DPO externalisé vs
DPO interne.

Le RGPD n'impose pas un DPO salarié.

L'article 37 du RGPD rend la désignation d'un délégué à la protection des données obligatoire dans trois cas : vous êtes une autorité ou un organisme public, votre activité principale implique un suivi régulier et systématique à grande échelle des personnes, ou vous traitez à grande échelle des données sensibles ou judiciaires. En dehors de ces cas, la désignation reste facultative — mais recommandée dès que vous gérez des données personnelles au quotidien.

Ce que beaucoup ignorent : le texte n'exige jamais que ce DPO soit un salarié de l'entreprise. Le RGPD autorise expressément qu'il s'agisse d'une personne physique ou morale externe, dans le cadre d'un contrat de service. Le choix entre DPO interne et DPO externalisé est donc une question d'organisation et de budget, pas une obligation légale déguisée.

Dans quels cas un DPO interne reste le bon choix.

Un DPO externalisé n'est pas la meilleure option pour tout le monde. Un DPO salarié à temps plein garde un sens réel pour :

• ✓ une très grande organisation avec un volume de traitements de données massif et récurrent, nécessitant un suivi quotidien approfondi ;
• ✓ un besoin de présence physique forte et constante auprès des équipes métiers, des instances représentatives ou de la direction ;
• ✓ une culture d'entreprise qui impose une intégration complète du DPO dans l'organigramme et les processus internes.

Pour ces profils, le coût d'un DPO interne se justifie par le volume et la proximité nécessaires. Pour la majorité des PME, ETI et associations, ce volume ne justifie pas une charge fixe à temps plein — d'où l'intérêt d'un modèle externalisé qui s'ajuste au besoin réel. Voir aussi notre page DPO externalisé pour PME.