Externaliser son DPO en PME
obligation article 37, interne vs externe vs mutualisé
Réponse rapide L'article 37.1 du RGPD impose un DPO dans trois cas : autorité ou organisme public ; suivi régulier et systématique à grande échelle ; traitement à grande échelle de données sensibles ou d'infractions. Hors de ces cas, la désignation reste facultative. Le DPO externe s'impose quand aucun salarié n'échappe au conflit d'intérêts de l'article 38.6. Le DPO mutualisé n'est admis qu'au sein d'un groupe (article 37.2), à condition d'être joignable depuis chaque établissement. |
L'arbitrage entre un délégué salarié, un prestataire et un mandat mutualisé ne se joue pas sur le budget mais sur l'indépendance : l'article 37.6 du RGPD rend les deux statuts équivalents — « un membre du personnel » ou « un contrat de service » — sans hiérarchie. Le reste est une question d'organisation.
Reste à savoir ce que la fonction pèse. Au 7 septembre 2026, sur notre portefeuille de mandats de DPO externe à engagement annuel, le volume médian acheté est de 7,5 jours par an (premier quartile 4,75, troisième 12,5, base 7 heures = 1 journée) — des crédits-jours de devis signés, pas des estimations. Une PME assujettie n'a presque jamais besoin d'un temps plein : elle a besoin d'un délégué que sa direction ne peut pas instruire.
Dans quels cas une PME est-elle obligée de désigner un DPO : les trois cas de l'article 37.1 du RGPD
Trois cas déclenchent l'obligation, et la taille de l'entreprise n'en fait pas partie.
L'article 37.1 du RGPD impose la désignation d'un délégué dans trois hypothèses :
(a) le traitement est effectué par une autorité publique ou un organisme public ;
(b) les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes concernées ;
(c) les activités de base consistent en un traitement à grande échelle de données sensibles (art. 9) ou relatives aux condamnations pénales et aux infractions (art. 10).
Aucun seuil d'effectif ni de chiffre d'affaires : le test porte sur les traitements, jamais sur l'organigramme.
| Notion | Définition retenue par les lignes directrices WP243 rév.01 (CEPD) |
|---|---|
| Activités de base | Les opérations indissociables de l'activité principale de l'organisme, par opposition aux fonctions support (paie, comptabilité, informatique interne). |
| Grande échelle | Appréciée par faisceau : nombre de personnes concernées, volume et variété des données, durée du traitement, étendue géographique. |
| Suivi régulier et systématique | Tout suivi continu ou répété, organisé et méthodique, y compris le profilage, la publicité comportementale et la géolocalisation. |
Suivi régulier et systématique à grande échelle : le faisceau d'indices qui fait basculer l'obligation
Les indices retenus par les lignes directrices WP243 rév.01, endossées par le CEPD le 25 mai 2018 :
- Le nombre de personnes concernées, en valeur absolue ou en proportion.
- Le volume et la variété des données traitées.
- La durée du traitement et son étendue géographique.
- Le caractère organisé du suivi : profilage, scoring, traçage publicitaire, géolocalisation, vidéoprotection continue.
Une PME de vingt salariés qui exploite une plateforme de fidélité avec scoring sur des dizaines de milliers de clients relève de l'article 37.1 b) ; celle qui ne gère que ses salariés et ses factures n'en relève pas.
Traitement à grande échelle de données sensibles ou relatives aux infractions
L'article 9 vise notamment les données de santé, biométriques et génétiques, les opinions et l'appartenance syndicale ; l'article 10, les condamnations et infractions. « Grande échelle + sensible » déclenche l'obligation sans discussion pour les cabinets médicaux de groupe, laboratoires, mutuelles, EHPAD, services d'aide à domicile et éditeurs de logiciels de santé.
PME sous-traitante (éditeur SaaS, prestataire paie, centre d'appels) : sur quels traitements l'obligation s'apprécie
L'article 37.1 s'applique au sous-traitant comme au responsable de traitement, et l'échelle s'apprécie sur les traitements opérés pour les clients : un éditeur de vingt salariés hébergeant les dossiers RH, médicaux ou bancaires de centaines d'organismes bascule dans l'obligation, quand son propre fichier du personnel reste marginal.
Hors des trois cas, la désignation reste facultative. Deux réflexes malgré tout : documenter par écrit l'analyse qui conduit à ne pas désigner de DPO — recommandation explicite du WP243 rév.01 — et tenir le registre de l'article 30, la dérogation des moins de 250 salariés tombant dès que le traitement n'est pas occasionnel.
Ce que la fonction de DPO exige réellement en temps de travail
Le volume médian acheté sur nos mandats à engagement annuel est de 7,5 jours par an, relevé au 7 septembre 2026.
Les missions de l'article 39 tiennent dans ce format pour la grande majorité des PME assujetties. La liste est limitative, mais aucune ligne n'est optionnelle.
Les missions du délégué à la protection des données fixées par l'article 39 du RGPD
| Mission (art. 39) | Livrable attendu | Régime de charge |
|---|---|---|
| Informer et conseiller | Avis écrits motivés, notes de cadrage, sensibilisation des métiers. | Récurrent, à la demande |
| Contrôler le respect | Registre de l'article 30 tenu à jour, plan d'actions, revue annuelle. | Récurrent, calendaire |
| Conseiller sur les AIPD | Analyse d'impact article 35 et avis du DPO tracé au dossier. | Ponctuel, par projet |
| Coopérer avec la CNIL | Notification d'une violation sous 72 heures (art. 33), réponses aux demandes de l'autorité. | À délai contraint |
| Point de contact | Traitement des demandes d'exercice de droits sous un mois (art. 12). | À délai contraint |
La fonction ne se limite pas au juridique : la sécurité de l'article 32 pèse lourd dans la charge réelle et suppose des compétences techniques rarement réunies chez un délégué interne improvisé.
Volume médian, premier et troisième quartile : la charge d'un mandat externe mesurée en jours
- Médiane : 7,5 jours par an, soit 52,5 heures sur une base de 7 heures par journée.
- Premier quartile : 4,75 jours — un mandat sur quatre tient sous ce volume.
- Troisième quartile : 12,5 jours — trois mandats sur quatre tiennent sous ce volume.
- Source : crédits-jours de devis signés, portefeuille à engagement annuel arrêté au 7 septembre 2026.
Ce volume dépend d'abord de l'existant à reprendre et du nombre de services à rencontrer, pas de l'effectif. Les facteurs de variation sont détaillés dans la page consacrée à la charge réelle d'un mandat en jours par an.
Pourquoi le volume confié à un DPO externe ne se compare pas au temps d'un DPO interne
Convertir 7,5 jours en équivalent temps plein interne est une erreur de lecture : le crédit-jours externe exclut l'apprentissage réglementaire initial, la veille continue et la collecte d'information auprès des services, qu'un délégué salarié absorbe en plus de la mission. Les deux volumes ne mesurent pas la même chose.
DPO interne, DPO externe ou DPO mutualisé : comparaison sur six critères d'organisation
Trois montages, une seule question discriminante : l'indépendance.
| Critère | DPO interne | DPO externe | DPO mutualisé (art. 37.2) |
|---|---|---|---|
| Conflit d'intérêts | Le salarié qui cumule avec la DSI, les RH ou la direction détermine finalités et moyens : interdit par l'article 38.6. | Le prestataire ne décide d'aucun traitement du client : le grief est écarté structurellement. | Réapparaît si le délégué mutualisé exerce une fonction opérationnelle dans l'une des entités. |
| Indépendance | Le lien de subordination rend l'absence d'instructions (art. 38.3) difficile à démontrer. | Contrôle placé hors de la ligne hiérarchique ; la responsabilité reste au responsable de traitement (art. 24). | Dépend du rattachement du délégué à l'entité pivot du groupe. |
| Disponibilité | Immédiate en théorie, résiduelle en pratique à temps partiel. | Majoritairement à distance ; déplacements sur les grands jalons, prévus au devis. | Un temps divisé entre les entités, qui suppose des moyens proportionnés à leur nombre. |
| Expertise mobilisable | Formation continue et veille récurrente à la charge de l'employeur. | Le WP243 rév.01 admet une équipe prestataire, avec un interlocuteur unique nommé au contrat. | Veille mutualisée : avantage réel pour les collectivités regroupées et les fédérations. |
| Continuité | Un départ ou un arrêt long laisse l'organisme sans délégué, y compris pour les 72 heures. | Période ferme, sans reconduction tacite. Au 7 septembre 2026, près de six missions sur dix entrées avant 2025 sont toujours actives, chacune resignée au moins une fois. | Dépend de la convention entre entités et du remplacement prévu par la structure porteuse. |
| Opposabilité | La lettre de mission énonce les moyens, le rattachement au plus haut niveau et l'absence de sanction. | Avis écrits et horodatés : la preuve de diligence lors d'un contrôle. | Chaque entité conserve sa propre notification à la CNIL : la mutualisation n'en dispense aucune. |
Synthèse : le délégué interne convient à l'organisme qui dispose d'une fonction conformité, audit ou qualité sans pouvoir sur les traitements ; le mandat de DPO externe s'impose à la PME dont l'organigramme ne contient aucun candidat exempt de conflit d'intérêts ; le mutualisé vise les groupes et groupements publics, jamais les sociétés simplement partenaires. Limite assumée de l'externe : pas de présence quotidienne, aucun transfert de responsabilité, et une réactivité contractualisée côté client — 10 jours ouvrés pour transmettre ou valider, 5 pour répondre.
DPO interne : les conflits d'intérêts qui invalident la désignation
L'article 38.6 interdit au délégué d'exercer une fonction qui le conduit à déterminer les finalités et les moyens des traitements.
Le WP243 rév.01 et la doctrine CNIL retiennent la même lecture de l'article 38.6 : il y a conflit dès que les autres missions du délégué l'amènent à définir finalités et moyens, au cas par cas. Dans une PME de vingt salariés, cette règle vide souvent l'organigramme de tout candidat recevable.
Dirigeant, DSI, RAF, DRH, responsable marketing : les fonctions à écarter
- Dirigeant ou gérant : arbitre l'ensemble des finalités.
- DSI : choisit les moyens techniques qu'il devrait contrôler.
- DAF : décide des outils de gestion, de facturation et de recouvrement.
- DRH : pilote les traitements RH, les plus sensibles en interne.
- Responsable marketing : définit ciblage, prospection et durées de conservation.
- RSSI : à examiner, car il fixe des moyens relevant de l'article 32.
DPO interne à temps partiel dans une PME : à quelles conditions le montage tient
Le temps partiel est la norme en PME. Il reste licite à quatre conditions cumulatives : aucune décision sur les traitements dans la seconde fonction ; un temps quantifié dans la lettre de mission ; un budget de formation continue ; un rattachement au plus haut niveau de direction (art. 38.3).
Indépendance et absence d'instructions : ce que le responsable de traitement doit garantir par écrit
L'article 38 impose d'associer le délégué en temps utile, de lui fournir les ressources nécessaires, de ne lui donner aucune instruction et de ne pas le sanctionner. Ces garanties se prouvent : lettre de mission, accès documenté au comité de direction, avis écrits conservés, revue annuelle. Sans ces pièces, la désignation est nominale.
DPO mutualisé : dans quelles conditions le RGPD l'autorise
L'article 37.2 réserve le délégué unique au groupe d'entreprises, sous condition d'accessibilité depuis chaque établissement.
Groupe d'entreprises et article 37.2 : l'exigence d'accessibilité depuis chaque établissement
La condition posée par l'article 37.2 est fonctionnelle, pas capitalistique : le délégué doit être « facilement joignable à partir de chaque lieu d'établissement ». L'article 37.3 étend la faculté aux organismes publics, et la CNIL la documente pour les collectivités, groupements et fédérations, sous réserve de moyens proportionnés. Point souvent omis : chaque entité conserve sa propre notification à la CNIL.
Réseaux, franchises et PME multi-sites : les limites concrètes de la mutualisation
- Franchisés indépendants : sans lien capitalistique, pas de groupe au sens de l'article 4.19, donc pas de délégué unique.
- Solution admise : chaque société désigne son délégué, quitte à mandater le même prestataire par contrats et notifications distincts.
- PME multi-sites : un établissement secondaire ne crée pas de personne morale ; un seul délégué suffit s'il est joignable partout.
- Écueil récurrent : un délégué mutualisé sans moyens devient injoignable et expose toutes les entités.
Nous ne publions aucune donnée de terrain sur ce modèle : nos mandats portent sur des désignations par entité. Ce développement s'appuie sur les articles 37.2 et 37.3, le WP243 rév.01 et la doctrine CNIL.
Pourquoi cette comparaison ne publie aucun tarif et ce qui fait réellement varier un budget de conformité
Aucun tarif de cabinet n'est publié sur ce site, parce qu'un prix hors périmètre ne compare rien.
Le volume de jours d'un mandat dépend d'abord de l'existant à reprendre et du nombre de services à rencontrer, puis de la présence de données sensibles, du nombre d'établissements, des analyses d'impact à mener et de la maturité du dispositif de sécurité — le détail est dans la page consacrée à la charge réelle d'un mandat.
Le seul repère chiffré admis ici relève du marché de l'emploi : un poste de délégué interne à temps plein représente environ 35 000 à 40 000 € bruts annuels, hors charges, outillage et formation. C'est un coût d'internalisation, pas un comparatif de prix. Au 7 septembre 2026, environ une mission sur deux confiée au cabinet SILEXO est ponctuelle — reprise de registre, audit, projet — porte d'entrée valable avant tout mandat.
Comment déclarer son DPO auprès de la CNIL et rendre la désignation opposable
L'article 37.7 impose deux actes distincts : publier les coordonnées du délégué et les communiquer à l'autorité de contrôle.
- Formaliser la désignation : lettre de mission interne ou contrat de service précisant le périmètre, les moyens et l'interlocuteur unique.
- Déclarer en ligne : via le téléservice de désignation de la CNIL, qui délivre un accusé.
- Publier les coordonnées : politique de confidentialité, mentions d'information des articles 13 et 14, contrats, site web.
- Informer en interne : salariés, instances représentatives, prestataires et sous-traitants.
- Tenir la déclaration à jour : tout changement de délégué se notifie par le même téléservice, avec effet immédiat.
Avertissement peu traité : la désignation volontaire produit le même régime que la désignation obligatoire — indépendance, moyens, absence d'instructions, protection contre la sanction (art. 37 à 39). Sans notification, le délégué n'existe ni pour la CNIL ni pour les personnes concernées ; les pouvoirs de contrôle et de sanction reposent, en droit national, sur la loi n° 78-17 du 6 janvier 1978 modifiée.
Cinq questions pour trancher entre DPO interne, prestataire externe et mandat mutualisé
Trois réponses défavorables sur cinq orientent vers un mandat externe.
- Mes traitements relèvent-ils d'un des trois cas de l'article 37.1 ? Si oui, la désignation n'est pas un choix de gestion.
- Un salarié échappe-t-il au conflit d'intérêts de l'article 38.6 ? Si non, l'interne est écarté.
- Mon volume annuel dépasse-t-il la médiane observée de 7,5 jours ? Sous cette barre, un poste salarié n'a pas de justification économique.
- Qui assure la continuité pendant les absences, pour les 72 heures de l'article 33 et le mois de l'article 12 ?
- Mes avis sont-ils tracés par écrit et opposables lors d'un contrôle ? Sans écrits, la diligence ne se prouve pas.
Trois cas pour conclure : la PME de moins de 50 salariés sans traitement sensible ni candidat interne recevable relève du mandat externe, dimensionné en jours ; l'ETI multi-sites dotée d'une fonction conformité peut internaliser, à condition d'écarter toute autorité sur les traitements ; la collectivité, la fédération ou le groupe examine d'abord la mutualisation de l'article 37.2, chaque entité notifiant séparément. Pour dimensionner votre besoin : nombre de jours par an d'un mandat de DPO externe.
Questions fréquentes des dirigeants et RAF de PME sur l'externalisation du DPO
Sept questions récurrentes sur la responsabilité, le changement de délégué, le distanciel, les appels d'offres, la sous-traitance et la continuité.
DPO externe ou recrutement interne : sur quels postes de coût l'arbitrage se joue-t-il vraiment pour une PME ?
L'arbitrage ne se joue pas sur un tarif mais sur la charge réelle. Un DPO salarié est un poste, à temps plein ou partiel, auquel s'ajoutent les charges, la veille juridique, la formation continue et l'outillage. En externe, le budget dépend du volume de jours confié — 7,5 jours par an en médiane sur nos mandats — et de ce qui le fait varier : l'existant, le nombre de services à rencontrer, la criticité des données.
En cas de contrôle ou de sanction CNIL, qui est juridiquement responsable : le responsable de traitement ou le DPO externe ?
La responsabilité reste celle du responsable de traitement, jamais du DPO. L'article 38.3 du RGPD interdit d'ailleurs de sanctionner le DPO pour l'exercice de ses missions : il conseille, alerte et contrôle, il ne décide pas. Un DPO externe engage en revanche sa responsabilité contractuelle et professionnelle envers son client s'il manque à son obligation de conseil ou d'alerte. C'est pourquoi il faut exiger une traçabilité écrite : avis motivés, alertes documentées, comptes rendus de comité. Ces écrits protègent les deux parties et constituent, lors d'un contrôle, la preuve de la diligence de l'organisme.
Nous avons déjà un DPO désigné qui ne fonctionne pas : comment changer sans créer de rupture de conformité ?
Le changement s'opère en trois temps. D'abord la récupération des livrables : registre des traitements, analyses d'impact, registre des violations, procédures d'exercice des droits, contrats de sous-traitance et plan d'actions en cours. Ensuite la mise à jour de la désignation auprès de la CNIL, qui se fait en ligne et prend effet immédiatement. Enfin une phase de reprise, généralement de quatre à huit semaines, pour auditer l'existant et reconstruire ce qui manque. Point de vigilance : prévoyez contractuellement la restitution des données et des documents avant de notifier la fin du mandat précédent, sous format exploitable.
Un DPO externe travaillant majoritairement à distance est-il crédible face à la CNIL ?
Oui. Le RGPD n'impose aucune présence physique : il exige l'accessibilité du DPO pour les personnes concernées et l'autorité de contrôle (article 38.1 et 38.4), ce que garantissent une adresse de contact dédiée, des délais de réponse tenus et une joignabilité effective. L'essentiel du travail — registre, analyses d'impact, avis, suivi du plan d'actions — se mène à distance. Les déplacements se concentrent sur les grands jalons : réunion de cadrage, ateliers métiers, comité de conformité, accompagnement en cas de contrôle. Ils se prévoient au devis, et le temps de trajet s'impute au crédit-jours.
Un client ou un appel d'offres exige un DPO alors que nous n'y sommes pas légalement obligés : quelles conséquences ?
La désignation volontaire est possible, mais elle n'est pas cosmétique : dès qu'elle est notifiée à la CNIL, le DPO bénéficie du même régime que celui désigné obligatoirement — indépendance, absence d'instructions, moyens, protection contre la sanction (articles 37 à 39). Vous ne pouvez donc pas le nommer pour un dossier puis l'ignorer. Alternative si vous n'êtes pas prêt : désigner un référent RGPD interne, sans notification à la CNIL, en le présentant explicitement comme tel dans vos réponses aux donneurs d'ordre. Ne jamais afficher « DPO » dans un appel d'offres sans désignation réelle : c'est une déclaration vérifiable.
Notre PME est sous-traitante (éditeur SaaS, prestataire paie, centre d'appels) : l'obligation s'apprécie-t-elle sur nos données ou sur celles de nos clients ?
Sur les traitements que vous opérez pour le compte de vos clients. L'article 37.1 s'applique au responsable de traitement comme au sous-traitant, et le critère d'échelle s'apprécie sur le volume réellement traité par votre structure, pas sur votre effectif. Un éditeur de vingt salariés qui héberge les dossiers médicaux, RH ou bancaires de centaines d'organismes peut basculer dans l'obligation, alors que son propre traitement RH reste marginal. Réflexe décisionnel : additionnez les personnes concernées par l'ensemble de vos contrats clients avant de conclure que vous êtes hors champ.
Comment garantir la continuité du mandat si le DPO externe est absent ou si la mission s'arrête ?
C'est justement un avantage structurel sur un DPO interne isolé, à condition de le contractualiser. Exigez trois éléments : la désignation d'un suppléant identifié couvrant les obligations à délai contraint — notamment la notification d'une violation sous 72 heures (article 33) et les réponses aux demandes d'exercice de droits sous un mois ; la tenue de la documentation dans un outil dont vous restez propriétaire des données, pour éviter toute dépendance ; une clause de réversibilité prévoyant la restitution complète et un préavis suffisant pour organiser la succession. Vérifiez ces trois points avant signature, pas au moment de la sortie.
