Pour choisir un DPO externe, vérifiez sept points dans cet ordre : son expérience sur des entreprises comme la vôtre, son indépendance, sa disponibilité réelle et la présence d’un suppléant, le périmètre écrit de sa mission, son assurance professionnelle, sa méthode et sa neutralité vis-à-vis des logiciels, et enfin son mode de facturation.
Le prix arrive volontairement en dernier : un DPO peu cher qui facture chaque question ou qui disparaît pendant une violation de données coûte toujours plus qu’un forfait clair. Ce guide détaille chaque critère et les questions à poser avant de signer.
L’essentiel
- Le DPO externe est désigné auprès de la CNIL et engage votre entreprise : choisissez-le comme un prestataire durable, pas comme une mission ponctuelle.
- Trois questions éliminent la plupart des mauvais choix : qui vous remplace en cas d’absence, que ferez-vous pour nous dans les 90 premiers jours, et votre assurance couvre-t-elle l’activité de DPO ?
- Aucune certification n’est obligatoire pour exercer ; l’expérience terrain sur votre taille et votre secteur compte davantage qu’un diplôme.
- Un forfait tout inclus avec engagement court protège mieux qu’un tarif journalier bas avec facturation à l’acte.
1. A-t-il déjà accompagné des entreprises comme la vôtre ?
La protection des données se joue dans le détail des métiers : un cabinet médical, un office de tourisme, un éditeur SaaS et une collectivité n’ont ni les mêmes traitements, ni les mêmes sous-traitants, ni les mêmes risques.
Demandez au candidat combien de missions il a menées, dans quels secteurs et pour quelles tailles d’entreprise, puis demandez deux références que vous pourrez appeler.
Un DPO qui a déjà traité votre secteur sait quels logiciels vous utilisez, quelles clauses manquent dans vos contrats et quelles questions la CNIL pose en cas de contrôle. Méfiez-vous des profils qui ne citent que des grands comptes si vous êtes une PME : la méthode et le budget ne sont pas transposables.
2. Est-il réellement indépendant ?
L’article 38 du RGPD impose que le DPO exerce sans conflit d’intérêts et sans recevoir d’instructions sur la manière de traiter un dossier.
Pour un prestataire externe, le risque prend d’autres formes : un DPO qui revend un logiciel de conformité aura tendance à vous le prescrire ; un cabinet qui réalise aussi votre informatique ou votre marketing jugera difficilement ses propres choix ; un consultant rémunéré à la commission par un éditeur n’est plus neutre.
Posez la question directement : percevez-vous une rémunération d’un éditeur ou d’un prestataire que vous pourriez me recommander ? La réponse doit être non, ou transparente.
3. Sera-t-il disponible, et qui le remplace ?
Une violation de données se notifie à la CNIL sous 72 heures, week-end compris, et une demande de droit d’accès se traite sous un mois. Un DPO injoignable pendant ses congés expose votre entreprise au moment précis où elle a besoin de lui.
Vérifiez trois points : le délai de réponse auquel il s’engage par écrit, l’existence d’une astreinte pour les violations de données, et surtout le nom de son suppléant. Un DPO sérieux désigne un suppléant par mission, le présente à l’entreprise et l’associe aux dossiers sensibles.
Demandez aussi combien de clients il suit en parallèle : au-delà d’une quarantaine de missions actives pour une seule personne, la disponibilité réelle devient douteuse.
4. Que contient précisément sa mission ?
Le contrat doit décrire ce que le DPO fait, à quelle fréquence, et ce qu’il ne fait pas. Un périmètre complet couvre :
- la désignation auprès de la CNIL et l’audit initial ;
- la tenue du registre et la rédaction de la documentation (politiques, mentions, contrats de sous-traitance) ;
- le traitement des demandes de droits et la gestion des violations ;
- la veille réglementaire et la formation des équipes ;
- un point régulier avec la direction.
Il doit aussi dire clairement que la mise en œuvre technique (sauvegardes, droits d’accès, chiffrement) reste à votre informatique. La question la plus utile avant de signer tient en une phrase : « Concrètement, que ferez-vous pour nous dans les 90 premiers jours ? » Un professionnel répond avec un calendrier ; un vendeur répond avec des généralités.
5. Son assurance couvre-t-elle l’activité de DPO ?
Le DPO engage sa responsabilité sur ses conseils, mais l’entreprise reste responsable du traitement devant la CNIL.
Si une erreur du prestataire conduit à une sanction ou à un litige, seule une assurance responsabilité civile professionnelle couvrant explicitement l’activité de délégué à la protection des données vous permettra d’obtenir réparation.
Beaucoup d’assureurs excluent ou limitent cette activité ; demandez l’attestation et vérifiez que la mention « DPO » ou « protection des données » y figure, avec le plafond par sinistre. Un consultant qui ne peut pas la fournir n’est pas assuré pour ce qu’il vous vend.
6. Quelle est sa méthode, et impose-t-il un logiciel ?
Demandez à voir un exemple anonymisé de livrable : un registre, un rapport d’audit, un plan d’action. Vous saurez en cinq minutes si le DPO produit des documents que vos équipes liront, ou des modèles génériques copiés d’un client à l’autre.
Vérifiez ensuite sa position sur les outils : un bon DPO travaille avec le logiciel RGPD que vous avez déjà, ou avec un simple tableur si votre taille le permet, et ne conditionne pas sa mission à l’achat d’une plateforme.
Enfin, regardez comment il implique vos équipes : la conformité tient dans la durée quand des référents internes sont formés et que la direction reçoit un point trimestriel, pas quand tout repose sur le prestataire.
7. Comment facture-t-il ?
Trois modèles coexistent : le forfait mensuel, la régie à la journée et la facturation à l’acte. Pour une mission de DPO, qui suppose des questions fréquentes et des interventions imprévisibles, le forfait tout inclus est le seul qui n’incite pas l’entreprise à se taire pour économiser.
Comparez les offres sur ce qui est inclus (AIPD, violations, formations, demandes de droits) plutôt que sur le montant, et vérifiez la durée d’engagement et les conditions de sortie. Les fourchettes du marché et le comparatif avec un DPO salarié sont détaillés dans notre guide DPO externe : combien ça coûte réellement ?.
Ce que je constate en mission. Quand une entreprise change de DPO et me confie son dossier, le problème n’est presque jamais la compétence du prédécesseur : c’est l’absence de traces. Pas de registre à jour, pas de preuve des formations, pas de journal des demandes de droits, et un contrat qui ne disait pas qui faisait quoi.
Avant de choisir, demandez donc au candidat ce qu’il vous remettra si vous le quittez : un dossier de conformité complet, transmissible à son successeur, est la meilleure garantie qu’il travaille pour votre entreprise et non pour sa propre indispensabilité.
Thomas Blanc, DPO externalisé depuis 2018
Les dix questions à poser avant de signer
- Combien de missions de DPO avez-vous menées, et dans quels secteurs ?
- Pouvez-vous me donner deux références d’entreprises de ma taille ?
- Qui vous remplace pendant vos absences, et comment est-il associé à mon dossier ?
- Quel délai de réponse vous engagez-vous à tenir, et quelle astreinte en cas de violation ?
- Que ferez-vous pour nous dans les 90 premiers jours ?
- Qu’est-ce qui est inclus dans le forfait, et qu’est-ce qui est facturé en plus ?
- Votre assurance couvre-t-elle l’activité de DPO ? Pouvez-vous me transmettre l’attestation ?
- Percevez-vous une rémunération d’un éditeur de logiciel ou d’un prestataire ?
- Pouvez-vous me montrer un exemple anonymisé de registre et de rapport d’audit ?
- Que me remettez-vous si je mets fin au contrat ?
Questions fréquentes
Un DPO externe doit-il être certifié ?
Non. Le RGPD exige des connaissances spécialisées et la capacité d’accomplir les missions, pas un diplôme. La certification des compétences du DPO délivrée sous l’égide de la CNIL est volontaire ; elle apporte une garantie utile, mais elle ne remplace pas l’expérience vérifiable sur des entreprises comme la vôtre.
Faut-il choisir un juriste, un informaticien ou un consultant ?
Le bon profil comprend les trois dimensions : le texte, les outils et l’organisation. Un pur juriste produira une documentation solide mais peinera à parler aux équipes techniques ; un pur technicien négligera l’information des personnes et les contrats.
Privilégiez un professionnel capable de dialoguer avec votre direction, vos RH et votre informatique, et jugez-le sur ses livrables plutôt que sur sa formation initiale.
Peut-on changer de DPO externe en cours de route ?
Oui, à condition de ne pas laisser la fonction vacante : le nouveau DPO est désigné auprès de la CNIL avant ou au moment du retrait de l’ancien. L’article changer de DPO décrit les étapes et les documents à récupérer.
Un cabinet ou un indépendant ?
Les deux fonctionnent si les critères ci-dessus sont remplis. Un indépendant offre un interlocuteur unique et une connaissance fine de votre dossier ; un cabinet offre plus de capacité et de continuité. Dans les deux cas, exigez un suppléant nommé et un périmètre écrit.
Vérifier ces critères avec nous
Notre offre de DPO externalisé répond à chacun de ces sept critères : plus de 200 missions depuis 2018, un suppléant désigné par mission, une assurance professionnelle dédiée à l’activité de DPO, aucune revente de logiciel et un forfait mensuel tout inclus. Un appel de 30 minutes suffit pour vérifier si nous sommes le bon choix pour votre entreprise.
Sources
- CNIL – Le délégué à la protection des données (DPO)
- CNIL – Certification des compétences du DPO
- Règlement (UE) 2016/679, articles 37 à 39
