Un DPO externe coûte entre 150 et 2 500 € HT par mois selon la taille de l’entreprise et la sensibilité des données traitées.
Pour une TPE qui gère un site, une base clients et des salariés, le forfait se situe entre 150 et 300 € par mois ; pour une PME de 20 à 200 personnes, comptez entre 300 et 900 € par mois ; au-delà, ou dans un secteur à données sensibles (santé, mineurs, finance), le budget monte jusqu’à 2 500 € par mois.
Ce guide détaille ce que ces montants couvrent, ce qu’ils ne couvrent pas et comment les comparer à un DPO salarié.
L’essentiel
- Forfait mensuel : de 150 € (TPE) à 2 500 € HT (groupe ou données sensibles), avec une mise en place facturée à part la première année.
- Régie à la journée : de 600 à 1 200 € HT, adaptée aux missions ponctuelles (audit, AIPD, réponse à la CNIL).
- DPO salarié à temps plein : entre 60 000 et 100 000 € chargés par an, soit 5 à 15 fois le coût d’un forfait externe pour une PME.
- Le prix affiché compte moins que le périmètre : vérifiez ce qui est inclus (désignation CNIL, veille, demandes de droits, violations, formation).
Que fait un DPO externe pour ce prix ?
Le DPO externe, ou délégué à la protection des données externalisé, est un prestataire que vous désignez auprès de la CNIL pour piloter votre conformité au RGPD sans l’embaucher.
Il tient le même rôle qu’un DPO salarié : il cartographie vos traitements et tient le registre, il rédige ou relit vos politiques de confidentialité, vos mentions d’information et vos contrats de sous-traitance, il répond aux demandes de droits des personnes, il gère les violations de données dans le délai de 72 heures et il devient votre interlocuteur en cas de contrôle.
Il forme aussi vos équipes et assure la veille réglementaire, ce qui représente une part importante du temps sur une mission.
Ce qu’il ne fait pas, et que le contrat doit dire clairement : il ne met pas en œuvre les mesures techniques à votre place. Les sauvegardes, la gestion des accès, le chiffrement ou la configuration de vos outils restent du ressort de votre informatique interne ou de votre prestataire IT.
Le DPO prescrit, contrôle et documente ; il n’administre pas vos serveurs. Si vous hésitez encore entre nommer quelqu’un en interne ou externaliser, l’article DPO interne ou externe compare les deux options en détail.
Grille tarifaire d’un DPO externalisé
Les fourchettes ci-dessous correspondent aux tarifs pratiqués en France en octobre 2026, recoupés entre notre propre grille et les prix publiés par les principaux cabinets du marché. Elles s’entendent hors taxes et hors mise en place initiale.
| Profil d’entreprise | Forfait mensuel | Ce que couvre le forfait |
|---|---|---|
| Indépendant ou micro-entreprise avec site web et base clients | 150 à 250 € HT | Désignation CNIL, registre simplifié, politique de confidentialité, veille, réponse aux demandes de droits |
| TPE de moins de 20 salariés | 150 à 400 € HT | Le socle précédent, plus audit annuel, contrats sous-traitants, sensibilisation des équipes |
| PME de 20 à 200 salariés | 300 à 900 € HT | Suivi continu, audits de services, AIPD ponctuelles, gestion des violations, comité trimestriel avec la direction |
| Éditeur SaaS, e-commerce ou startup en croissance | 600 à 1 200 € HT | Privacy by design sur les produits, revue des DPA fournisseurs et clients, transferts hors UE, documentation pour les appels d’offres |
| ETI, groupe multi-entités ou secteur à données sensibles | 1 200 à 2 500 € HT | Pilotage global, plusieurs référents, AIPD régulières, relations avec les autorités, reporting consolidé |
Deux autres modes de facturation existent. La régie à la journée, entre 600 et 1 200 € HT, convient aux besoins ponctuels : un audit de départ, une analyse d’impact, une réponse à un courrier de la CNIL.
La mission forfaitaire de mise en conformité, entre 2 000 et 10 000 € HT selon la taille, précède souvent l’abonnement : elle couvre l’audit, la rédaction du registre et de la documentation, puis la désignation.
Chez donnees.net, cette logique se traduit par un forfait de mise en place la première année, suivi d’un abonnement mensuel tout inclus à partir de 150 € HT pour les plus petites structures, sans facturation à l’acte.
DPO externe ou DPO salarié : le vrai comparatif de coût
| Critère | DPO salarié | DPO externe |
|---|---|---|
| Coût annuel pour une PME | 60 000 à 100 000 € chargés, plus formation et outils | 3 600 à 15 000 € HT (forfait mensuel), mise en place comprise la première année |
| Disponibilité | Temps plein, mais une seule personne | Temps partagé, avec un suppléant en cas d’absence |
| Expertise | Dépend du profil recruté et de sa formation continue | Pratique quotidienne sur plusieurs dossiers et secteurs |
| Indépendance (article 38 du RGPD) | Difficile à garantir s’il cumule une autre fonction | Structurelle, par construction |
| Risque de rupture | Départ, arrêt maladie, changement de poste | Changement de prestataire, prévu par contrat |
| Connaissance de l’entreprise | Immédiate et profonde | À construire lors de la mise en place, puis entretenue par des référents internes |
Pour une PME, l’écart de coût est tel que la question se pose rarement sur le plan budgétaire. Le DPO salarié garde un intérêt réel dans deux situations : une organisation de plusieurs centaines de personnes où la fonction occupe un temps plein, ou un secteur où la présence sur site au quotidien compte autant que l’expertise.
Dans les autres cas, l’externalisation permet de s’offrir un professionnel expérimenté pour le coût d’une fraction de poste.
Qu’est-ce qui fait varier le prix ?
- Le volume et la nature des données. Un site vitrine avec un formulaire de contact mobilise quelques heures par trimestre ; une clinique, une école ou un cabinet de gestion de patrimoine traite des données sensibles qui exigent des analyses d’impact et des contrôles réguliers.
- Le point de départ. Une entreprise qui n’a jamais tenu de registre demande une mise en place complète ; une entreprise déjà documentée entre directement en phase de suivi, moins coûteuse.
- Le nombre d’entités et de sites. Un groupe de trois sociétés avec des outils communs peut mutualiser son DPO, mais chaque entité conserve son registre et ses obligations propres.
- Ce qui est inclus. Certains forfaits facturent en plus les AIPD, la gestion des violations ou les formations. Un forfait réellement tout inclus coûte parfois plus cher à l’affichage et moins cher à l’usage.
- L’expérience du consultant. Un DPO expérimenté traite un dossier deux à trois fois plus vite qu’un profil débutant, ce qui compense largement un tarif journalier plus élevé.
Ce que je constate en mission. Sur plus de 200 mises en conformité, le poste qui pèse le plus dans une mission DPO n’est ni le registre ni la politique de confidentialité, mais les sous-traitants : une PME de 30 personnes utilise en moyenne 25 à 40 logiciels qui traitent des données personnelles, et la plupart n’ont jamais fait l’objet d’une revue contractuelle.
C’est pour cette raison que je refuse de vendre une mission DPO à l’acte : facturer chaque question pousse le client à ne plus en poser, et c’est exactement ce qui crée les violations.
Le forfait tout inclus, avec un suppléant désigné et une assurance responsabilité civile professionnelle dédiée, coûte un peu plus cher sur le papier et beaucoup moins à l’arrivée.
Thomas Blanc, DPO externalisé depuis 2018
Les coûts cachés à vérifier avant de signer
Un devis de DPO externalisé se lit sur son périmètre, pas sur son montant.
Avant de signer, demandez au prestataire si les éléments suivants sont compris dans le forfait ou facturés en supplément : la désignation formelle auprès de la CNIL et le traitement des demandes de droits, qui sont le cœur de la fonction ; les analyses d’impact, souvent exclues alors qu’elles reviennent chaque fois qu’un nouvel outil est déployé ; la gestion d’une violation de données, avec son astreinte de 72 heures ; les formations des collaborateurs ; les outils logiciels éventuellement imposés par le cabinet ; et le temps que vos propres équipes devront consacrer à la mission.
Un bon contrat précise aussi qui remplace le DPO pendant ses absences et comment se passe un changement de prestataire, puisque la fonction ne doit jamais rester vacante.
Le DPO est-il obligatoire pour votre entreprise ?
L’article 37 du RGPD rend la désignation obligatoire dans trois cas : les organismes publics, les entreprises dont l’activité de base exige un suivi régulier et systématique des personnes à grande échelle, et celles qui traitent à grande échelle des données sensibles ou relatives aux condamnations.
En pratique, une majorité de PME n’y est pas tenue, mais beaucoup désignent un DPO parce que leurs clients, leurs donneurs d’ordre ou les marchés publics l’exigent, et parce que la fonction structure la conformité au lieu de la laisser en suspens.
Si vous n’êtes pas soumis à l’obligation, vous pouvez aussi nommer un référent RGPD interne et faire appel à un consultant ponctuellement.
Questions fréquentes
Un DPO externe peut-il être désigné auprès de la CNIL ?
Oui. Le RGPD prévoit expressément que le DPO peut exercer ses missions sur la base d’un contrat de service. Vous le désignez sur le site de la CNIL avec ses coordonnées, il devient l’interlocuteur officiel de l’autorité et des personnes concernées, et vous publiez ses coordonnées dans votre politique de confidentialité.
Peut-on partager un DPO externe entre plusieurs sociétés ?
Oui, à condition que le DPO reste joignable pour chaque entité et dispose du temps nécessaire. C’est la solution habituelle pour un groupe de PME ou pour des structures qui partagent les mêmes outils, et elle réduit le coût par entité de 30 à 50 %.
Quelle durée d’engagement prévoir ?
La plupart des cabinets demandent un engagement de 12 mois la première année, le temps d’amortir la mise en place. Chez donnees.net, l’engagement minimal est de 3 mois, avec des options sur 24 ou 36 mois qui permettent de lisser le coût de la mise en place sur l’abonnement.
Combien coûte une mise en conformité RGPD sans abonnement DPO ?
Entre 2 000 et 10 000 € HT pour une PME selon sa taille, ce qui couvre l’audit, le registre, la documentation et le plan d’action. L’article combien coûte une mise en conformité RGPD détaille ce chiffrage poste par poste.
Obtenir un chiffrage pour votre entreprise
Le moyen le plus sûr de connaître le tarif qui s’applique à votre situation reste un échange de 30 minutes sur votre activité, vos outils et vos données. À l’issue de cet appel, vous savez si un DPO est obligatoire pour vous, ce que couvrirait la mission et à quel prix. Vous pouvez aussi consulter notre offre de DPO externalisé et nos critères pour bien choisir son DPO externe.
