DPO externe: comparatif des modèles de prestataires

L'essentiel en bref

• Le marché du DPO externe se répartit en quatre modèles de prestataires : le cabinet d'avocats ou le consultant indépendant, le cabinet de conseil généraliste disposant d'un vivier de DPO, la plateforme de conformité américaine qui ne vend que du logiciel et la plateforme européenne avec des experts certifiés désignés nommément.
• La désignation au titre de l'article 37 du RGPD repose toujours sur une personne ou sur un prestataire, jamais sur un logiciel. Une plateforme sans experts désignés peut porter vos preuves ; elle ne peut pas être votre DPO.
• Une question tranche la sélection : votre documentation doit-elle être produite pour vous ou seulement relue ? Les cabinets d'avocats et le conseil classique relisent et conseillent ; les modèles de plateforme produisent les preuves au fil de l'activité.
• Un cabinet d'avocats convient mieux en cas de contentieux, de procédure devant l'autorité de contrôle ou de structure de groupe en responsabilité conjointe. Un consultant local convient mieux lorsque la présence sur site et la connaissance du secteur font la différence, par exemple dans les cabinets médicaux ou les commerces recevant du public.
• Kertos relève du quatrième modèle. L'agent IA KAIA et plus de 100 intégrations portent la documentation ; un expert certifié désigné nommément assume le mandat. L'hébergement et la compétence juridique restent en Europe.

Les prestataires de DPO externe ne se comparent pas utilement sous forme de classement, parce qu'ils ne vendent pas la même chose. Ce qui se compare, c'est le modèle qui les sous-tend. Le montant mensuel est la dernière question et non la première ; les fourchettes de marché et les postes de coûts figurent dans notre aperçu des coûts d'un DPO externe.

Quels modèles de prestataires existent pour un DPO externe ?

Cabinet d'avocats ou consultant indépendant. Une personne assume le mandat et apporte une profondeur juridique. La facturation se fait le plus souvent à l'heure ou à la journée. Votre documentation est produite en interne puis relue par le cabinet.

Cabinet de conseil généraliste avec vivier de DPO. Une équipe suit plusieurs mandats, donc la suppléance en cas de congé ou d'absence est organisée. L'interlocuteur peut changer au cours du mandat ; les outils employés sont généralement des modèles de documents et des tableurs plutôt qu'un système.

Plateforme de conformité américaine. L'accent porte sur la preuve des mesures de sécurité à travers de nombreux référentiels, avec une large couverture d'intégrations vers les services cloud courants. La fonction de DPO est une fonction portée par une personne et, dans ce modèle, elle passe généralement par un partenaire ou n'est pas proposée. Vérifiez-le dans la proposition au lieu de le supposer.

Plateforme européenne avec experts certifiés désignés. Le logiciel et le mandat viennent du même prestataire. L'expert est désigné nommément et communiqué à l'autorité de contrôle comme point de contact ; les preuves se constituent dans le système qui héberge aussi vos traitements et vos sous-traitants.

Comment savoir quel modèle vous convient ?

Sept critères, rarement présents dans une comparaison d'offres, alors qu'ils déterminent la charge de la première année.

Un huitième critère ne figure pas dans le tableau parce qu'il tient à la personne et non au modèle : la qualification de celui qui est effectivement désigné. En France, le signal de référence est la certification des compétences du DPO. Elle est volontaire et la CNIL ne délivre pas elle-même les certificats : elle adopte les référentiels et agrée les organismes chargés de les délivrer, comme l'explique sa page sur la certification des compétences du DPO. À l'international, les certifications de l'IAPP jouent ce rôle, surtout CIPP/E pour le droit européen de la protection des données et CIPM pour le pilotage d'un programme de conformité. Un diplôme de juriste est un signal supplémentaire, mais il ne remplace pas la pratique de la protection des données que l'article 37.5 exige également.

Que fait une plateforme de conformité américaine et que ne fait-elle pas ?

Elle produit des preuves sur de nombreux référentiels à la fois, et elle le fait bien. Si votre entreprise appartient à un groupe américain, a besoin d'un rapport SOC 2 et a déjà pourvu la fonction de DPO en interne, c'est un choix viable.

Deux éléments changent le calcul dès qu'un mandat européen s'y ajoute. D'abord, la désignation au titre de l'article 37 n'est pas une fonctionnalité qu'un logiciel peut remplir. L'article 37.7 impose de publier les coordonnées du DPO et de les communiquer à l'autorité de contrôle, et une personne joignable doit se trouver derrière, y compris pour les demandes des personnes concernées dans leur langue. En France, cette communication à la CNIL passe par son téléservice de désignation.

Ensuite, la résidence des données n'est pas la souveraineté des données. Un lieu d'hébergement dans l'Union ne dit rien du droit auquel la société mère est soumise. Si celle-ci se trouve aux États-Unis, le droit américain peut ouvrir un accès à des données traitées par une filiale européenne. Pour votre propre évaluation des sous-traitants, cela signifie que vous devez documenter cette chaîne, quelle que soit la qualité de la mention d'hébergement dans la proposition.

Si vous cherchez uniquement un logiciel et que le mandat reste interne, la comparaison est différente. Nous la traitons à part dans notre aperçu des logiciels de protection des données et de leurs fournisseurs.

Quand un cabinet d'avocats ou un consultant local est-il le meilleur choix ?

Un cabinet d'avocats lorsque votre besoin est d'abord juridique et non organisationnel. Un contentieux en cours, une procédure ouverte par l'autorité de contrôle, une structure de groupe en responsabilité conjointe au titre de l'article 26 du RGPD ou un dossier de données des salariés impliquant les représentants du personnel : dans ces situations, la représentation juridique vaut plus qu'un registre bien tenu.

Un consultant local lorsque la présence sur site et la connaissance du secteur font la différence. Dans les cabinets médicaux soumis au secret professionnel, dans les cabinets d'avocats, dans les commerces et les artisans recevant du public et dans les environnements de production, la visite sur place fait réellement partie du travail et se remplace mal à distance.

Ces cas ne sont pas majoritaires et ils n'excluent pas un modèle de plateforme. Ils changent seulement l'ordre de la décision : si la représentation juridique vient en premier, ne commencez pas par la question de l'outil.

Pourquoi combiner logiciel et experts désignés ?

Parce que la protection des données échoue sur la documentation et non sur l'expertise. La charge ne se trouve pas dans un conseil ponctuel. Elle se trouve dans le fait de tenir à jour le registre des activités de traitement, de suivre les contrats de sous-traitance, de justifier les durées de conservation et de pouvoir présenter les attestations de formation quand quelqu'un les demande deux ans plus tard.

Dans les trois premiers modèles, ce travail est le vôtre ou constitue une prestation additionnelle. Le consultant apprécie un état des lieux que vous avez dû lui décrire au préalable. Entre deux rendez-vous, l'entreprise évolue et la documentation ne suit pas ; lors d'un audit, c'est précisément cet écart qui apparaît.

La combinaison inverse l'ordre. Les preuves se constituent comme un produit dérivé de l'activité courante, parce que les systèmes sont connectés, et l'expert travaille sur un état à jour plutôt que sur un exposé. Il lui reste le travail qui exige de l'expertise : apprécier un contrat de sous-traitance, décider si une AIPD est nécessaire, rédiger la réponse à l'autorité de contrôle.

Un point ne bouge dans aucun modèle. La responsabilité de la conformité au RGPD reste au responsable du traitement. Le DPO contrôle et conseille au titre de l'article 39 ; il ne décide pas et il ne répond pas à la place de l'entreprise. Confier un mandat, c'est acheter de l'expertise et de l'indépendance, pas une exonération de responsabilité. Pourquoi la désignation externe est juridiquement équivalente à la désignation interne, et où elle est plus performante, est exposé dans notre article sur les avantages d'un DPO externe.

Où se situe Kertos dans ce comparatif ?

Kertos est la plateforme européenne avec des experts certifiés désignés, et elle convient aux entreprises qui ont besoin des deux : une documentation solide et une personne qui assume le mandat. Le profil type est une entreprise technologique de 20 à 250 salariés qui traite au moins un référentiel en plus du RGPD, le plus souvent ISO 27001, NIS2, un rapport SOC 2 ou le règlement européen sur l'IA.

L'offre de DPO externe de Kertos comprend la désignation avec la communication à l'autorité de contrôle et le certificat de nomination, une réunion de lancement qui passe en revue la documentation existante et les réglages du site web, ainsi qu'un suivi continu assuré par un interlocuteur fixe. La plateforme réunit votre registre des activités de traitement, l'évaluation des sous-traitants, les demandes des personnes concernées et les formations des collaborateurs. L'agent IA KAIA et plus de 100 intégrations prennent en charge l'inventaire et la constitution des preuves, ce qui permet aux clients de réduire leur charge de conformité manuelle d'environ 80 pour cent. Le taux de réussite aux audits est de 100 pour cent et AskUI a obtenu la certification ISO 27001 en 8 à 10 semaines sans consultants externes.

La personne qui assume votre mandat est arrêtée avant la signature et désignée nommément. Les qualifications sont réparties de façon inégale au sein de l'équipe d'experts et tous ne détiennent pas tous les titres ; on y trouve les certifications CIPP/E et CIPM de l'IAPP, des délégués à la protection des données examinés par le TÜV et des diplômes de juriste. Une assurance de responsabilité civile professionnelle couvre les mandats.

Kertos n'est pas le bon choix si votre besoin premier est une représentation juridique dans une procédure en cours ou si des visites régulières sur site constituent le cœur de la prestation. Dans ces deux cas, les deux premiers modèles conviennent mieux.

Pour voir comment un mandat serait dimensionné pour votre entreprise, nous le parcourons avec vous sur vos propres processus lors d'une démo sans engagement.

Questions fréquentes

Quel prestataire de DPO externe choisir ?

Ce n'est pas le prestataire qui tranche, c'est le modèle. S'il vous faut une représentation juridique, un cabinet d'avocats convient. S'il vous faut une présence sur site, un consultant local. Si vous ne voulez pas tenir la documentation vous-même tout en disposant d'une personne désignée, une plateforme avec ses propres experts certifiés est le modèle adapté. Comparez donc les offres selon les sept critères du tableau ci-dessus et non selon le forfait mensuel.

Un logiciel peut-il être le DPO ?

Non. L'article 37 du RGPD suppose une entité désignée dont vous publiez les coordonnées et que vous communiquez à l'autorité de contrôle ; l'article 38.3 exige qu'elle exerce ses missions sans recevoir d'instructions et qu'elle rende compte au niveau le plus élevé de la direction. Un logiciel peut porter les preuves et raccourcir considérablement le travail ; il ne peut pas exercer la fonction.

Comment reconnaître un prestataire de DPO externe sérieux ?

À quatre points vérifiables. Premièrement, la qualification de la personne effectivement désignée et non celle de la société. Lorsque la fonction est portée par une équipe, le contrat de prestation devrait désigner nommément une personne comme interlocuteur principal, comme le prévoient les lignes directrices relatives au délégué à la protection des données reprises par le Comité européen de la protection des données. Deuxièmement, une assurance de responsabilité civile professionnelle, dont l'existence et l'étendue vous sont confirmées par écrit. Troisièmement, des délais de réponse fixés au contrat et une suppléance organisée. Quatrièmement, une liste claire de ce que couvre le forfait et de ce qui est facturé au temps passé, en particulier l'audit initial, la revue des contrats de sous-traitance et les AIPD.

Cabinet d'avocats ou prestataire de services comme DPO externe ?

Les deux sont également admis par l'article 37.6 du RGPD, mais ils résolvent des problèmes différents. Le cabinet est plus fort partout où il est question de droit, de procédure et de responsabilité. Le prestataire est plus fort dans la durée, parce que la suppléance, la documentation et les tâches récurrentes y sont organisées. Les entreprises qui ont une charge de conformité continue et aucune question juridique aiguë sont en général mieux servies par le modèle du prestataire.

Peut-on changer de DPO externe ?

Oui. Vous mettez fin à la désignation, vous désignez le successeur et vous communiquez les coordonnées modifiées à l'autorité de contrôle, en France via le téléservice de la CNIL. La charge pratique ne réside pas dans le changement lui-même mais dans la reprise : convenez avant la signature du format dans lequel vous récupérez votre registre, vos contrats et vos preuves. Un prestataire qui ne tient votre documentation que dans son propre outil, sans export, rend le départ coûteux.

État du droit : 27 août 2026. Cet article situe les modèles de prestataires pour éclairer une décision de sélection et sert d'orientation professionnelle. Il ne remplace pas un conseil juridique dans un cas d'espèce ; la configuration concrète d'un mandat doit être arrêtée avec un délégué à la protection des données ou un avocat.