Choisir un DPO externe ou interne se tranche vite pour la plupart des PME : le prestataire externe apporte l'expertise RGPD et la conformité sans créer de poste, le DPO interne s'impose quand l'entreprise traite chaque jour des données sensibles à grande échelle.
Le règlement général sur la protection des données (RGPD, règlement UE 2016/679) laisse ce choix ouvert : son article 37, paragraphe 6, prévoit que le délégué à la protection des données « peut être un membre du personnel » ou exercer ses missions « sur la base d'un contrat de service ». Les deux formules donnent exactement les mêmes obligations à l'entreprise et le même statut au DPO. Ce qui les sépare, c'est l'organisation au quotidien : la connaissance des processus internes, la disponibilité, l'objectivité face à la direction et le coût total de la fonction. Le data protection officer, nom anglais du délégué, porte la conformité au RGPD dans les deux cas, et l'exigence de conformité ne baisse pas avec la taille. Une PME de quarante salariés qui gère des fichiers clients classiques n'a pas les mêmes besoins qu'un groupe de cliniques qui manipule des dossiers médicaux.
Qui doit désigner un DPO, et à quoi sert-il ?
La désignation d'un DPO est obligatoire dans trois cas fixés par l'article 37 du RGPD : l'organisme est une autorité ou un organisme public, son activité de base implique un suivi régulier et systématique des personnes à grande échelle (ciblage publicitaire, géolocalisation, vidéosurveillance étendue), ou elle consiste à traiter à grande échelle des données sensibles ou des données relatives aux condamnations pénales. Hors de ces cas, la CNIL recommande tout de même de nommer un délégué, parce qu'il structure la mise en conformité et prouve la démarche en cas de contrôle.
Les missions d'un DPO sont listées à l'article 39 du RGPD, et elles sont identiques pour un DPO interne et pour un DPO externe :
- informer et conseiller le responsable du traitement, le sous-traitant et les salariés sur leurs obligations ;
- contrôler le respect du RGPD et des règles internes, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel ;
- conseiller sur l'analyse d'impact relative à la protection des données (AIPD, en anglais privacy impact assessment) et en vérifier l'exécution ;
- coopérer avec la CNIL et servir de point de contact pour l'autorité comme pour les personnes concernées.
Le DPO n'est pas responsable de la conformité : le responsable de traitement reste seul tenu de respecter le règlement. Le délégué pilote, alerte et documente. Cette nuance pèse dans le choix, car un DPO externe ne décharge jamais la direction de sa propre responsabilité, pas plus qu'un salarié désigné.
Comparer le DPO interne et le DPO externe critère par critère
Le DPO interne et le DPO externe se distinguent sur sept critères qui reviennent dans toutes les décisions d'organisation. Le tableau les met côte à côte, avec un avantage noté pour la formule la mieux placée.
| Critère | DPO interne (salarié) | DPO externe (prestataire) |
|---|---|---|
| Connaissance de l'entreprise | Forte : accès direct aux équipes, aux outils et à l'historique des traitements | À construire : dépend des entretiens et de la documentation fournie |
| Expertise juridique et technique | Variable, souvent à compléter par une formation RGPD | Élevée et entretenue par la pratique sur plusieurs organismes |
| Objectivité et indépendance | Exposée au lien hiérarchique et aux conflits d'intérêts | Plus facile à garantir : regard extérieur, pas de carrière en jeu |
| Disponibilité | Immédiate, sur site, réactive en cas de violation de données | Fixée par le contrat de service (délais de réponse, jours d'intervention) |
| Coût | Salaire, formation continue, outils : budget élevé à temps plein | Forfait ajusté au volume : budget modéré pour une PME |
| Continuité de la fonction | Fragile : départ, congé ou maladie laissent la fonction vacante | Assurée par un cabinet qui dispose de plusieurs consultants |
| Appropriation de la culture RGPD | Durable : le savoir reste dans la structure | Plus lente si le prestataire n'organise pas de transfert de compétences |
Aucun critère ne gagne seul. Une PME qui manque d'expertise juridique et ne peut pas financer un poste a intérêt à externaliser ; une organisation où la donnée personnelle est au cœur du métier gagne à internaliser, quitte à épauler son délégué par un cabinet sur les sujets pointus.
Les avantages d'un DPO externe pour une PME
Un DPO externe apporte d'abord une expertise immédiate. Le prestataire connaît la doctrine de la CNIL, les lignes directrices du Comité européen de la protection des données et les sanctions récentes, parce qu'il suit plusieurs organismes à la fois. Pour une entreprise qui part de zéro, ce savoir accélère la cartographie des traitements, la rédaction du registre et la mise à jour des mentions d'information.
La flexibilité est le deuxième atout du DPO externalisé. Le volume d'intervention suit le besoin réel : un audit de départ plus dense, puis un accompagnement plus léger quand les processus tournent. La réduction des coûts vient de là, puisque la PME ne finance pas un temps plein pour une charge qui, dans bien des structures, n'occupe que quelques jours par mois.
L'objectivité joue aussi en faveur du DPO externe. Un consultant qui ne dépend pas de la direction pour son évolution de carrière signale plus librement un traitement illicite ou un projet marketing mal ficelé. L'article 38 du RGPD exige que le délégué ne reçoive aucune instruction pour l'exercice de ses missions ; un prestataire extérieur remplit naturellement cette condition.
Le DPO externe a ses inconvénients, et le premier tient à la distance. Sa connaissance de la structure reste partielle, il ne croise pas les équipes à la machine à café et découvre parfois un nouvel outil après son déploiement. La qualité du contrat fait la différence : périmètre des missions, nombre de jours, délai de réponse en cas de violation de données, participation aux comités de projet, clause de réversibilité. Les risques de sécurité qu'une PME sous-estime, du rançongiciel à l'hameçonnage, se repèrent mieux quand le prestataire est associé à la démarche de gestion des risques dès le départ.
Nommer un DPO interne : profil, conditions et pièges
Nommer un DPO interne suppose de trouver dans l'organisation une personne qui réunit trois qualités exigées par l'article 37, paragraphe 5, du RGPD : des connaissances spécialisées du droit et des pratiques en matière de protection des données, et la capacité d'accomplir les missions de l'article 39. Le profil type combine une culture juridique, une compréhension des systèmes d'information et une aisance pour former les salariés.
Le conflit d'intérêts, premier écueil du DPO interne
Un DPO interne peut exercer d'autres fonctions, à condition qu'elles ne le conduisent pas à fixer lui-même les finalités et les moyens d'un traitement (article 38, paragraphe 6). Le directeur général, le directeur des systèmes d'information, le responsable marketing ou le DRH sont donc de mauvais candidats : ils contrôleraient leurs propres décisions. La CNIL a déjà rappelé ce point lors de ses contrôles. Un juriste, un responsable qualité ou un auditeur interne présente moins de conflit potentiel. Le second inconvénient du DPO interne tient au risque d'isolement : un délégué seul face à la direction générale, sans relais au sein des métiers, peine à suivre chaque nouveau logiciel ou chaque intégration d'outil, et la conformité en pâtit.
Les garanties dues au salarié désigné
Le salarié désigné bénéficie de protections précises. L'entreprise doit lui fournir les ressources nécessaires (temps dédié, accès aux données et aux traitements, budget de formation), le faire rendre compte directement au niveau le plus élevé de la direction, et ne peut ni le relever de ses fonctions ni le sanctionner pour l'exercice de ses missions. Un délégué interne à qui l'on confie la fonction en plus d'un poste déjà plein, sans temps alloué, ne remplit pas les conditions du règlement.
Formation et certification du DPO interne
La certification DPO n'est pas obligatoire, mais elle rassure. La CNIL a adopté en 2018 un référentiel de certification des compétences du délégué, délivrée par des organismes certificateurs qu'elle agrée ; la liste et les conditions figurent sur la page de la CNIL consacrée à la fonction de délégué. Pour un salarié qui découvre la matière, une formation sur le RGPD puis une formation à l'analyse d'impact constituent le socle avant de prendre la fonction de DPO.
Le DPO mutualisé, une troisième voie souvent oubliée
Le RGPD autorise un DPO mutualisé entre plusieurs entités. Un groupe d'entreprises peut désigner un délégué unique, à condition qu'il soit facilement joignable depuis chaque établissement (article 37, paragraphe 2) ; les autorités et organismes publics peuvent faire de même en tenant compte de leur structure et de leur taille (paragraphe 3). Les communes rurales passent souvent par un centre de gestion ou un syndicat intercommunal, les PME d'une fédération professionnelle par un délégué commun.
Cette solution combine une partie des avantages des deux formules : une expertise partagée, un coût réparti, et une connaissance du secteur plus fine qu'un prestataire généraliste. Sa limite tient à la disponibilité : un délégué qui suit vingt structures ne répond pas en une heure à une violation de données dans chacune d'elles. Le contrat de service ou la convention de mutualisation doit donc fixer des délais d'intervention clairs.
Quel profil d'entreprise pour quelle formule ?
Le profil de l'entreprise donne une orientation nette, que confirment les recommandations publiées par la CNIL sur la désignation du délégué.
TPE et PME aux traitements courants (fichier clients, paie, prospection, site web) : le DPO externe convient le mieux. La charge ne justifie pas un poste, et l'expertise d'un cabinet évite les erreurs de départ sur le registre et les durées de conservation.
PME en croissance avec des outils numériques nombreux (CRM, solutions SaaS, hébergement dans le cloud) : un DPO externe avec un relais interne fonctionne bien. Un salarié référent collecte l'information, le prestataire apporte l'analyse. Les transferts hors Union et la sous-traitance d'hébergement, détaillés dans les enjeux du cloud pour la protection des données, font partie des sujets où ce duo se montre efficace.
Organismes traitant des données sensibles à grande échelle (santé, assurance, ressources humaines externalisées, géolocalisation) : le DPO interne devient presque indispensable. Le volume et la sensibilité des traitements exigent une présence continue, une participation à chaque projet dès la conception (privacy by design) et une réaction immédiate aux incidents.
Groupes et réseaux de franchise : un DPO interne au niveau du groupe, appuyé de correspondants dans chaque filiale, assure la cohérence. Le recours ponctuel à un cabinet reste utile pour les audits ou un second avis.
Une situation hybride ou un traitement atypique (données de santé, profilage, surveillance des salariés) mérite l'avis d'un avocat spécialisé en droit des données personnelles avant de figer l'organisation : il évalue si l'activité entre dans un cas de désignation obligatoire et rédige un contrat de DPO externe qui tienne face à un contrôle.
Choisir un DPO externe : vérifier le prestataire et le contrat
Choisir un DPO externe ne se limite pas à comparer des forfaits. Plusieurs vérifications protègent l'entreprise :
- la compétence réelle : certification de la CNIL, références dans le secteur, formation juridique ou technique du consultant qui sera nommé (le DPO est une personne identifiée, pas un cabinet anonyme) ;
- le périmètre écrit : registre, analyses d'impact, réponses aux demandes d'exercice des droits, gestion des violations, sensibilisation des salariés ;
- la disponibilité garantie : délai de réponse, présence sur site, interlocuteur suppléant disponible pendant les congés du titulaire ;
- l'absence de conflit : un prestataire qui vend aussi les logiciels qu'il audite n'est pas neutre ;
- la réversibilité : remise des livrables et de la documentation à la fin du contrat.
Une fois le DPO choisi, la désignation se déclare auprès de la CNIL par son téléservice, et ses coordonnées se publient (article 37, paragraphe 7), par exemple dans la politique de confidentialité. L'absence de délégué quand il est obligatoire expose à une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83, paragraphe 4) ; le suivi des sanctions prononcées par la CNIL montre que les manquements de gouvernance figurent régulièrement parmi les griefs.
Changer de délégué, confier la fonction à une société, temps partiel et responsabilité
Peut-on passer d'un DPO interne à un DPO externe en cours de route ?
Le passage d'un DPO interne à un DPO externe est possible à tout moment : il suffit de désigner le nouveau délégué et de mettre à jour la déclaration auprès de la CNIL. Le salarié qui quitte la fonction ne peut pas être sanctionné pour la manière dont il l'a exercée, et la transmission de son registre au prestataire doit être organisée.
Un DPO externe peut-il être une société plutôt qu'une personne ?
Un DPO externe peut être une personne morale, comme le précisent les lignes directrices européennes, à condition qu'une personne physique soit désignée comme interlocuteur principal et que chaque membre de l'équipe remplisse les exigences de compétence et d'indépendance.
Un DPO interne à temps partiel suffit-il ?
Un DPO interne à temps partiel suffit dans une structure aux traitements simples, si le temps alloué est écrit, réel et proportionné aux traitements. Un délégué qui ne dispose d'aucune plage dédiée ne remplit pas l'exigence de ressources de l'article 38.
Le DPO externe peut-il être tenu responsable d'une violation de données ?
Le DPO externe n'est pas responsable de la conformité au sens du RGPD : la sanction administrative vise le responsable du traitement. Sa responsabilité contractuelle peut en revanche être engagée s'il manque aux obligations fixées dans le contrat de service.
Les fondamentaux de la gouvernance des données, du registre aux droits des personnes, sont rassemblés dans les guides sur la protection des données du site.
