Faut-il désigner un DPO en PME, et pour quel coût réel ?

Mon entreprise doit-elle désigner un DPO, et si oui interne ou externe, à quel coût réel ?

Un dirigeant qui se pose la question du DPO l'a le plus souvent posée à l'envers : « suis-je assez gros pour devoir en désigner un ? » Le RGPD ne raisonne pas en effectif, il raisonne en activité. Une PME de 180 salariés qui facture, paie ses employés et envoie une newsletter peut n'avoir aucune obligation ; une entreprise de 15 salariés qui fait du scoring de crédit ou de la géolocalisation de flotte à grande échelle peut, elle, y être tenue. Ce qui suit pose les trois cas exacts, ce qu'ils excluent, et ce que ça change pour la décision d'après : interne, externe, ou rien du tout.

Les trois cas où la désignation d'un DPO est obligatoire — et pourquoi la plupart des PME n'y sont pas soumises

L'article 37(1) du RGPD fixe trois situations, et une seule suffit à déclencher l'obligation. La CNIL les formule ainsi : la désignation d'un délégué est obligatoire pour « les autorités ou les organismes publics, à l'exception des juridictions dans l'exercice de leurs fonctions juridictionnelles », pour « les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle », et pour « les organismes dont les activités de base les amènent à traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations pénales et infractions » (CNIL).

Le premier cas ne concerne pas une PME privée. Les deux suivants tiennent sur un mot qui fait tout le travail : « activités de base ». Ce n'est pas le volume total de données personnelles traitées par l'entreprise qui compte, c'est ce qui constitue son cœur de métier. Une entreprise de menuiserie qui gère la paie de 150 salariés et un fichier de 3 000 clients ne traite pas ces données au titre de son activité de base : la fabrication et la vente de meubles n'exigent ni suivi comportemental ni traitement de données sensibles. À l'inverse, une entreprise de télésurveillance dont le métier consiste précisément à suivre des personnes en continu, ou une clinique privée dont le métier consiste à traiter des données de santé, y entrent par construction : c'est leur activité, pas un effet de bord.

Le second verrou est la « grande échelle », et c'est le point que le RGPD laisse volontairement flou : aucun seuil chiffré n'est fixé. Le considérant 91 renvoie à un « volume considérable de données au niveau régional, national ou supranational », et le Comité européen de la protection des données invite à croiser quatre critères : le nombre de personnes concernées, le volume et la variété des données, la durée du traitement, et l'étendue géographique (donneespersonnelles.fr). Un tableau de synthèse par secteur classe d'ailleurs sans détour les « PME (moins de 250 salariés) sans traitement à risque » du côté du « Non », en face des banques, assurances, réseaux sociaux ou plateformes de scoring qui, elles, y répondent presque systématiquement (rgpdkit.fr).

Cela ne veut pas dire que l'obligation est théorique pour les petites structures dès qu'elles relèvent d'un des trois cas. La CNIL a mis en demeure 22 communes en 2022 pour absence de DPO alors qu'elles relevaient sans ambiguïté du premier cas (organisme public) ; la grande majorité s'est mise en conformité dans le délai imparti (donneespersonnelles.fr). Une commune ayant persisté dans son refus a vu une astreinte liquidée à 6 900 € en juillet 2024 pour non-conformité (CNIL, sanctions prononcées). L'enseignement pour une PME n'est pas dans le montant — une commune n'est pas une entreprise privée, le premier cas ne s'applique pas à elle — il est dans la méthode : la CNIL vérifie l'obligation avant de vérifier la qualité du travail du DPO, et elle ne renonce pas parce que la structure est petite. Le bon réflexe n'est donc pas de se demander si l'entreprise est « assez grande », mais de répondre, dans l'ordre, aux trois questions de l'article 37 : organisme public — non ; suivi régulier et systématique à grande échelle comme cœur de métier — à vérifier ; traitement à grande échelle de données sensibles ou pénales comme cœur de métier — à vérifier. La majorité des PME de 20 à 200 salariés répond non aux trois, ce qui ferme la question de l'obligation légale sans fermer celle de l'opportunité, traitée plus bas.

DPO interne ou externe : ce que chaque option implique concrètement au quotidien

Que la désignation soit obligatoire ou volontaire, le DPO exerce les mêmes missions définies par l'article 39 : informer et conseiller l'organisme, contrôler le respect du règlement, être le point de contact de la CNIL, et être associé à toutes les questions relatives à la protection des données (CNIL). Ce qui distingue interne et externe, ce n'est pas la liste des tâches : c'est la mécanique de l'indépendance, et c'est elle qui grippe le plus souvent en PME.

La CNIL pose trois conditions à la désignation, et la troisième est la plus exigeante en interne : le délégué doit avoir « la capacité d'agir en toute indépendance », ce qui suppose de ne pas être en situation de conflit d'intérêt en cas de cumul avec une autre fonction, de pouvoir rendre compte de son action au plus haut niveau de la direction, et de ne jamais être sanctionné pour l'exercice de sa mission (CNIL). Le mécanisme du conflit d'intérêt est précis : un DPO est en conflit dès lors que ses autres missions le conduisent à décider des finalités et des moyens d'un traitement — puisqu'il serait alors amené à contrôler ses propres décisions (CNIL, conflits d'intérêts). En PME, la fonction est presque toujours ajoutée à un poste existant — responsable RH, juridique ou DSI — et c'est justement le DSI ou le responsable marketing qui, le plus souvent, décide des outils et des finalités de traitement. Un DPO interne mal positionné n'est pas un DPO qui manque de compétence ; c'est un DPO qui audite ses propres arbitrages, et la CNIL le traite comme une non-conformité à part entière, pas comme un détail d'organisation.

Le DPO externe, lui, est structurellement à l'écart de ces décisions : il intervient sur la base d'un contrat de service (article 37§6 du RGPD), sans lien hiérarchique avec l'entreprise, ce qui écarte d'emblée la première source de conflit. La contrepartie est la connaissance : un prestataire qui intervient quelques jours par an ne verra jamais les hésitations, les urgences non anticipées ou les habitudes d'un service qu'un DPO interne, présent tous les jours, capte spontanément. Le choix, en pratique, n'est donc pas entre un DPO compétent et un DPO indépendant : c'est un arbitrage entre le risque de conflit d'intérêt structurel (interne) et le risque de sous-connaissance de l'entreprise (externe) — et c'est précisément ce que le coût, traité ensuite, vient trancher pour une PME sans équipe juridique dédiée.

Note de production : le texte reçu à cette étape de vérification s'arrêtait ici, coupé au milieu de la section suivante consacrée au coût du DPO. Cette section, ainsi que toute conclusion éventuelle, n'a pas pu être vérifiée faute de contenu à contrôler — elle n'est donc pas reproduite. L'article repasse en rédaction pour compléter la section manquante avant une nouvelle vérification.

Sources