Un grand client réclame les coordonnées de votre DPO dans son questionnaire de référencement, ou votre activité vous impose d’en désigner un. Recruter un juriste à temps plein a rarement du sens pour une PME. Le RGPD autorise à confier la fonction à un prestataire.
Reste à savoir ce qu’il fera, ce qu’il coûte, et à qui ne pas la confier.
Une PME est-elle obligée de désigner un DPO ?
Toutes les entreprises concernées par le RGPD n’ont pas à désigner un délégué à la protection des données. Le règlement ne fixe aucun seuil d’effectif : tout dépend de ce que fait l’entreprise.
Les trois cas de l’article 37
Le DPO est obligatoire pour les autorités et organismes publics. Il l’est aussi quand l’activité de base repose sur le suivi régulier et systématique de personnes à grande échelle. Même règle pour les données sensibles (santé, opinions, condamnations pénales) traitées à grande échelle. La CNIL ne chiffre pas cette échelle. Un hôpital l’atteint, un médecin seul qui reçoit moins de 10 000 patients par an non. La paie et l’assistance informatique, activités de support, ne comptent pas.
Dans ces trois cas, l’absence de DPO expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial.
Sans obligation, un choix qui engage
Hors de ces cas, la CNIL recommande un DPO dès que les données personnelles posent question. Mais un DPO désigné volontairement obéit aux mêmes règles qu’un DPO obligatoire, selon les lignes directrices européennes. Une PME qui veut un simple appui peut prendre un consultant RGPD sans le désigner, à condition de ne pas lui donner le titre.
Ce que fait un DPO externalisé, et ce qu’il ne fera pas à votre place
L’article 39 du RGPD fixe ses missions. Il informe et conseille la direction et les salariés, contrôle le respect du règlement et donne son avis sur les analyses d’impact. Il coopère aussi avec la CNIL et répond aux personnes dont vous traitez les données. Le contrat lui confie souvent la tenue du registre des traitements et le suivi des violations de données.
Il ne porte pas pour autant la conformité. Selon le guide de la CNIL, le DPO n’est pas personnellement responsable d’un manquement, et aucune délégation de pouvoir ne lui transfère celle du dirigeant. En cas de contrôle ou de plainte, l’entreprise répond seule : voyez si votre assurance entreprise couvre les données personnelles.
Le prestataire peut être un consultant indépendant, un cabinet de conseil ou d’avocats. Un avocat désigné DPO ne pourra plus vous défendre en justice sur un dossier de données personnelles.
Combien coûte un DPO externalisé ?
Aucun barème n’existe : chaque prestataire publie ses forfaits, mensuels le plus souvent.
Les prix moyens constatés
Sur les offres en ligne à l’automne 2026 :
| Profil de l’entreprise | Forfait mensuel constaté | Contenu habituel |
|---|---|---|
| TPE, peu de traitements | 60 à 300 € HT | Registre, veille, réponses aux questions |
| PME | 400 à 1 500 € HT | Suivi, sensibilisation, demandes de droits, analyses d’impact simples |
| ETI, groupe ou données sensibles | 1 500 à 3 000 € HT et plus | Pilotage de plusieurs entités, audit annuel |
Une PME paie le plus souvent de 5 000 à 20 000 € par an. Les cabinets d’avocats démarrent autour de 2 000 € par mois. Un audit de départ, facturé à part, s’y ajoute souvent : quelques jours de travail, de 2 500 à 7 000 € selon la taille.
Face au coût d’un DPO salarié
Un DPO confirmé se recrute autour de 56 000 € bruts par an, avant charges, selon les grilles des cabinets de recrutement. La fonction occupe pourtant rarement un temps plein. Dans l’enquête 2024 de l’observatoire du métier, menée avec la CNIL, 85 % des DPO exercent à temps partiel. Et 61 % d’entre eux y consacrent moins d’un quart de leur temps.
Lire un devis : les jours inclus et le hors-forfait
Deux devis à 500 € par mois peuvent cacher l’un deux jours de travail par an, l’autre deux jours par trimestre. Demandez le nombre de jours ou d’heures compris dans le forfait : c’est le seul chiffre qui se compare.
Faites lister ensuite ce qui sort du forfait. Reviennent souvent l’analyse d’impact d’un nouveau traitement, l’assistance lors d’un contrôle de la CNIL, la formation des équipes ou la licence du logiciel de registre.
La violation de données mérite une ligne à part. L’entreprise a 72 heures pour la notifier à la CNIL : un DPO joignable sous huit jours ne sert à rien ce jour-là. Exigez un délai de réponse écrit. Si vous avez souscrit une cyberassurance, précisez qui fait quoi avec son assisteur.
Quand votre prestataire informatique veut aussi être votre DPO
Une partie des offres vient d’infogérants, d’éditeurs de logiciels ou de sociétés de cybersécurité, qui l’ajoutent à leurs services. La CNIL a précisé le 10 août 2026 pourquoi la formule pose problème.
Ce que dit la fiche de la CNIL
Le DPO ne doit pas déterminer les finalités et les moyens d’un traitement. La Cour de justice de l’Union européenne l’a rappelé dans l’arrêt X-FAB du 9 février 2023. La fiche de la CNIL sur les conflits d’intérêts en tire une grille pour le DPO externe. Elle y signale un risque quand il appartient au personnel ou à la direction d’un sous-traitant de l’entreprise.
Or l’hébergeur, l’infogérant ou le prestataire de sauvegarde externalisée traite vos données pour votre compte. Désigné DPO, il contrôlerait ses propres pratiques.
Les solutions admises
La CNIL demande de mettre fin au conflit : changer de DPO, ou retirer au prestataire sa mission concurrente. Une même société peut être DPO d’un client et de son sous-traitant. Il faut alors des collaborateurs distincts, tenus à la confidentialité et sans lien hiérarchique. Ce cloisonnement ne doit pas être « purement formel ». Pour une PME, le plus simple reste de séparer les deux contrats.
Les vérifications avant de signer
Le choix porte sur une personne autant que sur un contrat.
La personne qui tiendra la mission
Faites nommer l’intervenant dans le contrat, et demandez son parcours et les entreprises de votre secteur qu’il suit déjà. La certification des compétences de DPO, délivrée par des organismes agréés par la CNIL, est réservée aux personnes physiques. Une société ne peut donc pas s’en prévaloir, seuls ses collaborateurs. Valable trois ans, elle n’est pas obligatoire, et l’organisme certificateur confirme sa validité.
Les clauses du contrat
Le contrat fixe le périmètre, les jours inclus et le délai de réponse. Il prévoit une obligation de confidentialité, que la CNIL recommande. Vérifiez l’assurance responsabilité civile professionnelle du prestataire, la durée d’engagement et le préavis. Prévoyez enfin la réversibilité : en fin de contrat, le registre, les analyses d’impact et les dossiers en cours vous reviennent, dans un format réutilisable.
Désigner le DPO auprès de la CNIL, puis le faire travailler
La désignation se fait uniquement en ligne, sur le téléservice de la CNIL, sans justificatif. Elle prend effet le lendemain. Le formulaire demande deux moyens de contact, publiés en open data par la CNIL. Préférez une adresse générique, qui survivra à un changement de prestataire. Si vous en changez, informez la CNIL de la fin de mission et mettez à jour vos mentions d’information.
Associez ensuite le DPO en amont des projets, avant de choisir un logiciel ou d’acheter des leads B2B.
