Les conflits d’intérêts guettent tout DPO externalisé qui contrôle ses propres décisions. Un test simple, avant signature, évite sanctions et litiges.
L’enquête DPO 2025, publiée en juillet 2026, recense 11 % de DPO externes. L’échantillon compte 2 390 répondants, dont 79 % d’internes et 10 % de mutualisés. Il reste auto-sélectionné et ne dicte aucun modèle. La prévention des conflits d’intérêts demande pourtant une vraie analyse, surtout lors d’une externalisation.
En bref,
- L’article 37 du RGPD fixe trois cas de désignation, sans seuil d’effectif.
- Le contrat doit organiser le temps, l’accès aux données et l’indépendance.
- La CJUE juge le conflit sur les pouvoirs réellement exercés.
- Un prestataire peut cumuler les rôles après analyse et séparation.
- Exigez l’analyse des conflits avant tout devis.
Externalisation et données, en trois cas concernent une PME
Le RGPD ne fixe aucun seuil d’effectif pour désigner un délégué à la protection des données. L’article 37 retient trois cas. Le premier vise les organismes publics.
Le deuxième concerne le suivi régulier et systématique des personnes à grande échelle. Le troisième touche les données sensibles ou pénales traitées à grande échelle. La grande échelle se mesure au nombre de personnes, au volume, à la durée et à l’étendue géographique. Pour aller plus loin, consulter notre article intitulé Externalisation offshore et cadre légal.
Le seuil de 250 salariés relève d’une autre règle, celle du registre des traitements. Un sous-traitant peut devoir désigner son propre délégué, même si son client en est dispensé. Un DPO volontaire bénéficie des mêmes protections de fonction.
Un consultant RGPD peut conseiller sans porter le titre, si son rôle reste clair. Documentez l’analyse qui conclut à l’absence d’obligation, puis réexaminez-la quand l’activité change. Seul l’examen de l’activité réelle tranche.
Le contrat du DPO externalisé doit organiser l’indépendance
Le contrat de service doit organiser une fonction indépendante et accessible. Un forfait de disponibilité ne suffit pas. Prévoyez un contact nommé et des jours alloués. Le délégué doit accéder au registre, aux contrats et aux responsables de traitement. L’article 38 impose la confidentialité et un rapport direct à la direction. Fixez aussi les missions exclues et les conditions de sortie. Un contrat clair vaut mieux qu’une promesse de disponibilité.
Comparez ensuite les jours inclus et les exclusions. Analyse d’impact, violation de données et contrôle de la CNIL se facturent parfois à part. Multipliez les jours annuels par le tarif journalier, puis ajoutez les interventions hors forfait. Demandez qui remplace le contact absent et combien d’organismes il suit.
Un portefeuille chargé réduit la disponibilité réelle du délégué. L’article 28 ne décrit pas la fonction de DPO : le délégué n’agit pas sur instructions. Les autres prestations du même cabinet peuvent, elles, relever de la sous-traitance. Distinguez donc les rôles, les contrats et les destinataires des informations.
En termes de Externalisation et données, la CJUE se joue sur les pouvoirs réels
Le 9 février 2023, l’arrêt X-FAB Dresden (affaire C-453/21) a précisé le critère. Le délégué présidait aussi le comité d’entreprise. La CJUE n’a pas posé d’incompatibilité générale. Elle exige une appréciation concrète des fonctions et de l’organisation. Le conflit naît quand d’autres tâches conduisent à fixer finalités et moyens d’un traitement. Le délégué contrôlerait alors sa propre décision.
Le titre du poste n’est qu’un indice. Les pouvoirs réellement exercés tranchent. La responsabilité de conformité reste à l’entreprise. Déléguer toutes les décisions au DPO ne règle rien : cela le place dans la fonction qu’il doit contrôler. Séparez le conseil de la décision dans vos processus internes.
Le DPO salarié n’est pas automatiquement un salarié protégé en droit français. Pour un externe, la fin du contrat appelle sa propre analyse. Une résiliation ne doit jamais servir à étouffer une alerte gênante. Le critère décisif reste le pouvoir de décision, pas l’intitulé.
Prestataires informatiques, BPO, RSSI : les cumuls à examiner
Le guide pratique de la CNIL n’interdit pas qu’un sous-traitant devienne DPO de son client. Il exige une analyse au cas par cas et des mesures effectives. Deux contrats et des équipes distinctes aident, sans prouver l’indépendance. Un centre d’appels externalisé doit rester contrôlable sans que le délégué défende sa production. Le cumul avec un RSSI dépend des pouvoirs exercés. Proposer une mesure et la décider sont deux missions distinctes. Ce tableau résume les cumuls à examiner.
| Cumul | Risque à examiner | Mesure possible |
|---|---|---|
| Infogérant ou éditeur | Contrôle de ses décisions techniques | Séparation des rôles |
| BPO ou centre de contacts | Contrôle de sa propre production | Contacts et contrats distincts |
| RSSI ou SOC | Pouvoir de décision sur les traitements | Retrait des décisions concernées |
| Avocat de l’organisme | Représentation dans un litige de données | Mission distincte, rôle exclu |
| DPO commun client et fournisseur | Intérêts opposés | Collaborateurs distincts |
Les autorités ont déjà sanctionné des cumuls voisins. À Berlin, en 2022, un délégué dirigeait deux sociétés du groupe. Elles assuraient le service client et le traitement des commandes. L’autorité a annoncé une amende de 525 000 euros. En Belgique, l’APD a infligé 50 000 euros en 2020 à un organisme. Son délégué dirigeait l’audit, les risques et la conformité.
La CNIL a infligé 100 000 euros à la Samaritaine en 2025. Le grief portait notamment sur l’information tardive de la déléguée. Les articles 37 à 39 relèvent du plafond de l’article 83. Ce plafond atteint 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Le risque est contractuel : un prestataire vend des services, pas une fonction indépendante.
La prévention des conflits d’intérêts en matière de d’externalisation et données
La prévention des conflits d’intérêts se joue avant le devis. Exigez l’inventaire écrit des missions et des contrats cumulés. Comparez ensuite interne, externe et mutualisé selon ce que le délégué contrôlera. Une compétence disponible en interne plaide pour une désignation interne. Plusieurs organismes proches peuvent mutualiser, si leurs intérêts ne divergent pas.
Une compétence absente justifie le recours à un prestataire. L’enquête note que 85 % des internes et mutualisés travaillent à temps partiel. La CNIL recense 109 249 organismes qui ont désigné 39 174 délégués en 2025. Ces chiffres décrivent les désignations, pas la qualité des contrôles. Constituez votre propre dossier avant de signer :
- Demandez le CV et les références sur des traitements comparables.
- Exigez l’analyse des conflits : autres contrats, fonctions de décision, séparations.
- Identifiez le contact responsable, son remplaçant et la capacité disponible.
- Obtenez un plan de travail avec jours inclus et priorités initiales.
- Vérifiez la certification éventuelle, facultative, et sa validité de trois ans.
- Contrôlez l’assurance professionnelle et son périmètre.
- Exigez un modèle de rapport d’activité pour suivre contrôles et décisions.
Une désignation enregistrée ne prouve pas que la CNIL valide le cumul. La certification reste facultative et dure trois ans. Aucun DPO n’est agréé individuellement ; l’agrément vise les organismes certificateurs. Faites actualiser l’analyse à chaque nouveau logiciel, contrat ou rôle. Une offre hors Union exige un examen de la disponibilité et des transferts de données.
Cette gestion des risques protège aussi la gouvernance de vos données. La transparence sur les contrats cumulés rassure vos clients. Le dossier d’indépendance vit tant que vos prestataires évoluent.
Une PME est-elle obligée de désigner un DPO ?
Cela dépend des trois cas de l’article 37 du RGPD, pas d’un seuil de salariés. Examinez les activités de base, la nature des données et la grande échelle.
Combien coûte un DPO externalisé ?
Comparez les jours et missions inclus, puis les interventions hors forfait. Aucun tarif universel n’existe.
Le prestataire informatique peut-il être le DPO de son client ?
Aucune interdiction générale n’existe, mais le cumul demande une analyse. Les mesures de séparation doivent empêcher le contrôle de ses propres décisions.
Le DPO est-il responsable si l’entreprise ne respecte pas le RGPD ?
La responsabilité de conformité reste à l’organisme. Le prestataire externe répond de ses propres fautes professionnelles selon son contrat.
La certification du DPO est-elle obligatoire ?
Non, elle reste facultative. Elle ne remplace ni l’analyse des conflits d’intérêts ni l’examen des moyens disponibles.
