DPO interne ou externalisé : comment choisir, et combien coûte un DPO externalisé

Le départ d'un délégué à la protection des données, qu'il s'agisse d'une démission, d'une mobilité interne ou d'un congé maternité de plusieurs mois, place brutalement une organisation devant une question qu'elle avait rarement anticipée : qui assure la fonction pendant la vacance ? Le RGPD ne prévoit aucune suspension de l'obligation de conformité au motif que le titulaire du poste est absent. La CNIL peut solliciter le DPO à tout moment, une personne concernée peut exercer ses droits, une violation de données peut survenir un lundi de congé. Cette analyse examine pourquoi l'externalisation constitue souvent la réponse la plus rationnelle pour un remplacement ou une transition, met en lumière l'intérêt de confier cette fonction à un avocat DPO, et décompose les paramètres qui déterminent le coût d'un DPO externalisé. En pratique, j'interviens comme DPO externalisé désigné auprès de la CNIL, aussi bien pour porter durablement la fonction au sein d'une ou plusieurs entités que pour couvrir un remplacement ponctuel lié à un congé maternité ou au départ d'un délégué démissionnaire.

Une fonction que le RGPD impose de rendre permanente

Le délégué à la protection des données, ou DPO (Data Protection Officer), est encadré par les articles 37 à 39 du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD. L'article 37 rend sa désignation obligatoire dans trois hypothèses : lorsque le traitement est effectué par une autorité ou un organisme public, lorsque les activités de base du responsable de traitement consistent en un suivi régulier et systématique à grande échelle des personnes concernées, ou lorsqu'elles consistent en un traitement à grande échelle de catégories particulières de données (données de santé, opinions, données biométriques) ou de données relatives à des condamnations.

En dehors de ces cas, la désignation reste facultative, mais la CNIL la recommande dès qu'une organisation traite des données personnelles de manière significative. L'obligation de désigner un délégué ne pèse d'ailleurs pas sur le seul responsable de traitement : un sous-traitant qui remplit lui-même l'un des critères de l'article 37 doit désigner son propre délégué. Un point est structurant pour comprendre l'enjeu du remplacement : la désignation n'est pas un acte ponctuel. L'article 37.7 impose de publier les coordonnées du délégué et de les communiquer à l'autorité de contrôle, en France la CNIL (Commission nationale de l'informatique et des libertés). Le DPO devient ainsi le point de contact officiel, opposable, vis-à-vis de l'autorité comme des personnes concernées.

« Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel » (article 38.1 du RGPD).

Cette exigence de continuité a une conséquence directe : une organisation ne peut pas se retrouver sans DPO pendant plusieurs mois sans se placer en situation d'infraction. Le poste vacant n'est pas seulement un inconfort organisationnel, c'est une faille de conformité que la CNIL peut relever à l'occasion d'un contrôle ou de l'instruction d'une plainte.

Ce que révèlent les chiffres de la répression

L'activité répressive de la CNIL montre que ce risque n'est pas théorique. En 2023, l'autorité a prononcé 42 sanctions pour un montant cumulé de 89 179 500 euros, auxquelles s'ajoutent 168 mises en demeure et 33 rappels aux obligations légales. En 2024, la CNIL a poursuivi cette dynamique avec 87 sanctions représentant un total de 55 212 400 euros d'amendes, dont une large part prononcée dans le cadre de la procédure de sanction simplifiée créée pour traiter plus rapidement les manquements les moins complexes. Le nombre de plaintes reçues dépasse chaque année les 16 000, chacune pouvant déboucher sur une instruction au cours de laquelle l'autorité sollicite le délégué désigné.

Le montant maximal encouru rappelle l'ampleur de l'enjeu : l'article 83 du RGPD autorise des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Plusieurs sanctions marquantes prononcées par la CNIL ont dépassé la dizaine, voire la centaine de millions d'euros. Or les manquements relatifs à la gouvernance de la fonction DPO (défaut de désignation, absence de moyens, conflit d'intérêts, indisponibilité du point de contact) figurent parmi les griefs régulièrement relevés. Laisser le poste vacant pendant une absence longue expose donc l'organisation à un risque financier tangible, dans un contexte où la CNIL a nettement intensifié sa politique de sanction.

Le congé maternité du DPO, un angle mort de la continuité

Le cas du congé maternité illustre parfaitement la fragilité d'un dispositif reposant sur un délégué interne unique. Un congé maternité représente une absence prévisible mais longue, de plusieurs mois, éventuellement prolongée par un congé parental. Pendant cette période, la fonction ne s'éteint pas : les demandes d'accès, de rectification et d'effacement continuent d'arriver, les projets de l'organisation continuent de générer de nouveaux traitements à cartographier, et une éventuelle violation de données doit toujours être notifiée à la CNIL dans les 72 heures prévues par l'article 33 du RGPD.

Trois solutions existent, mais elles ne se valent pas. Confier temporairement la fonction à un autre salarié suppose que cette personne dispose des compétences requises par l'article 37.5, qui exige une désignation sur la base de connaissances spécialisées du droit et des pratiques en matière de protection des données. Improviser un remplacement en interne aboutit souvent à un délégué de façade, qui porte le titre sans pouvoir exercer réellement les missions. Laisser le poste vacant est juridiquement intenable. Reste l'externalisation temporaire, qui permet de désigner un délégué compétent pour la durée exacte de l'absence, avec une bascule officielle des coordonnées auprès de la CNIL, puis un retour au titulaire à son retour.

C'est précisément le type d'intervention que je propose : je peux être désigné auprès de la CNIL comme DPO externalisé pour la seule période du congé maternité, prendre en charge immédiatement la fonction sans période de montée en compétence sur les fondamentaux juridiques, puis restituer les dossiers au titulaire à son retour. Ce schéma présente un avantage souvent négligé : le prestataire externe assure une passation dans les deux sens. Il reprend les dossiers en cours au moment du départ en congé et les restitue documentés au retour, ce qui évite la perte de mémoire opérationnelle qui accompagne fréquemment les absences longues.

Le départ du DPO, anticiper la vacance plutôt que la subir

La démission ou la mobilité d'un DPO interne pose un problème voisin mais plus aigu, car le départ est parfois brutal et la vacance non bornée dans le temps. Recruter un nouveau délégué salarié prend des mois entre la définition du besoin, le sourcing, les entretiens, le préavis du candidat retenu et sa montée en compétence sur les traitements spécifiques de l'organisation. Pendant cet intervalle, l'organisation reste tenue de disposer d'un délégué joignable et opérationnel.

L'externalisation joue ici un rôle de sécurisation de la transition. Elle permet de couvrir la période comprise entre le départ du titulaire et l'arrivée de son successeur, sans rupture de la fonction déclarée à la CNIL. Concrètement, en cas de démission ou de départ d'un délégué, je peux assurer l'intérim de la fonction officielle : désignation auprès de la CNIL, maintien de la continuité déclarative auprès de l'autorité et sécurisation juridique des décisions sensibles prises pendant la vacance. Cette solution offre également une option plus radicale : l'organisation peut profiter du départ pour réévaluer son modèle et basculer durablement vers un DPO externalisé, plutôt que de relancer mécaniquement un recrutement. Le départ d'un délégué constitue en effet le moment idéal pour auditer l'état réel de la conformité, car le successeur, interne ou externe, doit de toute façon reconstituer le registre des traitements, la cartographie et le suivi des demandes.

Sur le plan documentaire, la passation mérite d'être formalisée. Un DPO sortant devrait remettre le registre des traitements à jour, l'état des analyses d'impact relatives à la protection des données (AIPD), le suivi des violations notifiées, l'historique des demandes d'exercice de droits et le plan d'action en cours. J'intègre systématiquement cette reprise dans la mission de démarrage, ce qui limite le risque de trou noir documentaire.

Le conflit d'intérêts, ligne de partage entre interne et externalisé

L'article 38.6 du RGPD autorise le délégué à exécuter d'autres missions, mais pose une condition impérative :

« Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts. »

Ce qu'interdisent les lignes directrices européennes

Les lignes directrices du Comité européen de la protection des données (anciennement G29, groupe de travail « Article 29 »), adoptées le 13 décembre 2016 et révisées le 5 avril 2017, précisent la portée de cette exigence. Le délégué ne peut occuper, au sein de l'organisation, une position qui l'amène à déterminer les finalités et les moyens d'un traitement. Autrement dit, un responsable qui décide de la manière dont les données sont traitées ne peut pas contrôler ce qu'il a lui-même décidé.

Le G29 identifie comme incompatibles avec la fonction de délégué à la protection des données les postes suivants :

• direction générale ;
• directeur opérationnel ;
• directeur financier ;
• directeur des ressources humaines ;
• directeur informatique ;
• responsable marketing.

Un point de fragilité récurrent du modèle interne

Dans une PME, la tentation est forte de confier la casquette de DPO au directeur des systèmes d'information ou au responsable juridique, qui sont pourtant souvent décisionnaires sur les traitements qu'ils devraient contrôler. Un directeur informatique qui choisit un nouvel outil de messagerie et qui, en tant que délégué, devrait auditer la conformité de cet outil, se retrouve juge et partie.

La CNIL a d'ailleurs déjà sanctionné un manquement lié à cette situation : dans une décision où un délégué occupait simultanément des fonctions décisionnaires, l'autorité a relevé qu'un délégué placé en situation de conflit d'intérêts ne peut exercer sa mission dans les conditions d'indépendance exigées par le règlement. À l'échelle européenne, une autorité de contrôle a infligé une amende de plusieurs centaines de milliers d'euros à une société précisément pour avoir désigné comme DPO un responsable qui décidait par ailleurs des finalités et des moyens de traitements, illustration concrète du coût d'un tel manquement.

Pourquoi l'externalisation neutralise le risque

Le DPO externalisé neutralise mécaniquement ce risque. N'étant pas partie prenante aux décisions opérationnelles, il ne peut pas se retrouver à contrôler ses propres choix. Son indépendance ne repose pas sur une organisation interne fragile, mais sur son extériorité même. En intervenant comme avocat DPO, cette indépendance est doublement garantie : à l'extériorité s'ajoutent les règles déontologiques de la profession, qui prohibent le conflit d'intérêts et imposent une indépendance de principe dans l'exercice de toute mission. Cet argument dépasse la simple question du remplacement : il constitue l'un des ressorts de fond en faveur de l'externalisation.

Choisir entre interne et externalisé : les critères déterminants

La comparaison ne se réduit pas à une opposition de principe. Plusieurs paramètres orientent la décision.

• La taille et la complexité des traitements : une organisation qui traite des données de santé, réalise du profilage ou opère à l'échelle de plusieurs pays justifie une charge que seul un délégué disposant de temps dédié peut absorber. Un DPO interne à temps plein ou un prestataire spécialisé s'imposent alors.
• Le volume de sollicitations : une activité générant un flux régulier de demandes d'exercice de droits appelle une disponibilité que le cumul de fonctions en interne peine à garantir.
• Le niveau de maturité de la gouvernance des données : une organisation qui débute sa mise en conformité bénéficie souvent d'un regard externe pour structurer le registre, la cartographie et les procédures, tandis qu'une organisation mature peut se contenter d'un pilotage interne.
• L'existence d'un risque de conflit d'intérêts : lorsque les seuls profils internes disponibles occupent des fonctions décisionnaires sur les traitements, l'externalisation devient la voie la plus sûre au regard de l'article 38.6.
• La continuité recherchée : c'est le critère décisif pour un remplacement. Un salarié unique crée un point de défaillance individuel, alors qu'un prestataire structuré assure une permanence indépendante des congés, arrêts et départs.

Ces critères ne s'excluent pas. De nombreuses organisations adoptent un modèle hybride : un référent interne, correspondant informatique et libertés au sens opérationnel, épaulé par un DPO externalisé qui porte la fonction officielle, garantit l'indépendance et sécurise les décisions sensibles. Ce couple interne/externe combine la connaissance métier et l'expertise juridique.

Combien coûte un DPO externalisé

La question du prix d'un DPO externalisé appelle une réponse honnête : il n'existe pas de tarif unique, car la prestation recouvre des périmètres très différents. Le coût dépend d'un faisceau de paramètres qu'il faut identifier avant toute comparaison de devis. À titre indicatif, la facturation s'appuie le plus souvent sur un taux journalier (TJ) à partir de 1 000 euros HT la journée, décliné ensuite en forfaits selon le périmètre confié.

Les facteurs qui font varier le prix

• Le volume et la sensibilité des traitements : une PME du secteur du service qui traite principalement des données clients et RH ne mobilise pas la même charge qu'un acteur de la santé ou de l'adtech soumis à des analyses d'impact récurrentes.
• Le nombre d'entités couvertes : la désignation d'un délégué unique pour un groupe de plusieurs sociétés augmente le périmètre et donc le coût.
• Le niveau de maturité initial : reprendre une conformité inexistante, reconstituer un registre des traitements et cartographier des dizaines de traitements représente une charge de démarrage bien supérieure à la tenue d'un dispositif déjà structuré.
• Le volume de sollicitations attendu : demandes d'exercice de droits, sollicitations internes des métiers, réponses à la CNIL et gestion des violations pèsent sur le temps mobilisé.
• Le niveau de service : une prestation de portage formel, limitée à la désignation officielle et à un point de contact, se distingue nettement d'un accompagnement complet incluant formations, audits, rédaction de procédures et représentation face à l'autorité de contrôle.

Des fourchettes de prix indicatives

À partir d'un taux journalier de référence de 1 000 euros HT.

Pour un remplacement lié à un congé maternité ou au départ d'un délégué, le modèle le plus adapté est généralement un forfait à durée déterminée, calibré sur la période de vacance et sur le volume réel d'activité, complété le cas échéant par une clause de prise en charge des urgences, notamment la notification d'une violation de données dans le délai de 72 heures.

La comparaison économique avec le modèle interne

D'un point de vue purement budgétaire, il ne faut pas comparer la prestation externalisée à un simple tarif horaire brut, mais au coût complet d'un délégué salarié. Ce coût complet recouvre plusieurs postes :

• la rémunération chargée ;
• la formation continue ;
• l'outillage ;
• la veille juridique ;
• le coût de la vacance en cas d'absence.

Selon la taille de l'organisation, l'arbitrage penche différemment :

• Organisation de taille moyenne dont l'activité ne justifie pas un poste à temps plein : l'externalisation revient le plus souvent moins cher qu'un recrutement dédié, tout en apportant un niveau d'expertise supérieur à celui d'un salarié généraliste. Rapporté à un nombre de jours mobilisés quelques fois par mois, l'avocat DPO externalisé représente une charge maîtrisée et prévisible, généralement à partir de 1 000 à 1 500 euros HT par mois pour un portage courant, sans les coûts fixes d'un poste permanent.
• Grande organisation à fort volume : l'arbitrage se resserre et le modèle hybride devient pertinent.

À cette comparaison de coûts directs, il faut ajouter le coût du risque. Au regard des 55 millions d'euros d'amendes prononcées par la CNIL en 2024 et du plafond de 20 millions d'euros ou 4 % du chiffre d'affaires mondial, une vacance de la fonction DPO non couverte constitue un pari budgétaire disproportionné. Aucune de ces affirmations ne dispense d'une évaluation chiffrée au cas par cas, à partir d'un cahier des charges précis et d'un devis détaillant le périmètre couvert.

Ce qu'il faut retenir

Le remplacement d'un délégué à la protection des données, qu'il parte en congé maternité ou qu'il quitte l'organisation, n'ouvre pas une parenthèse pendant laquelle les obligations du RGPD se suspendraient. La fonction doit rester pourvue, déclarée à la CNIL et opérationnelle en continu. Sur ce terrain, le DPO externalisé présente un avantage décisif : il neutralise le point de défaillance individuel que constitue un salarié unique, il écarte le risque de conflit d'intérêts au sens de l'article 38.6, et il garantit une continuité que le modèle interne ne peut offrir seul. En intervenant comme avocat DPO externalisé, désigné auprès de la CNIL pour une ou plusieurs entités, en remplacement d'un départ ou en support d'une absence, j'ajoute la sécurité juridique et l'indépendance déontologique propres à la profession. Dans un contexte où la CNIL a prononcé 87 sanctions pour plus de 55 millions d'euros en 2024, le parti pris qui se dégage de cette analyse est clair : pour couvrir une absence ou un départ, l'externalisation temporaire ou pérenne est presque toujours la réponse la plus sûre et la plus économique, à condition de définir précisément le périmètre confié.

Avant de trancher, une recommandation concrète : ne traitez pas le départ ou l'absence de votre DPO dans l'urgence. Dès que l'échéance est connue, formalisez une passation documentée (registre des traitements, AIPD, suivi des demandes et des violations), rédigez un cahier des charges précisant le volume réel d'activité, et exigez du prestataire pressenti qu'il détaille dans son devis le périmètre exact, le modèle de facturation et ses engagements de disponibilité, notamment sur la notification des violations dans le délai de 72 heures.

Questions fréquentes

Le RGPD autorise-t-il expressément un DPO externalisé ? Oui. L'article 37.6 du RGPD prévoit que le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service. L'externalisation est donc pleinement conforme, à condition que le prestataire dispose des connaissances spécialisées exigées par l'article 37.5 et que ses coordonnées soient communiquées à la CNIL au titre de l'article 37.7.

Pourquoi choisir un avocat comme DPO externalisé ? L'avocat DPO cumule l'expertise en protection des données et une maîtrise plus large du droit (contrats, travail, consommation, responsabilité), tout en étant soumis à un secret professionnel et à une obligation déontologique d'indépendance. En remplacement d'un départ ou en support d'une absence, il assure une prise en charge immédiate de la fonction et sécurise juridiquement les décisions sensibles prises pendant la vacance, y compris la gestion d'une violation ou d'un contrôle de la CNIL.

Peut-on rester sans DPO pendant un congé maternité ? Non, lorsque la désignation est obligatoire au sens de l'article 37.1. L'obligation ne se suspend pas : la fonction doit demeurer pourvue pendant toute l'absence, car les obligations de conformité restent en vigueur. La CNIL peut solliciter le délégué à tout moment et une violation de données doit être notifiée dans les 72 heures selon l'article 33. Un remplacement, interne compétent ou externalisé, s'impose.

Quel est le montant des sanctions encourues en cas de manquement ? L'article 83 du RGPD permet des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En pratique, la CNIL a prononcé 42 sanctions pour 89 179 500 euros en 2023, puis 87 sanctions pour 55 212 400 euros en 2024. Les manquements relatifs à la gouvernance de la fonction DPO, dont le conflit d'intérêts et l'indisponibilité du point de contact, figurent parmi les griefs régulièrement relevés.

Combien coûte un avocat DPO externalisé ? Le coût dépend du volume réel d'activité, du nombre d'entités couvertes, du niveau de maturité initial de la conformité et du niveau de service attendu. Il n'existe pas de tarif unique : chaque mission fait l'objet d'un devis calibré sur le périmètre confié. À titre indicatif, la facturation repose sur un taux journalier à partir de 1 000 euros HT, ce qui correspond en pratique à un portage courant à partir de 1 000 à 1 500 euros HT par mois pour une PME, et à des forfaits plus élevés pour les organisations à fort volume ou aux traitements sensibles. Pour un remplacement, un forfait à durée déterminée calibré sur la période de vacance permet une prévision de coût précise.

Comment changer de DPO auprès de la CNIL ? La désignation, la modification et la fin de mission d'un délégué se déclarent via le téléservice dédié de la CNIL. Lors d'un remplacement, il faut mettre à jour les coordonnées du délégué en fonction, puis rétablir celles du titulaire à son retour de congé. Cette mise à jour matérialise la continuité exigée par l'article 37.7.

Un directeur informatique peut-il être DPO ? En principe non, car un directeur des systèmes d'information détermine généralement les moyens des traitements et se trouverait à contrôler ses propres décisions. Les lignes directrices du G29 du 13 décembre 2016, révisées le 5 avril 2017, citent explicitement ce type de fonction comme incompatible au regard du conflit d'intérêts prohibé par l'article 38.6. Plusieurs autorités européennes ont d'ailleurs sanctionné des désignations de ce type par des amendes de plusieurs centaines de milliers d'euros. Un DPO externalisé écarte ce risque par construction.

Quelle différence entre un DPO externalisé et un DPO mutualisé ? Le DPO externalisé exerce ses missions sur la base d'un contrat de service conclu avec un prestataire tiers. Le DPO mutualisé est un délégué unique désigné pour couvrir plusieurs entités d'un même groupe ou plusieurs organismes publics, sur le fondement des articles 37.2 et 37.3, à condition d'être facilement joignable depuis chaque établissement. Les deux modèles peuvent se combiner : je peux ainsi être désigné auprès de la CNIL comme délégué unique pour plusieurs entités d'un même groupe.

Un sous-traitant doit-il désigner son propre DPO ? Oui, dès lors qu'il remplit lui-même l'un des critères de l'article 37.1 (organisme public, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles). L'obligation de désignation pèse alors sur le sous-traitant indépendamment de celle qui incombe au responsable de traitement. Chacun peut recourir à un délégué interne, externalisé ou mutualisé selon sa situation.

Combien de temps faut-il pour mettre en place un DPO externalisé ? La désignation formelle et la déclaration à la CNIL sont rapides, de l'ordre de quelques jours. La véritable montée en charge dépend de l'état initial de la conformité : reprendre le registre des traitements, la cartographie et les demandes en cours demande davantage de temps lorsque le dispositif était peu structuré. C'est précisément pour cette raison qu'il est préférable d'anticiper le départ ou l'absence du délégué, afin d'organiser une passation ordonnée plutôt qu'une reprise dans l'urgence.