Comment choisir un DPO externe : critères, tarifs, garanties

Choisir un DPO externe est rarement un choix anodin. Pour une TPE, une PME ou une petite collectivité, le Délégué à la protection des données (DPO, Data Protection Officer) externalisé devient le pivot juridique de toute la conformité au Règlement général sur la protection des données (RGPD). Une mauvaise désignation se paie en risques de sanction par la Commission nationale de l’informatique et des libertés (CNIL), en perte de marchés B2B et en heures perdues à rattraper un dispositif bancal. Vous trouverez ci-dessous les critères concrets pour comparer les offres, les garanties à exiger par contrat et les signaux qui doivent vous alerter avant signature.

Vérifier les certifications et la qualification réelle

Le RGPD ne fixe pas de diplôme obligatoire pour exercer la fonction, mais il impose des « qualités professionnelles » et une « connaissance spécialisée du droit et des pratiques en matière de protection des données ». Concrètement, vous voulez un prestataire qui peut prouver son niveau, pas seulement l’affirmer.

Trois certifications font autorité sur le marché français. La certification DPO selon le référentiel CNIL, délivrée depuis 2019 par une dizaine d’organismes agréés, constitue le signal le plus reconnu localement. Sa validité est de trois ans renouvelables et l’examen porte sur le RGPD, la loi Informatique et Libertés et un cas pratique. La certification AFCDP (Association française des correspondants à la protection des données à caractère personnel) propose un parcours associé à un cursus de formation et un fort réseau professionnel. Enfin, la certification CIPP/E (Certified Information Privacy Professional/Europe) délivrée par l’IAPP est attendue dans les groupes internationaux et les filiales soumises à des audits clients exigeants. Pour aller plus loin sur ces référentiels, consultez notre comparatif des certifications DPO de la CNIL, de l’AFCDP et de l’AFNOR.

Demandez systématiquement les attestations en cours de validité, leur date d’obtention et le nom de l’organisme certificateur. Méfiez-vous des intitulés flous comme « consultant RGPD certifié » ou « expert agréé » sans référentiel cité. La CNIL ne délivre aucun agrément individuel : elle accrédite des organismes certificateurs, pas des personnes physiques ni des cabinets.

Évaluer l’expérience sectorielle et les références

Un bon DPO maîtrise le RGPD, mais un excellent DPO maîtrise aussi votre secteur. Les enjeux ne sont pas les mêmes pour un cabinet médical, une mairie de 5 000 habitants, un éditeur SaaS B2B ou une coopérative agricole. Les traitements à risque, les sous-traitants typiques, les régimes spéciaux (santé, scolaire, finance) et les contrôles CNIL prioritaires varient fortement.

Avant de choisir un DPO externe, demandez trois à cinq références clients comparables à votre structure, en taille et en activité, et appelez-en au moins deux. Posez des questions précises : depuis quand le DPO les accompagne, combien de jours par an, comment se passent les notifications de violation de données, quelle est la fréquence des comités de pilotage, le DPO a-t-il déjà géré un contrôle CNIL ou une demande d’exercice de droit complexe. Une référence qui peine à se souvenir du nom de son DPO en dit long.

Sur le secteur public, vérifiez que le prestataire connaît les spécificités des collectivités : registre obligatoire, traitements RGPD couplés au cadre constitutionnel des libertés publiques, doctrine de la CNIL sur la vidéoprotection, état civil et fichiers sociaux. Sur le secteur santé, exigez une expérience HDS (Hébergement de données de santé) et la maîtrise du référentiel de sécurité associé.

Garantir l’indépendance exigée par l’article 38 du RGPD

L’indépendance n’est pas une qualité morale du prestataire, c’est une obligation juridique. L’article 38 du RGPD interdit toute instruction sur l’exercice des missions du DPO, toute sanction liée à cet exercice et tout conflit d’intérêts. Cette exigence pèse aussi sur le DPO externe et conditionne la validité même de la désignation auprès de la CNIL.

Trois conflits d’intérêts reviennent souvent et doivent vous alerter avant de retenir une offre. Le premier est le cumul avec une activité de prestation informatique ou cloud chez le même client : le cabinet qui vous vend votre infogérance ou votre hébergeur ne peut pas, sans précaution sérieuse, contrôler la conformité de ses propres prestations. Le deuxième est la sous-traitance pure : un DPO externalisé par un sous-traitant que vous utilisez par ailleurs se retrouve juge et partie. Le troisième est la confusion avec une fonction commerciale au sein du cabinet, lorsque le DPO est aussi celui qui négocie le renouvellement annuel et arbitre seul le périmètre de ses interventions.

Pour distinguer un DPO externe d’un DPO interne mutualisé chez un opérateur de services, lisez notre comparatif DPO interne ou DPO externe : avantages, inconvénients et arbitrage avant de cadrer votre appel d’offres.

Comparer les modalités contractuelles et les tarifs

Les offres de DPO externalisé se structurent autour de trois modèles, qu’il faut comprendre avant de comparer les prix. Le forfait annuel couvre un volume défini de prestations (registre, AIPD, formations, comités, réponses aux demandes des personnes) pour un montant fixe : c’est lisible, mais attention au périmètre exclu. La régie au jour-homme facture un taux journalier (souvent 800 à 1 200 € HT pour un DPO confirmé en 2026) avec un volume plancher annuel : c’est flexible mais sensible aux dépassements. L’abonnement mensuel mutualise l’expertise sur un grand nombre de clients pour un prix d’appel bas (à partir de 200 à 400 € HT par mois pour une TPE) : c’est attractif, mais le temps réellement consacré à votre structure peut être très limité.

Pour une PME de 50 à 250 salariés, l’enveloppe annuelle réaliste se situe entre 8 000 et 20 000 € HT selon la maturité initiale, le secteur et le nombre d’établissements. Pour une commune de moins de 10 000 habitants, comptez 3 000 à 8 000 € HT par an, souvent dans le cadre d’un groupement de commande. En dessous de ces seuils, interrogez-vous : un DPO à 100 € HT par mois ne peut matériellement pas vous accompagner sérieusement plus d’une demi-journée par an.

Exigez par contrat la liste précise des livrables (registre tenu et mis à jour, modèles de mentions, AIPD types, plan de formation annuel, rapport d’activité), la disponibilité (délai de réponse maximum, joignabilité en cas de violation de données), la mention nominative du DPO désigné auprès de la CNIL et la clause de cession de propriété intellectuelle sur les livrables produits.

Sécuriser la prestation et préparer la sortie

Avant de signer, vérifiez l’assurance responsabilité civile professionnelle du prestataire et son montant de garantie. Une RC pro à 300 000 € est un plancher pour une activité de DPO externe ; au-delà d’un million d’euros pour des structures à risque (santé, finance, e-commerce avec profilage). Demandez l’attestation à jour et lisez les exclusions, particulièrement sur les sanctions administratives prononcées contre votre organisation.

Lors de l’entretien de sélection, posez quelques questions de fond qui distinguent un vrai DPO d’un commercial bien formé. Combien de notifications de violation à la CNIL avez-vous gérées sur les douze derniers mois ? Comment articulez-vous l’AIPD avec un test d’intrusion ? Quelle est votre lecture des dernières sanctions de la CNIL dans notre secteur ? Quel est votre processus si la direction refuse une de vos recommandations ? Les réponses précises et étayées par des exemples valent toutes les plaquettes.

La durée d’engagement initiale tourne couramment autour de douze mois reconductibles, parfois trente-six mois pour les marchés publics. Négociez systématiquement une clause de résiliation anticipée pour faute (insuffisance manifeste, indisponibilité prolongée, perte de certification) avec un préavis raisonnable, ainsi qu’une obligation de transfert de connaissances et de remise des livrables au successeur. Ne pas anticiper la sortie, c’est se condamner à subir un prestataire défaillant pendant trois ans.

Checklist avant signature

• Certifications en cours de validité, attestations remises et organisme certificateur identifié.
• Trois références clients comparables appelées et validées.
• Expérience sectorielle démontrée, contrôles CNIL ou notifications déjà gérés.
• Aucun conflit d’intérêts avec un autre prestataire en place dans votre organisation.
• Périmètre de prestation détaillé, jours-homme ou livrables clairement chiffrés.
• Tarif cohérent avec la taille et la maturité de votre organisation.
• Assurance RC professionnelle suffisante et exclusions vérifiées.
• DPO nominativement désigné, déclaration prête à transmettre à la CNIL.
• Clause de résiliation anticipée et obligation de transfert au successeur.
• Rapport d’activité annuel formalisé, transmis à la direction la plus haute.

Un dispositif robuste se construit en quelques semaines de cadrage. Une mauvaise désignation se paie pendant trois ans. Pour bien choisir un DPO externe, prenez le temps de comparer trois ou quatre offres, de lire les contrats ligne à ligne et d’appeler les références : c’est la part la plus rentable du projet de conformité.