DPO externe ou interne : quel choix et quel coût pour une PME ?
Votre PME doit-elle désigner un délégué à la protection des données (DPO), et vaut-il mieux le recruter ou l'externaliser ? Sila International Advisory, dirigé par Younes (legal consultant, spécialiste RGPD et DPO externe), répond aux questions que se posent les dirigeants.
Réponse courte : un DPO est-il obligatoire pour une PME ?
Pas systématiquement. L'article 37 du RGPD impose un DPO dans trois cas : l'organisme est une autorité ou un organisme public ; ses activités de base exigent un suivi régulier et systématique des personnes à grande échelle ; ses activités de base consistent à traiter à grande échelle des données sensibles ou relatives à des condamnations. En dehors de ces cas, la désignation est facultative, mais souvent utile. La taille de l'entreprise n'est pas, à elle seule, le critère.
DPO interne ou DPO externe : la vraie différence
Le DPO interne est un salarié : il connaît l'entreprise, mais son poste a un coût complet (salaire, formation, temps dédié) et il doit rester indépendant. Le DPO externe intervient par contrat de service (article 37, paragraphe 6) : expertise immédiate, coût proportionné au besoin, mais moins de présence quotidienne. Pour une PME, l'externe est souvent plus réaliste, car le volume de travail ne justifie pas un poste à temps plein.
L'indépendance : le piège du conflit d'intérêts
Le DPO ne doit pas décider des finalités et des moyens des traitements (article 38, paragraphe 6). Un dirigeant, un directeur informatique ou un responsable des ressources humaines ne peuvent donc pas, en pratique, cumuler cette fonction avec la leur. C'est un argument fort en faveur d'un DPO externe dans une petite structure.
Les missions du DPO
Informer et conseiller, contrôler le respect du RGPD, conseiller sur les analyses d'impact, coopérer avec la CNIL et être son point de contact (article 39). Le DPO n'est pas personnellement responsable de la conformité : celle-ci reste de la responsabilité de l'entreprise.
Quel coût ?
Le coût d'un DPO interne se calcule en salaire chargé, formation et temps passé. Le coût d'un DPO externe dépend du nombre de traitements, de la taille de l'équipe et de la fréquence d'intervention : Sila le chiffre dans un devis personnalisé remis sous 48 h après un échange de cadrage sans frais.
Comment désigner un DPO
Choisissez la personne ou le prestataire, formalisez la mission (lettre de mission ou contrat), communiquez ses coordonnées à vos équipes et dans votre politique de confidentialité, puis déclarez la désignation auprès de la CNIL, uniquement via son téléservice.
Ce que ça change pour vous
Un DPO externe vous donne un interlocuteur identifié, un plan d'action et une preuve de sérieux face aux clients et aux autorités, sans alourdir votre masse salariale. Demandez un échange de cadrage : il est sans frais.
FAQ
Ma PME de 20 personnes doit-elle avoir un DPO ?
Seulement si elle entre dans l'un des trois cas de l'article 37. Sinon, c'est un choix. Une analyse de vos traitements permet de trancher.
Puis-je nommer mon directeur informatique DPO ?
C'est déconseillé : il décide des moyens des traitements, ce qui crée un conflit d'intérêts (article 38, paragraphe 6).
Un DPO peut-il être partagé entre plusieurs entreprises ?
Oui. Un groupe d'entreprises peut désigner un seul DPO si celui-ci est facilement joignable depuis chaque établissement (article 37, paragraphe 2).
Le DPO est-il responsable en cas d'amende ?
Non. La responsabilité de la conformité reste celle de l'entreprise.
Combien coûte un DPO externe ?
Cela dépend de votre volume de traitements et de la fréquence d'intervention. Sila ne publie pas de grille tarifaire : un échange de cadrage sans frais est suivi d'un devis personnalisé sous 48 h.
Cet article donne des informations générales et ne constitue pas un avis juridique.
Sources
- RGPD, articles 37 à 39 (EUR-Lex)
- CNIL, pages « Le délégué à la protection des données » (cnil.fr)