DPO en PME : ce que coûte vraiment un délégué interne ou externalisé

DPO obligatoire ou facultatif : où se situe votre PME

La désignation d’un DPO est obligatoire dans trois situations seulement, listées à l’article 37 du RGPD et rappelées par la CNIL : les autorités et organismes publics, les organismes dont les activités de base impliquent un suivi régulier et systématique des personnes à grande échelle, et ceux qui traitent à grande échelle des données dites sensibles (santé, opinions, biométrie) ou relatives à des condamnations pénales. Une PME industrielle, un cabinet de conseil ou une agence de communication n’entrent en général dans aucun de ces cas.

La question devient moins évidente dès que le modèle économique repose sur la donnée. Un e-commerçant qui profile ses visiteurs pour personnaliser ses offres, une société de télésurveillance, une plateforme de mise en relation ou un prestataire de géolocalisation de flottes peuvent relever du suivi régulier et systématique à grande échelle. Les lignes directrices du CEPD précisent les notions d’activité de base et de grande échelle, avec des exemples : un praticien de santé exerçant seul n’est pas considéré comme traitant à grande échelle, un hôpital l’est.

Hors obligation, le CEPD encourage la désignation volontaire, et la CNIL le répète sur ses pages dédiées aux TPE et PME. Le raisonnement est simple : sans DPO, personne ne porte la conformité, le registre vieillit et chaque demande d’accès d’un client ou d’un ancien salarié se gère dans l’urgence. Le point à retenir pour une PME : une désignation volontaire engage aux mêmes règles qu’une désignation obligatoire (indépendance, moyens, absence de conflit d’intérêts, publication des coordonnées). On ne nomme pas un délégué pour l’affichage.

Ce que fait un délégué à la protection des données, et ce qu’il ne fait pas

Un DPO informe, conseille et contrôle : l’article 39 du RGPD lui confie cinq missions, et la CNIL les résume ainsi. Il informe et conseille le dirigeant et les salariés, il contrôle le respect du règlement, il conseille sur les analyses d’impact et en vérifie l’exécution, il coopère avec la CNIL dont il est le point de contact, et il répond aux personnes qui exercent leurs droits. Ses missions couvrent l’ensemble des traitements de l’entreprise, de la paie au formulaire de contact du site web.

Il ne porte pas la responsabilité de la conformité. Les lignes directrices du CEPD sont explicites : le DPO n’est pas personnellement responsable d’un manquement. C’est le responsable de traitement, donc la direction de la PME, qui doit démontrer que les traitements respectent le règlement (article 24.1). Un dirigeant qui pense « transférer le risque » à un prestataire se trompe sur la nature du contrat : il achète de l’expertise et du pilotage, pas une décharge.

Il ne décide pas non plus des finalités ni des moyens d’un traitement. C’est le cœur de la règle sur le conflit d’intérêts. La CNIL cite les fonctions incompatibles les plus fréquentes : directeur général, directeur financier, responsable marketing, responsable des ressources humaines, responsable informatique. Dans une PME de 40 personnes, cette liste élimine presque tous les profils qui connaissent les données. C’est la première raison pour laquelle le coût d’un délégué interne est si souvent sous-estimé.

DPO interne : le coût réel d’un délégué salarié ou à temps partiel

Un DPO interne coûte d’abord du temps de salarié, et ce temps est rarement budgété. La fonction peut s’exercer à temps partiel, la CNIL l’admet, à condition que le délégué dispose du temps, de la formation, de l’accès aux données et d’un positionnement qui lui permette de rapporter directement à la direction. Dans les devis et fiches de poste que nos clients nous transmettent, un temps partiel crédible en PME représente entre un demi-jour et une journée par semaine la première année, puis deux à quatre jours par mois en régime de croisière.

À ce temps s’ajoutent des coûts directs. Une formation initiale sérieuse se chiffre en milliers d’euros, la certification des compétences (référentiel adopté par la CNIL, délivrée par des organismes agréés) ajoute un budget d’examen et de préparation, et l’outillage du registre va d’un tableur bien tenu à un logiciel de conformité facturé par abonnement. Enfin, le délégué interne a besoin des autres : l’équipe informatique doit lui fournir la cartographie des applications, des accès et des sous-traitants, ce qui représente plusieurs jours de travail la première année.

Le vrai risque du modèle interne n’est pas financier, il est organisationnel. Le DPO nommé parmi les volontaires est souvent le responsable informatique ou la responsable RH, précisément les profils que la CNIL juge en conflit d’intérêts. Quand le profil est compatible (assistant de direction, responsable qualité, juriste), le temps promis fond à la première période chargée, et la fonction se réduit à une adresse e-mail. Une désignation interne tient si elle figure dans la fiche de poste, avec un objectif de temps mesuré et un rapport annuel présenté à la direction, comme le recommande la CNIL dans ses travaux sur le rapport d’activité du DPO.

DPO externalisé ou mutualisé : ce que couvre le contrat et ce qu’il laisse de côté

Un DPO externalisé se facture en abonnement mensuel ou en jours de prestation, et le prix dépend du nombre de traitements, de la sensibilité des données et du niveau d’accompagnement. Le RGPD autorise explicitement le délégué externe, désigné sur la base d’un contrat de service, et la CNIL permet qu’un même délégué soit mutualisé entre plusieurs organismes, à condition qu’il reste joignable depuis chaque entité et capable de coopérer avec l’autorité de contrôle. Pour une PME, les formules observées vont de l’abonnement d’entrée de gamme (quelques centaines d’euros par mois, avec un volume d’heures plafonné) à la mission sur mesure facturée à la journée.

Le contrat mérite une lecture attentive, car les écarts de prix s’expliquent par le périmètre. Les points à vérifier : la tenue du registre est-elle incluse ou simplement « accompagnée » ? Les analyses d’impact sont-elles facturées à part ? Qui répond aux demandes d’exercice des droits dans le délai d’un mois ? Qui gère une notification de violation de données à la CNIL dans les 72 heures ? Un abonnement à bas prix qui exclut ces quatre postes revient plus cher qu’une formule complète dès le premier incident.

La limite du modèle externe tient à la connaissance du terrain. Un prestataire qui visite l’entreprise deux fois par an ne voit pas les outils SaaS souscrits par le service commercial, les exports de fichiers clients vers un sous-traitant ou le nouveau script de suivi installé sur le site. C’est là que la mutualisation prend son sens pour un groupe de PME ou un réseau de cabinets : un DPO partagé, nourri par un référent interne par entité, coûte moins cher qu’un externe par société et connaît mieux les process qu’un abonnement distant. Lead4you intervient souvent à cet endroit précis, en conseil IT, pour fournir au délégué la cartographie technique qui lui manque.

Comparatif : interne, externalisé ou mutualisé pour une PME

Le tableau ci-dessous compare les trois modèles sur les critères qui pèsent dans la décision. Les ordres de grandeur de coût sont ceux que Lead4you relève sur les devis et budgets de ses clients PME en 2025 et 2026 ; ils varient avec le secteur, le nombre de traitements et le niveau d’exigence, et ne remplacent pas un devis.

Le site web pèse dans le choix plus qu’on ne le croit. Bannière de consentement, formulaires, outils de mesure d’audience et scripts publicitaires sont des traitements à part entière, et ils changent à chaque refonte ou campagne. Un DPO externe découvre souvent ces modifications après coup. Quand nous reprenons un site en mission SEO et GEO, l’inventaire des balises et des consentements fait partie du livrable, précisément pour que le délégué travaille sur une base à jour.

La méthode en 5 étapes pour chiffrer votre budget DPO

Chiffrer un budget DPO prend une à deux semaines de travail si l’on suit un ordre précis. Les cinq étapes ci-dessous évitent de payer un prestataire pour un périmètre que personne n’a défini.

1. Dresser le registre des traitements, même imparfait. La CNIL fournit un modèle. Le nombre de traitements, la présence de données sensibles et le volume de personnes concernées déterminent le niveau d’obligation et le prix de tout devis.
2. Cartographier le système d’information. Applications, hébergeurs, sous-traitants, accès, outils SaaS souscrits hors DSI. C’est la pièce que les prestataires réclament en premier et que les PME n’ont presque jamais.
3. Tester le modèle interne. Existe-t-il une personne sans conflit d’intérêts, disponible un demi-jour par semaine, prête à se former ? Si la réponse est non sur l’un des trois points, le modèle interne coûtera plus cher qu’il n’y paraît.
4. Comparer deux ou trois devis sur le même périmètre. Registre, analyses d’impact, exercice des droits, violations de données, formation des équipes : chaque ligne doit apparaître comme incluse, en option ou exclue.
5. Désigner, publier, puis piloter. La désignation se fait en ligne sur le site de la CNIL, les coordonnées du DPO se publient dans la politique de confidentialité, et un rapport d’activité annuel présenté à la direction sert de base au budget de l’année suivante.

Checklist rapide

• Vérifier si l’un des trois cas d’obligation de l’article 37 du RGPD s’applique à vos activités de base.
• Lister les fonctions incompatibles dans votre organigramme (DG, DAF, DRH, marketing, DSI) avant de chercher un volontaire.
• Chiffrer le temps interne : montée en compétence, registre, réponses aux demandes, préparation du rapport annuel.
• Exiger un périmètre écrit dans tout devis externe : registre, analyses d’impact, droits des personnes, violations de données.
• Fournir au DPO une cartographie du système d’information à jour, y compris les outils souscrits hors DSI.
• Publier les coordonnées du délégué sur le site et vérifier que le formulaire de contact les reprend.
• Planifier un rapport d’activité annuel et réviser le budget sur cette base.