L’article en bref
- Le RGPD permet de confier la fonction à un membre du personnel ou à un prestataire lié par un contrat de service (article 37.6).
- Un groupe d’entreprises peut désigner un seul délégué, facilement joignable depuis chaque établissement (article 37.2). Les organismes publics peuvent aussi mutualiser (article 37.3).
- D’après l’observatoire publié par la CNIL le 1er juillet 2024, 78 % des répondants exercent comme DPO interne et 85 % à temps partiel.
- La certification n’est pas obligatoire : le DPO doit justifier des compétences exigées par l’article 37.5.
- Une autre fonction qui conduit à fixer les finalités ou les moyens d’un traitement peut créer un conflit d’intérêts (CJUE, C-453/21).
- Un avocat peut être DPO externe, sans représenter l’organisme en justice sur les données lorsque cela créerait un conflit d’intérêts.
DPO interne ou externe : tout organisme qui désigne un délégué à la protection des données doit trancher cette question. Le RGPD laisse le choix entre un salarié et un prestataire. Il autorise aussi une désignation unique pour plusieurs entités, ce que l’on appelle le DPO mutualisé. Si vous ne savez pas encore si la désignation vous est imposée, vérifiez d’abord dans quels cas un DPO est obligatoire.
Chaque formule présente des atouts et des limites, que la CNIL détaille dans son guide pratique. Le bon choix dépend de vos ressources internes, de la sensibilité de vos traitements et du risque de conflit d’intérêts. Certains organismes retiennent un DPO externalisé, d’autres forment un salarié. Cet article compare les trois formules et rappelle qui peut exercer la fonction.
Faits et sources vérifiés le 1er octobre 2026.
DPO interne ou externe : ce que prévoit le RGPD
L’article 37.6 du RGPD pose le principe. Le délégué peut être un membre du personnel du responsable du traitement ou du sous-traitant. Il peut aussi exercer ses missions « sur la base d’un contrat de service ».
Le règlement prévoit ensuite deux cas de désignation unique. Selon l’article 37.2, un groupe d’entreprises peut désigner un seul délégué, à condition qu’il soit facilement joignable à partir de chaque lieu d’établissement. L’article 37.3 permet aux autorités et organismes publics de partager un délégué, compte tenu de leur structure organisationnelle et de leur taille. La FAQ de la CNIL résume ces options : le délégué peut être interne ou externe et, sous certaines conditions, mutualisé.
Le droit français complète ce cadre. L’article 84 du décret n° 2019-536 du 29 mai 2019 indique que plusieurs responsables ou sous-traitants peuvent désigner un seul délégué. Lorsque des collectivités, leurs groupements ou des établissements publics locaux mutualisent, une convention fixe les conditions de la mutualisation. Chaque partie demeure responsable du traitement ou sous-traitant. Mutualiser le délégué ne revient donc jamais à mutualiser la responsabilité.
Interne, mutualisé ou externe : trois profils et leurs points forts
L’observatoire du métier de DPO, publié par la CNIL le 1er juillet 2024, distingue trois types de délégués. Le DPO interne est salarié d’un seul organisme. Le DPO interne mutualisé est salarié et mutualisé pour plusieurs responsables. Le DPO externe est indépendant, ou salarié d’un organisme spécialisé : organisme public de services numériques, cabinet de conseil, cabinet d’avocats.
Cette quatrième enquête a réuni 3 625 répondants : 2 842 internes, 366 mutualisés et 417 externes. 78 % exercent comme DPO interne. 85 % des répondants exercent à temps partiel, et 61 % d’entre eux consacrent moins de 25 % de leur temps aux missions de DPO. La CNIL annonce par ailleurs renforcer sa vigilance sur les phases de désignation.
Le guide pratique de la CNIL compare ainsi les trois formules.
| Formule | Avantages relevés par la CNIL | Points de vigilance relevés par la CNIL |
|---|---|---|
| DPO interne | Connaissance de la structure, proximité, réactivité, présence plus facile en cas de contrôle. | Conflit d’intérêts en cas d’autres missions, temps suffisant, positionnement hiérarchique, formation. |
| DPO mutualisé | Lissage des coûts entre les entités d’un groupe, procédures uniformes, pilotage transversal. | Proximité avec les métiers, risque de ne pas être informé, organisation à prévoir avec des relais ou des référents. |
| DPO externe | Réponse à l’absence de ressources internes, expérience et outils du délégué, spécialisation sectorielle, bonnes pratiques d’organismes similaires. | Points réguliers avec la direction et les métiers, contact aussi simple qu’avec un interne, difficulté de choisir le prestataire et de vérifier son expertise. |
Le DPO externe intervient sur la base d’un contrat de service. Le prestataire peut être une personne physique, comme un consultant ou le salarié d’une filiale du groupe. Il peut aussi être une personne morale : cabinet d’avocats, cabinet de conseil, centre de gestion, syndicat mixte. Lorsqu’une équipe exerce la fonction, le contrat répartit les tâches et identifie la personne contact.
Côté public, la CNIL juge la mutualisation « particulièrement adaptée » aux plus petites collectivités, avec la convention exigée par le décret. Côté privé, son guide cite l’exemple d’un groupe de six filiales implantées dans plusieurs États membres. Chaque entité remplit son propre formulaire, selon la procédure décrite dans notre article sur la désignation du DPO auprès de la CNIL.
Qui peut être DPO ?
Des compétences à justifier, sans certification imposée
L’article 37.5 du RGPD fixe le critère : le délégué est désigné sur la base de ses qualités professionnelles. Le texte vise ses connaissances spécialisées du droit et des pratiques en matière de protection des données. Il vise aussi sa capacité à accomplir les missions du DPO prévues à l’article 39. La CNIL attend une expertise juridique et technique, ainsi qu’une connaissance du secteur et de l’organisation. Le niveau requis varie selon la sensibilité, la complexité et le volume des données traitées.
La certification n’est pas obligatoire. Le DPO doit en revanche pouvoir justifier des compétences exigées, et la CNIL agrée des organismes certificateurs. Le guide de la CNIL écarte deux profils. Un élu ne peut pas être DPO de sa collectivité, en raison du conflit d’intérêts. Pour un stagiaire ou un apprenti, la fonction est jugée « difficilement compatible ».
Cumul de fonctions et conflit d’intérêts
L’article 38.6 autorise le délégué à exécuter d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts. La Cour de justice de l’Union européenne a précisé ce point dans l’arrêt X-FAB Dresden du 9 février 2023 (aff. C-453/21). Un conflit est susceptible d’exister lorsque le délégué reçoit d’autres missions qui le conduiraient à déterminer les finalités et les moyens du traitement. Le juge national apprécie la situation au cas par cas.
La CNIL a publié le 10 août 2026 une fiche consacrée à ces conflits. Elle juge les fonctions d’encadrement supérieur, comme directeur général ou responsable des ressources humaines, généralement incompatibles. Elle cite aussi l’exemple du DPO également RSSI. Une autre fonction doit en outre laisser au délégué le temps nécessaire à ses missions. La CNIL recommande une analyse avant la désignation. En cas de conflit, elle envisage le remplacement du DPO, le retrait des missions tierces ou un déport documenté vers un DPO suppléant.
Le cas particulier du DPO avocat
Le guide de la CNIL l’admet expressément : un avocat peut être désigné DPO sur la base d’un contrat de service. Il intervient alors comme DPO externe. Il ne peut pas représenter cet organisme devant les tribunaux dans des dossiers de données personnelles lorsque cette représentation pourrait constituer un conflit d’intérêts.
La fiche CNIL du 10 août 2026 en tire une question concrète pour le DPO externalisé. L’avocat, ou le cabinet qui l’emploie, a-t-il déjà représenté l’organisme dans un litige lié à la protection des données ? La CNIL invite aussi à vérifier si le délégué appartient à un organisme aux intérêts contraires : sous-traitant, responsable conjoint, source ou destinataire de données. Le guide admet enfin qu’un délégué externe serve des organismes concurrents, en l’absence de conflit. Il reste soumis à la confidentialité ou au secret professionnel.
Les questions à poser avant de choisir
Aucune formule ne s’impose dans l’absolu. Les points suivants, tirés des critères de la CNIL, aident à trancher :
- Temps disponible : le futur DPO interne pourra-t-il consacrer un temps suffisant à ses missions, à côté de son poste ?
- Compétences : la personne dispose-t-elle de l’expertise juridique et technique adaptée à vos traitements, ou faut-il la former ?
- Indépendance : ses autres fonctions la conduisent-elles à décider des finalités ou des moyens d’un traitement ?
- Périmètre : combien d’entités faut-il couvrir, et le délégué restera-t-il facilement joignable depuis chacune ?
- Documentation : qui tiendra le registre des traitements ? La CNIL recommande de le préciser dans la lettre de mission.
- Pilotage : avec un prestataire, comment organiser des points réguliers avec la direction et les équipes métiers ?
La réponse dépend aussi de l’état de votre mise en conformité RGPD. Le budget entre également en ligne de compte : notre article sur ce qui fait le coût d’un DPO externe détaille les paramètres à examiner.
Confier la fonction de délégué à un avocat du cabinet
Hashtag Avocats propose un DPO externe confié à un avocat. Un avocat référent nommément identifié suit l’organisme, avec un suppléant. Le cabinet est désigné auprès de la CNIL. La mission comprend 4 points de pilotage par an et une disponibilité les jours ouvrés entre ces points.
Avant toute mission, le cabinet vérifie l’absence de conflit : un avocat ne peut pas intervenir contre un client existant. Par choix déontologique, le contentieux et les procédures de sanction restent hors forfait, afin que le contrôle reste indépendant de la défense. La mission débute dès 1 000 € HT par mois, sur un périmètre arrêté avec vous. Elle peut aussi s’ajouter à l’abonnement juridique, sur devis.
Questions fréquentes sur le choix entre DPO interne et externe
Qui peut être DPO ?
Toute personne désignée pour ses qualités professionnelles, notamment sa connaissance du droit et des pratiques de protection des données (article 37.5). Il peut s’agir d’un salarié ou d’un prestataire lié par un contrat de service. La CNIL écarte l’élu pour sa propre collectivité et juge la fonction difficilement compatible avec un stage ou un apprentissage.
Un DPO peut-il être mutualisé entre plusieurs entités ?
Oui. Un groupe d’entreprises peut désigner un seul délégué, facilement joignable depuis chaque établissement (article 37.2 du RGPD). Le décret du 29 mai 2019 permet aussi à plusieurs responsables ou sous-traitants de partager un délégué. Pour les collectivités et organismes publics locaux, une convention fixe les conditions de la mutualisation.
Un DPO peut-il cumuler d’autres fonctions ?
Oui, si ces fonctions ne créent pas de conflit d’intérêts et lui laissent le temps nécessaire (article 38.6 du RGPD). La CJUE retient un risque de conflit lorsque l’autre mission conduit à déterminer les finalités et les moyens du traitement.
Un avocat peut-il être le DPO de son client ?
Oui, sur la base d’un contrat de service, selon le guide de la CNIL. Il ne peut pas représenter cet organisme en justice dans des dossiers de données personnelles si cette représentation crée un conflit d’intérêts. La CNIL invite aussi à vérifier qu’il n’a pas déjà représenté l’organisme dans un tel litige.
Le DPO externe est-il responsable des manquements au RGPD ?
Non, l’organisme reste responsable de sa conformité, et cette responsabilité ne peut pas être transférée au délégué. Le DPO externe qui commet une faute professionnelle causant un préjudice peut toutefois voir sa responsabilité recherchée par le responsable de traitement.
Sources officielles
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 37 et 38 – EUR-Lex
- RGPD, chapitre IV, section 4 « Délégué à la protection des données » – CNIL
- Décret n° 2019-536 du 29 mai 2019, article 84 – Légifrance
- CJUE, 9 février 2023, X-FAB Dresden, aff. C-453/21 – EUR-Lex
- Délégué à la protection des données : interne ou externe ? – CNIL
- Pour être délégué à la protection des données, faut-il une certification ? – CNIL
- Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO, 10 août 2026 – CNIL
- Observatoire du métier de DPO, enquête publiée le 1er juillet 2024 – CNIL
- Guide pratique RGPD – Délégués à la protection des données, édition novembre 2021 – CNIL
- Désigner un DPO ou modifier une désignation, mise à jour du 3 avril 2026 – CNIL
Cet article présente l’état du droit à titre d’information générale, tel que vérifié le 1er octobre 2026. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée.
