DPO interne ou externalisé : comment choisir (indépendance, coût, expertise, mutualisation)

Publié le 10 septembre 2026 · Mis à jour le 10 septembre 2026 · L'équipe Besoin d'un DPO ?

Le RGPD laisse le choix : le DPO peut être un membre du personnel ou exercer sur la base d'un contrat de service (article 37 §6), et peut être mutualisé au sein d'un groupe ou entre organismes publics (article 37 §2 et §3). Le bon choix dépend de trois critères imposés par le règlement, expertise, indépendance et disponibilité, et de votre organisation. Vérifiez d'abord si la désignation s'impose avec le test, puis comparez les prestataires sur la page DPO externalisé.

Les critères communs aux deux formules

L'article 37 §5 exige des qualités professionnelles, des connaissances spécialisées du droit et des pratiques en matière de protection des données, et la capacité à accomplir les missions de l'article 39. L'article 38 exige que le DPO soit associé aux questions de protection des données, dispose de ressources, agisse sans instruction, ne soit pas sanctionné pour l'exercice de ses missions, rende compte au plus haut niveau de la direction et ne soit pas en conflit d'intérêts. Ces exigences s'appliquent au salarié comme au prestataire.

Tableau comparatif

Quand choisir un DPO interne

Lorsque les traitements de données sont au cœur de l'activité et évoluent en permanence (santé, assurance, plateforme numérique), un DPO interne à temps plein, rattaché à la direction générale, est souvent la seule façon d'être associé « en temps utile » à tous les projets. Il doit alors être formé, disposer d'une équipe ou d'un réseau de relais, et ne pas cumuler avec des fonctions décisionnelles sur les traitements.

Quand choisir un DPO externalisé

Lorsque l'organisme n'a pas d'expert en interne, que la charge ne justifie pas un temps plein, ou que l'indépendance est difficile à garantir dans une petite structure où tout le monde décide de tout. Le contrat fixe le temps alloué, les délais de réponse, les modalités de présence et la réversibilité de la documentation. Le prestataire est désigné auprès de la CNIL au nom de l'organisme, avec ses coordonnées comme point de contact.

Quand mutualiser

Au sein d'un groupe, un DPO unique peut couvrir plusieurs entités, ce qui harmonise les pratiques ; entre organismes publics, la mutualisation via un centre de gestion, une intercommunalité ou un groupement est courante et prévue par le règlement. La condition est que le DPO reste facilement joignable depuis chaque établissement et dispose du temps proportionné.

Les erreurs fréquentes

Désigner le DSI, le directeur juridique ou un dirigeant : conflit d'intérêts. Désigner un salarié sans temps ni budget : manquement à l'article 38 §2. Choisir un prestataire uniquement sur le prix sans vérifier l'expertise et la disponibilité. Oublier de déclarer la désignation à la CNIL et de publier les coordonnées. Ne pas prévoir la réversibilité : à la fin du contrat, registre, analyses et procédures doivent rester dans l'organisme.

Cas concrets

Start-up de 25 salariés en publicité ciblée. Obligation (article 37 §1 b). Sans juriste en interne, DPO externalisé avec un temps contractuel mensuel et un point de contact publié.

Groupe hospitalier. DPO interne à temps plein avec relais dans chaque établissement.

Communauté de communes et ses 30 communes. DPO mutualisé porté par l'intercommunalité.

Le contrat d'un DPO externalisé : les clauses qui comptent

Le périmètre (entités couvertes, traitements, sites), le temps alloué et sa révision, les délais de réponse aux demandes des personnes et aux sollicitations de la CNIL, la présence sur site, les livrables (rapport annuel, comptes rendus), la confidentialité, l'indépendance (aucune autre prestation susceptible de créer un conflit d'intérêts), la responsabilité et l'assurance, la durée, le préavis et la réversibilité de toute la documentation. Un contrat qui ne prévoit pas de temps minimal ou de délai de réponse ne permet pas de respecter l'article 38 §2.

Combiner les formules

Une organisation moyenne choisit souvent un relais interne (correspondant informatique et libertés, sans le titre de DPO) qui connaît le terrain, et un DPO externalisé qui apporte l'expertise et l'indépendance. Le DPO désigné à la CNIL est alors le prestataire ; le relais interne assure le lien quotidien. Cette organisation évite le conflit d'intérêts du salarié décisionnaire tout en gardant la connaissance de l'organisme.

Réévaluer le choix chaque année

Le statut choisi n'est pas définitif : une croissance des traitements, un nouveau secteur d'activité ou un contrôle de la CNIL peuvent justifier de passer d'un prestataire à un salarié, ou l'inverse. Une revue annuelle, à l'occasion du bilan du DPO présenté à la direction, permet de vérifier que le temps alloué, l'expertise et l'indépendance restent adaptés.

Une fois la formule choisie, la désignation à la CNIL prend quelques minutes ; les missions à confier sont celles de l'article 39.