Mon entreprise doit-elle designer un DPO, et si oui interne ou externe, a quel cout reel ?
La question revient à chaque revue de conformité : faut-il un DPO dans une entreprise de trente, cinquante ou deux cents personnes ? La réponse tient à une distinction que le règlement pose lui-même, et que peu de dirigeants ont vue écrite noir sur blanc : la désignation est obligatoire dans trois situations limitativement énumérées, et facultative partout ailleurs.
Ce qui suit sépare les deux, puis chiffre les trois modèles d'organisation possibles, avec les ordres de grandeur observés sur le marché français en 2026.
10 M€
ou 2 % du chiffre d'affaires mondial : le plafond quand un DPO obligatoire n'est pas désigné
L'article 37 énumère trois situations. Elles ne se cumulent pas : une seule suffit à rendre la désignation obligatoire.
Deux expressions font tout le travail, et le règlement ne définit ni l'une ni l'autre :
Les lignes directrices adoptées par le Comité européen de la protection des données précisent ces deux notions, et ce sont elles qu'une autorité de contrôle appliquera.
Cas 1
Vous êtes une autorité ou un organisme public
Toute administration, collectivité, établissement public ou organisme chargé d'une mission de service public doit désigner un DPO, quelle que soit sa taille. Les juridictions agissant dans l'exercice de leur fonction juridictionnelle sont la seule exception.
Cas 2
Votre cœur de métier est un suivi systématique à grande échelle
Publicité comportementale, scoring de crédit, télématique d'assurance, géolocalisation de flottes, programmes de fidélité analytiques, surveillance d'espaces accessibles au public : dès que l'observation continue des personnes EST le service vendu, le DPO devient obligatoire.
Cas 3
Vous traitez à grande échelle des données sensibles ou pénales
Santé, opinions politiques ou religieuses, appartenance syndicale, orientation sexuelle, données biométriques ou génétiques, et données relatives aux condamnations pénales. Un cabinet médical de groupe, une mutuelle ou une plateforme de téléconsultation entrent dans ce cas.
Le débat interne contre externe masque un troisième modèle, souvent le mieux calibré pour une PME : la mutualisation entre plusieurs structures d'un même secteur, d'un même groupe ou d'un même groupement professionnel. Le règlement l'autorise explicitement.
| Modèle | Charge annuelle | Disponibilité | Indépendance |
|---|---|---|---|
| Interne dédié | 78 000 € | Permanente | À protéger par écrit |
| Interne à temps partiel | 34 000 € | Partagée | Risque de conflit de missions |
| Externe au forfait | 18 000 € | Contractuelle | Structurelle |
| Mutualisé entre PME | 9 600 € | Limitée | Structurelle |
L'écart de un à huit entre le premier et le dernier modèle ne mesure pas une différence de compétence, mais une différence de TEMPS acheté. Un DPO mutualisé à 9 600 € par an, c'est environ deux jours par mois : de quoi tenir un registre et répondre aux demandes, pas de quoi accompagner trois nouveaux projets en parallèle.
Modèle interne
Un salarié porte la fonction
Connaissance fine des métiers, présence quotidienne, arbitrages rendus vite. En contrepartie : un recrutement rare et cher, une formation continue à financer, et un risque de conflit d'intérêts dès que la personne occupe aussi un poste décisionnel sur les traitements : direction informatique, marketing ou ressources humaines.
Modèle externe
Un prestataire exerce la mission
Indépendance structurelle, jurisprudence vue chez d'autres clients, coût connu d'avance et réversible. En contrepartie : une disponibilité bornée par le contrat, une acculturation interne plus lente, et l'obligation de désigner en interne un référent qui prépare les sujets et applique les décisions.
Deux postes pèsent plus de la moitié de la charge, et ce sont les deux que personne n'anticipe : la tenue du registre et le traitement des demandes des personnes.
Répartition observée sur des missions d'accompagnement, 2026
Cette répartition explique la forme de la facture : la première année coûte plus cher que les suivantes, parce que le registre, la cartographie et les clauses de sous-traitance sont à construire une fois. Le régime courant, lui, est stable et prévisible.
Les 6 000 € de la première année financent le cadrage : cartographie des traitements, registre, revue des sous-traitants et formation des équipes. Ils ne se reconduisent pas.
Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions.
La décision se prend dans cet ordre, et pas dans un autre : qualifier, mesurer, choisir, désigner. Inverser les deux premiers temps conduit à acheter une prestation calibrée sur une charge que personne n'a mesurée.
Qualifiez vos traitements
Passez chaque traitement du registre au filtre des trois cas de l'article 37. Notez pour chacun s'il relève du cœur de métier et à quelle échelle il opère. Ce tableau est la pièce qu'une autorité de contrôle demandera si elle vous interroge sur l'absence de DPO.
Mesurez la charge réelle
Comptez sur douze mois : demandes d'exercice des droits reçues, nouveaux projets touchant des données personnelles, sous-traitants entrés ou sortis, incidents traités. En dessous de deux jours par mois, un modèle mutualisé suffit.
Choisissez le modèle
Confrontez la charge mesurée aux quatre lignes du tableau de coûts. Vérifiez surtout l'absence de conflit d'intérêts si le candidat est interne : un directeur informatique ou marketing ne peut pas contrôler les traitements qu'il décide.
Désignez et publiez
La désignation se fait en ligne auprès de la CNIL, gratuitement. Publiez ensuite les coordonnées du DPO dans vos mentions d'information et communiquez-les à vos salariés : un DPO que personne ne peut joindre ne remplit pas sa fonction.
Non. Le seuil de 250 salariés que l'on cite parfois concerne une dispense partielle de registre, pas la désignation d'un DPO. L'obligation de désigner dépend uniquement de la nature et de l'échelle des traitements.
Non, et c'est le cas de conflit d'intérêts le plus net : un dirigeant décide des finalités des traitements, il ne peut donc pas contrôler la conformité de ses propres décisions en toute indépendance.
Oui. Le règlement autorise un DPO unique pour un groupe de sociétés, et rien n'interdit à des PME indépendantes de mutualiser un DPO externe, à condition qu'il reste joignable par chaque organisme et par les personnes concernées.
L'absence de désignation quand elle est obligatoire est un manquement autonome, sanctionnable jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. En pratique, la CNIL commence par une mise en demeure, avec un délai pour désigner.
Non. La responsabilité reste celle du responsable du traitement. Le DPO informe, conseille et contrôle ; il ne décide pas, et le règlement le protège explicitement contre toute sanction liée à l'exercice de ses missions.