DPO interne ou externe : choisir le bon modèle en 2026

Choisir entre un DPO interne ou externe est l’une des décisions les plus structurantes que pose le Règlement général sur la protection des données (RGPD), une fois la désignation devenue obligatoire ou souhaitable. Le Délégué à la protection des données (DPO, Data Protection Officer) peut être salarié, prestataire ou partagé entre plusieurs organismes. Le bon choix dépend de la taille de la structure, de la complexité des traitements, du secteur d’activité, du budget et du niveau d’indépendance recherché.

Ce que dit le RGPD sur le mode de désignation

L’article 37.6 du RGPD est explicite : le DPO peut être un membre du personnel ou exercer ses missions sur la base d’un contrat de service. Les deux options sont juridiquement équivalentes. La Commission nationale de l’informatique et des libertés (CNIL) et le Comité européen de la protection des données (EDPB, European Data Protection Board) le rappellent régulièrement : aucun modèle n’est préféré par le législateur.

Ce qui compte, c’est l’effectivité de la fonction. Le DPO doit disposer du temps, des ressources et de l’accès aux informations nécessaires. Il doit être joignable par les personnes concernées, par la CNIL et par les services internes. Il doit pouvoir agir en toute indépendance, sans recevoir d’instructions sur l’exercice de ses missions. Ces exigences valent pour le salarié comme pour le prestataire.

À cela s’ajoute un troisième schéma, le DPO mutualisé, qui consiste à partager une même fonction entre plusieurs entités juridiquement distinctes. La CNIL admet ce dispositif sous trois conditions : joignabilité depuis chaque organisme, connaissance suffisante de chaque contexte, absence de conflit d’intérêts entre les structures desservies.

DPO interne : avantages et limites

Un DPO interne est un salarié de l’organisation. Il peut occuper la fonction à temps plein, à mi-temps ou en temps partagé avec d’autres responsabilités, sous réserve d’éviter les conflits d’intérêts que la CNIL surveille de près.

Le modèle interne convient en priorité aux organisations de grande taille, aux administrations publiques, aux établissements de santé, aux banques et aux grandes plateformes numériques. Dès que le volume de traitements et la pression réglementaire dépassent un certain seuil, l’externalisation devient difficile à dimensionner. Un DPO salarié connaît les équipes, participe aux comités stratégiques et suit les projets dès leur conception.

Les avantages sont nombreux : présence quotidienne, maîtrise du contexte, intégration aux processus de décision, capacité à porter une culture de la protection des données dans la durée. Le DPO interne reste un point d’ancrage stable, dont la connaissance du système d’information et de l’historique des traitements ne se transfère pas facilement.

Les limites sont financières et organisationnelles. Un poste salarié représente un coût fixe non négligeable, et le risque de conflit d’intérêts est réel quand la fonction est cumulée avec celle de directeur juridique, de directeur des systèmes d’information ou de responsable des ressources humaines. Pour comprendre la rémunération attendue selon l’expérience et le secteur, vous pouvez consulter notre point complet sur la rémunération du Délégué à la protection des données.

DPO externe : flexibilité et expertise mutualisée

Un DPO externe est un prestataire indépendant ou un cabinet spécialisé qui assure la fonction par contrat de service. Le contrat précise le périmètre, le volume horaire, les livrables et les modalités de joignabilité. La désignation officielle auprès de la CNIL se fait au nom de la personne physique qui exerce, même si elle agit au sein d’un cabinet.

Le modèle externe est aujourd’hui privilégié par les PME, les ETI, les associations et les TPE soumises à désignation. Il convient également à des organisations plus grandes pour des périmètres limités : filiale étrangère, projet pilote, transition entre deux DPO internes.

Les avantages sont nets : flexibilité d’engagement, expertise pointue, mutualisation des veilles juridiques entre plusieurs clients, accès à des compétences spécialisées (santé, secteur public, transferts internationaux). Un cabinet structuré apporte une équipe avec un référent principal, un suppléant et des experts sécurité.

Les limites tiennent à la présence. Un DPO externe doit être sollicité pour intervenir, et sa fonction peut se réduire à un alibi formel si le contrat est mal cadré. La CNIL est attentive à l’effectivité réelle, et plusieurs sanctions ont visé des organisations dont le DPO externe n’était joignable ni par les salariés ni par les personnes concernées.

Le coût est généralement présenté en taux journalier moyen ou en abonnement mensuel. Les fourchettes observées en France oscillent entre 800 et 1 500 € HT par jour pour un DPO confirmé, avec des forfaits mensuels qui démarrent autour de 600 € pour une TPE simple et grimpent à plusieurs milliers d’euros pour une ETI active.

DPO mutualisé : le compromis des structures intermédiaires

Le DPO mutualisé est partagé entre plusieurs organismes liés par une logique de groupe, de filière ou de territoire. Trois cas de figure dominent.

Le premier est le groupe de sociétés. Un DPO unique peut être désigné pour l’ensemble d’un groupe à condition d’être facilement joignable par chaque entité, ce qui limite la duplication des audits.

Le deuxième est l’intercommunalité ou le groupement public. Plusieurs communes ou établissements publics partagent un DPO conventionné via un centre de gestion, un syndicat mixte ou une structure intercommunale. Le modèle, encouragé par la CNIL pour les petites collectivités, permet une mise en conformité sérieuse à un coût supportable.

Le troisième est le mutualisme sectoriel. Des associations professionnelles, des fédérations ou des réseaux de PME se regroupent pour partager les frais d’un DPO commun, schéma fréquent dans les chambres consulaires.

L’avantage principal est économique : le coût est partagé, l’expertise est conservée et chaque structure dispose d’un référent identifié. La limite majeure est la disponibilité. Un DPO mutualisé qui couvre vingt entités ne peut pas offrir le même niveau de présence qu’un salarié dédié. La répartition du temps doit être clairement contractualisée et tracée.

Tableau comparatif des trois modèles

Le tableau suivant synthétise les principaux critères de choix entre les trois schémas autorisés par le RGPD.

Critère	DPO interne	DPO externe	DPO mutualisé
Statut	Salarié	Prestataire ou cabinet	Salarié partagé ou prestataire commun
Coût annuel typique	50 000 à 70 000 € chargés (junior à confirmé)	8 000 à 30 000 € selon volume	3 000 à 15 000 € par entité
Présence	Quotidienne, intégrée	Programmée, sur sollicitation	Variable selon convention
Expertise sectorielle	Profonde, contextuelle	Pointue, mutualisée entre clients	Pointue, partagée entre entités
Cible privilégiée	Grands groupes, secteur public, banque, santé	PME, ETI, associations, TPE	Groupes, intercommunalités, fédérations
Risque principal	Conflit d’intérêts, isolement	Manque d’effectivité si périmètre flou	Disponibilité, équilibre entre entités
Indépendance	Forte si rattachement haut, à surveiller sinon	Naturellement préservée par la position externe	Préservée si conventions claires

Ce comparatif n’épuise pas la décision. Il aide à poser les termes du choix, en gardant à l’esprit qu’aucun modèle n’est intrinsèquement meilleur : le bon modèle est celui qui assure une fonction effective, dimensionnée et indépendante.

Critères de choix : comment trancher concrètement

Cinq critères structurent la décision en pratique.

La taille et la complexité de l’organisation. Une PME de 30 salariés sans traitement sensible n’a ni le besoin ni le budget d’un DPO interne à temps plein. Un hôpital, une banque de détail ou un opérateur de services numériques de masse ne peut pas se contenter d’une intervention ponctuelle.

Le secteur d’activité. Certains secteurs régulés imposent en pratique un modèle interne : banque et assurance via les exigences ACPR, santé via les obligations d’hébergement et la sensibilité des données, secteur public via la doctrine CNIL. À l’inverse, le commerce, les services aux entreprises et l’artisanat se tournent massivement vers l’externe.

Le niveau d’indépendance souhaité. Un DPO externe est par construction extérieur à la chaîne hiérarchique : aucune pression sur sa carrière, aucune crainte de représailles. Cette distance peut être un atout dans une organisation où la culture de conformité reste à construire, un handicap si la fonction réclame une présence continue.

Le budget et l’horizon de temps. Un poste interne n’a de sens que si l’organisation peut le porter sur plusieurs années. Sinon, mieux vaut un contrat externe court qui se renouvelle. Le DPO mutualisé est souvent le bon compromis pour une structure de taille moyenne.

La disponibilité du marché. Recruter un DPO interne expérimenté prend du temps : profils rares, délais d’embauche fréquemment supérieurs à six mois. Faire appel à un cabinet permet une mise en place en quelques semaines. Quel que soit le modèle retenu, la professionnalisation passe par une certification DPO reconnue par la CNIL ou un acteur de référence comme l’AFCDP ou l’AFNOR.

Basculer d’un modèle à l’autre

Le choix initial n’est pas figé. Les organisations passent fréquemment d’un modèle à l’autre, au rythme de leur croissance.

Le passage d’externe à interne est le scénario le plus courant. Une PME désigne d’abord un DPO externe pour répondre à l’urgence de la mise en conformité, puis recrute un salarié quand les sollicitations augmentent et que le coût du forfait approche celui d’un poste interne. Pour préparer une prise de fonction, consultez notre guide pour devenir Délégué à la protection des données et structurer son parcours.

Le passage d’interne à externe est plus rare, typiquement après le départ d’un DPO difficile à remplacer ou lors d’une restructuration. La bascule vers un schéma mutualisé accompagne souvent une réorganisation : groupement de communes, fusion de filiales, regroupement d’associations. Dans tous les cas, le changement doit être notifié à la CNIL et les coordonnées du DPO actualisées dans les mentions d’information.

Aucune organisation ne doit considérer son choix de modèle comme définitif. Les nouvelles régulations européennes (Data Act, AI Act, NIS 2) rapprochent le DPO de la gouvernance numérique globale et augmentent la charge de la fonction. Une revue tous les deux ou trois ans, conduite par la direction générale, permet de vérifier que le modèle reste adapté. La conformité ne se mesure pas à la forme du contrat, mais à la solidité du dispositif qu’il protège.