Pour une PME, le DPO externalisé est presque toujours le bon choix : il coûte moins cher qu’un salarié, il est opérationnel immédiatement et son indépendance ne pose aucune question. Le DPO interne reprend l’avantage dans les grandes structures ou les secteurs très exposés, où la fonction occupe un temps plein et où la connaissance intime des métiers compte plus que tout. Cet article compare les deux modèles sur le coût, la disponibilité, l’expertise et l’indépendance, pour que vous tranchiez en connaissance de cause.
Cet article fait partie de notre dossier sur le DPO externalisé : découvrir la mission de DPO externalisé et comment choisir son DPO externe.
L’essentiel
- Le RGPD (articles 37 à 39) autorise les deux modèles et impose les mêmes exigences : indépendance, compétence, accès à la direction.
- Un DPO salarié coûte 45 000 à 70 000 € par an chargés ; un DPO externalisé démarre à 189 € HT par mois.
- Le DPO interne ne peut pas cumuler une fonction qui décide des traitements (DSI, DRH, direction).
- Le montage le plus courant en PME : un DPO externe désigné auprès de la CNIL et un référent interne.
Que dit le RGPD sur le DPO interne et le DPO externe ?
Le règlement ne privilégie aucun des deux modèles. L’article 37 prévoit que le DPO « peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d’un contrat de service ». Les exigences sont identiques : des connaissances spécialisées du droit et des pratiques en matière de protection des données, une indépendance fonctionnelle, l’absence de conflit d’intérêts et un rattachement direct au plus haut niveau de la direction.
La CNIL ajoute un point souvent oublié : le DPO doit disposer des ressources nécessaires, c’est-à-dire du temps, de l’accès aux services et aux données, et de la formation continue. Un salarié à qui l’on confie la fonction « en plus » de son poste sans lui dégager de temps ne remplit pas cette condition.
Quels sont les avantages et les limites du DPO interne ?
Le DPO interne connaît vos métiers, vos outils et vos équipes. Il repère un nouveau traitement avant même qu’il soit formalisé, il est présent en réunion et il parle le langage de la maison. C’est un atout décisif dans les structures où les données sont au cœur de l’activité : établissements de santé, banques et assurances, administrations, plateformes.
Ses limites tiennent au coût et à la rareté du profil. Un DPO confirmé se recrute entre 45 000 et 70 000 € par an chargés, auxquels s’ajoutent sa formation continue et sa veille. Dans une PME, la fonction occupe rarement un temps plein ; elle est alors confiée à temps partiel à un collaborateur qui, pour rester indépendant, ne doit pas décider des traitements qu’il contrôle, ce qui exclut la plupart des cadres disponibles. Enfin, le départ ou l’absence de cette personne laisse l’entreprise sans DPO du jour au lendemain.
Quels sont les avantages et les limites du DPO externalisé ?
Le DPO externalisé apporte l’expertise et l’indépendance dès le premier jour, pour un forfait mensuel connu d’avance. Il suit la doctrine de la CNIL et les évolutions réglementaires pour l’ensemble de ses clients, il a déjà traité des contrôles et des violations de données, et il n’a aucun lien hiérarchique avec vos services. Le cabinet assure la continuité avec un suppléant et une assurance responsabilité civile dédiée.
Sa limite est la connaissance initiale de vos métiers, qu’il doit construire lors de l’audit de départ puis entretenir par des points réguliers. C’est pour cette raison que nous recommandons toujours de lui adjoindre un référent interne, qui relaie les demandes et signale les nouveaux projets.
DPO interne ou externe : le comparatif chiffré
| Critère | DPO interne (salarié) | DPO externalisé |
|---|---|---|
| Coût annuel | 45 000 à 70 000 € chargés pour un profil confirmé, plus la formation continue | De 2 300 € (189 € HT par mois) à quelques milliers d’euros selon la taille et le secteur |
| Délai de mise en route | Recrutement ou montée en compétence : plusieurs mois | Opérationnel dès la désignation |
| Indépendance (art. 38 RGPD) | À organiser : rattachement direct à la direction, pas de fonction incompatible | Structurelle : aucun lien hiérarchique interne |
| Connaissance des métiers | Immédiate, c’est son principal atout | À construire lors de l’audit initial, puis entretenue |
| Disponibilité | Partagée avec ses autres missions, souvent à temps partiel | Contractuelle, avec astreinte en cas d’incident |
| Veille réglementaire | À sa charge, souvent seul | Mutualisée sur l’ensemble des clients du cabinet |
| Continuité | Dépend d’une personne : absence, départ | Assurée par le cabinet, avec un suppléant |
Ce que je constate en mission
Dans les PME que j’accompagne, la question se pose rarement en termes de principe. Elle se pose le jour où le « DPO interne » désigné en 2018, souvent le responsable informatique, change de poste ou quitte l’entreprise, et où personne ne sait plus où est le registre. Le passage à un DPO externalisé commence alors par reconstituer ce qui existe, puis par poser un fonctionnement qui ne dépend plus d’une seule personne. — Thomas Blanc, DPO externalisé depuis 2018
Quel modèle pour quelle entreprise ?
- TPE et PME de moins de 250 salariés : DPO externalisé, avec un référent interne. Le coût d’un salarié ne se justifie pas et le cumul avec une autre fonction est risqué.
- ETI et groupes : DPO interne à temps plein, parfois appuyé par un cabinet externe pour les audits, les analyses d’impact ou les filiales étrangères.
- Organismes publics et secteurs très exposés : DPO interne lorsque le volume le justifie, sinon DPO mutualisé entre plusieurs entités ou externalisé, ce que le RGPD autorise expressément.
- Structures soumises à la LPD suisse : la loi n’impose pas de conseiller à la protection des données aux entreprises privées, mais le désigner, en interne ou en externe, simplifie les analyses d’impact.
Comment choisir son DPO externe ?
Si vous optez pour l’externalisation, sept critères comptent : l’expérience dans votre secteur, l’indépendance réelle, la disponibilité et le suppléant, le contenu précis de la mission, l’assurance responsabilité civile, la méthode et la neutralité vis-à-vis des logiciels, et le mode de facturation. Notre guide comment choisir son DPO externe les détaille avec les dix questions à poser avant de signer, et notre page sur le tarif d’un DPO externe donne les ordres de grandeur.
Questions fréquentes
Un DPO peut-il être mutualisé entre plusieurs entités ?
Oui. L’article 37 du RGPD permet à un groupe d’entreprises de désigner un seul DPO, à condition qu’il reste facilement joignable depuis chaque établissement, et à plusieurs organismes publics de mutualiser la fonction. Le DPO externalisé est par construction mutualisé entre les clients du cabinet.
Peut-on combiner un DPO externe et un référent RGPD interne ?
C’est même le montage le plus efficace pour une PME : le référent interne connaît les équipes et relaie les demandes, le DPO externe apporte l’expertise, l’indépendance et la responsabilité de la désignation. Notre article sur le DPO et le référent RGPD décrit la répartition des rôles.
Quels risques si le DPO interne n’est pas réellement indépendant ?
La désignation peut être contestée lors d’un contrôle, et l’autorité peut sanctionner l’organisme : en 2022, l’autorité de Berlin a infligé 525 000 € d’amende à une entreprise dont le DPO contrôlait des décisions qu’il prenait lui-même à un autre titre. Notre article sur les fonctions incompatibles avec celle de DPO liste les cas à éviter.
À partir de quelle taille un DPO interne devient-il pertinent ?
Lorsque le volume de traitements justifie un temps plein, en pratique à partir de plusieurs centaines de salariés ou d’un secteur très exposé (santé, banque, secteur public). En dessous, le temps partiel interne cumule les inconvénients : coût d’un salarié, compétence difficile à maintenir, indépendance fragile.
Vous hésitez encore ?
Un échange de 30 minutes suffit pour déterminer si votre structure relève d’un DPO interne, externalisé ou mutualisé, et pour chiffrer la mission.
Sources
- Règlement (UE) 2016/679 (RGPD), articles 37 à 39
- CNIL, « Le délégué à la protection des données (DPO) »
- CNIL, désignation du DPO
