L'essentiel en bref
- Le délégué à la protection des données externe est expressément prévu par l'article 37, paragraphe 6 du RGPD. La fonction peut être exercée sur la base d'un contrat de service et n'a pas à être occupée par un membre de votre personnel.
- La formation initiale d'un DPO interne coûte 3 000 à 5 000 € en une fois, la formation continue obligatoire environ 1 500 € par an. S'y ajoutent 600 à 1 000 € de complément de salaire mensuel et 30 à 40 % du temps de travail d'une personne.
- Les mandats externes sont majoritairement facturés au forfait mensuel, dans une fourchette de marché de 30 à 800 € selon la taille de l'entreprise (marché germanophone, situation en août 2026).
- L'article 38, paragraphe 3 du RGPD interdit toute instruction au délégué à la protection des données et le protège contre une révocation liée à l'exercice de ses missions. En interne, cela entre régulièrement en conflit avec la ligne hiérarchique ; en externe, le conflit ne naît pas.
- Direction générale, responsable informatique, responsable des ressources humaines et administrateurs ne peuvent pas assumer la fonction en raison du conflit d'intérêts prévu à l'article 38, paragraphe 6 du RGPD. Dans les équipes de moins de 250 personnes, la solution interne s'y heurte souvent.
Les avantages d'un DPO externe se ramènent à quatre points : une expertise disponible immédiatement, un coût calculable à l'avance, une indépendance vis-à-vis de la ligne hiérarchique et une charge qui s'ajuste au besoin. L'article 37, paragraphe 6 du RGPD place les deux voies sur un pied d'égalité juridique. Confier la fonction à un salarié ou l'exercer dans le cadre d'un contrat de service relève d'un choix économique, pas d'une contrainte légale. Cet article montre où la solution externe fait mieux en pratique et où elle ne fait pas mieux.
Quatre avantages d'un DPO externe
1. Une expertise qu'il faudrait autrement construire en interne
L'article 37, paragraphe 5 du RGPD exige une désignation fondée sur les qualités professionnelles et, en particulier, sur les connaissances spécialisées du droit et des pratiques en matière de protection des données. En pratique, les connaissances juridiques ne suffisent pas. Qui pilote une conformité RGPD doit aussi lire des architectures informatiques, évaluer des risques et comprendre des processus métier. Cette combinaison est difficile à recruter et difficile à construire en interne comme mission annexe.
Un mandat externe est en général porté par une équipe constituée, pas par une personne seule. Jurisprudence, lignes directrices des autorités de contrôle et pratique décisionnelle y sont suivies en continu, parce que plusieurs mandats en dépendent. L'article 38, paragraphe 2 du RGPD oblige le responsable du traitement à fournir les ressources nécessaires au maintien des connaissances spécialisées du délégué. Avec une désignation interne, c'est une ligne budgétaire récurrente ; avec un mandat externe, c'est compris dans le prix.
La différence se voit surtout sous pression. Après une violation de données à caractère personnel, la notification prévue à l'article 33 du RGPD doit être correcte en 72 heures. Qui traverse ce processus pour la première fois perd exactement le temps que le délai ne laisse pas.
2. Un coût calculable à l'avance
Le coût d'un DPO interne se trouve rarement dans le salaire. La formation initiale coûte 3 000 à 5 000 € en une fois, la formation continue obligatoire environ 1 500 € par an, le complément de rémunération lié à la responsabilité supplémentaire 600 à 1 000 € par mois. S'y ajoutent 30 à 40 % du temps de travail qui manquent au poste d'origine. Pourvoir la fonction en interne n'ajoute pas une compétence : cela retire une partie d'un poste existant.
Un mandat externe, lui, est chiffré avant signature. Sur le marché germanophone, le plus mature d'Europe sur ce sujet, les forfaits mensuels vont de 30 € pour les très petites structures avec engagement long à 800 € pour les entreprises de taille intermédiaire, et les mandats horaires se situent entre 100 et 200 €. Une idée fausse répandue veut que le forfait soit le prix total. Audit initial, revue des contrats de sous-traitance, analyses d'impact relatives à la protection des données et rendez-vous sur site sont facturés séparément par de nombreux prestataires. Le détail des blocs et de leur prix figure dans notre analyse de ce que coûte un DPO externe.
Un exemple chiffré. Une entreprise SaaS de 60 salariés désigne en interne sa responsable des opérations juridiques. La première année, comptez 4 000 € de formation initiale, 1 500 € de formation continue et 9 600 € de complément de salaire, soit 15 100 € avant qu'un seul traitement ne soit documenté. Un mandat externe de cette taille se situe autour de 500 € par mois, soit 6 000 € par an, plus la mise en place initiale.
3. Une indépendance sans conflit d'intérêts
L'article 38, paragraphe 3 du RGPD est explicite sur ce point. Le délégué à la protection des données ne reçoit aucune instruction concernant l'exercice de ses missions, il ne peut être relevé de ses fonctions ni pénalisé pour les avoir exercées et il rend directement compte au niveau le plus élevé de la direction. Le paragraphe 6 ajoute que d'autres missions ne sont admises que si elles n'entraînent pas de conflit d'intérêts.
C'est difficile à construire proprement en interne. Direction générale, responsable informatique et responsable des ressources humaines décident précisément des traitements que le délégué doit contrôler, et les administrateurs les mettent en œuvre. Ces quatre profils sont donc écartés. Dans les équipes de moins de 250 personnes, il ne reste souvent qu'une désignation formellement admissible mais pas la plus solide sur le fond. Confier la fonction à l'extérieur contourne la question, puisqu'il n'existe alors aucun second rôle dans l'entreprise avec lequel entrer en conflit.
En France, l'obligation de désigner un délégué découle uniquement de l'article 37 du RGPD, sans seuil d'effectif : elle s'applique aux organismes publics, en cas de suivi systématique à grande échelle ou de traitement à grande échelle de données sensibles. Le raisonnement sur le conflit d'intérêts, lui, ne dépend d'aucun seuil et vaut dès qu'un délégué est désigné, que la désignation soit obligatoire ou volontaire.
4. De la souplesse quand le besoin varie
La charge en matière de protection des données n'est pas constante. Un lancement de produit, un nouvel outil d'analyse, un changement d'hébergeur ou une analyse d'impact au titre de l'article 35 du RGPD créent des pics séparés par des périodes calmes. Un poste interne est dimensionné pour la moyenne et convient donc mal aux deux situations.
Un mandat externe se dimensionne au besoin. Si l'entreprise grandit, le périmètre grandit avec elle, sans avoir à ouvrir un poste. Si l'ISO 27001, NIS2 ou le règlement européen sur l'IA s'ajoutent plus tard, la documentation et l'interlocuteur restent les mêmes. Si la personne qui vous suit est indisponible, l'équipe du prestataire prend le relais, là où en interne la suppléance doit d'abord être organisée.
DPO interne ou externe : où se situe la différence
Les deux voies sont juridiquement équivalentes. La différence tient aux conditions d'exercice et à ce qui en découle.
Un point ne bouge pas avec l'externalisation : la responsabilité du respect du RGPD reste chez le responsable du traitement. Le délégué contrôle et conseille. Il ne décide pas et il n'assume pas la responsabilité à la place de l'entreprise. Un mandat achète de l'expertise et de l'indépendance, pas une exonération.
Que fait un DPO externe ?
Les missions d'un DPO externe sont les mêmes que celles d'un DPO interne. L'article 39 du RGPD en cite cinq : informer et conseiller l'entreprise et ses collaborateurs, contrôler le respect du droit de la protection des données y compris la sensibilisation et la formation, dispenser des conseils sur l'analyse d'impact au titre de l'article 35 et en vérifier l'exécution, coopérer avec l'autorité de contrôle et faire office de point de contact pour celle-ci.
Au quotidien, cela signifie surtout trois choses. Il tient et met à jour la documentation, à savoir le registre des traitements, les mesures techniques et organisationnelles, la politique de suppression et les contrats de sous-traitance. Il élabore les règles encadrant la collecte, le traitement, la conservation et la suppression licites des données et les actualise quand les processus, la technique ou le droit changent. Et il est le point de contact vers l'extérieur : pour l'autorité de contrôle, pour les personnes concernées et pour leurs demandes d'accès, d'effacement, de rectification, de portabilité et de limitation du traitement.
S'y ajoute le travail sur l'organisation elle-même. Les formations à la protection des données sont la partie qui reste le plus souvent en attente et celle qui ressort le plus vite lors d'un audit. Après une évolution du droit ou une nouvelle ligne directrice, le niveau de connaissance dans l'entreprise doit suivre, sinon les règles ne s'appliquent à personne.
Kertos comme DPO externe
Kertos met à disposition le délégué à la protection des données externe sous la forme d'un expert certifié nommément désigné, associé à la plateforme sur laquelle la documentation est produite. Le mandat comprend la désignation et la déclaration auprès de l'autorité de contrôle avec le certificat de nomination, un lancement structuré incluant la revue de votre documentation existante et des réglages de votre site web, ainsi qu'un accompagnement continu.
La différence avec un mandat de conseil classique tient à la part de travail qui reste chez vous. L'agent IA KAIA et plus de 100 intégrations prennent en charge l'inventaire, la collecte de preuves et la documentation, tandis que l'expert certifié tranche ce qui exige une véritable expertise. Les clients réduisent leur charge de conformité manuelle d'environ 80 % et leurs coûts de conformité jusqu'à 60 % par rapport au conseil traditionnel.
« Un accompagnement remarquable après l'achat. Nous avons souscrit au DPO et il nous a déjà énormément aidés. Toujours joignable rapidement, par écrit ou directement en visio. »
Philipp H., Co-Founder, B2B SaaS, G2
« Nous apprécions particulièrement le service DPO intégré. C'est comme avoir un expert en protection des données à bord, sans la charge supplémentaire. »
Verified User, Renewables & Environment, G2
Pour savoir comment un mandat serait dimensionné pour votre entreprise, demandez un devis. Nous passons les exigences en revue et vous montrons la plateforme appliquée à vos propres processus.
Questions fréquentes
Quels sont les avantages d'un DPO externe ?
Une expertise disponible immédiatement, un coût calculable à l'avance, une indépendance sans conflit d'intérêts et une charge qui s'ajuste au besoin. Dans les petites structures, le facteur le plus déterminant est en général l'indépendance, puisque direction générale, responsable informatique, responsable RH et administrateurs ne peuvent pas assumer la fonction au titre de l'article 38, paragraphe 6 du RGPD.
Un DPO externe est-il moins cher qu'un DPO interne ?
En général oui. Un DPO interne représente 3 000 à 5 000 € de formation initiale, environ 1 500 € de formation continue par an et 600 à 1 000 € de complément de salaire mensuel, plus 30 à 40 % de son temps de travail. Les forfaits mensuels externes vont de 30 à 800 € selon la taille de l'entreprise.
Un délégué à la protection des données peut-il être externe ?
Oui. L'article 37, paragraphe 6 du RGPD prévoit expressément que le délégué peut être un membre du personnel ou exercer ses missions sur la base d'un contrat de service. Les deux voies sont juridiquement équivalentes.
Qui, dans l'entreprise, ne peut pas être délégué à la protection des données ?
Au titre de l'article 38, paragraphe 6 du RGPD, la fonction ne doit pas entraîner de conflit d'intérêts. Sont donc exclues les personnes qui décident des finalités et des moyens du traitement ou qui les mettent en œuvre, en pratique surtout la direction générale, le responsable informatique, le responsable des ressources humaines et les administrateurs.
Un DPO externe est-il responsable en cas de manquement au RGPD ?
Non. La responsabilité du respect du RGPD reste chez le responsable du traitement, c'est-à-dire l'entreprise. Le délégué contrôle et conseille au titre de l'article 39 du RGPD. Il ne prend aucune décision de traitement et ne se substitue pas à l'entreprise.
