DPO externalisé : tarifs et comparaison des devis
Tarifs du DPO externalisé : calculez le coût annuel complet, comparez les prestations incluses et chiffrez les interventions supplémentaires.
Deux forfaits de DPO externalisé ne se comparent pas par leur seul prix mensuel. L’un inclut les interventions urgentes et la passation ; l’autre facture chaque réunion. Pour fixer un budget fiable, comparez un périmètre commun et calculez le coût annuel complet, temps interne compris.
Le tarif dépend du service réellement acheté
Il faut distinguer trois choses : la désignation comme délégué à la protection des données, l’accompagnement initial de mise en conformité, et les travaux opérationnels (rédaction du registre, réponses aux demandes de droits, AIPD). Le RGPD permet de confier la fonction à un prestataire : l’Art. 37(6) prévoit que le DPO peut être « membre du personnel » ou « exercer ses missions sur la base d’un contrat de service ». Les Art. 38(2) et 39 imposent en revanche des moyens et des missions effectifs : informer et conseiller, contrôler le respect du règlement, conseiller sur l’AIPD, coopérer avec l’autorité et être son point de contact.
La CNIL rappelle les trois conditions d’une désignation valable : une expertise juridique et technique, des moyens suffisants (temps, accès aux informations, moyens matériels et humains) et l’absence de conflit d’intérêts ou d’instructions. Un abonnement qui ne donne droit qu’à l’usage d’un nom de délégué, sans temps réel consacré à vos traitements, ne remplit pas ces conditions.
Je ne publie volontairement aucune « moyenne de marché » : les prix pratiqués varient selon le périmètre et aucune source ouverte fiable ne permet d’en établir une. Les montants ci-dessous sont des exemples de calcul entièrement hypothétiques, ni des tarifs observés ni des recommandations de prix.
Commencez par vérifier si le DPO est obligatoire pour votre organisme : la désignation est exigée par l’Art. 37(1) pour les autorités publiques, pour les organismes dont le cœur d’activité implique un suivi régulier et systématique à grande échelle, et pour ceux qui traitent à grande échelle des données sensibles ou pénales. Hors de ces cas, elle reste possible et la CNIL la recommande.
Trois modes de facturation à comparer
| Mode | Ce qu’il faut obtenir du devis | Risque budgétaire à examiner |
|---|---|---|
| Forfait récurrent | Missions, disponibilités, volume et événements inclus | Interventions supplémentaires, plafonds, report ou perte des jours non consommés |
| Temps passé | Unité de facturation, taux, estimation, suivi et accord préalable | Charge finale supérieure à l’estimation |
| Projet défini | Périmètre, livrables, critères de réception, dépendances | Travaux nécessaires restés hors du projet |
Le tarif journalier ne dit rien de l’efficacité. Demandez une méthode, des références vérifiables et une estimation expliquée. Il n’existe pas de multiplicateur démontré selon lequel un profil senior travaillerait systématiquement deux ou quatre fois plus vite qu’un junior : jugez la méthode et le livrable, pas l’ancienneté affichée.
Une option intermédiaire est le DPO mutualisé, la CNIL admettant la désignation d’un même délégué par plusieurs organismes sous conditions de disponibilité. Pour arbitrer entre prestataire humain et outil, voir DPO externe ou logiciel RGPD.
Calculer le coût de la première année
Formule proposée : installation + 12 forfaits mensuels + travaux supplémentaires prévisibles + outils + frais + temps interne valorisé. Pour les années suivantes, ne retirez que les postes réellement ponctuels et ne comptez pas deux fois les outils déjà inclus.
| Poste hypothétique | Offre A | Offre B |
|---|---|---|
| Mise en place | 1 200 € | 0 € |
| Forfait mensuel | 650 € | 900 € |
| Total des 12 forfaits | 7 800 € | 10 800 € |
| Trois journées additionnelles prévues | 2 700 € | Incluses |
| Licence annuelle d’outil | 600 € | Incluse |
| Total externe, hors taxes | 12 300 € | 10 800 € |
Cette simulation montre seulement l’effet des exclusions : le forfait le plus cher peut coûter moins cher à périmètre égal. Elle ne prouve pas que l’offre B soit adaptée.
Ajouter le temps interne
Ajoutez ensuite votre propre temps : entretiens métiers, recherche des contrats, accès informatiques, validation, mise en œuvre des corrections. Reprenons l’exemple, toujours hypothétique, d’une PME qui estime 4 heures par mois de référent interne, 10 heures pour l’inventaire initial et 6 jours de corrections par ses équipes informatiques. Si elle valorise l’heure à 45 € chargés, le temps interne représente environ (48 + 10 + 48) × 45 = 4 770 € la première année, identique pour les deux offres. Le coût complet devient 17 070 € pour l’offre A et 15 570 € pour l’offre B : l’écart ne change pas, mais le budget réel est près de 40 % supérieur au devis. L’externalisation ne fait pas disparaître le travail de l’organisme.
La grille à joindre à votre demande de devis
| Poste | Question précise à poser |
|---|---|
| État initial | Un diagnostic est-il inclus ? Quels traitements seront examinés, avec quelles preuves ? |
| Registre | Qui collecte les faits, rédige, vérifie et actualise les fiches de l’Art. 30 ? |
| Nouveaux projets | Combien de projets et quel niveau d’analyse sont inclus ? |
| AIPD | Conseil (Art. 35(2)), réalisation matérielle et suivi sont-ils distingués ? |
| Prestataires | Combien de contrats ou de services seront examinés ? |
| Demandes de droits | Conseil seul ou aide opérationnelle à la recherche et à la réponse ? |
| Incident | Quels horaires, délais de mobilisation et frais supplémentaires ? |
| Contrôle de l’autorité | Quel accompagnement, facturé comment ? |
| Outils | Qui paie, qui détient les accès, comment récupérer les dossiers ? |
| Équipe | Qui est l’interlocuteur nommé ? Que se passe-t-il en cas d’absence ? |
| Fin de mission | Quels livrables, formats, délais et coûts de passation ? |
Pour une équipe de plusieurs personnes côté prestataire, les lignes directrices sur les délégués (WP 243 rév. 01), reprises par le CEPD, recommandent une répartition claire des tâches et un contact principal désigné. Un audit RGPD préalable précise le point de départ. Un nombre de salariés ou d’applications ne permet pas, seul, de promettre une conformité complète en un nombre fixe de journées.
Vérifier les garanties derrière le prix
Indépendance. Être externe ne garantit pas l’indépendance. L’Art. 38(6) autorise d’autres missions à condition qu’elles n’entraînent pas de conflit d’intérêts. Dans l’arrêt C-453/21 (X-FAB Dresden, 9 février 2023), la Cour de justice a jugé qu’un conflit existe lorsque le DPO exerce des fonctions qui l’amènent à déterminer les finalités et les moyens d’un traitement. Un prestataire qui vous vend aussi l’hébergement ou le développement des outils qu’il contrôle doit être examiné de près ; voir notre analyse du conflit d’intérêts du DPO et la page de la CNIL.
Responsabilité. Le DPO conseille et contrôle ; il ne porte pas à la place de l’organisme la responsabilité de conformité, qui reste celle du responsable de traitement (Art. 24). Le prestataire peut engager sa propre responsabilité contractuelle pour ses manquements. Le contrat de DPO externalisé doit distinguer ces plans au lieu de promettre une conformité ou une immunité générale.
Montant et qualité. Un forfait faible peut être cohérent avec un besoin limité et bien documenté ; il devient problématique si les ressources ne permettent pas les missions des Art. 38 et 39. Un montant élevé ne démontre pas non plus la qualité de la prestation.
Organiser les dépassements et la sortie
Prévoyez qui autorise les travaux supplémentaires, le seuil d’alerte budgétaire, le traitement d’une urgence et le réexamen du forfait si le périmètre change. Le délai de 72 heures de l’Art. 33(1) court à partir du moment où le responsable de traitement a connaissance de la violation : le DPO ne dispose pas automatiquement de ces 72 heures pour réagir, et l’organisme doit pouvoir décider et agir vite, y compris quand le prestataire est indisponible.
Demandez enfin une passation exploitable du dossier DPO. La dépendance à un outil ou à un prestataire doit être examinée dès le devis, avec le coût réel de récupération des documents et de continuité des demandes. Rappelez-vous aussi les formalités : la désignation, son remplacement et la mise à jour des coordonnées se déclarent à la CNIL par téléservice, et les coordonnées du DPO doivent être publiées (Art. 37(7)). Le rapport d’activité du DPO est un bon livrable à prévoir pour contrôler ce que vous payez.
Ce qu’il faut retenir
- Comparez des prestations identiques et calculez une année complète, temps interne compris.
- Séparez installation, forfait, interventions, outils et temps interne.
- Les simulations de prix de cet article sont hypothétiques et ne constituent pas des moyennes de marché.
- Vérifiez les moyens (Art. 38(2)), l’indépendance (Art. 38(6)) et les conditions de sortie autant que le tarif.
- Le prestataire n’assume pas votre responsabilité de responsable de traitement.
FAQ
Quel budget mensuel faut-il prévoir ?
Il dépend du périmètre et des prestations incluses. Une consultation de plusieurs prestataires sur une même fiche de besoin donne un budget plus exploitable qu’une fourchette générale non documentée.
Un forfait comprend-il nécessairement les AIPD ?
Non. Précisez le conseil du DPO (Art. 35(2)), la rédaction opérationnelle et les autres expertises nécessaires. L’organisme demeure responsable de réaliser les AIPD qui lui incombent.
L’externalisation supprime-t-elle le coût interne ?
Non. Les équipes fournissent les informations, prennent les décisions et mettent en œuvre les corrections. Ce temps doit figurer dans le budget complet.
Peut-on changer de DPO externe en cours d’année ?
Oui, si le contrat prévoit la sortie. Prévoyez la passation du dossier, puis déclarez le remplacement à la CNIL par téléservice et mettez à jour les coordonnées publiées.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.