DPO externe : combien de jours par an ?
La charge réelle d'un mandat, mesurée

L'article 37.6 du RGPD autorise le délégué à exercer ses missions « sur la base d'un contrat de service ». Il ne dit pas combien de temps. L'article 38.2 impose de fournir au délégué « les ressources nécessaires » sans jamais les quantifier, et les lignes directrices WP243 rev.01 du groupe de l'article 29, révisées le 5 avril 2017, se bornent à exiger des moyens proportionnés à la complexité et au volume des traitements. Ce vide normatif, le marché le comble par des fourchettes tarifaires. Nous le comblons par une mesure : celle de notre propre portefeuille. Le périmètre des missions est détaillé sur la page consacrée à la mission de DPO externe SILEXO et à son périmètre.

Données internes arrêtées au 7 septembre 2026, recoupées au modèle de contrat le 9 septembre 2026, sur 24 mandats à engagement annuel. Ce sont des crédit-jours de devis signés : ce que nos clients achètent, pas ce que nous estimons. Ces volumes sont des observations et ne constituent pas un engagement contractuel.

Sept heures pour une journée : la base de décompte d'un crédit-jours de DPO externalisé

Une journée d'intervention de DPO externe compte sept heures, décomptées par tranches de trente minutes, temps de trajet compris.

Le crédit-jours n'est pas un abonnement mensuel : c'est une enveloppe de temps arrêtée au devis et consommée au fil de l'année. Ce qu'elle couvre :

• Le temps de travail : ateliers, rédaction du registre, analyses d'impact, réponses aux sollicitations, bilan annuel.
• Le temps sur site : ateliers et réunions tenus dans vos locaux, inscrits au devis.
• Le temps de trajet : compris dans l'enveloppe de jours au même titre que le temps de travail.

La granularité de 30 minutes évite l'arrondi à la demi-journée. C'est cette conversion qui traduit une médiane de 52,5 heures par an en 7,5 jours vendus.

Ce qui fait varier le nombre de jours d'un DPO externe

Quatre facteurs principaux pilotent le volume : le nombre de services à rencontrer pour construire le registre, la taille de la structure, la criticité des données, l'éclatement multi-établissements.

L'article 39.2 du RGPD demande au délégué de tenir compte « du risque associé aux opérations de traitement, compte tenu de la nature, de la portée, du contexte et des finalités du traitement ». Ces quatre critères recouvrent ce que nous observons sur le terrain. Et l'insuffisance de moyens est un risque contrôlé : dans son bilan de l'action coordonnée CEF 2023 publié le 17 janvier 2024, la CNIL a contrôlé 14 organismes sur le rôle et les moyens du délégué et prononcé une sanction de 10 000 € contre un organisme du secteur social pour manquement à l'article 38.

Le nombre de services à mobiliser pour construire le registre des traitements

Le registre de l'article 30 ne se construit pas au siège : il se construit service par service, en interrogeant ceux qui manipulent les données. La dispense prévue à l'article 30.5 pour les organismes de moins de 250 salariés tombe dès que le traitement n'est pas occasionnel, qu'il porte sur des données sensibles ou qu'il comporte un risque : dans les faits, presque tout le monde tient un registre. C'est le poste qui pilote la première année, la charge basculant ensuite de la construction vers la mise à jour.

La taille de la structure et le volume de sollicitations hors plan d'action

L'effectif n'est pas le premier facteur. Une collectivité de 80 agents répartis en douze services mobilise plus de jours qu'une entreprise de 200 salariés organisée en trois directions : douze interlocuteurs à réunir coûtent plus cher en temps que 120 salariés de plus. L'effectif joue surtout sur le flux imprévu : exercices de droits, questions sur un nouvel outil, incident à qualifier.

La criticité des données traitées et l'apparition d'analyses d'impact

Dès qu'un traitement est susceptible d'engendrer un risque élevé, l'article 35 impose une analyse d'impact (AIPD). La CNIL publie, au titre de l'article 35.4, la liste des types de traitements pour lesquels elle est obligatoire : données de santé, profilage, surveillance systématique, données d'infraction. Chaque AIPD est un livrable en soi : c'est le poste qui pousse un mandat vers le troisième quartile. En santé, seul le nombre de jours est réévalué.

Le multi-établissements et le recours à des sous-traitants

Un groupe de cinq établissements n'est pas cinq fois une structure unique, mais il n'en est pas une non plus : les traitements communs se factorisent, les spécificités locales se documentent une par une. S'y ajoute la revue des contrats de sous-traitance au sens de l'article 28 : chaque hébergeur, éditeur ou prestataire de paie appelle une vérification des clauses et des garanties.

DPO externe ou DPO interne : la question du dimensionnement avant celle du budget

Un DPO à temps plein est l'exception : la majorité des délégués internes y consacrent un quart de leur temps ou moins, ce qui déplace l'arbitrage du budget vers le dimensionnement.

85 % des DPO internes et mutualisés exercent à temps partiel (enquête DPO 2025)

Selon l'enquête « Les DPO à l'heure de l'IA » menée par le ministère du Travail, l'AFCDP et la CNIL auprès de 2 390 délégués (questionnaire administré du 5 au 21 novembre 2025, rapport publié le 3 juillet 2026), 85 % des DPO internes et mutualisés exercent la fonction à temps partiel, et 60 % y consacrent 25 % de leur temps de travail ou moins. L'enquête ajoute que 77 % travaillent seuls, sans équipe, et que 66 % n'ont pas de budget propre.

Le repère d'emploi utile n'est donc pas un comparatif : un poste de DPO interne à temps plein se situe autour de 35 000 à 40 000 € bruts annuels sur le marché du travail. Ce qui informe, c'est la juxtaposition brute : un poste à temps plein d'un côté, une médiane mesurée de 7,5 jours par an de l'autre.

L'indépendance exigée par l'article 38.6 du RGPD face au cumul de fonctions

L'article 38.6 autorise le délégué à exercer d'autres missions, à la condition qu'elles n'entraînent pas de conflit d'intérêts. C'est précisément ce que le cumul satisfait mal : un responsable informatique, un directeur administratif ou un responsable marketing désignent, valident ou financent les traitements qu'ils devraient contrôler. L'externalisation ne règle pas tout, mais elle place le contrôle hors de la ligne hiérarchique.

La durée d'engagement d'un contrat de DPO externalisé et ce qu'elle implique

Douze mois fermes, sans reconduction tacite : chaque année reconduite exige un nouveau devis signé.

Douze mois fermes, sans reconduction tacite

La reconduction tacite est contractuellement exclue : chaque année supplémentaire est une décision d'achat, pas un prélèvement qui continue. Au 7 septembre 2026, 12 des 21 missions entrées en relation avant 2025 sont toujours actives — chacune a donc fait l'objet d'au moins une resignature.

Le sort des jours non consommés en fin de période contractuelle

Le crédit-jours est arrêté pour une période de douze mois, sur une base de 7 heures par journée et un décompte par tranches de 30 minutes. Le sort des jours non consommés à l'échéance relève du contrat signé : [A SOURCER : clause de report ou de perte des jours non consommés]. Ce qui est acquis, en revanche, c'est que la période ne se prolonge pas d'elle-même : la reconduction tacite étant exclue, une nouvelle année passe par un nouveau devis.

Ce qui déclenche un dépassement d'enveloppe de jours, et ses deux issues

Les déclencheurs les plus fréquents :

• Une violation de données : qualification, évaluation de la gravité et préparation de la notification à la CNIL dans le délai de 72 heures de l'article 33.
• Un projet non prévu : nouvel outil, nouveau traitement, AIPD non anticipée au plan d'action.
• Un contrôle ou une plainte : instruction à conduire hors calendrier.
• Un afflux d'exercices de droits : chaque demande ouvre un délai de réponse d'un mois.

Deux issues, et deux seulement : un devis complémentaire couvrant les travaux jusqu'à la fin de la période, ou l'arrêt des travaux jusqu'au devis suivant. Symétriquement, le contrat engage le client sur des délais de transmission, de validation et de réponse : [A SOURCER : délais contractuels en jours ouvrés].

Pourquoi un cabinet ne publie pas de tarif de DPO externe

Parce que l'écart réel interdit la fourchette : entre le premier et le troisième quartile, le volume acheté varie de 1 à 2,6.

Au 7 septembre 2026, sur 24 mandats à engagement annuel, le volume va de 4,75 jours au premier quartile à 12,5 jours au troisième, autour d'une médiane de 7,5 jours. Un montant unique affiché masque cet écart : il est soit un prix d'appel qui ne tiendra pas au devis, soit un plafond qui écarte les structures simples. Nous publions donc la mesure du travail, et rien d'autre : ni tarif journalier, ni forfait mensuel, ni « à partir de ».

Deux précisions vont avec : le tarif jour-homme est notre seul tarif de prestation, sans aucun frais de mise en place ; les licences logicielles sont refacturées séparément. En santé, le tarif journalier ne change pas — seul le nombre de jours est réévalué.

Questions fréquentes sur la charge de travail d'une mission de DPO externe

Externaliser le DPO ne transfère pas la responsabilité : le responsable de traitement reste l'organisation cliente.

Qui reste juridiquement responsable de la conformité quand le DPO est externalisé ?

Vous. Externaliser le DPO ne transfère pas la responsabilité : le responsable de traitement au sens du RGPD reste votre organisation. Notre mission est une obligation de moyens — conseil, contrôle, alerte documentée — exercée en toute indépendance et sans conflit d'intérêts, comme l'exige l'article 38.6.

Que se passe-t-il concrètement si nous subissons une violation de données ?

En pratique, c'est vous qui la détectez et nous alertez. Nous intervenons en assistance : qualification de l'incident, évaluation de la gravité et des risques, recommandations de mesures correctives, préparation des projets de notification à la CNIL et, le cas échéant, aux personnes concernées. La décision et l'envoi restent les vôtres : nous ne nous substituons pas au responsable de traitement.

Que se passe-t-il si nos équipes ne répondent pas dans les délais prévus ?

Le calendrier glisse, à l'intérieur d'une période contractuelle qui ne s'allonge pas. Le contrat fixe des délais de transmission, de validation et de réponse — [A SOURCER : délais contractuels en jours ouvrés]. Ces délais ne sont pas une formalité : ce sont eux qui déterminent si le registre est bouclé dans l'année.

Les déplacements sur site sont-ils prévus, et le temps de trajet est-il décompté ?

Les déplacements sont prévus aux grands jalons — atelier de lancement, restitution d'audit, ateliers registre, bilan annuel — et inscrits au devis. Le temps sur site et le temps de trajet sont décomptés de l'enveloppe de jours, au même titre que le temps de travail.

Comment suivre la consommation des jours en cours de mission ?

Le crédit-jours se lit à partir du volume arrêté au devis : chaque intervention en réduit le solde, par tranches de 30 minutes sur une base de 7 heures par journée. [A SOURCER : modalités de restitution de ce suivi au client].

Peut-on faire appel à vous pour une mission ponctuelle, sans mandat annuel ?

Oui. Une mission ponctuelle — reprise d'un registre, audit de conformité, accompagnement sur un projet précis — se conduit sans mandat de DPO récurrent. Le cadre reste le même : un volume de jours arrêté au devis, décompté par tranches de 30 minutes. L'enquête DPO 2025 identifie ce mode d'exercice : 20 % des DPO externes répondants relèvent du profil « DPO Ponctuel », contre 77 % pour le profil « DPO Mission ».

Dimensionner votre mandat avant de demander un devis

Trois éléments suffisent à situer un mandat sur les quartiles de 4,75, 7,5 et 12,5 jours par an.

Avec ces quatre réponses, un devis se construit en un échange. Les chiffres publiés ici sont un repère de dimensionnement arrêté au 7 septembre 2026, pas un engagement contractuel.