Règlement (UE) 2016/679, article 37
DPO externalisé : le mandat de délégué à la protection des données en abonnement
Un DPO externalisé est un délégué à la protection des données qui exerce son mandat sur la base d'un contrat de service plutôt que d'un contrat de travail, possibilité expressément ouverte par l'article 37.6 du règlement (UE) 2016/679. Sila, cabinet de conseil établi à Paris, exerce ce mandat en abonnement annuel, sans lien de subordination et avec les garanties d'indépendance prévues par le règlement.
Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .
Désignation obligatoire ou démarche volontaire
L'article 37.1 du règlement (UE) 2016/679 impose la désignation d'un délégué à la protection des données dans trois situations : le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle (point a) ; les activités de base du responsable de traitement ou du sous-traitant consistent en des opérations qui exigent un suivi régulier et systématique à grande échelle des personnes concernées (point b) ; ou ces activités de base consistent en un traitement à grande échelle de catégories particulières de données au sens de l'article 9, ou de données relatives aux condamnations pénales et aux infractions visées à l'article 10 (point c).
Hors de ces trois cas, la désignation d'un délégué reste une démarche volontaire, que l'entreprise peut engager pour structurer sa conformité et disposer d'un interlocuteur identifié face à l'autorité de contrôle. Le G29, dans ses lignes directrices reprises par le comité européen de la protection des données, recommande cette désignation volontaire dès lors que l'activité traite des données personnelles de façon significative, même hors des seuils de l'article 37.1.
Ce qu'inclut l'abonnement
Le mandat confié à Sila couvre l'ensemble des missions que l'article 39 assigne au délégué, exercées dans la durée et non à l'occasion d'une intervention ponctuelle.
Interlocuteur unique de la CNIL
Le délégué coopère avec l'autorité de contrôle et fait office de point de contact pour toute question relative au traitement (article 39.1 e). Ses coordonnées sont publiées et communiquées à la CNIL conformément à l'article 37.7.
Réponse aux demandes d'exercice de droits
Instruction des demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition formées par les personnes concernées, dans le délai d'un mois prévu à l'article 12.3, prorogeable de deux mois selon la complexité et le nombre de demandes.
Revue annuelle du registre des traitements
Mise à jour du registre de l'article 30 à échéance annuelle et à chaque évolution significative des traitements, afin que le registre reste opposable en cas de contrôle.
Veille réglementaire
Suivi des évolutions du règlement, des lignes directrices du comité européen de la protection des données et des positions de la CNIL, et information du responsable de traitement sur les obligations qui en découlent (article 39.1 a et b).
Notification de violation sous 72 heures
Conduite de la procédure de notification à la CNIL dans le délai de l'article 33.1, et, lorsque le risque pour les personnes concernées l'exige, de la communication prévue à l'article 34.
Disponibilité
Le délégué est associé, en amont et en temps utile, à toutes les questions relatives à la protection des données au sens de l'article 38.1, et non consulté a posteriori sur des décisions déjà arrêtées.
Modalités du mandat
Le mandat est formalisé par un contrat de service, possibilité expressément ouverte par l'article 37.6 du règlement (UE) 2016/679. L'article 38.3 garantit au délégué l'absence d'instruction dans l'exercice de ses missions et l'absence de sanction ou de révocation pour l'exercice de celles-ci ; il ne peut recevoir aucune instruction quant à la manière de traiter une affaire relative à la protection des données. L'article 38.6 permet au délégué d'exercer d'autres missions, sous réserve qu'elles ne donnent pas lieu à un conflit d'intérêts, ce que le contrat de service encadre par construction en l'absence de tout lien de subordination.
L'engagement est reconduit tacitement à échéance annuelle, sans durée minimale imposée au-delà de la première période contractuelle. Le périmètre de l'abonnement, les livrables et le montant figurent au devis remis sous 48 h après l'échange de cadrage.
La méthode, en quatre étapes
01Diagnostic d'écart
Détermination du champ d'application du texte à l'activité réelle, puis comparaison entre ce que le texte impose et ce qui existe déjà dans l'organisation. Le diagnostic conclut sur une liste d'écarts hiérarchisés par exposition, non sur une note globale. Une organisation hors champ le sait à l'issue de cette étape, et la mission s'arrête là.
02Cartographie
Recensement de ce sur quoi porteront les mesures : traitements et flux de données, systèmes, prestataires, contrats en cours, rôles et responsabilités. La cartographie est le document de travail commun à toute la suite de la mission, et c'est elle qui est opposable en cas de contrôle.
03Mesures techniques et organisationnelles
Mise en œuvre des mesures que la cartographie a rendues nécessaires : procédures internes, politiques, clauses contractuelles à renégocier avec les prestataires, arbitrages de gouvernance, et formation des personnes concernées. Les mesures techniques relevant du système d'information sont spécifiées par Sila et mises en œuvre par vos équipes ou votre prestataire.
04Dossier de preuves
Constitution du dossier opposable à l'autorité de contrôle : registres, analyses d'impact, politiques datées et versionnées, traces de décision, preuves de formation. La conformité ne se démontre pas par l'absence d'incident mais par la production de ce dossier, ce qui suppose qu'il soit tenu à jour après la fin de la mission.
Devis personnalisé sous 48 h
Le périmètre d'une mission ne se devine pas : il dépend de votre assujettissement, du nombre de traitements, de systèmes et de contrats concernés, et de ce qui existe déjà dans votre organisation. Aucun montant n'est donc affiché sur ce site.
La démarche commence par un échange de cadrage, sans frais et sans engagement, destiné à délimiter ce sur quoi la mission portera. Un devis personnalisé vous est adressé sous 48 h, détaillant le périmètre, les livrables et le montant.
Questions fréquentes
Combien coûte un DPO externalisé ?
Sila ne publie pas de grille tarifaire, et se méfie de celles qui circulent : un prix affiché suppose un périmètre connu, or le périmètre d'un mandat de délégué dépend du nombre de traitements, du volume de demandes d'exercice de droits, du nombre de sous-traitants à contractualiser et du niveau de maturité de départ. Deux organisations de taille comparable n'ont pas le même mandat. La démarche commence donc par un échange de cadrage, sans frais et sans engagement, à l'issue duquel un devis personnalisé détaillant le périmètre, les livrables et le montant est remis sous 48 heures.
Le délégué à la protection des données peut-il être externe à l'entreprise ?
Oui. L'article 37.6 du règlement (UE) 2016/679 prévoit que le délégué à la protection des données peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d'un contrat de service. Dans les deux cas, l'article 38.3 lui garantit l'absence d'instruction dans l'exercice de ses missions et l'article 37.7 impose la publication de ses coordonnées et leur communication à l'autorité de contrôle.
Est-il possible de résilier le mandat en cours d'abonnement ?
Le contrat de service fixe les conditions de résiliation avant le début de la mission. Une désignation obligatoire au titre de l'article 37.1 suppose que la fonction reste pourvue de façon continue : la résiliation d'un mandat externe est donc articulée, dans le contrat, avec la désignation d'un nouveau délégué, interne ou externe, pour éviter toute vacance.
Une entreprise disposant déjà d'un DPO interne peut-elle recourir à un DPO externe ?
Le règlement ne prévoit la désignation que d'un seul délégué par responsable de traitement au sens de l'article 37, à moins qu'un groupe d'entreprises n'en désigne un unique pour l'ensemble du groupe (article 37.2). Un DPO externe se substitue donc à un DPO interne plutôt que de s'y ajouter ; un accompagnement ponctuel distinct du mandat de délégué reste en revanche possible.
Que se passe-t-il en cas de changement de délégué en cours de mandat ?
Le changement de délégué fait l'objet d'une nouvelle communication à la CNIL au titre de l'article 37.7, portant les coordonnées du nouveau délégué. La continuité des missions de l'article 39, notamment le suivi des demandes en cours et du registre de l'article 30, est assurée par une passation formalisée dans le contrat de service.
Quelles entreprises sont tenues de désigner un délégué à la protection des données ?
L'article 37.1 du règlement (UE) 2016/679 impose la désignation d'un délégué aux autorités et organismes publics, aux responsables de traitement et sous-traitants dont les activités de base exigent un suivi régulier et systématique à grande échelle des personnes concernées, et à ceux dont les activités de base consistent en un traitement à grande échelle de catégories particulières de données (article 9) ou de données relatives aux condamnations pénales (article 10). Hors de ces cas, la désignation reste volontaire.
Aller plus loin sur une question précise
Quand la désignation est obligatoire, l'incompatibilité de fonctions qui écarte la plupart des candidats internes évidents, et ce que chaque formule expose.
DPO interne ou externe : ce qui décidePar secteur d’activité
Ce que ce régime déclenche ailleurs
La désignation d'un délégué n'a de sens qu'une fois établi que le règlement (UE) 2016/679 s'applique, et à quel titre : responsable du traitement ou sous-traitant, article 3.1 ou article 3.2.
Vérifier d'abord son assujettissement au RGPDLe règlement (UE) 2024/1689 ne crée pas de fonction équivalente au délégué, mais la cartographie des traitements que celui-ci tient est le point de départ de l'inventaire des systèmes d'IA et de leur qualification.
Qualifier les systèmes d'IA de l'organisationUne entreprise étrangère qui s'implante en Europe supporte l'obligation de désignation dès le démarrage de l'activité si l'article 37 est satisfait.
Désigner un délégué dès l'implantationTextes de référence
Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.