DPO externalisé : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le DPO externalisé est un délégué à la protection des données qui n'est pas salarié de l'organisme : un cabinet, un consultant ou une structure de mutualisation exerce la fonction sur la base d'un contrat de service.
Ce qu'il faut comprendre
Le RGPD permet expressément de confier la fonction de DPO à un prestataire extérieur. Le DPO externalisé a exactement les mêmes missions qu'un DPO interne : informer, conseiller, contrôler la conformité et coopérer avec la CNIL. Il doit offrir les mêmes garanties d'indépendance, de compétence et de confidentialité, et être joignable facilement par les personnes concernées.
Cette option intéresse surtout les PME, les associations et les petites collectivités, qui n'ont ni le volume de travail ni le budget pour un poste à temps plein. Elle apporte une expertise juridique et une absence de conflit d'intérêts avec la direction. Plusieurs organismes publics peuvent aussi désigner un même DPO, en tenant compte de leur taille et de leur structure : c'est la logique des DPO mutualisés proposés aux communes.
Externaliser la fonction ne transfère pas la responsabilité. L'organisme reste responsable de ses traitements et doit organiser le travail du DPO : un référent interne, l'accès aux informations, l'association aux projets. Erreur fréquente : signer un contrat puis ne jamais solliciter le prestataire. Un DPO absent des décisions ne remplit pas les exigences du RGPD.
Exemple concret
Un EHPAD privé de 80 lits traite chaque jour des données de santé de ses résidents. Sa directrice confie la fonction de DPO à un cabinet spécialisé. Le contrat prévoit un point mensuel, la tenue du registre, la gestion des demandes d'accès des familles et un appui en cas de violation de données. Une cadre de santé est désignée comme relais interne.
Textes de référence
- RGPD, art. 37.6
- RGPD, art. 38
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
