Choisir un DPO
DPO externalisé : prix, fonctionnement et comment choisir
Ce que fait un DPO externe, ce que l'organisme garde à sa charge, les prix publiés par les prestataires et les questions à poser avant de signer.
Un organisme qui doit désigner un délégué à la protection des données (DPO) n'est pas obligé de le recruter. Le RGPD lui permet de confier cette fonction à un prestataire, par un contrat de service (article 37, paragraphe 6). C'est ce qu'on appelle un DPO externe, ou externalisé.
Comment fonctionne un DPO externalisé
Le prestataire est déclaré à la CNIL comme DPO de l'organisme, et ses coordonnées sont publiées pour les personnes concernées, qui peuvent le contacter au sujet de leurs données. Il exerce les mêmes missions qu'un DPO salarié. Le RGPD en fixe le minimum (article 39) :
Informer et conseiller
La direction, les équipes et les sous-traitants, sur leurs obligations. Il donne aussi un avis, sur demande, sur les analyses d'impact.
Contrôler
Le respect du RGPD et des règles internes, y compris la formation du personnel et les audits.
Faire le lien avec la CNIL
Il coopère avec elle et sert de point de contact, notamment lors d'un contrôle ou d'une consultation préalable.
En face, l'organisme a lui aussi des obligations (article 38) : associer le DPO en temps utile à toutes les questions de protection des données, lui donner accès aux données et aux traitements, lui fournir les ressources nécessaires, ne pas lui donner d'instruction sur l'exercice de ses missions, et le laisser rendre compte directement à la direction.
Externaliser le DPO ne transfère pas la responsabilité. La CNIL le rappelle : le délégué n'est pas personnellement responsable de la non-conformité de son organisme. Cette responsabilité reste celle du responsable de traitement, et elle ne peut pas être transférée au DPO par délégation de pouvoir.
DPO interne ou externe : ce qui change
| DPO interne | DPO externe | |
|---|---|---|
| Lien avec l'organisme | Salarié ou agent | Contrat de service |
| Coût | Une part de salaire, selon le temps consacré | Un abonnement ou un forfait |
| Conflit d'intérêts | Peut être incompatible avec certaines fonctions, selon la CNIL : direction générale, direction financière, marketing, ressources humaines, informatique | Interdit de représenter l'organisme devant les tribunaux sur des questions de données personnelles, selon la CNIL |
| Connaissance de l'organisme | Immédiate | À construire au début de la mission |
Dans les deux cas, le DPO doit disposer du temps et des compétences nécessaires, et il est tenu au secret professionnel ou à une obligation de confidentialité.
Combien coûte un DPO externalisé ?
La plupart des prestataires travaillent sur devis. Parmi ceux de notre classement dont l'offre a été relevée, 108 présentent une offre de DPO externe sans aucun prix, et 11 affichent un tarif d'entrée sur leur site : de 40 à 250 € par mois, avec une valeur médiane de 180 €.
Ces prix ne sont pas directement comparables : chaque offre fixe ses propres conditions. Quelques exemples relevés sur les sites des prestataires :
- une offre limitée aux structures de 15 salariés au plus et à une seule entité ;
- une offre réservée aux structures de 1 à 9 personnes ;
- une offre réservée aux adhérents d'un groupement de pharmacies ;
- une offre pour indépendants avec un engagement de 12 mois.
Le prix dépend donc surtout de la taille de l'organisme, du nombre d'entités ou d'établissements, de la sensibilité des données traitées et de ce qui est inclus dans l'abonnement.
Qui sont les prestataires ?
Le fichier de la CNIL permet de compter les sociétés désignées comme DPO par d'autres organismes. Au 5 novembre 2026, il y en a 1 309. Mais la plupart n'ont que quelques clients, et ce total inclut aussi des sociétés désignées par d'autres sociétés de leur propre groupe.
Seules 250 sociétés comptent au moins 10 clients, et 403 ont été désignées au moins une fois au cours des 12 derniers mois. Parmi les prestataires de notre classement dont le métier a été identifié, on trouve surtout trois profils : des cabinets spécialisés en DPO et RGPD, des cabinets d'avocats et des sociétés informatiques.
Les questions à poser avant de signer
Ces critères sont nos recommandations : aucun n'est imposé par le RGPD.
- Connaît-il votre secteur ?Une clinique, une commune et un éditeur de logiciels n'ont pas les mêmes traitements. Les classements par secteur montrent qui a l'habitude de structures comme la vôtre.
- Qui sera votre interlocuteur ?Une personne nommée, joignable, et le temps prévu chaque mois ou chaque année.
- Qu'est-ce qui est inclus ?Registre des traitements, analyses d'impact, réponses aux demandes des personnes, gestion des violations de données, formation des équipes.
- Peut-il venir sur place ?Selon vos besoins, la proximité peut compter. Les classements par région aident à trouver un prestataire proche.
- Quel engagement ?La durée du contrat, le préavis, et ce que vous récupérez en partant : registre, documents, historique.
- Y a-t-il un conflit d'intérêts ?La CNIL interdit au DPO externe de vous représenter en justice sur des questions de données personnelles. Un prestataire qui gère aussi votre informatique doit pouvoir expliquer comment il reste indépendant.
En résumé
- Le RGPD permet de confier la fonction de DPO à un prestataire, par un contrat de service.
- Le prestataire exerce les mêmes missions qu'un DPO interne, mais la responsabilité reste à l'organisme.
- Les tarifs d'entrée publiés vont de 40 à 250 € par mois, à conditions très variables : la plupart des prestataires travaillent sur devis.
Pour comparer les prestataires, consultez le classement des DPO externes, la page des tarifs avec le lien vers chaque prix, ou décrivez votre structure pour être orienté.
Sources : RGPD, articles 37, 38 et 39 ; CNIL, « Devenir délégué à la protection des données » (responsabilité, conflits d'intérêts) ; CNIL, fichier des organismes ayant désigné un DPO (data.gouv.fr, Licence Ouverte 2.0) ; tarifs relevés par comparatif-dpo.fr sur les sites des prestataires en octobre et novembre 2026.