DPO externalisé : quand il est utile et quand il crée un conflit d’intérêts

Une PME peut recevoir une offre de DPO externalisé de son infogérant, de son cabinet habituel ou d’une société qu’elle paie déjà pour traiter des données. Ce lien commercial appelle une question précise : quelles décisions ce délégué aurait-il ensuite à contrôler ? Son statut externe ne répond pas à la place de l’entreprise.

L’article 37 permet le contrat de service ; l’article 38 exige que les autres tâches ne créent pas de conflit d’intérêts. Il faut d’abord déterminer si la désignation est obligatoire, puis définir la fonction, les moyens et les relations avec les responsables opérationnels.

Ce guide propose un test d’obligation, une grille des cumuls et les pièces à réunir avant signature. Il compare interne, externe et mutualisé, sans barème de prix ni promesse générale de conformité. Les principes servent à préparer le choix ; un montage particulier, notamment lorsque le prestataire opère déjà les traitements, demande une analyse juridique propre.

DPO obligatoire : les trois cas qui concernent une PME

Les critères du RGPD, sans seuil d’effectif

Le délégué à la protection des données informe, conseille et contrôle la conformité dans son périmètre. La désignation obligatoire dépend de l’activité et des traitements, pas d’un nombre général de salariés.

La grande échelle s’examine avec le nombre de personnes, le volume et la diversité des données, la durée et l’étendue géographique. Les activités de base sont celles nécessaires à l’objet de l’organisme. La paie ne suffit pas à elle seule à imposer la désignation à toute PME.

Le chiffre de 250 salariés relève d’une autre disposition concernant le registre et ses exceptions. Un sous-traitant peut devoir désigner son propre délégué même si son client n’y est pas tenu. La fonction de sous-traitant au sens de l’article 28 doit donc être examinée dans son activité réelle.

Désignation volontaire ou conseil sans le titre

Un DPO volontaire est soumis aux mêmes garanties de fonction. L’entreprise ne peut utiliser le titre pour rassurer un client tout en refusant l’accès aux traitements ou le rapport direct à la direction.

Un consultant RGPD peut conseiller sans être désigné DPO, si son rôle est clairement présenté. Documentez l’analyse qui conclut à l’absence d’obligation et réexaminez-la lorsque l’activité change. L’utilité d’un conseil ponctuel et la nécessité d’une fonction permanente sont deux décisions à distinguer.

Ce que le contrat de service d’un DPO externe doit prévoir

Sept clauses qui rendent la fonction praticable

Le contrat doit organiser une fonction indépendante et accessible. Il ne se réduit pas à une disponibilité annoncée dans un forfait. Cette grille rapproche exigences du règlement et recommandations des autorités.

Le rapport d’activité aide à suivre les contrôles et les recommandations. Il ne doit pas remplacer l’alerte immédiate sur un projet sensible. Le délégué doit être associé en amont, lorsque les choix restent modifiables.

L’exercice des fonctions de DPO ne se décrit pas comme une simple opération exécutée sur instructions au titre de l’article 28. D’autres prestations du même cabinet peuvent relever de la sous-traitance. Distinguez les rôles, les contrats et les destinataires des informations.

Comparer les jours inclus et les exclusions

Aucun barème indépendant n’est utilisé ici. Comparez les jours et les prestations couvertes : travail initial, contrôles, formation, analyses d’impact, gestion d’une violation et accompagnement lors d’un contrôle peuvent être traités différemment selon l’offre.

Une comparaison peut partir des jours annuels multipliés par le tarif journalier, puis ajouter les interventions exclues. Demandez comment le temps est décompté, qui remplace le contact absent et combien d’organismes il suit. Le portefeuille ne donne pas à lui seul la capacité ; il doit être rapproché des moyens disponibles et de la complexité des missions.

DPO externalisé et conflit d’intérêts : le critère de la CJUE

Dans l’affaire X-FAB Dresden, jugée le 9 février 2023, un délégué exerçait aussi la présidence d’un comité d’entreprise. La CJUE n’a pas posé une incompatibilité générale de ce cumul. Elle demande une appréciation concrète des fonctions et de l’organisation.

Le conflit peut apparaître lorsque d’autres tâches conduisent à déterminer les finalités et les moyens d’un traitement. Le contrôle doit alors porter sur une décision que la même personne a prise. Le titre du poste constitue un indice ; les pouvoirs effectivement exercés décident de l’analyse.

La responsabilité de conformité reste à l’entreprise selon le RGPD. Une délégation attribuant au délégué toutes les décisions ne résout pas le problème : elle peut justement le placer dans la fonction qu’il doit contrôler. Le conseil et la décision doivent être distingués dans le processus interne.

Les garanties contre une révocation motivée par l’exercice de la fonction doivent aussi être respectées. Le DPO salarié français n’est pas automatiquement un salarié protégé au sens du droit du travail. Pour un externe, la fin de contrat appelle sa propre analyse, sans faire de la résiliation un moyen de supprimer une alerte dérangeante.

Prestataire informatique, BPO ou RSSI : les cumuls à examiner

Le fournisseur qui opère déjà vos traitements

Le guide CNIL n’énonce pas une interdiction absolue de désigner un sous-traitant comme DPO du client. Il exige une analyse au cas par cas et des mesures effectives. Deux contrats et des personnes différentes peuvent aider ; leur seule existence ne prouve pas l’indépendance.

L’affaire berlinoise montre le risque : le délégué dirigeait aussi deux sociétés du groupe assurant notamment le service client et le traitement des commandes. Après un avertissement, l’autorité a annoncé l’amende de 525 000 euros. Son communiqué ne permet pas d’affirmer qu’elle a ensuite été définitivement payée.

Une même personne morale peut être désignée par le client et son sous-traitant. La CNIL envisage des collaborateurs distincts, sans subordination compromettant la fonction, avec confidentialité et garanties effectives. Les contrôles d’un centre d’appels externalisé doivent pouvoir être menés sans que le délégué défende sa propre production.

Cybersécurité et représentation juridique

Le cumul avec une fonction de RSSI dépend des pouvoirs : durée de conservation des traces, décision d’accès aux dossiers de salariés et choix des traitements méritent examen. Proposer une mesure et la décider ne sont pas nécessairement la même mission.

La CNIL décrit aussi le déport vers un suppléant, avec moyens, autonomie et périmètre documentés. Un contreseing formel ne suffit pas. Pour un fournisseur de sécurité, la comparaison entre MSSP, MDR et SOC aide à identifier les opérations effectivement décidées ou exécutées.

Ce que les autorités ont sanctionné autour du DPO

L’absence de désignation, le manque d’association et le conflit ne sont pas interchangeables. Les exemples ci-dessous ne constituent pas un barème : les sanctions peuvent porter sur plusieurs manquements.

Les contrôles français de 2023 ont aussi produit des mises en demeure ou des rappels concernant les conflits. L’absence d’amende dans un dossier ne valide pas le cumul. Les articles 37 à 39 relèvent du plafond de 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel prévu par l’article 83, selon les règles applicables.

DPO interne, externe ou mutualisé : choisir selon ce qu’il contrôlera

L’enquête DPO 2025, publiée en juillet 2026, distingue 79 % d’internes, 10 % d’internes mutualisés et 11 % d’externes parmi 2 390 répondants. L’échantillon est auto-sélectionné. Ces proportions ne prescrivent aucun modèle à une PME.

Selon la même enquête, 85 % des internes et mutualisés travaillent à temps partiel dans cette fonction. Les chiffres CNIL de 2025 recensent 109 249 organismes ayant désigné 39 174 délégués. Ils décrivent les désignations et le partage de personnes, pas la qualité effective des contrôles.

Un délégué commun à un groupe doit rester joignable depuis chaque établissement. Les lignes directrices recommandent une localisation dans l’Union pour l’efficacité de la fonction. Une offre depuis un pays tiers appelle l’examen de la disponibilité, de l’accès aux documents et de la protection des transferts hors Union.

Avant de signer : les pièces qui prouvent l’indépendance

L’entreprise doit constituer son propre dossier de choix. Une désignation enregistrée ne garantit pas que la CNIL a validé compétences, cumul et moyens.

• CV et références : expériences sur des traitements comparables et connaissance du secteur.
• Analyse des conflits : autres contrats, fonctions de décision et mesures de séparation.
• Contact et portefeuille : personne responsable, remplacement et capacité disponible.
• Plan de travail : jours inclus, priorités initiales et interventions exceptionnelles.
• Certification éventuelle : organisme certificateur et validité, sans la présenter comme obligatoire.
• Assurance professionnelle : garantie et périmètre des missions confiées.
• Rapport d’activité : format permettant de suivre contrôles, recommandations et décisions de la direction.

La certification reste facultative. Le référentiel prévoit notamment expérience, évaluation et durée de validité de trois ans ; l’agrément porte sur les organismes certificateurs. Un DPO n’est pas « agréé » individuellement par la CNIL.

Faites actualiser l’analyse lorsqu’un nouveau logiciel, contrat ou rôle modifie les pouvoirs. Le questionnaire de sous-traitance en cascade peut être adressé au fournisseur et à son délégué. Les réponses doivent identifier les interlocuteurs réellement capables de vérifier la chaîne.

Demander l’analyse de conflit d’intérêts avant le devis

Exigez l’inventaire écrit des missions et contrats cumulés, puis comparez les moyens affectés à la fonction. La Lettre ExternFlow suivra les évolutions de ces critères. Une nouvelle prestation confiée au même cabinet devra déclencher la révision du dossier d’indépendance.

Sources et références

Le guide rapproche les articles 37 à 39 du RGPD, la publication CNIL d’août 2026 sur les conflits d’intérêts, son guide pratique du DPO, les résultats de l’enquête DPO et IA publiés en juillet 2026, le rapport annuel CNIL 2025 et le communiqué berlinois de septembre 2022. Le critère de la CJUE renvoie à l’affaire X-FAB Dresden, C-453/21, citée par la CNIL ; les décisions de sanctions et les référentiels de certification sont identifiés dans le brief de production.