DPO Obligatoire : Comment Choisir entre un Responsable Interne ou Externe ?

Désigner un délégué à la protection des données, c’est souvent la première décision structurante d’une politique RGPD. Et c’est précisément là que beaucoup d’organisations se trompent : en traitant ce choix comme une formalité administrative plutôt que comme un arbitrage stratégique. Recruter un responsable interne ou externaliser la fonction auprès d’un prestataire spécialisé — les deux options sont légalement valides, mais elles n’exposent pas l’entreprise aux mêmes risques, ni aux mêmes coûts réels. Entre la délibération CNIL SAN-2025-008 sanctionnant La Samaritaine à hauteur de 100 000 euros pour ne pas avoir associé sa déléguée en amont d’un projet de vidéosurveillance, et les forfaits DPO externes qui démarrent à moins de 200 euros par mois pour une PME, le marché a mûri. Il est temps de choisir avec lucidité.

• En bref
• La désignation d’un DPO est obligatoire dans trois cas définis par l’article 37 du RGPD : autorité publique, traitement à grande échelle ou traitement de données sensibles.
• Un DPO interne présente des risques structurels de conflit d’intérêts, notamment si le profil pressenti occupe une fonction décisionnelle sur les traitements (DSI, DRH, directeur marketing).
• Le coût réel d’un DPO interne dépasse souvent 45 000 € annuels charges comprises, contre 3 000 à 15 000 € pour un DPO externe selon le périmètre.
• La délibération CNIL SAN-2025-008 rappelle qu’une simple désignation ne suffit pas : le DPO doit être associé en amont de chaque projet impliquant des données personnelles.
• Le modèle hybride (référent interne + DPO externe) est souvent le plus robuste pour les structures complexes traitant des données sensibles.
• L’AI Act étend le périmètre de compétences attendu du DPO, rendant la veille spécialisée plus critique que jamais.

Quand la désignation d’un DPO devient une obligation légale concrète

L’article 37 du RGPD pose trois cas d’obligation de désignation. Le premier concerne toute autorité ou organisme public — collectivités territoriales, établissements publics, administrations. Le deuxième vise les responsables de traitement dont l’activité principale consiste à effectuer un suivi régulier et systématique à grande échelle des personnes concernées. Le troisième s’applique aux traitements à grande échelle de données dites sensibles : données de santé, biométriques, relatives à des condamnations pénales ou à des opinions politiques.

En pratique, un service de prévention et de santé au travail, une mutuelle, un opérateur de plateforme numérique ou une chaîne de distribution gérant un programme de fidélité de plusieurs millions de membres sont tous concernés. Mais au-delà de l’obligation stricte, la CNIL recommande depuis plusieurs années la désignation d’un DPO pour tout organisme traitant des données personnelles de manière significative. Avec l’entrée en vigueur progressive de l’AI Act, cette recommandation prend une dimension opérationnelle nouvelle : les systèmes d’IA à risque élevé nécessitent une analyse d’impact dont la supervision relève naturellement du délégué.

Prenons un cas concret : une PME industrielle de 80 salariés qui gère un outil RH intégrant de la biométrie pour le contrôle des accès. Elle n’est pas une autorité publique, mais le traitement biométrique la place d’emblée dans le périmètre obligatoire. Ignorer cette obligation l’expose à une amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, selon l’article 83 du RGPD. Pour aller plus loin sur les contours de cette obligation, ce guide complet sur le DPO obligatoire détaille les seuils et cas de figure avec précision.

Ce que beaucoup de dirigeants sous-estiment, c’est que l’obligation de désignation s’accompagne d’une obligation de moyens : le DPO doit disposer des ressources, du temps et de l’accès aux informations nécessaires à l’exercice de ses missions. Une désignation sur le papier, sans réalité opérationnelle derrière, ne protège pas l’entreprise. Elle l’expose davantage, car elle prouve que la direction avait conscience de l’enjeu sans y répondre sérieusement.

DPO interne : les avantages réels et les pièges structurels à éviter

L’argument le plus souvent avancé en faveur d’un responsable interne, c’est la proximité. Un collaborateur qui connaît les métiers, les outils, l’organigramme et la culture d’entreprise peut en théorie identifier plus rapidement les traitements à risque et intervenir sans délai lors d’un incident. C’est un avantage réel, surtout dans des structures où les processus métier sont complexes et peu formalisés.

Mais cette proximité a un revers structurel que le RGPD aborde directement à l’article 38.6 : le DPO ne peut exercer d’autres fonctions que si celles-ci n’engendrent pas de conflit d’intérêts. Le Comité européen de la protection des données a précisé que toute fonction impliquant une décision sur les finalités ou les moyens d’un traitement est incompatible avec le rôle de DPO. Cela exclut de facto le directeur des systèmes d’information, le DRH, le directeur marketing, le responsable financier et, plus généralement, tout membre du comité de direction.

Qui peut réellement occuper ce rôle en interne sans risque juridique ?

Dans la pratique, les profils compatibles avec un mandat DPO interne sans conflit d’intérêts sont rares. Un juriste sans pouvoir décisionnel sur les traitements, un responsable conformité positionné hors de la chaîne opérationnelle, ou un collaborateur formé spécifiquement et placé hiérarchiquement de façon indépendante peuvent convenir. Mais dans une PME de moins de 150 salariés, trouver ce profil en interne — et lui dégager un temps suffisant pour la mission — relève souvent de l’équilibre précaire.

Il faut également intégrer le coût complet du dispositif. Le salaire brut chargé d’un salarié dédié, même partiellement, à la fonction DPO se situe entre 45 000 et 75 000 € annuels selon les estimations de marché, hors coûts de formation continue, outils spécialisés et temps d’encadrement. Pour un poste à temps plein dans une grande métropole, ce chiffre peut dépasser 90 000 €. Ce n’est pas un argument pour écarter systématiquement l’option interne, mais c’est un paramètre que beaucoup de dirigeants omettent dans leur comparatif initial.

Un autre facteur souvent négligé : la vulnérabilité aux pressions hiérarchiques implicites. Même protégé par l’article 38.3 du RGPD contre toute sanction pour l’exercice de ses missions, un salarié reste exposé à des dynamiques organisationnelles que ni le règlement ni le contrat de travail ne peuvent neutraliser complètement. La liberté d’alerter sans filtre, de bloquer un projet ou de notifier une violation sans passer par la direction — c’est une posture plus naturelle pour un prestataire externe que pour un collaborateur dont l’avenir professionnel dépend de la même entreprise.

DPO externe : ce que la mutualisation change vraiment à la qualité de la conformité

Un DPO externe qui gère simultanément plusieurs clients PME n’accumule pas seulement de l’expérience — il développe une intelligence transversale que le responsable interne isolé dans une seule structure ne peut pas atteindre. Quand une CNIL publie une mise en demeure ciblant un secteur spécifique, le DPO externe l’intègre immédiatement dans le suivi de tous ses clients concernés. Quand une nouvelle ligne directrice du CEPD modifie les exigences sur les analyses d’impact, il met à jour ses modèles et les déploie en série.

Cette économie d’échelle sur la veille et la méthodologie est un avantage concret, pas un argument marketing. Elle se traduit par des registres de traitements plus rigoureux, des AIPD mieux structurées et une réactivité accrue lors des incidents de sécurité — les 72 heures imposées par l’article 33 du RGPD pour notifier une violation à la CNIL ne laissent aucune marge à l’improvisation. Les offres de DPO externe intègrent généralement la gestion de ces incidents dans le forfait de base.

Tarifs réels du marché et ce qu’ils incluent vraiment

Le marché des DPO externalisés s’est structuré autour de plusieurs niveaux de forfaits. Pour une TPE ou une association avec peu de traitements, les offres démarrent autour de 150 à 220 € HT par mois. Une PME avec un périmètre standard — fichiers clients, données RH, quelques sous-traitants — se situe généralement entre 350 et 750 € mensuels. Les structures plus complexes, avec des flux internationaux ou des données de santé, atteignent 1 000 à 1 500 € par mois.

Sur une base annuelle, cela représente entre 6 000 et 18 000 € HT pour la majorité des PME et ETI. Ces honoraires constituent des charges d’exploitation déductibles fiscalement, et la TVA est en principe récupérable dans les conditions de droit commun. Rapporté au coût complet d’un poste interne, l’écart est considérable : l’externalisation représente en moyenne une économie de 60 à 80 % à niveau de service équivalent ou supérieur.

Ce que les forfaits incluent généralement : tenue et mise à jour du registre des activités de traitement, accompagnement des analyses d’impact, revue des contrats de sous-traitance (article 28), formation des équipes, gestion des demandes d’exercice de droits, veille réglementaire partagée et rapport annuel d’activité. Certains prestataires proposent également une extension de périmètre vers l’AI Act pour les clients utilisant des systèmes d’intelligence artificielle dans leurs processus métier.

Pour comparer méthodiquement les deux modèles, ce comparatif DPO externe vs interne propose une grille d’analyse structurée par type d’organisation.

La grille d’arbitrage : quel modèle pour quelle organisation ?

Avant de trancher, il est utile de modéliser la situation sur des critères objectifs plutôt que de s’appuyer sur des préférences de principe. Voici les paramètres qui font réellement basculer le choix dans un sens ou dans l’autre.

Critère	DPO interne	DPO externe
Coût annuel estimé	45 000 – 90 000 € (chargé)	3 000 – 18 000 € (forfait)
Risque de conflit d’intérêts	Élevé si profil décisionnel	Structurellement limité
Niveau d’expertise réglementaire	Variable, dépend du profil	Spécialisé et actualisé en continu
Disponibilité quotidienne	Présent, mais souvent temps partiel sur la mission	Contractualisée, réactivité sur incidents garantie
Connaissance de l’organisation	Immédiate	Montée en puissance progressive
Couverture AI Act / NIS 2	Formation complémentaire nécessaire	Intégrée à l’offre de service
Rapport annuel structuré	Rarement formalisé	Document professionnel remis annuellement
Déductibilité fiscale	Charges salariales partiellement déductibles	Honoraires entièrement déductibles, TVA récupérable

Le modèle hybride mérite une attention particulière pour les grandes organisations. Il consiste à nommer un DPO externe — garant de la conformité, expert réglementaire, indépendant — tout en désignant en interne un référent opérationnel chargé du relais quotidien avec les métiers. Ce référent n’est pas formellement DPO : il est le point de contact interne, celui qui fait remonter les projets et facilite l’accès aux informations. Ce dispositif cumule la proximité opérationnelle du collaborateur interne avec l’expertise et l’indépendance structurelle du prestataire.

Les profils d’organisations et le modèle le plus adapté

Pour les collectivités territoriales, SPST, CSE, associations et PME sans compétence juridique interne, le DPO externe est la configuration naturelle. Ces structures ne peuvent généralement pas financer un poste dédié, et la nature de leurs traitements — données RH, données de santé pour les SPST — rend le niveau d’expertise requis non négociable.

Pour les grands groupes industriels, les acteurs de la fintech ou de la santé numérique traitant des flux massifs, un DPO interne à temps plein se justifie, épaulé par un cabinet externe pour les sujets complexes. Cette combinaison permet de ne pas sous-traiter la mémoire institutionnelle de la conformité tout en sécurisant les dossiers sensibles par un regard extérieur indépendant.

Pour les ETI en phase de structuration ou ayant récemment subi un incident de sécurité, le DPO externe offre une montée en charge rapide sans coûts de recrutement. Un prestataire expérimenté peut démarrer un audit de conformité dans les premières semaines et produire un plan d’actions priorisé en moins d’un mois — un rythme qu’un recrutement interne ne peut pas tenir. Pour approfondir les compétences clés attendues d’un Data Protection Officer, plusieurs référentiels de certification permettent aujourd’hui de valider le niveau d’un prestataire avant de s’engager.

Ce que la jurisprudence CNIL enseigne sur l’association effective du DPO

La délibération SAN-2025-008 du 18 septembre 2025 concernant la société exploitant La Samaritaine est devenue une référence incontournable. Les faits sont simples : des caméras dissimulées dans des détecteurs de fumée avaient été installées dans deux réserves du magasin, sans que la déléguée à la protection des données soit consultée en amont. Elle n’a été informée qu’après la découverte et le démontage des dispositifs par les salariés.

La formation restreinte de la CNIL a été explicite : la consultation préalable du DPO aurait permis de rappeler les conditions légales de déploiement d’un tel dispositif. L’absence d’association a été qualifiée de manquement caractérisé à l’article 38.1 du RGPD. La sanction totale s’est élevée à 100 000 euros d’amende administrative, assortie d’une publicité de la décision — soit un impact réputationnel difficilement quantifiable pour une enseigne positionnée sur le luxe.

Tracer l’association du DPO pour résister à un contrôle

Ce que cette décision enseigne concrètement, c’est que la conformité RGPD n’est pas un état — c’est un processus documenté. Désigner un DPO dans les registres de la CNIL ne crée pas de présomption de conformité. Ce qui protège l’entreprise lors d’un contrôle, c’est la capacité à démontrer que le DPO a été consulté, que son avis a été enregistré, et que des actions correctrices ont été mises en œuvre ou justifiées.

En pratique, cela implique de créer un circuit formel de consultation du DPO pour chaque nouveau projet impliquant des données personnelles : lancement d’un outil RH, déploiement d’un système de vidéosurveillance, intégration d’un CRM, mise en place d’une solution d’IA. Ce circuit doit produire une trace écrite — email, compte-rendu de réunion, note interne — consultable en cas de contrôle. Pour les organisations accompagnées par un DPO externe, ce circuit est généralement formalisé dès le démarrage de la mission via un modèle de fiche de consultation systématique.

Les risques ne s’arrêtent pas aux sanctions administratives. Les articles 226-16 et suivants du Code pénal exposent les dirigeants à des poursuites pénales en cas de collecte frauduleuse ou de conservation illicite, avec des peines pouvant atteindre 5 ans d’emprisonnement et 300 000 euros d’amende. Ce cadre pénal, souvent oublié dans les discussions sur le RGPD, rappelle que la gouvernance des données engage la personne physique du dirigeant, pas seulement la personne morale de l’entreprise.

Quel que soit le modèle retenu — interne, externe ou hybride — la vraie question n’est pas de savoir combien coûte un DPO. C’est de déterminer quelle organisation permet de tenir la conformité dans la durée, de résister à un contrôle inopiné, et d’anticiper les évolutions réglementaires sans subir à chaque fois une mise en conformité d’urgence. C’est à cette aune que le choix prend tout son sens.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »La du00e9signation d’un DPO est-elle obligatoire pour toutes les PME ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non, l’obligation lu00e9gale s’applique dans trois cas du00e9finis par l’article 37 du RGPD : traitement effectuu00e9 par une autoritu00e9 publique, suivi ru00e9gulier et systu00e9matique u00e0 grande u00e9chelle des personnes concernu00e9es, ou traitement u00e0 grande u00e9chelle de donnu00e9es sensibles. Cela dit, la CNIL recommande fortement la du00e9signation d’un du00e9lu00e9guu00e9 u00e0 la protection des donnu00e9es pour tout organisme traitant des donnu00e9es personnelles de fau00e7on significative, mu00eame en l’absence d’obligation stricte. »}},{« @type »: »Question », »name »: »Un DPO interne peut-il u00eatre le directeur informatique de l’entreprise ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Le responsable informatique ou DSI du00e9termine gu00e9nu00e9ralement l’architecture et les outils de traitement, ce qui le place en situation de conflit d’intu00e9ru00eats structurel vis-u00e0-vis du ru00f4le de DPO. Le CEPD et la CNIL ont clairement exclu ces profils de la du00e9signation interne. Le DPO ne peut pas contru00f4ler des du00e9cisions qu’il a lui-mu00eame prises. »}},{« @type »: »Question », »name »: »Que risque une entreprise qui ne consulte pas son DPO avant de du00e9ployer un projet ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La du00e9libu00e9ration CNIL SAN-2025-008 du 18 septembre 2025 a sanctionnu00e9 une entreprise u00e0 hauteur de 100 000 euros pour ne pas avoir associu00e9 sa du00e9lu00e9guu00e9e avant d’installer un systu00e8me de vidu00e9osurveillance dissimulu00e9. L’absence de consultation pru00e9alable constitue un manquement caractu00e9risu00e9 u00e0 l’article 38.1 du RGPD, indu00e9pendamment des autres violations constatu00e9es. »}},{« @type »: »Question », »name »: »Quel est le cou00fbt ru00e9el d’un DPO externe pour une PME de 80 salariu00e9s ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Pour une PME avec un pu00e9rimu00e8tre de traitement standard (donnu00e9es RH, fichier clients, quelques contrats de sous-traitance), les forfaits du marchu00e9 se situent entre 350 et 750 euros HT par mois, soit 4 200 u00e0 9 000 euros annuels. Ces honoraires sont du00e9ductibles du ru00e9sultat imposable, et la TVA est en principe ru00e9cupu00e9rable. C’est tru00e8s en deu00e7u00e0 du cou00fbt complet d’un poste interne, estimu00e9 entre 45 000 et 75 000 euros par an charges comprises. »}},{« @type »: »Question », »name »: »Un DPO externe a-t-il les mu00eames pru00e9rogatives lu00e9gales qu’un DPO interne ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui, absolument. L’article 37.6 du RGPD autorise expressu00e9ment le recours u00e0 un prestataire externe via contrat de service. Le DPO externe est du00e9signu00e9 aupru00e8s de la CNIL de la mu00eame fau00e7on qu’un DPO interne, dispose du mu00eame statut protu00e9gu00e9, de la mu00eame indu00e9pendance garantie par l’article 38.3, et exerce les mu00eames missions du00e9finies u00e0 l’article 39 du ru00e8glement. »}}]}

La désignation d’un DPO est-elle obligatoire pour toutes les PME ?

Non, l’obligation légale s’applique dans trois cas définis par l’article 37 du RGPD : traitement effectué par une autorité publique, suivi régulier et systématique à grande échelle des personnes concernées, ou traitement à grande échelle de données sensibles. Cela dit, la CNIL recommande fortement la désignation d’un délégué à la protection des données pour tout organisme traitant des données personnelles de façon significative, même en l’absence d’obligation stricte.

Un DPO interne peut-il être le directeur informatique de l’entreprise ?

Non. Le responsable informatique ou DSI détermine généralement l’architecture et les outils de traitement, ce qui le place en situation de conflit d’intérêts structurel vis-à-vis du rôle de DPO. Le CEPD et la CNIL ont clairement exclu ces profils de la désignation interne. Le DPO ne peut pas contrôler des décisions qu’il a lui-même prises.

Que risque une entreprise qui ne consulte pas son DPO avant de déployer un projet ?

La délibération CNIL SAN-2025-008 du 18 septembre 2025 a sanctionné une entreprise à hauteur de 100 000 euros pour ne pas avoir associé sa déléguée avant d’installer un système de vidéosurveillance dissimulé. L’absence de consultation préalable constitue un manquement caractérisé à l’article 38.1 du RGPD, indépendamment des autres violations constatées.

Quel est le coût réel d’un DPO externe pour une PME de 80 salariés ?

Pour une PME avec un périmètre de traitement standard (données RH, fichier clients, quelques contrats de sous-traitance), les forfaits du marché se situent entre 350 et 750 euros HT par mois, soit 4 200 à 9 000 euros annuels. Ces honoraires sont déductibles du résultat imposable, et la TVA est en principe récupérable. C’est très en deçà du coût complet d’un poste interne, estimé entre 45 000 et 75 000 euros par an charges comprises.

Un DPO externe a-t-il les mêmes prérogatives légales qu’un DPO interne ?

Oui, absolument. L’article 37.6 du RGPD autorise expressément le recours à un prestataire externe via contrat de service. Le DPO externe est désigné auprès de la CNIL de la même façon qu’un DPO interne, dispose du même statut protégé, de la même indépendance garantie par l’article 38.3, et exerce les mêmes missions définies à l’article 39 du règlement.