DPO interne, externe ou mutualisé : le guide pour bien choisir
DPO interne, externe ou mutualisé : le guide pour bien choisir
Une fois l'obligation tranchée, reste à choisir le modèle. Critères pour arbitrer entre DPO interne, externe ou mutualisé, garanties d'indépendance et conflits d'intérêts à écarter.
La désignation d'un délégué à la protection des données s'impose dans les trois cas prévus par l'article 37 du RGPD, détaillés dans notre guide sur la désignation obligatoire. Une fois cette question tranchée, une décision tout aussi structurante demeure : confier la fonction à un salarié, à un prestataire externe ou à un délégué mutualisé. Ce choix engage l'indépendance du délégué, la solidité de vos audits et l'image de votre gouvernance face aux clients et aux investisseurs. La fiche publiée par la CNIL le 10 août 2026 sur les conflits d'intérêts en fait désormais un critère central.
L'essentiel en 30 secondes. Les trois modèles répondent aux mêmes exigences d'indépendance et de compétence. Le DPO interne convient aux traitements nombreux et évolutifs, à condition d'écarter tout conflit d'intérêts avec ses autres fonctions. Le DPO externe apporte une expertise immédiate et une distance protectrice. Le DPO mutualisé optimise les coûts, sous réserve d'intérêts compatibles entre les structures desservies. La fiche CNIL du 10 août 2026 fournit la grille d'analyse à documenter avant de désigner.
Trois modèles pour une même fonction
Le DPO interne est un membre du personnel. Il connaît finement les produits, les équipes et l'historique des décisions, et reste disponible au quotidien. Cette proximité a un prix : un profil qualifié à temps plein ou partiel, et un risque de cumul de fonctions qu'il faut analyser sérieusement avant de désigner.
Le DPO externe intervient dans le cadre d'un contrat de service, qu'il s'agisse d'un consultant, d'un cabinet de conseil ou d'un avocat. Il apporte une expertise immédiate, une vision transversale nourrie par d'autres dossiers et une distance protectrice face aux pressions internes. L'avocat y ajoute le secret professionnel et une assurance de responsabilité civile professionnelle.
Le DPO mutualisé est partagé entre plusieurs entités. Un groupe peut désigner un délégué unique, à condition qu'il soit facilement joignable depuis chaque établissement. Le Comité européen de la protection des données recommande une localisation dans l'Union européenne et la maîtrise des langues des personnes concernées et des autorités.
Les garanties communes aux trois modèles
L'article 38 du RGPD impose au responsable de traitement d'associer le délégué à toutes les questions relatives aux données, de lui fournir les moyens nécessaires et de garantir son indépendance. Le DPO ne reçoit aucune instruction dans l'exercice de sa fonction et ne peut être sanctionné pour l'avoir exercée. Il rend compte au niveau le plus élevé de la direction.
Ses missions, fixées par l'article 39, restent identiques quel que soit le modèle : informer et conseiller, contrôler la conformité des traitements, coopérer avec la CNIL et servir de point de contact. La responsabilité juridique des manquements demeure celle de l'entreprise, jamais celle du délégué.
Le conflit d'intérêts, angle mort des désignations internes
La fiche CNIL du 10 août 2026 demande une analyse des conflits d'intérêts avant toute désignation, puis à chaque attribution de nouvelles missions. Les cumuls à risque sont nommés : fonctions d'encadrement supérieur déterminant les finalités et les moyens des traitements, RSSI décidant de la conservation des journaux et des mesures de sécurité, responsable de la lutte contre la fraude, membre d'un comité d'éthique prenant position sur des sujets liés aux données, ou représentant du personnel amené à voter sur des dispositifs de surveillance.
Le test tient en quatre questions : le délégué exerce-t-il d'autres missions, décide-t-il des finalités et des moyens, a-t-il pris position sur des projets impliquant des données, se trouve-t-il dans un lien de subordination problématique ? Dans une startup, où le DPO à temps partiel cumule souvent une casquette technique ou opérationnelle, ce diagnostic mérite d'être refait à chaque évolution de poste.
Un conflit identifié se traite : retrait des missions conflictuelles, remplacement du délégué, ou déport vers un DPO suppléant présentant des garanties équivalentes et non subordonné au titulaire. Ce déport se documente et doit rester effectif, sans formalité de notification à la CNIL.
DPO externe ou mutualisé : vérifier les mandats du prestataire
La même fiche vise le prestataire externe. Un avocat ayant représenté l'organisme dans un litige relatif aux données ne peut en devenir le délégué, et un DPO mutualisé ne peut servir simultanément des organismes aux intérêts opposés, tel un responsable de traitement et son sous-traitant. Avant de signer, demandez la cartographie des désignations de votre prestataire et prévoyez une clause dédiée dans le contrat de prestation.
Comment décider en pratique
Quatre critères orientent le choix : le volume et la complexité de vos traitements, le budget mobilisable, la sensibilité de votre secteur et les exigences de vos clients ou investisseurs. Une PME tech en croissance opte le plus souvent pour un délégué externe, quitte à internaliser plus tard. Quel que soit le modèle retenu, la décision se documente : analyse de conflit d'intérêts, lettre de mission précisant le périmètre et les moyens, et notification de la désignation à la CNIL.
Vous hésitez entre DPO interne, externe ou mutualisé, ou souhaitez auditer la désignation en place ? Contactez le cabinet pour qualifier votre situation et sécuriser votre dispositif.
Sources
- Protéger ses créations
- Sécuriser ses données
- Contractualiser son activité
.png){kind=small}