DPO RGPD : faut-il externaliser votre délégué à la protection des données ?

Le DPO RGPD, ou délégué à la protection des données, est la personne chargée d'informer et de conseiller un organisme sur ses obligations, de contrôler qu'il respecte le règlement et de servir de point de contact à la CNIL. Sa désignation est obligatoire dans certains cas, et il peut être salarié de l'organisme ou prestataire externe. Notre article DPO : définition, missions et obligations développe chacun de ces points pour un dirigeant.

La désignation d'un DPO est obligatoire pour tous les organismes publics, pour les entreprises dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle, et pour celles qui traitent des données sensibles à grande échelle (article 37). Le secteur de la santé est particulièrement concerné : un EHPAD, un établissement médical ou une mutuelle qui traitent des données de santé à grande échelle doivent désigner un délégué. Comprendre si votre entreprise entre dans ces critères est la première étape, et c'est précisément ce que couvre un audit de conformité RGPD gratuit.

En dehors de ces trois cas, la désignation est facultative. Elle reste encouragée par le Comité européen de la protection des données, comme le rappelle la CNIL.

L'absence de DPO lorsque la désignation est obligatoire constitue un manquement direct au règlement, passible d'une amende pouvant aller jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83). La CNIL peut le constater lors d'un contrôle et prononcer une mise en demeure. Au-delà du risque de sanction, cette absence fragilise l'ensemble de la démarche de conformité : sans pilote identifié, les obligations s'accumulent sans être traitées et les incidents restent sans procédure de réponse. Désigner un DPO externe répond à cette obligation sans recrutement, sans charge sociale et sans délai d'intégration.

Le règlement en fixe au moins cinq : informer et conseiller l'organisme et ses salariés, contrôler le respect du règlement, conseiller sur les analyses d'impact, coopérer avec l'autorité de contrôle et lui servir de point de contact (article 39).

Le rôle du DPO dépasse la rédaction de documents. Il supervise l'ensemble de la politique de protection des données de l'organisation, forme les équipes, répond aux demandes d'exercice des droits, gère les violations de données et sert d'interlocuteur officiel auprès de la CNIL. Ce sont des responsabilités concrètes, exercées en continu, qui demandent une expertise juridique réelle et une bonne connaissance du secteur d'activité de l'entreprise. Ses obligations sont définies par le règlement, et leur non-respect expose l'organisation à des sanctions, y compris en cas d'absence de désignation formelle lorsque celle-ci est requise. Pour les entreprises qui démarrent leur démarche, les étapes d'une mise en conformité RGPD structurée permettent d'intégrer la désignation du DPO dès le début du parcours.

Au quotidien, la direction et les salariés posent à leur DPO des questions très concrètes. Celles que nos juristes reçoivent le plus souvent : à quel moment supprimer telles données, si un outil que l'équipe veut adopter est conforme, quelles règles suivre pour utiliser l'IA, et si les mentions RGPD d'un document sont correctes.

Nous détaillons ce métier dans cette vidéo :

Les entreprises qui nous demandent un DPO externalisé sont dans la même situation : elles savent que la désignation s'impose à elles, mais elles n'ont ni la compétence en interne, ni les moyens humains et financiers de recruter.

Recruter un DPO interne représente d'abord un gros budget. Selon l'étude de Travail-Industrie, un DPO senior coûte entre 70 000 et 95 000 € bruts par an en France, et entre 81 000 et 109 000 € bruts par an en Île-de-France, hors primes. Pour cette fourchette francilienne, le simulateur de l'Urssaf chiffre le coût total pour l'employeur entre 117 000 et 157 000 € par an environ, cotisations patronales comprises. S'y ajoutent la formation continue et une disponibilité limitée aux horaires de l'entreprise.

Pour la grande majorité des PME, ETI et structures de taille intermédiaire, cette option est disproportionnée par rapport aux besoins réels. Le DPO externalisé répond aux mêmes obligations légales, avec plus de flexibilité et un coût maîtrisé. Il est déclaré officiellement auprès de la CNIL au nom de l'entreprise cliente, ce qui couvre intégralement l'obligation de désignation. L'offre de DPO externalisé de RGPD Start s'appuie sur une juriste senior spécialisée en protection des données, qui connaît le secteur d'activité du client et intervient en autonomie sur toutes les missions DPO du quotidien. Le logiciel RGPD de RGPD Start centralise toutes ces missions dans un tableau de bord accessible en temps réel par le client.

Le DPO externe de RGPD Start n'est pas un profil mutualisé qui gère des dizaines de clients en parallèle avec une disponibilité réduite. Chaque client dispose d'une juriste dédiée, qui connaît son organisation, ses traitements et ses enjeux spécifiques. Cette proximité change la qualité de l'accompagnement au quotidien. Les questions juridiques reçoivent une réponse rapide, les incidents sont traités avec méthode et les nouvelles obligations sont anticipées avant de devenir un problème. L'entreprise et son DPO externe fonctionnent donc comme un binôme continu, pas comme une prestation ponctuelle. Un consultant RGPD dédié peut compléter cette mission pour les entreprises qui ont besoin d'un accompagnement plus large sur la conduite du changement ou la formation des équipes.

Chez RGPD Start, le forfait démarre à 399 € HT par mois pour une entreprise de 15 à 49 salariés. Il comprend la désignation de la juriste comme DPO auprès de la CNIL.

Pour situer les formules du marché, notre comparatif des offres d'accompagnement DPO externe en passe neuf en revue.

La désignation d'un délégué à la protection des données n'impose pas de recruter. Le règlement autorise explicitement un DPO externe, salarié d'un prestataire ou indépendant, avec exactement les mêmes missions et les mêmes garanties d'indépendance qu'un DPO interne. Le choix entre DPO interne ou externe relève donc de l'organisation, pas de la conformité.

Le point le plus souvent sous-estimé est le conflit d'intérêts. Le règlement veut que les autres fonctions du DPO n'entraînent pas de conflit d'intérêts, et la CNIL explique comment identifier et gérer ces conflits. Confier la fonction au responsable informatique ou au directeur juridique, réflexe fréquent dans les structures moyennes, place la personne en situation de s'auditer elle-même. Un intervenant extérieur échappe à cette difficulté.

En pratique, le DPO interne se justifie quand le volume et la sensibilité des traitements occupent réellement un poste à temps plein, et que l'entreprise peut financer la montée en compétence et la veille. En dessous de ce seuil (la situation de la plupart des PME et ETI), l'externalisation donne accès à une expertise entretenue sur plusieurs clients, pour un coût inférieur à celui d'un poste à temps plein. C'est le constat qui a présidé au modèle de RGPD Start.

Le règlement demande que le DPO soit désigné sur la base de ses qualités professionnelles, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données, et de sa capacité à accomplir ses missions. Il doit aussi pouvoir les exercer en toute indépendance : il ne reçoit aucune instruction à leur sujet, et ne peut être ni relevé de ses fonctions ni pénalisé pour les avoir exercées (article 38).

La juriste DPO de RGPD Start prend ses fonctions dès la signature du contrat. La désignation auprès de la CNIL est effectuée rapidement, ce qui couvre l'obligation légale sans délai. Ses premiers travaux suivent toujours le même ordre : l'audit, la cartographie des traitements, la constitution du registre, puis les documents juridiques obligatoires. La juriste prend ensuite en charge l'ensemble des missions DPO : suivi du registre des traitements, gestion des demandes d'exercice des droits, pilotage des violations de données, audit des sous-traitants et réponse aux questions des équipes internes. L'entreprise gagne un interlocuteur expert sans avoir à gérer un recrutement, une intégration ou un plan de formation.

Le DPO externalisé s'intègre aussi dans les structures qui disposent déjà d'équipes juridiques internes. Pour les ETI et grands groupes, la juriste RGPD Start vient en appui de ces équipes pour prendre en charge les tâches opérationnelles chronophages et leur laisser du temps pour les enjeux à forte valeur ajoutée. C'est aussi la demande d'un DPO interne tout juste recruté, qui manque de temps et cherche du renfort. Ce modèle hybride est particulièrement adapté aux organisations qui ont les compétences en interne mais pas la bande passante pour tout couvrir. L'ensemble de ce dispositif s'inscrit dans la solution RGPD globale de RGPD Start, dont l'audit gratuit constitue le point d'entrée naturel. Cet audit permet notamment d'identifier si votre entreprise a l'obligation légale de désigner un DPO et, si c'est le cas, de démarrer la désignation sans attendre.

• Le DPO, ou délégué à la protection des données, informe et conseille l'organisme, contrôle le respect du RGPD et sert de point de contact à la CNIL.
• Sa désignation est obligatoire pour les organismes publics, et pour les organismes dont l'activité de base consiste à suivre des personnes ou à traiter des données sensibles à grande échelle.
• Le DPO peut être un salarié ou un prestataire externe : le règlement prévoit les deux, avec les mêmes missions.
• Le DPO exerce ses missions sans recevoir d'instruction, et ses autres fonctions ne doivent pas créer de conflit d'intérêts.
• Chez RGPD Start, le DPO externalisé est une juriste dédiée, désignée auprès de la CNIL, à partir de 399 € HT par mois pour une entreprise de 15 à 49 salariés.