DPO externalisé : votre délégué à la protection des données est un avocat.
Il connaît vos contrats, il est soumis au secret professionnel, et il ne peut pas être juge et partie.
Désigner un délégué, c’est lui confier un contrôle
Le délégué à la protection des données contrôle votre conformité dans la durée. Quatre questions déterminent la solidité de ce contrôle, quelle que soit la personne que vous désignez.
Conflit d’intérêts
Il ne peut pas être juge et partie. Celui qui contrôle votre conformité ne peut pas être celui qui a vendu, paramétré ou déployé ce qu’il doit contrôler.
Indépendance
Il ne reçoit aucune instruction dans l’exercice de ses missions, conformément à l’article 38.3 du RGPD.
Responsabilité
Il est assuré au titre de sa responsabilité civile professionnelle et contrôlé par son ordre.
Révocation
L’article 38.3 du RGPD protège le délégué contre toute révocation liée à l’exercice de ses missions. C’est pourquoi votre faculté de sortie est écrite dans la convention.
Trois manières de désigner un délégué
Votre délégué est un avocat. Il est soumis au secret professionnel, assuré au titre de sa responsabilité civile professionnelle et contrôlé par son ordre. Il ne reçoit aucune instruction dans l’exercice de ses missions, conformément à l’article 38.3 du RGPD. Il est tenu au secret professionnel et ne peut révéler ce qu’il apprend de vous, hors les cas où la loi l’impose.
En contrepartie, nous ne pouvons pas vous représenter dans une procédure mettant en cause votre responsabilité de responsable de traitement. C’est la raison pour laquelle le contentieux et les procédures de sanction restent hors forfait. Cette limite n’est pas commerciale, elle est déontologique, et c’est elle qui garantit que le contrôle exercé sur votre conformité reste indépendant de la défense de vos intérêts en cas de litige.
| Critère | Outil ou plateforme RGPD | Société de conseil | Cabinet d’avocats |
|---|---|---|---|
| Qui exerce la fonction | Un abonnement logiciel, sans personne désignée | Un consultant ; l’identité de la personne dépend du contrat | Un avocat référent identifié, avec un suppléant |
| Confidentialité de ce qu’il apprend chez vous | Une clause de ses conditions générales | L’obligation de confidentialité du délégué, article 38.5 du RGPD | Le secret professionnel de l’avocat, sanctionné pénalement, article 226-13 du Code pénal |
| Indépendance dans l’exercice, article 38.3 du RGPD | Sans objet : aucun délégué n’est désigné | Oui, par la loi | Oui, par la loi |
| Assurance de responsabilité civile professionnelle | Selon ses conditions générales | Selon le contrat | Obligatoire pour tout avocat |
| Contrôle par un ordre professionnel | Aucun | Aucun | Oui, l’Ordre des avocats |
| Lecture juridique de vos contrats | Non | Selon le périmètre de la mission | Oui : le cabinet les rédige et les revoit |
| Représentation en cas de contentieux ou de sanction | Non | Selon le contrat : devant la formation restreinte de la CNIL, l’organisme peut être assisté ou représenté par tout conseil de son choix | Non, par choix déontologique : le contrôle reste indépendant de votre défense |
Le secret professionnel protège la relation entre l’avocat et son client. Il ne s’étend pas au registre ni aux analyses d’impact, qui sont des documents que vous devez tenir et communiquer à la CNIL.
Les deux premières colonnes visent des modes d’exercice, pas des prestataires. Une case indique ce qui découle du statut lui-même, ou « selon le contrat » lorsque cela dépend du prestataire. La troisième colonne décrit le statut d’avocat et les engagements écrits du cabinet. Ces colonnes décrivent des pratiques courantes du marché ; chaque prestataire peut s’en écarter, et c’est la question à lui poser.
Un avocat référent, désigné auprès de la CNIL
La désignation
Hashtag Avocats est désigné délégué à la protection des données auprès de la CNIL. Un avocat référent est nommément identifié, avec un suppléant désigné, et vous savez à tout moment qui suit votre dossier.
La disponibilité
Nous sommes disponibles les jours ouvrés, avec un point de pilotage trimestriel et une disponibilité entre ces points pour vos questions courantes.
Ce que comprend la mission de DPO externalisé
Notre mission est d’assurer la continuité de votre conformité, son suivi dans le temps et le maintien d’une dynamique auprès de vos équipes.
Ce que nous faisons
- La désignation auprès de la CNIL
- La reprise de votre documentation existante
- Le pilotage de votre programme de conformité
- Le suivi de votre registre des traitements et de votre documentation
- Le suivi de vos plans d’action et chantiers de remédiation
- Un point trimestriel avec vos équipes
- L’accompagnement courant sur leurs questions
- L’assistance de premier niveau en cas de violation de données
- Une veille sur les évolutions qui affectent vos traitements
- Un bilan annuel avec les priorités de l’exercice suivant
Une distinction à connaître avant de signer
Le registre des traitements reste votre obligation, au titre de l’article 30 du RGPD. Nous en assurons le suivi et la mise à jour, nous ne nous y substituons pas.
Ce qui n’est pas compris, écrit avant la signature
Chacune de ces interventions fait l’objet d’un devis que vous validez avant toute diligence.
- L’audit complet ou la reconstruction de votre programme de conformité
- Les projets liés au lancement d’une nouvelle activité ou d’un nouveau produit
- La cartographie de traitements nouveaux et complexes
- Les audits techniques et tests d’intrusion
- La renégociation massive de vos contrats
- La gestion d’une violation de données majeure
- L’assistance en cas de contrôle ou de procédure de sanction de la CNIL
- Les contentieux relatifs à la protection des données
- Les prestations juridiques sans lien avec la fonction
Votre nom restera confidentiel, même une fois la mission terminée
Une mission de délégué donne accès à vos traitements, à vos contrats et à vos incidents. La loi impose le secret à tout avocat. Nous en faisons une règle de maison qui va plus loin.
Ce que nous ne publions pas
Aucun logo, aucun nom de client, aucun témoignage, aucune référence citée, ni pendant la mission ni après. Le simple fait d’être notre client est couvert par le secret professionnel.
Ce que nous pouvons vous dire
En rendez-vous, nous vous décrivons des situations comparables à la vôtre, par secteur et par taille d’entreprise.
Pourquoi cela compte pour un délégué
Un délégué connaît vos violations de données avant tout le monde. Ce qu’il apprend dans le cadre de votre relation avec le cabinet est couvert par le secret professionnel.
Un DPO externalisé à partir de 1 000 € HT par mois, sur un périmètre arrêté avec vous
Le périmètre exact est arrêté après un échange de cadrage, sur la base d’une enveloppe annuelle de jours convenue avec vous, en fonction de votre taille, du volume de vos traitements et de l’état de votre conformité.
L’engagement
L’engagement est annuel, reconductible, avec préavis, et vous pouvez y mettre fin à tout moment sans motif.
Elle peut s’ajouter à votre abonnement, sur devis.
L’outil
Nous pilotons votre conformité au moyen d’une plateforme dédiée, facturée directement par son éditeur. Nous ne percevons aucune rémunération à ce titre et vous restez libre d’utiliser un autre outil.
Le hors forfait
Neuf interventions sont hors forfait. Chacune fait l’objet d’un devis que vous validez avant toute diligence.
Quatre étapes
Échange de cadrage
Nous examinons votre taille, le volume de vos traitements et l’état de votre conformité. L’enveloppe annuelle de jours est arrêtée à l’issue de cet échange.
Vérification que nous pouvons vous représenter
Un avocat ne peut pas intervenir contre un client existant. Nous le vérifions avant tout échange sur votre dossier.
Convention et désignation auprès de la CNIL
Une convention d’honoraires écrite est signée. L’avocat référent et son suppléant y sont nommément identifiés, puis la désignation est déclarée à la CNIL.
Reprise de la documentation et premier point
Nous reprenons votre documentation existante, puis nous fixons les priorités avec vos équipes.
Ce que vous préparez
- Votre documentation de conformité existante, même incomplète
- La liste de vos outils et de vos principaux sous-traitants
- Les projets prévus dans les douze mois
- Le nom de votre interlocuteur interne
DPO externalisé, DPO externe : vos questions
Qu’est-ce qu’un DPO externalisé ?
Un DPO externalisé, ou DPO externe, est un délégué à la protection des données qui exerce ses missions sur la base d’un contrat de service, comme le permet l’article 37.6 du RGPD. Il a les mêmes missions et les mêmes garanties qu’un délégué salarié. Chez Hashtag Avocats, la fonction est portée par un avocat référent nommément identifié, avec un suppléant.
Est-il obligatoire de désigner un DPO ?
L’article 37.1 du RGPD impose un délégué aux autorités et organismes publics. Il l’impose aussi aux organismes dont les activités de base exigent un suivi régulier et systématique des personnes à grande échelle, ou portent à grande échelle sur des données sensibles ou pénales. Dans les autres cas, la CNIL encourage la désignation. Voir dans quels cas un DPO est obligatoire.
DPO interne ou DPO externe : que choisir ?
Le RGPD laisse le choix : le délégué peut être un membre du personnel ou un prestataire, et il peut être mutualisé. Selon la CNIL, le DPO externe répond à l’absence de ressources internes et apporte l’expérience d’organismes similaires ; il suppose des points réguliers avec la direction et les équipes. Voir notre comparatif DPO interne, externe ou mutualisé.
Qu’est-ce qu’un DPO mutualisé ?
C’est un délégué désigné pour plusieurs organismes. Un groupe d’entreprises peut désigner un seul délégué s’il reste facilement joignable depuis chaque établissement (article 37.2 du RGPD). Plusieurs autorités ou organismes publics peuvent aussi partager un délégué (article 37.3). Chaque entité le désigne auprès de la CNIL.
Combien coûte un DPO externe ?
Aucun texte ne fixe ce prix : il dépend du temps nécessaire, du volume et de la sensibilité des traitements, et de l’état de votre conformité. Notre mission démarre à 1 000 € HT par mois, sur un périmètre arrêté avec vous. Elle peut s’ajouter à votre abonnement juridique, sur devis. Voir ce qui fait le coût d’un DPO externe.
Comment se passe la désignation du DPO auprès de la CNIL ?
Elle se fait uniquement en ligne, par le téléservice de la CNIL. La date de prise d’effet est choisie dans le formulaire : elle ne peut pas être antérieure à la demande. Lorsque le délégué est une personne morale, la personne physique qui exerce les missions est identifiée (article 83 du décret du 29 mai 2019). Voir la démarche de désignation pas à pas.
Un avocat peut-il être DPO ?
Oui. La CNIL admet qu’un avocat soit désigné DPO d’un organisme sur la base d’un contrat de service. Il ne peut pas représenter cet organisme en justice dans des dossiers de données personnelles lorsque cela créerait un conflit d’intérêts. C’est pourquoi le contentieux et les procédures de sanction restent hors forfait dans notre mission.
Quelles sont les missions du DPO ?
L’article 39 du RGPD en fixe au moins cinq : informer et conseiller, contrôler le respect des règles, conseiller sur l’analyse d’impact, coopérer avec la CNIL et lui servir de point de contact. Il tient compte du risque propre à chaque traitement. Voir les missions du DPO en détail.
Sources officielles, vérifiées le 1er octobre 2026 :
- Règlement (UE) 2016/679 (RGPD), articles 37 à 39 – EUR-Lex
- Décret n° 2019-536 du 29 mai 2019, articles 83 et 84 – Légifrance
- Guide pratique RGPD – Délégués à la protection des données – CNIL
- Désigner un délégué à la protection des données ou modifier une désignation – CNIL
- Délégué à la protection des données : identifier et gérer les conflits d’intérêts (10 août 2026) – CNIL
Ces réponses présentent le droit à titre d’information générale ; chaque situation est particulière.
Un délégué qui contrôle, et qui ne peut pas se contrôler lui-même
Nous commençons par un échange de cadrage, sans engagement, pour arrêter le périmètre et l’enveloppe annuelle.
