (RGPD), articles 37, 38, 39 et 83, EUR-Lex.
- Comité européen de la protection des données, lignes directrices sur les délégués à la protection des données (WP243 rev.01).
- CNIL, « Désigner un délégué à la protection des données » et guide pratique du DPO.