Combien coûte un DPO externe ?

Dernière mise à jour : 6 octobre 2026.

L'essentiel en bref

• Les délégués à la protection des données externes sont majoritairement facturés au forfait mensuel. Les tarifs publiés vont d'environ 33 € par mois pour les très petites structures avec un engagement de trois ans à 900 € par mois pour les entreprises de taille intermédiaire; l'association professionnelle allemande des délégués à la protection des données place le plancher nettement plus haut, entre 100 et 150 € (situation en septembre 2026).
• Les mandats facturés à l'heure se situent entre 100 et 200 € de l'heure. Cortina Consult et Gesellschaft für Datenschutz retiennent indépendamment l'un de l'autre une moyenne de marché d'environ 150 €.
• Le forfait mensuel est rarement le coût total. Audit initial, revue des contrats de sous-traitance, analyses d'impact, politique de suppression, formations et rendez-vous sur site sont facturés séparément par de nombreux prestataires.
• Un DPO interne coûte généralement plus cher : 3 000 à 5 000 € de formation initiale et environ 1 500 € de formation continue par an, auxquels s'ajoutent 600 à 1 000 € de complément de salaire mensuel, le tout selon le prestataire Keyed (situation en octobre 2025). Aucune donnée d'association n'existe sur la part de temps de travail que représente la fonction; l'association professionnelle allemande des délégués à la protection des données rejette explicitement les formules de charge forfaitaires.

Les tarifs annoncés pour un délégué à la protection des données externe vont de 33 € à plusieurs centaines d'euros par mois, et les offres qui se cachent derrière sont difficilement comparables. La raison est simple : le forfait ne couvre qu'une partie de la prestation. Pour budgéter correctement, examinez trois blocs séparément, à savoir l'accompagnement récurrent, les travaux de mise en place initiale et la charge qui reste dans votre équipe.

Combien coûte un DPO externe par mois ?

Les fourchettes ci-dessous résument ce que les prestataires allemands publient pour des mandats de DPO externe, mises en regard de l'appréciation de l'association professionnelle allemande des délégués à la protection des données. Le marché germanophone est le plus mature d'Europe sur ce sujet (situation au 24 septembre 2026, prix hors taxes).

L'association professionnelle allemande place le plancher plus haut que les prestataires les moins chers. Elle retient des coûts fixes à partir d'environ 100 à 150 € par mois, une moyenne de 150 à 300 € pour les petites entreprises et de 500 à 2 000 € pour les plus grandes. Lorsqu'une offre se situe nettement en dessous, lisez le descriptif des prestations; l'écart de prix tient presque toujours au périmètre inclus, non à l'efficacité du prestataire.

Sources des fourchettes, relevées sur les pages des prestataires le 24 septembre 2026 : IITR Datenschutz (32,50 € par mois jusqu'à 20 salariés, 290 € jusqu'à 50 salariés), Cortina Consult (à partir de 125 € par mois), Mprotect365 (à partir de 79 € par mois, 350 à 900 € de 51 à 250 salariés), Keyed (350 à 800 € par mois) et Gesellschaft für Datenschutz (forfaits à partir de 149 € par mois, contrat-cadre au-delà de 250 salariés).

Les prix d'appel les plus bas sont liés à des engagements longs. IITR Datenschutz publie le même tarif à 32,50 € sur trois ans et à 49 € sur un an, soit un surcoût de plus de 50 % pour l'engagement court; Gesellschaft für Datenschutz commercialise ses forfaits sur 24 mois. Le périmètre est lui aussi plafonné en entrée de gamme. Dans un exemple chiffré publié par Gesellschaft für Datenschutz, une redevance de base de 100 € comprend dix traitements et une heure de support par mois, chaque traitement supplémentaire et chaque revue de contrat de sous-traitance étant facturés à l'unité. Il s'agit d'un exemple isolé de prestataire et non d'une règle de marché; il montre toutefois le levier sur lequel repose un prix d'appel bas.

Combien coûtent l'audit, la formation et les prestations complémentaires ?

Sources, relevées le 24 septembre 2026 : la fourchette horaire provient de Cortina Consult, qui indique 100 à 200 € avec une moyenne de marché d'environ 150 €; Gesellschaft für Datenschutz retient indépendamment la même moyenne de 150 €, sur une amplitude totale de 40 à 800 €. Mprotect365 facture le support ponctuel entre 100 et 150 € de l'heure. Les tarifs journaliers de l'audit initial proviennent de Gesellschaft für Datenschutz, les forfaits de Mprotect365. Les montants relatifs à la mise en place initiale et au DPO interne proviennent de Keyed (situation en octobre 2025).

Un DPO interne est-il moins cher ?

Sur le plan financier, presque jamais. À la formation initiale et continue s'ajoutent le complément de rémunération lié à la responsabilité supplémentaire et la part de temps de travail qui manque au poste d'origine. L'ampleur de cette part ne se généralise pas sérieusement. Le prestataire Keyed avance 30 à 40 % du temps de travail; l'association professionnelle allemande des délégués à la protection des données a au contraire retenu, dans sa prise de position sur l'estimation des charges (mars 2020), que des règles de calcul indifférenciées ne produisent pas de résultats réalistes, et ne cite qu'une seule valeur de référence, la recommandation de la Commissaire fédérale à la protection des données de décharger totalement le DPO à partir de 500 salariés. La responsabilité, elle, reste dans l'entreprise dans les deux cas. Dans les équipes de moins de 250 personnes, la solution interne se heurte de plus souvent au conflit d'intérêts : direction générale, responsable informatique, responsable des ressources humaines et administrateurs ne peuvent pas assumer cette fonction.

Sur l'obligation elle-même, la règle dépend du pays. En France, la désignation d'un délégué à la protection des données découle uniquement de l'article 37 du RGPD, sans seuil d'effectif : elle est obligatoire pour les organismes publics, en cas de suivi systématique à grande échelle ou de traitement à grande échelle de données sensibles. En Allemagne, une obligation nationale supplémentaire s'applique dès que 20 personnes au moins traitent de façon permanente des données à caractère personnel de manière automatisée (§ 38 al. 1 phrase 1 BDSG), ainsi que, indépendamment de l'effectif, pour les traitements soumis à analyse d'impact et pour le traitement à titre professionnel aux fins de transmission ou d'études de marché et d'opinion. Dans l'agenda fédéral de modernisation du 4 décembre 2025, l'État fédéral allemand s'est engagé à déposer d'ici au 31 décembre 2026 un texte abrogeant le § 38 al. 1 BDSG et à limiter ainsi l'obligation de désignation dans le secteur privé à l'article 37 du RGPD. L'engagement porte sur le dépôt d'un projet, non sur son entrée en vigueur; au 6 octobre 2026, aucun projet de loi n'avait été publié. Une tentative antérieure avait déjà échoué : le Bundesrat a examiné le 22 mars 2024 une recommandation de suppression qui n'a pas réuni de majorité; le § 38 BDSG ne figure pas dans l'avis adopté. Le seuil allemand reste donc applicable; la version de référence est la loi fédérale allemande sur la protection des données dans sa rédaction du 3 juillet 2026 (BGBl. 2026 I n° 199), et aucune des deux lois modificatives de 2026 n'a touché au § 38 BDSG (vérifié le 6 octobre 2026).

Pourquoi le forfait mensuel dit peu de chose du coût total ?

La facturation horaire et les grilles tarifaires modulaires déplacent le coût vers ce qui est difficile à anticiper. Un mandat à 100 € de base peut coûter plus cher sur deux ans qu'un forfait à 500 €, dès lors que traitements, revues de contrats de sous-traitance, appels téléphoniques et audit sont facturés à l'unité. Vérifiez avant de signer :

• Combien de traitements et de contrats de sous-traitance sont inclus, et combien coûte chaque unité supplémentaire ?
• Les demandes d'exercice de droits, les notifications de violation et les échanges avec l'autorité de contrôle sont-ils compris ?
• L'audit initial est-il facturé à part, et à quel tarif journalier ?
• Existe-t-il un quota de support, et que se passe-t-il lorsqu'il est épuisé ?
• Quelle durée d'engagement suppose le prix d'appel ?
• Le travail de documentation revient-il finalement à votre équipe ?

Combien coûte le DPO externe de Kertos ?

Kertos ne facture pas à l'heure et ne publie pas de prix d'appel, car la charge dépend de la taille de l'entreprise, des catégories de données, du parc d'outils et de l'état de votre documentation existante. Vous obtenez un budget annuel fixe établi après un cadrage, sans refacturation à la demande. Le mandat de DPO externe de Kertos comprend la désignation et la déclaration auprès de l'autorité de contrôle avec le certificat de nomination, un lancement structuré incluant la revue de votre documentation RGPD et des réglages de votre site web, un accompagnement continu par un expert certifié nommément désigné, ainsi que l'accès à la plateforme avec découverte des données, registre des traitements, mesures techniques et organisationnelles, AIPD, gestion des sous-traitants, demandes d'exercice de droits, gestion des incidents et formations.

La différence avec un mandat de conseil classique tient à la part de travail qui reste chez vous. L'agent IA KAIA et plus de 100 intégrations prennent en charge l'inventaire, la collecte de preuves et la documentation, tandis que l'expert certifié tranche ce qui exige une véritable expertise. Les clients réduisent leur charge de conformité manuelle d'environ 80 % et leurs coûts de conformité jusqu'à 60 % par rapport au conseil traditionnel. Si l'ISO 27001, NIS2 ou le règlement européen sur l'IA s'ajoutent plus tard, la documentation et l'interlocuteur restent les mêmes.

Que disent les clients du DPO externe de Kertos ?

« La combinaison de l'automatisation de notre conformité et du rôle de DPO est unique et fait de Kertos la solution la plus adaptée pour toute startup européenne. »

Maurice S., Co-Founder et CEO, G2

« Nous apprécions particulièrement le service DPO intégré. C'est comme avoir un expert en protection des données à bord, sans la charge supplémentaire. »

Verified User, Renewables & Environment, G2

« Un accompagnement remarquable après l'achat. Nous avons souscrit au DPO et il nous a déjà énormément aidés. Toujours joignable rapidement, par écrit ou directement en visio. »

Philipp H., Co-Founder, B2B SaaS, G2

Kertos accompagne les entreprises technologiques européennes avec un taux de réussite aux audits de 100 % et une satisfaction client de 98 %. AskUI a obtenu l'ISO 27001 en 8 à 10 semaines, sans consultants externes. Pour savoir ce qu'un délégué à la protection des données externe coûterait concrètement à votre entreprise, demandez un devis.