DPO PME : faut-il le désigner et comment l’organiser

La question du DPO PME revient dans presque toutes les directions de petite ou moyenne entreprise. Faut-il désigner un Délégué à la protection des données (DPO, Data Protection Officer) avec quarante salariés et quelques fichiers clients ? Le Règlement général sur la protection des données (RGPD) ne demande pas la même chose à une multinationale et à une société régionale. Il fixe en revanche des règles précises que tout dirigeant gagne à connaître.

Quand un DPO PME devient-il obligatoire

L’article 37 du RGPD impose la désignation d’un DPO dans trois cas. Premier cas, les organismes publics. Deuxième cas, les structures dont l’activité de base implique un suivi régulier et systématique à grande échelle des personnes concernées. Troisième cas, les traitements à grande échelle de catégories particulières de données dites sensibles au sens de l’article 9 (santé, biométrie, opinions, orientation sexuelle, génétique, infractions).

La plupart des PME du secteur privé se situent hors de ces cas. Pour ces structures, la désignation reste facultative mais fortement recommandée par la Commission nationale de l’informatique et des libertés (CNIL).

Certaines PME tombent en revanche dans le champ obligatoire. Un cabinet médical pluridisciplinaire, un laboratoire d’analyses, un éditeur de logiciel de santé, une plateforme de e-commerce qui profile finement ses visiteurs ou une société de sécurité privée qui gère de la vidéoprotection à grande échelle traitent des données sensibles ou pratiquent un suivi systématique qui déclenche l’obligation. La taille n’est pas le seul critère, c’est la nature des traitements qui compte.

Pour un DPO TPE ou un DPO PME, le bon réflexe est de cartographier les traitements avant tout. Si aucun traitement à risque n’apparaît, la désignation reste un choix d’opportunité.

Les trois modes de désignation pour un DPO PME

Le RGPD autorise trois schémas, chacun pertinent selon la taille et la maturité de la structure.

Le DPO interne est un salarié de l’entreprise. C’est le mode le plus intégré, mais il suppose une charge suffisante pour justifier au moins un mi-temps dédié. Dans une PME de cinquante à deux cents salariés, la fonction est rarement exercée à temps plein. Elle est cumulée avec une autre, ce qui ouvre la question des conflits d’intérêts traitée plus loin.

Le DPO mutualisé est partagé entre plusieurs entités juridiques. Les filiales d’un même groupe peuvent désigner un DPO unique, à condition qu’il soit aisément joignable depuis chaque entité et ait une connaissance suffisante du contexte de chacune. Le schéma est apprécié des holdings qui détiennent plusieurs PME aux activités proches.

Le DPO externe est un prestataire indépendant ou un cabinet spécialisé qui exerce la fonction par contrat. C’est souvent la solution la plus pragmatique pour un DPO PME ou un DPO petite entreprise. Le prestataire mutualise sa veille sur plusieurs clients, ce qui rend le coût supportable, et garantit l’indépendance fonctionnelle exigée par le RGPD. La limite tient à la régularité de la présence : il faut cadrer le nombre d’heures, les visites, la gestion des incidents et la disponibilité pour les contrôles CNIL.

Pour aller plus loin, le comparatif détaillé entre DPO interne et DPO externe précise les critères de choix.

Le cumul de fonctions et le conflit d’intérêts

L’article 38.6 du RGPD autorise expressément le cumul du DPO avec d’autres tâches et fonctions, à condition que ces dernières n’engendrent pas de conflit d’intérêts. La CNIL et le Comité européen de la protection des données (EDPB, European Data Protection Board) ont précisé la portée de cette règle, qui structure la réflexion de tout DPO PME en mode interne.

Le principe est simple. Le DPO ne peut pas définir les finalités et les moyens d’un traitement et contrôler ce même traitement. Il doit donc être éloigné des décisions opérationnelles qu’il a vocation à auditer.

Sont généralement compatibles avec la fonction de DPO les rôles juridiques (juriste, secrétaire général), les fonctions de conformité transverses (compliance officer, déontologue), la qualité, l’audit interne ou l’archivage. Ces fonctions partagent une logique de contrôle et n’engagent pas l’organisation sur les choix techniques ou marketing.

Sont à l’inverse problématiques les rôles qui décident effectivement des traitements importants : Directeur des systèmes d’information (DSI), Responsable des ressources humaines (RH) sur outils lourds, Directeur marketing, Directeur commercial. Cumuler DPO et DSI revient à juger ses propres décisions techniques.

La nuance compte pour les TPE. Dans une structure de quinze personnes, le RH ne décide pas seul d’un nouvel outil et l’informatique est souvent déléguée. Le cumul peut alors être tolérable. Mais la règle prudente, pour un DPO TPE comme pour un DPO PME, est d’éviter le cumul avec les fonctions de pilotage technique ou commercial.

Combien coûte un DPO PME externalisé

L’externalisation est devenue le standard chez les PME qui ne sont pas obligées et chez beaucoup de celles qui le sont. Les fourchettes observées en 2025 et 2026 dépendent du périmètre confié.

Pour un DPO TPE de moins de vingt salariés avec des traitements simples, un forfait annuel de 2 000 à 4 000 euros HT couvre la prise en main, la tenue du registre, deux à quatre demi-journées de présence par an et un canal de questions. Pour un DPO PME de vingt à cent salariés avec quelques traitements sensibles, le forfait monte à 4 000 à 8 000 euros HT par an, avec des visites trimestrielles et la gestion des AIPD (Analyse d’impact relative à la protection des données). Au-delà de cent salariés ou pour des activités à risque, le coût peut atteindre 12 000 à 20 000 euros HT par an, ce qui se rapproche du coût d’un mi-temps interne.

À ces forfaits s’ajoutent des prestations ponctuelles : audit, AIPD spécifique, gestion d’une violation, contrôle CNIL. Le tarif jour d’un DPO externe expérimenté oscille entre 600 et 1 200 euros HT. Un DPO interne salarié représente pour une PME un coût total de 50 000 à 80 000 euros annuels (salaire chargé, formation, outils). Le calcul économique penche pour l’externalisation tant que la charge n’atteint pas un mi-temps stable.

Le socle opérationnel et la formation interne

Quel que soit le schéma retenu, le dirigeant doit fournir au DPO PME un socle minimal pour qu’il exerce utilement. Premier élément, un registre des activités de traitement à jour, tenu selon l’article 30 du RGPD. C’est l’outil de pilotage de toute la conformité. Sans registre, aucun DPO ne peut faire son travail. Deuxième élément, un accès aux opérations et aux décideurs : interroger les chefs de service, consulter les contrats sous-traitants, examiner les logiciels, assister aux comités. L’article 38 du RGPD impose de fournir ces ressources. Troisième élément, un rattachement direct à la direction générale, hors du DSI ou du RH dont il aurait à auditer les choix. Quatrième élément, la déclaration auprès de la CNIL via le téléservice dédié, formalité gratuite et obligatoire dès qu’un DPO est désigné.

Faut-il alors former un salarié interne ? La réponse dépend du profil et de la disponibilité. Si un juriste, un qualiticien ou un compliance officer peut consacrer un quart à un mi-temps à la fonction, la formation diplômante ou certifiante est un investissement rentable. Le parcours type passe par une formation continue de quatre à huit jours, une certification homologuée par la CNIL et l’adhésion à un réseau professionnel. Les guides pour s’orienter vers la fonction de Délégué à la protection des données détaillent les voies de formation utiles.

Si aucun salarié n’a le temps, le profil ou l’envie, l’externalisation reste plus sûre que la désignation forcée d’un cumulant peu disponible. Un DPO qui ne fait pas son travail expose à plus de risques que pas de DPO du tout. Le bon DPO PME correspond à la maturité réelle de la structure, à ses traitements et à son budget. Mieux vaut un DPO externe à temps réduit qui audite sérieusement qu’un DPO interne cumulant qui n’ouvre jamais le registre.