Désigner un DPO Interne : Quels Sont les Bénéfices et les Limites ? – Mon Expert RGPD

Un DSI nommé DPO qui valide ses propres choix d’architecture. Un responsable RH promu délégué à la protection des données du jour au lendemain, sans formation ni décharge horaire. Ces situations, loin d’être marginales, reviennent régulièrement dans les dossiers instruits par la CNIL depuis 2018. Huit ans après l’entrée en application du RGPD, la question de la désignation DPO en interne reste un sujet de tension pour de nombreuses directions.

En 2026, le contexte réglementaire a changé la donne : l’AI Act impose de nouvelles compétences, le Digital Omnibus redessine certaines obligations, et la CNIL a durci sa politique de sanctions. Un DPO interne mal préparé ou mal positionné dans l’organigramme devient un risque plutôt qu’une protection. Pour autant, internaliser la fonction reste pertinent dans certains contextes précis, notamment lorsque le volume de traitements justifie une présence quotidienne.

Cet article détaille sans complaisance les bénéfices DPO interne réels et les limites DPO structurelles de ce modèle, avec des repères chiffrés et des cas d’usage concrets pour trancher en connaissance de cause.

• Le DPO interne connaît l’organisation mais reste vulnérable au conflit d’intérêts
• Certaines fonctions (DSI, DRH, dirigeant) sont incompatibles avec la désignation en interne
• Le coût complet d’un DPO interne oscille entre 45 000 et 90 000 euros par an
• L’AI Act et NIS 2 exigent une montée en compétence continue, difficile à maintenir en interne
• Le modèle hybride (référent interne + DPO externe) gagne du terrain en 2026

Pourquoi la question du DPO interne se pose différemment en 2026

La désignation d’un délégué à la protection des données n’a jamais été une simple formalité, mais le poids de cette décision s’est alourdi ces derniers mois. L’entrée en vigueur progressive du règlement européen sur l’intelligence artificielle change la nature même des compétences attendues d’un DPO. Il ne suffit plus de maîtriser le registre des traitements ou les analyses d’impact : il faut désormais évaluer les risques liés aux systèmes d’IA déployés par l’organisme, souvent fournis par des prestataires tiers.

La CNIL, désignée autorité compétente pour l’application de l’AI Act en France, a considérablement renforcé ses contrôles depuis 2025. Les montants de sanctions ont atteint des records, avec des amendes qui ne se limitent plus aux grands groupes du numérique. Des structures de taille modeste ont également été sanctionnées pour des manquements basiques : absence de registre à jour, défaut de réponse aux demandes de droits, ou conflit d’intérêts non traité chez le DPO lui-même.

Un cadre juridique qui n’a pas changé, une pratique qui s’est durcie

Sur le plan strictement légal, rien n’a bougé depuis 2018 : l’article 37 alinéa 6 du RGPD autorise toujours la désignation d’un salarié comme DPO. Mais la doctrine du Comité européen de la protection des données et les prises de position récentes de la CNIL ont précisé les contours de l’incompatibilité. Un article publié sur Village Justice souligne d’ailleurs que la frontière entre la sphère salariale et la fonction de DPO reste poreuse dans les faits, malgré les garde-fous prévus par le texte.

Ce durcissement de la doctrine change la lecture du risque pour les directions générales. Ce qui passait inaperçu en 2019 peut aujourd’hui déclencher un contrôle, voire une mise en demeure. La vigilance sur le positionnement hiérarchique du DPO interne est devenue un prérequis, pas une option.

Le rôle du DPO reste inchangé, ses outils doivent évoluer

Le rôle du DPO tel que défini aux articles 37 à 39 du RGPD n’a pas varié : information et conseil du responsable de traitement, contrôle de la conformité, coopération avec l’autorité de contrôle, point de contact pour les personnes concernées. Ce qui change, c’est le périmètre technique sur lequel ce rôle s’exerce. Un DPO interne qui n’a pas été formé aux enjeux de l’IA générative en entreprise se retrouve rapidement démuni face à un projet impliquant un outil de scoring ou de reconnaissance faciale.

Les bénéfices concrets d’un DPO interne bien positionné

Il serait malhonnête de réduire le DPO interne à ses seuls défauts. Dans certaines configurations, ce modèle apporte une valeur que le DPO externe ne peut pas toujours égaler, notamment sur la réactivité opérationnelle et la connaissance fine des processus métier.

Une proximité qui accélère la détection des risques

Le DPO interne participe aux réunions de projet, croise les équipes marketing, RH et IT au quotidien, et capte souvent un signal faible avant qu’il ne devienne un incident. Cette immersion permet d’appliquer concrètement le principe de privacy by design : le DPO est associé en amont, pas convoqué après coup pour valider une décision déjà prise.

Prenons le cas d’une ETI industrielle qui déploie un nouvel outil de gestion RH intégrant de la reconnaissance vocale pour les entretiens annuels. Un DPO interne, présent dans les comités de pilotage, identifie immédiatement l’enjeu et déclenche une analyse d’impact avant le déploiement. Un DPO externe, sollicité une fois par trimestre, aurait probablement découvert le projet une fois les licences déjà signées.

Une disponibilité qui rassure les équipes opérationnelles

La présence physique dans les locaux facilite les échanges informels. Un salarié qui a un doute sur l’envoi d’un fichier client peut interpeller le DPO interne dans le couloir, ce qui est structurellement impossible avec un prestataire externe intervenant sur des créneaux définis contractuellement. Cette accessibilité renforce la culture de protection des données au sein de l’organisation, condition indispensable pour ancrer durablement la conformité.

Un coût potentiellement maîtrisé pour les grandes structures

Pour les organisations traitant un volume massif de données à caractère personnel, avec une équipe dédiée et des projets permanents, un poste de DPO à temps plein peut s’avérer plus rationnel qu’un contrat externe facturé à la journée. C’est notamment le cas dans les groupes internationaux qui doivent coordonner plusieurs filiales, ou dans les secteurs à forte intensité de données comme la fintech et la santé numérique.

Les limites structurelles du DPO interne à ne pas sous-estimer

Ces avantages ne doivent pas masquer les fragilités réelles du modèle interne, particulièrement dans les structures de taille modeste où la fonction est confiée à un collaborateur déjà en poste.

Le conflit d’intérêts, talon d’Achille du modèle interne

C’est la limite la plus documentée par la CNIL. L’article 38.6 du RGPD autorise le cumul de fonctions, à condition qu’il n’entraîne aucun conflit d’intérêts. En pratique, un responsable informatique désigné DPO se retrouve à devoir contrôler des choix d’architecture qu’il a lui-même validés quelques mois plus tôt. Un directeur marketing désigné DPO devra alerter sur des campagnes qu’il a personnellement conçues.

La doctrine est désormais claire sur ce point, comme le détaille un comparatif publié par DPO Partage : certaines fonctions sont structurellement incompatibles avec la mission de DPO, quelle que soit la bonne volonté du salarié concerné.

Voici les profils qui ne peuvent pas exercer la fonction de DPO au sein de leur propre organisation :

• Le dirigeant, président, gérant ou directeur général
• Le directeur des systèmes d’information
• Le responsable informatique ou RSSI lorsqu’il définit lui-même l’architecture et les outils
• Le directeur des ressources humaines
• Le directeur marketing ou commercial
• Le directeur financier
• Plus largement, tout membre du comité de direction impliqué dans les décisions de traitement

À l’inverse, un juriste sans pouvoir décisionnel sur les traitements, un responsable conformité ou un collaborateur formé et positionné hiérarchiquement de manière indépendante peuvent légitimement occuper cette fonction, sous réserve d’une indépendance réelle et pas seulement affichée sur l’organigramme.

Un temps de mission souvent insuffisant

Dans la majorité des cas observés sur le terrain, le DPO interne cumule cette mission avec un poste principal à temps plein. Le temps réellement consacré à la conformité RGPD se résume alors à quelques heures par semaine, largement insuffisantes pour tenir à jour le registre des traitements, gérer les demandes de droits, réaliser les analyses d’impact et assurer la veille réglementaire.

Un déficit d’expertise face à des réglementations mouvantes

L’arrivée de l’AI Act, la directive NIS 2 et les évolutions constantes des lignes directrices du CEPD exigent un niveau d’expertise que peu de collaborateurs internes peuvent maintenir sans formation continue significative. Le guide pratique publié par la CNIL rappelle d’ailleurs l’étendue des compétences juridiques, techniques et organisationnelles attendues d’un délégué à la protection des données, un référentiel exigeant pour un profil interne non spécialisé.

Comparatif chiffré : ce que coûte réellement chaque modèle en 2026

Le débat entre DPO interne et DPO externe se joue aussi, et peut-être surtout, sur le terrain budgétaire. Un DPO interne, même à temps partiel sur la fonction, est rémunéré à temps plein. Il faut ajouter la formation initiale, les certifications, les outils logiciels dédiés au registre et aux analyses d’impact, ainsi que le coût d’opportunité lié à la mobilisation d’une ressource déjà en poste.

Critère	DPO interne	DPO externe
Coût annuel moyen	45 000 à 90 000 euros (salaire chargé, formation, outils)	3 000 à 18 000 euros selon le volume de mission
Indépendance	Risque de conflit d’intérêts et de pressions hiérarchiques	Indépendance structurelle, liberté d’alerte
Expertise AI Act et NIS 2	Nécessite une formation spécifique supplémentaire	Compétence intégrée à l’offre de service
Disponibilité	Présence quotidienne, temps réel limité sur la mission	Contractualisée, réactivité garantie sur les urgences
Rapport annuel d’activité	Rarement formalisé	Document professionnel remis chaque année

Cette comparaison, détaillée également dans un article de Leto Legal, illustre pourquoi le recours à un prestataire externe représente souvent une économie de 60 à 80 % par rapport à un poste dédié, à niveau de service équivalent voire supérieur. Pour une PME sans compétence juridique interne, ce delta budgétaire pèse lourd dans la décision.

Trancher entre DPO interne, externe ou modèle hybride

Aucune réponse universelle n’existe. Le choix dépend de la taille de la structure, de la nature des traitements, et surtout de la capacité réelle à garantir l’indépendance du délégué désigné. Une collectivité de 8 000 habitants n’a pas les mêmes besoins qu’un groupe industriel de 3 000 salariés.

Quand le DPO interne se justifie encore

Le modèle interne reste pertinent pour les grandes entreprises dont le volume de traitements justifie un poste à temps plein, les groupes internationaux nécessitant une coordination quotidienne entre filiales, et les organismes dont l’activité repose structurellement sur le traitement massif de données personnelles. Même dans ces cas, un accompagnement externe ponctuel reste recommandé pour les audits complexes ou les sujets nécessitant un regard extérieur.

Le modèle hybride, une réponse pragmatique

De plus en plus d’organisations combinent un référent interne, point de contact opérationnel au quotidien sans être formellement désigné DPO, avec un DPO externe qui reste garant de la conformité et de l’expertise réglementaire. Ce montage, décrit notamment sur Données.net, permet de conjuguer proximité terrain et indépendance structurelle, sans exposer l’organisation au risque de conflit d’intérêts.

Un référent interne bien choisi, formé aux bases de la sécurité des données et connaissant les processus métier, devient alors le relais quotidien du DPO externe. Ce dernier conserve la responsabilité juridique de la fonction, produit le rapport annuel d’activité et assure la veille sur les évolutions comme le Digital Omnibus.

Avant de trancher, quelques questions simples permettent d’orienter la décision : dispose-t-on en interne d’un collaborateur qualifié sans conflit d’intérêts possible ? Le budget permet-il de financer un temps significatif sur la mission ? Le volume de traitements justifie-t-il une présence quotidienne ? Si les réponses penchent majoritairement vers le non, le recours à un expert RGPD externe s’impose naturellement comme la solution la plus solide.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Un DPO interne peut-il cumuler cette fonction avec un autre poste ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui, le RGPD l’autorise explicitement u00e0 l’article 38.6, u00e0 condition que ce cumul n’entrau00eene aucun conflit d’intu00e9ru00eats. Les fonctions de direction, de DSI ou de RH sont gu00e9nu00e9ralement incompatibles avec la mission de DPO. »}},{« @type »: »Question », »name »: »Quel est le cou00fbt ru00e9el d’un DPO interne par rapport u00e0 un DPO externe ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Un DPO interne cou00fbte en moyenne entre 45 000 et 90 000 euros par an charges et outils compris, contre 3 000 u00e0 18 000 euros pour un DPO externe selon la taille de l’organisation et le volume de la mission. »}},{« @type »: »Question », »name »: »Faut-il obligatoirement certifier un DPO interne ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La certification n’est pas lu00e9galement obligatoire mais fortement recommandu00e9e par la CNIL. Elle garantit un socle de compu00e9tences juridiques, techniques et organisationnelles indispensable pour exercer la fonction correctement. »}},{« @type »: »Question », »name »: »Le modu00e8le hybride est-il reconnu par le RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le RGPD ne du00e9finit pas formellement ce modu00e8le, mais rien n’empu00eache de du00e9signer un DPO externe tout en s’appuyant sur un ru00e9fu00e9rent interne opu00e9rationnel. C’est une organisation contractuelle courante et parfaitement conforme. »}},{« @type »: »Question », »name »: »Comment savoir si mon organisation doit obligatoirement du00e9signer un DPO ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’obligation s’applique aux organismes publics, u00e0 ceux ru00e9alisant un suivi ru00e9gulier et systu00e9matique u00e0 grande u00e9chelle des personnes, ou traitant u00e0 grande u00e9chelle des donnu00e9es sensibles. En dehors de ces cas, la CNIL recommande fortement la du00e9signation malgru00e9 l’absence d’obligation lu00e9gale. »}}]}

Un DPO interne peut-il cumuler cette fonction avec un autre poste ?

Oui, le RGPD l’autorise explicitement à l’article 38.6, à condition que ce cumul n’entraîne aucun conflit d’intérêts. Les fonctions de direction, de DSI ou de RH sont généralement incompatibles avec la mission de DPO.

Quel est le coût réel d’un DPO interne par rapport à un DPO externe ?

Un DPO interne coûte en moyenne entre 45 000 et 90 000 euros par an charges et outils compris, contre 3 000 à 18 000 euros pour un DPO externe selon la taille de l’organisation et le volume de la mission.

Faut-il obligatoirement certifier un DPO interne ?

La certification n’est pas légalement obligatoire mais fortement recommandée par la CNIL. Elle garantit un socle de compétences juridiques, techniques et organisationnelles indispensable pour exercer la fonction correctement.

Le modèle hybride est-il reconnu par le RGPD ?

Le RGPD ne définit pas formellement ce modèle, mais rien n’empêche de désigner un DPO externe tout en s’appuyant sur un référent interne opérationnel. C’est une organisation contractuelle courante et parfaitement conforme.

Comment savoir si mon organisation doit obligatoirement désigner un DPO ?

L’obligation s’applique aux organismes publics, à ceux réalisant un suivi régulier et systématique à grande échelle des personnes, ou traitant à grande échelle des données sensibles. En dehors de ces cas, la CNIL recommande fortement la désignation malgré l’absence d’obligation légale.