DPO externe : définition, obligations CNIL, 8 missions, tarifs réels 2026 (6 000-18 000 €/an) et critères de choix pour PME. Guide expert + zoom cyber.

DPO Externe : Le Guide Complet pour les Dirigeants de PME en 2026

pour les Dirigeants de PME et ETI en France

Définition • Obligations légales • Missions • Coûts • Critères de choix • Convergence RGPD-Cyber • Cas PME

Temps de lecture estimé : 18 minutes | Dernière mise à jour : mars 2026

Le DPO externe (Délégué à la Protection des Données externalisé) est un prestataire indépendant désigné auprès de la CNIL pour piloter la conformité RGPD d’un organisme sans peser sur sa masse salariale. En 2025, la CNIL a prononcé 83 sanctions pour un montant record de 486 millions d’euros d’amendes. PME, ETI, associations et collectivités : personne n’est épargné. Ce guide expert détaille tout ce qu’un dirigeant doit savoir avant de choisir son DPO externe – obligations, missions, coûts réels, convergence cybernétique et recommandations concrètes.

1. Qu’est-ce qu’un DPO externe ? Définition complète

 

 

Le DPO externe, également appelé Délégué à la Protection des Données externalisé ou Data Protection Officer externalisé, est un professionnel indépendant – personne physique ou morale – qui exerce les missions de délégué à la protection des données pour le compte d’un ou plusieurs organismes, dans le cadre d’un contrat de prestation de services. Contrairement au DPO interne (salarié de l’entreprise), le DPO externe intervient à temps partagé et peut être désigné simultanément auprès de plusieurs entités : on parle alors de DPO mutualisé.

L’article 37 du RGPD prévoit explicitement la possibilité de recourir à un délégué externe. La CNIL, dans son guide pratique dédié aux DPO, précise que chaque organisme est libre d’organiser la fonction selon ses besoins, qu’il s’agisse d’un DPO interne ou externe. La désignation se formalise par une déclaration en ligne sur le téléservice de la CNIL, ce qui génère un numéro d’enregistrement opposable aux tiers et communicable à vos clients, partenaires ou financeurs.

■ À retenir : le DPO externe est un prestataire désigné officiellement auprès de la CNIL. Il n’est ni un simple consultant RGPD, ni un audit ponctuel : il est votre interlocuteur permanent et votre représentant en cas de contrôle.



DPO externe vs DPO interne : différences clés

 

 

Critère	DPO Interne	DPO Externe
Statut	Salarié de l’entreprise	Prestataire indépendant
Coût annuel moyen	70 000 – 120 000 € chargé	6 000 – 18 000 € HT/an
Indépendance	Risque de conflit d’intérêts	Totale (pas de lien hiérarchique)
Disponibilité	Présent physiquement	Contractualisée (SLA, créneaux)
Expertise	Mono-structure, formation requise	Multi-clients, veille permanente
Risque de départ	Élevé (perte de connaissance)	Faible (contrat + équipe backup)
Certification CNIL	Rarement certifié	Souvent certifié DPO (CNIL/AFNOR)

 

Selon la CNIL, 85 % des DPO internes exercent cette fonction à temps partiel en plus de leurs autres missions, et 61 % ne peuvent y consacrer que moins de 25 % de leur temps de travail. C’est une réalité qui explique la montée en puissance de l’externalisation, notamment dans les structures de moins de 250 salariés.

2. DPO externe : est-ce obligatoire ? Ce que dit la loi

Le RGPD (articles 37 à 39) définit trois cas dans lesquels la désignation d’un DPO – interne ou externe – est obligatoire :

• L’organisme est une autorité publique ou un organisme public (collectivités, établissements publics, administrations).
• Les activités de base du responsable de traitement ou du sous-traitant exigent un suivi régulier et systématique à grande échelle des personnes concernées (ex. : vidéosurveillance, géolocalisation, profilage marketing).
• Les activités de base consistent en un traitement à grande échelle de données sensibles (santé, biométrie, opinions politiques, données judiciaires).
  
  
  

En dehors de ces trois cas, la désignation d’un DPO reste fortement recommandée par la CNIL. Plus de 34 000 DPO étaient désignés en France début 2024, contre 21 000 en 2019 – une progression de 62 % en cinq ans qui témoigne d’une prise de conscience massive.

Sanctions en cas d’absence de DPO

Un organisme qui n’a pas désigné de DPO alors que la désignation est obligatoire s’expose à une sanction pouvant prendre la forme d’un rappel à l’ordre, d’une injonction, ou d’une amende administrative allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. En 2025, la CNIL a intensifié ses contrôles sur les PME, avec un bilan record de 83 sanctions et 486 millions d’euros d’amendes cumulées tous secteurs confondus.

■ Bon à savoir : même si votre PME n’entre pas dans les trois cas d’obligation, désigner un DPO externe est un signal fort envoyé à la CNIL, à vos clients et à vos donneurs d’ordre. C’est aussi un avantage concurrentiel croissant dans les appels d’offres publics et privés.

3. Les 8 missions du DPO externe

Le DPO externalisé n’est pas un simple « auditeur ponctuel ». Ses missions couvrent l’intégralité du cycle de vie de la conformité :

Mission 1 – Cartographie des traitements.

Le DPO recense l’ensemble des traitements de données personnelles au sein de l’organisation (clients, salariés, fournisseurs, prospects) et établit le registre des traitements exigé par l’article 30 du RGPD.

Mission 2 – Audit de conformité initial.

Il réalise un état des lieux complet : bases légales des traitements, mentions d’information, politique de confidentialité, gestion des cookies, contrats sous-traitants, mesures de sécurité techniques et organisationnelles.

Mission 3 – Plan d’action correctif.

 

Sur la base de l’audit, il élabore une feuille de route priorisée selon le niveau de risque juridique et opérationnel, avec des échéances, des responsables et des indicateurs de suivi.

Mission 4 – Rédaction documentaire.

Politiques de confidentialité, clauses contractuelles RGPD, analyses d’impact (AIPD/DPIA), procédures de gestion des droits des personnes, procédure de notification de violations… Le DPO externe produit et maintient à jour toute la documentation d’accountability.

Mission 5 – Formation et sensibilisation.

Il anime des sessions de formation adaptées aux différents métiers (RH, marketing, IT, direction) pour ancrer les réflexes de protection des données dans la culture de l’entreprise.

Mission 6 – Point de contact CNIL.

Déclaré auprès de l’autorité de contrôle, il est l’interlocuteur privilégié en cas de contrôle, de plainte ou de procédure de sanction. Il vous accompagne dans la notification des violations de données (délai de 72 heures).

Mission 7 – Veille réglementaire permanente.

Le RGPD n’est pas figé : décisions de la CJUE, guidelines de l’EDPB, recommandations de la CNIL, IA Act européen (entré en vigueur en 2025)… Le DPO externe assure une veille continue et adapte votre conformité en temps réel.

Mission 8 – Gestion de crise.

En cas de violation de données (cyberattaque, fuite, erreur humaine), le DPO externe coordonne la réponse : qualification de l’incident, notification CNIL sous 72h, communication aux personnes concernées, analyse post-incident et mesures correctives.

4. Pourquoi externaliser son DPO ? Les 7 avantages pour les PME

1. Économie budgétaire massive.

Un DPO interne coûte entre 70 000 et 120 000 € chargé par an. Un DPO externe se situe entre 6 000 et 18 000 € HT/an pour une PME de taille comparable. L’économie peut atteindre 100 000 € annuels.

2. Expertise immédiatement opérationnelle.

 

Le DPO externe vit RGPD au quotidien, accompagne des dizaines de structures, connaît les dernières décisions de la CNIL et de la CJUE, et dispose d’une méthodologie éprouvée. Pas de courbe d’apprentissage.

3. Indépendance totale.

Aucun lien hiérarchique, aucun conflit d’intérêts. Le DPO externe n’a rien à ménager en interne et peut alerter la direction sans pression. La CNIL insiste sur le fait qu’un DPO ne doit pas cumuler sa fonction avec des postes de direction (DG, DSI, DRH, directeur marketing).

4. Flexibilité contractuelle.

Forfait mensuel, mission ponctuelle, accompagnement trimestriel… Le volume d’heures s’ajuste aux besoins réels de l’entreprise, ce qui est idéal pour les structures en croissance ou à activité saisonnière.

5. Continuité de service.

 

Si votre DPO interne quitte l’entreprise, il emporte sa connaissance des dossiers. Un prestataire externe dispose d’une équipe, d’une documentation structurée et d’un backup garantissant la continuité de la mission.

6. Accès à un réseau d’experts. 

Les meilleurs DPO externes travaillent au sein d’équipes pluridisciplinaires : juristes spécialisés RGPD, consultants cybernétiques, avocats en droit du numérique. Cette profondeur de bench est inaccessible en interne pour une PME.

7. Avantage concurrentiel et commercial.

De plus en plus de donneurs d’ordre, de grands groupes et d’organismes publics exigent de leurs sous-traitants la preuve d’un DPO désigné. Disposer d’un DPO externe déclaré à la CNIL, c’est cocher une case devenue déterminante dans les appels d’offres.

5. Combien coûte un DPO externe ? Grille tarifaire 2025-2026

 

 

Les tarifs d’un DPO externalisé varient considérablement selon la taille de la structure, la complexité des traitements, le secteur d’activité et le niveau de maturité RGPD existant. Voici une grille de référence actualisée :

Type de structure	Fourchette mensuelle	Coût annuel estimé	Périmètre type
TPE (< 10 salariés)	59 – 299 € HT	700 – 3 600 €	Audit light, registre, docs de base
PME (10-250 salariés)	500 – 1 500 € HT	6 000 – 18 000 €	Audit complet, plan d’action, formation, veille
ETI (250-5000 salariés)	1 500 – 4 000 € HT	18 000 – 48 000 €	Multi-sites, AIPD, audits récurrents
Grande entreprise	4 000 €+ HT	48 000 €+	Groupe, international, données sensibles

 

Les tarifs jour des consultants DPO se situent généralement entre 800 et 1 200 € HT selon le niveau de séniorité. Les offres « tout inclus » avec logiciel RGPD intégré démarrent autour de 189 € HT/mois pour les petites structures. Pour la mise en conformité initiale complète, il faut généralement prévoir un budget distinct de 1 500 à 7 000 € pour une PME.

■ Conseil de dirigeant : méfiez-vous des offres à prix d’appel excessivement bas. Un DPO à 59 €/mois peut correspondre à un périmètre très réduit où l’essentiel du travail reste à votre charge. Exigez un détail précis des livrables et du temps alloué.



À lire : Combien coût une mise en conformité RGPD ?

6. Comment choisir son DPO externe ? 10 critères décisifs

Le marché du DPO externe s’est considérablement structuré depuis 2018. Pour faire le bon choix, voici les critères à évaluer de manière systématique :

• Certification DPO reconnue par la CNIL (organisme agréé, QCM de 100+ questions, 2 ans d’expérience minimum ou formation de 35h).
  
  
• Expertise sectorielle : un DPO spécialiste de la santé, de la finance ou du e-commerce connaîtra les spécificités réglementaires et les référentiels applicables (HDS, DSP2, NIS2).
  
  
• Références clients vérifiables et avis publics (Trustpilot, Google Reviews).
  
  
• Transparence tarifaire : détail des livrables, nombre d’heures allouées, conditions de dépassement.
  
  
• Outil de pilotage RGPD inclus : registre en ligne, suivi du plan d’action, gestion des demandes de droits, alertes de veille.
  
  
• Réactivité contractualisée : SLA de réponse (24-48h), disponibilité en cas de crise (violation, contrôle CNIL).
  
  
• Assurance responsabilité civile professionnelle couvrant spécifiquement la mission de DPO.
  
  
• Complémentarité juridique : accès à des avocats spécialisés RGPD pour les sujets complexes (transferts hors UE, contentieux, négociation contractuelle).
  
  
• Double compétence RGPD + cybersécurité pour couvrir les exigences croisées (NIS2, mesures techniques article 32 du RGPD).
  
  
• Continuité de service : équipe de backup, documentation accessible, clause de réversibilité.
  
  
  

7. Procédure de désignation du DPO externe auprès de la CNIL

La désignation d’un DPO externe suit une procédure simple mais formalisée. Voici les étapes à suivre :

Étape 1 – Contractualisation.

 

Signez un contrat de prestation définissant précisément le périmètre, les missions, les livrables, la durée, les conditions financières et la clause de confidentialité.

Étape 2 – Déclaration en ligne.

Rendez-vous sur le téléservice de la CNIL (cnil.fr/fr/designation-dpo) pour déclarer votre DPO. Depuis février 2025, le formulaire a été simplifié. Vous obtiendrez un numéro d’enregistrement.

Étape 3 – Communication interne.

 

Informez l’ensemble des collaborateurs de la désignation du DPO et de ses coordonnées. Mettez à jour vos mentions légales et votre politique de confidentialité.

Étape 4 – Communication externe.

 

Communiquez les coordonnées de votre DPO à vos clients, partenaires et sous-traitants. Le numéro de désignation CNIL renforce immédiatement votre crédibilité.

Important : toute modification (changement de DPO, fin de mission, changement de coordonnées) doit être signalée immédiatement à la CNIL. Le DPO externe est tenu de coopérer avec l’autorité de contrôle et de répondre à ses sollicitations.

8. Zoom expert : DPO externe et cybersécurité – la convergence inévitable

🔒 ZOOM EXPERT – SECTION STRATÉGIQUE

La frontière entre protection des données personnelles et cybersécurité s’efface rapidement. L’article 32 du RGPD impose des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité des données. La directive NIS2, transposée en droit français, étend les obligations de cybersécurité à des milliers de PME et ETI qui n’étaient pas concernées auparavant.

Concrètement, cela signifie que le DPO ne peut plus travailler en silo. Il doit collaborer étroitement avec un Responsable de la Sécurité des Systèmes d’Information (RSSI) pour couvrir les exigences croisées : analyses de risques, plans de continuité, gestion des incidents, audits de vulnérabilités, et conformité aux référentiels de l’ANSSI.

Le modèle DPO + RSSI externalisés : la réalité des PME françaises

De nombreuses PME n’ont les moyens ni d’un DPO interne, ni d’un RSSI à temps plein. La réalité du terrain, c’est que ces deux fonctions sont externalisées, souvent séparément, ce qui crée des angles morts et des doublons coûteux.

Une approche intégrée émerge : le DPO externalisé couplé à un RSSI à la demande, au sein d’un même écosystème de confiance. C’est exactement le modèle proposé par RiskCyber, solution opérée par Plateya et ses partenaires spécialisés. Le principe : mutualiser les meilleures expertises cyber aux meilleurs coûts, en donnant accès aux PME à un pool d’experts DPO certifiés et de RSSI à la demande, avec un pilotage unifié et une facturation transparente.

Ce modèle répond à un problème structurel des PME françaises : le dirigeant ne peut pas tout maîtriser seul – RGPD, cybersécurité, conformité juridique. En externalisant de manière coordonnée via RiskCyber, la PME accède à une gouvernance données + cyber cohérente, sans recruter deux postes à temps plein dont elle n’a pas besoin.

 

 

Modèle	DPO + RSSI séparés	RiskCyber (Plateya)
Coût annuel PME	15 000 – 35 000 € (2 prestataires)	Mutualisé, coûts optimisés
Coordination	Angles morts fréquents	Pilotage unifié DPO + RSSI
Couverture NIS2	Non garantie sans RSSI	Intégrée par défaut
Gestion de crise	Coordination manuelle	Équipe cyber + juridique mobilisée
Support avocat RGPD	En option, prestataire tiers	Accès via Plateya Fundamentals

 

Accès à des avocats spécialisés RGPD via Plateya Fundamentals

 

 

Au-delà de la mission de DPO et de RSSI, certaines situations exigent un accompagnement juridique spécifique : contentieux lié à une violation de données, négociation de clauses contractuelles avec un grand compte, transferts de données hors UE (Transfer Impact Assessment), ou encore défense lors d’une procédure de sanction CNIL.

C’est pourquoi Plateya Fundamentals donne accès à un réseau d’avocats spécialisés en droit des données personnelles et en droit du numérique. Pour le dirigeant de PME, c’est la garantie de ne jamais se retrouver seul face à un sujet juridique complexe, tout en maîtrisant son budget. Le triptyque DPO externalisé + RSSI à la demande + avocat RGPD constitue aujourd’hui le dispositif de conformité le plus complet et le plus rentable pour une PME française.

🍓 9. DPO externe et IA Act : le nouveau périmètre à anticiper

L’IA Act européen, entré en application progressive depuis 2025, impose de nouvelles obligations pour les entreprises qui déploient ou développent des systèmes d’intelligence artificielle. Or, la majorité des systèmes IA traitent des données personnelles : scoring clients, chatbots, systèmes de recrutement automatisé, détection de fraude…

Le DPO externe voit donc son périmètre s’élargir naturellement. Il doit désormais évaluer les systèmes IA au regard du RGPD (base légale, transparence, droits des personnes, AIPD) mais aussi au regard de la classification de risque de l’IA Act (risque inacceptable, haut risque, risque limité, risque minimal).

Pour les PME qui intègrent de plus en plus d’outils IA dans leur quotidien (CRM, marketing automation, RH, comptabilité), disposer d’un DPO externe qui maîtrise cette double réglementation est un atout stratégique majeur. C’est un critère de choix à intégrer dès maintenant dans votre sélection de prestataire.

10. Cas concrets : 3 scénarios de PME avec DPO externe

Scénario 1 – Cabinet comptable (15 salariés)

Problème : le cabinet traite des données financières sensibles pour 300 clients, reçoit des demandes de droit d’accès régulières, et doit répondre aux exigences RGPD de ses clients grands comptes. Aucun salarié n’a le temps ni la compétence pour piloter la conformité.

Solution : désignation d’un DPO externe à 490 € HT/mois. Résultat en 6 mois : registre des traitements complet, politique de confidentialité refondues, formation de l’équipe, et réponse standardisée aux questionnaires de conformité des clients grands comptes.

Scénario 2 – Startup SaaS B2B (45 salariés)

Problème : la startup héberge des données clients en cloud, prépare une levée de fonds, et ses investisseurs exigent un audit RGPD complet. Le CTO cumule DSI + pseudo-DPO, ce qui crée un conflit d’intérêts.

Solution : DPO externe couplé à un RSSI à la demande via RiskCyber. Audit initial, AIPD sur le produit principal, revue des contrats sous-traitants, et mise en conformité certifiable en vue de la due diligence. Budget : 1 200 € HT/mois pour le dispositif complet DPO + RSSI.

Scénario 3 – Réseau de cliniques dentaires (3 sites, 80 salariés)

Problème : traitement de données de santé à grande échelle, obligation de DPO, référentiel HDS à respecter, et contrôle CNIL déjà annoncé dans le secteur santé en 2025.

Solution : DPO externe mutualisé pour les 3 sites, avec un avocat spécialisé RGPD santé accessible via Plateya Fundamentals pour les sujets de consentement patient et de recherche clinique. Notification CNIL en cas de violation gérée de bout en bout par l’équipe DPO + juridique.

11. Checklist du dirigeant avant de choisir son DPO externe

Utilisez cette liste de vérification avant de signer avec un prestataire DPO externalisé :

• Le prestataire est-il certifié DPO par un organisme agréé CNIL ?
• Dispose-t-il d’une assurance RC Pro couvrant la mission de DPO ?
• Le contrat détaille-t-il précisément les livrables, le volume d’heures et les SLA ?
• Propose-t-il un outil de pilotage RGPD (registre, suivi, alertes) ?
• Peut-il être formellement désigné auprès de la CNIL ?
• Dispose-t-il d’une compétence cybernétique ou d’un partenariat RSSI ?
• A-t-il des références dans votre secteur d’activité ?
• Prévoit-il une clause de réversibilité et de transfert de documentation ?
• Propose-t-il un accès à des avocats spécialisés pour les sujets complexes ?
• Son tarif est-il transparent, sans frais cachés ni dépassement non prévu ?
  
  
  
  

12. FAQ – Questions fréquentes sur le DPO externe

Un DPO externe peut-il être désigné pour plusieurs entreprises ?

 

Oui. Le RGPD autorise explicitement le DPO mutualisé. Un prestataire externe peut être désigné simultanément pour plusieurs organismes, à condition de rester facilement joignable par chacun d’entre eux. C’est même l’un des avantages clés pour les PME : mutualiser l’expertise permet de réduire les coûts.

Le DPO externe est-il responsable en cas de sanction CNIL ?

 

Non. La responsabilité de la conformité reste celle du responsable de traitement (l’entreprise). Cependant, si le DPO externe a fourni un conseil erroné, sa responsabilité contractuelle et professionnelle peut être engagée. D’où l’importance de vérifier l’assurance RC Pro du prestataire.

Quelle différence entre DPO externe et consultant RGPD ?

 

Le consultant RGPD intervient ponctuellement (audit, formation, mise en conformité initiale) sans être désigné auprès de la CNIL. Le DPO externe est formellement désigné, déclaré à la CNIL, et assume une mission permanente de contrôle et de conseil. C’est un engagement dans la durée, pas une intervention one-shot.

Mon DPO externe peut-il gérer un contrôle CNIL ?

Absolument. C’est même l’une de ses missions principales. En tant que point de contact déclaré, il coopère directement avec les agents de la CNIL, prépare la documentation demandée, et vous conseille sur la stratégie de réponse. En cas de procédure de sanction, il travaille en tandem avec votre avocat RGPD.

DPO externe et télétravail : est-ce compatible ?

Parfaitement. La majorité des missions du DPO (registre, documentation, veille, formations, conseil) s’effectuent à distance. Les interventions sur site sont généralement réservées aux audits initiaux, aux formations présentielles et aux situations de crise. L’essentiel est de contractualiser les modalités d’intervention (présentiel vs distanciel) dès le départ.

Comment savoir si mon entreprise doit obligatoirement désigner un DPO ?

Si vous êtes un organisme public, si vous effectuez un suivi régulier et systématique de personnes à grande échelle, ou si vous traitez des données sensibles à grande échelle, la désignation est obligatoire. En cas de doute, la CNIL recommande de désigner un DPO par précaution – et un DPO externe est la solution la plus simple et la plus rapide pour se mettre en règle.

Conclusion : le DPO externe, investissement stratégique pour 2025-2026

Le paysage réglementaire se densifie : RGPD renforcé, NIS2, IA Act, contrôles CNIL intensifiés. Pour un dirigeant de PME ou d’ETI, la question n’est plus « faut-il un DPO ? » mais « comment s’organiser intelligemment pour être conforme sans paralyser l’entreprise ? ».

L’externalisation du DPO coche toutes les cases : expertise, indépendance, flexibilité, coût maîtrisé. Couplée à un RSSI à la demande et à un accès juridique spécialisé, elle constitue le dispositif le plus complet du marché pour les structures qui veulent se concentrer sur leur cœur de métier.

Découvrez RiskCyber par Plateya – DPO externalisé + RSSI à la demande + Avocats RGPD

Les meilleures expertises cyber aux meilleurs coûts.

www.plateya.fr