L’article en bref
- Aucun texte ne fixe le prix d’un DPO externe : son coût suit le temps et les moyens que la fonction exige chez vous.
- Le RGPD impose de fournir au délégué les ressources nécessaires (article 38.2) et la CNIL exige un temps suffisant.
- Le volume et la sensibilité des traitements, l’état de départ de la conformité et la mutualisation pèsent sur le prix.
- Le DPO couvre tous les traitements de l’organisme : la CNIL n’admet pas de désignation partielle.
- Avant de comparer deux offres, lisez le hors forfait, le coût de la plateforme, la durée d’engagement et la sortie.
- Ne pas désigner un DPO obligatoire expose à une amende jusqu’à 10 000 000 € ou 2 % du chiffre d’affaires annuel mondial.
Le coût d’un DPO externe dépend d’abord du temps que la fonction réclame dans votre organisme. Le RGPD autorise à confier les missions du délégué à un prestataire « sur la base d’un contrat de service » (article 37.6). Il ne fixe aucun tarif, mais il impose des moyens. Le prix d’un DPO externalisé traduit donc une charge de travail, un niveau d’expertise et un périmètre.
Cet article ne cite aucun prix de marché. Il décrit les facteurs de coût issus des textes et de la doctrine de la CNIL, puis notre propre offre à titre d’exemple.
Faits et sources vérifiés le 1er octobre 2026.
Coût d’un DPO externe : pourquoi aucun tarif unique n’existe
Le RGPD ne fixe pas de prix, mais il fixe une exigence de moyens. L’article 38.2 oblige l’organisme à fournir au délégué les ressources nécessaires à ses missions. Il lui garantit aussi l’accès aux traitements et l’entretien de ses connaissances.
La CNIL précise ces moyens dans sa page consacrée à la désignation. Elle exige un délégué associé à toutes les questions, qui dispose d’un temps suffisant et reste facilement joignable. Elle ajoute que le niveau d’expertise attendu dépend de la sensibilité, de la complexité et du volume des données. Deux organismes de même taille peuvent donc appeler des missions très différentes.
L’observatoire du métier de DPO publié par la CNIL en 2024 illustre cette diversité. Selon cette enquête, 85 % des répondants exercent à temps partiel. Parmi eux, 61 % consacrent moins de 25 % de leur temps aux missions de DPO. Le temps consacré à la fonction varie donc fortement, et le prix d’une mission externe avec lui.
Les facteurs qui déterminent le tarif d’un DPO externe
Le temps réellement nécessaire
Le premier poste de coût reste le temps passé par le délégué. Les missions minimales figurent à l’article 39 : informer, conseiller, contrôler, coopérer avec la CNIL et servir de point de contact. Le délégué tient compte du risque propre à chaque traitement (article 39.2). Pour le détail de ces tâches, consultez notre article sur les missions du DPO.
La taille et le volume des traitements
Plus l’organisme traite de données, plus le registre, les contrôles et les demandes de personnes s’étoffent. Le guide pratique de la CNIL retient plusieurs critères pour apprécier la « grande échelle ». Il cite le nombre de personnes concernées, le volume ou le spectre des données, la durée du traitement et son étendue géographique.
La sensibilité des données
Les données de santé, biométriques ou pénales exigent une vigilance accrue. Lorsqu’une analyse d’impact est menée, le responsable « demande conseil au délégué » (article 35.2). Selon la CNIL, le niveau d’expertise attendu dépend de cette sensibilité, et le temps de conseil suit.
L’état de départ de la conformité
Un organisme qui dispose déjà d’un registre à jour et de procédures écrites demande moins de reprise. À l’inverse, une documentation absente ou ancienne alourdit les premiers mois de la mission. Un audit RGPD préalable permet de mesurer cet écart avant de chiffrer. Demandez toujours si la reprise de l’existant figure dans le prix annoncé.
Le périmètre : tous les traitements
La CNIL le rappelle dans son guide pratique : il n’existe pas de désignation partielle. Le délégué couvre l’ensemble des traitements de l’organisme. Une offre qui exclut certains services ou certaines activités ne correspond donc pas à une désignation régulière. Le périmètre contractuel doit refléter cette règle, ce qui pèse directement sur le prix.
La mutualisation
Un groupe d’entreprises peut désigner un seul délégué, s’il reste facilement joignable depuis chaque établissement (article 37.2). Le guide de la CNIL cite le lissage des coûts parmi les avantages du DPO mutualisé. Il signale aussi un risque : le délégué mutualisé peut être moins proche des métiers et moins bien informé.
| Facteur | Effet sur le prix | Question à poser au prestataire |
|---|---|---|
| Temps nécessaire | Premier poste de coût ; il doit rester suffisant (article 38.2) | Combien de jours par an prévoyez-vous, et sur quelle base ? |
| Taille et volume des traitements | Plus de traitements, plus de documentation et de contrôles | Comment avez-vous évalué le nombre et l’ampleur de nos traitements ? |
| Sensibilité des données | Expertise et temps de conseil accrus | Comment traitez-vous nos données de santé, biométriques ou pénales ? |
| État de départ de la conformité | Une reprise lourde alourdit les premiers mois | La reprise de la documentation est-elle incluse ? |
| Périmètre | Il couvre obligatoirement tous les traitements | Le contrat vise-t-il l’ensemble de nos traitements ? |
| Mutualisation | Lissage possible des coûts au sein d’un groupe | Comment chaque entité reste-t-elle suivie et joignable ? |
| Hors forfait | Peut modifier fortement le coût réel | Quelles interventions sont facturées en plus, et selon quelle règle ? |
| Plateforme de pilotage | Coût distinct possible | Qui facture l’outil, et qui en perçoit le prix ? |
| Engagement et sortie | Fixe la durée de votre dépense | Quelle durée, quel préavis, quelle faculté de sortie ? |
Ce qu’une offre comprend, et ce qu’elle laisse de côté
Un prix mensuel ne vaut que par son contenu. Lisez d’abord la liste des interventions hors forfait et leur mode de facturation. Vérifiez qui prend en charge un contrôle ou une procédure de sanction de la CNIL.
Regardez ensuite l’outillage. Certaines missions reposent sur une plateforme de pilotage, dont le coût s’ajoute parfois au forfait. Demandez qui facture cet outil et si le prestataire en tire une rémunération. Contrôlez enfin la durée d’engagement, le préavis et la faculté de sortie. Le guide de la CNIL rappelle que le contrat d’un DPO externe prend fin selon le droit des contrats et ses stipulations.
Le prix doit aussi intégrer la question du conflit d’intérêts. La CNIL invite à vérifier si un DPO avocat a déjà représenté l’organisme dans un litige lié aux données. Elle recommande une analyse avant la désignation. Posez la question dès le premier échange.
Le DPO interne : un coût en temps et en formation
Un DPO interne n’est pas gratuit, même sans facture de prestataire. L’organisme lui doit les mêmes moyens que l’article 38.2 impose pour un délégué externe. Il doit lui dégager un temps suffisant et financer l’entretien de ses connaissances. Le guide de la CNIL range aussi la formation et le positionnement hiérarchique parmi les points de vigilance.
Le cumul de fonctions crée un autre coût, moins visible. La CNIL admet d’autres fonctions si elles ne privent pas le délégué du temps nécessaire et ne créent pas de conflit d’intérêts. Un salarié qui détermine les finalités ou les moyens d’un traitement se retrouve « juge et partie ». Notre article DPO interne, externe ou mutualisé compare ces options en détail.
Le coût du risque : ce que prévoit le RGPD
Les obligations des articles 37 à 39 entrent dans le périmètre de l’article 83.4 du RGPD. Leur violation expose à une amende administrative jusqu’à 10 000 000 €. Pour une entreprise, le plafond peut atteindre 2 % du chiffre d’affaires annuel mondial de l’exercice précédent. Le montant le plus élevé est retenu.
Le guide de la CNIL détaille les suites possibles d’un défaut de désignation obligatoire : rappel à l’ordre, injonction ou amende. Vérifiez donc d’abord si vous relevez de l’obligation, grâce à notre article sur le DPO obligatoire. En cas de contrôle, notre page dédiée à l’avocat face à la CNIL présente l’accompagnement possible.
Notre offre de DPO externe confié à un avocat, en exemple transparent
Vous pouvez appliquer la grille ci-dessus à notre propre offre. Notre DPO externe confié à un avocat démarre dès 1 000 € HT par mois, sur un périmètre arrêté avec vous. Une enveloppe annuelle de jours est fixée selon la taille, le volume des traitements et l’état de la conformité. Un avocat référent nommément identifié intervient avec un suppléant. Hashtag Avocats est désigné auprès de la CNIL.
La mission prévoit 4 points de pilotage par an et une disponibilité les jours ouvrés entre ces points. L’engagement dure 12 mois, reconductible, avec préavis et faculté de sortie sans motif écrite dans la convention. Neuf interventions restent hors forfait, sur devis validé avant toute diligence. Le contentieux et les procédures de sanction en font partie, par choix déontologique : le contrôle reste indépendant de la défense. La plateforme de pilotage est facturée directement par son éditeur, et le cabinet ne perçoit aucune rémunération à ce titre.
La mission DPO peut aussi s’ajouter à notre abonnement juridique, sur devis. Avec engagement de 12 mois, la formule Essentiel coûte 890 € HT par mois et la formule Croissance 1 290 € HT. L’Accompagnement juridique permanent démarre dès 2 400 € HT. Chaque situation est particulière : le périmètre se fixe après un échange de cadrage et une vérification de l’absence de conflit.
Questions fréquentes sur le coût d’un DPO externe
Combien coûte un DPO externe ?
Aucun texte ne fixe ce prix. Il dépend du temps nécessaire, du volume et de la sensibilité des traitements, et de l’état de la conformité. Chez Hashtag Avocats, la mission démarre dès 1 000 € HT par mois sur un périmètre arrêté avec le client.
Un DPO externe à temps partiel est-il conforme ?
Le RGPD n’impose pas un temps plein. Il exige des ressources nécessaires (article 38.2), et la CNIL demande un temps suffisant. Selon l’observatoire de la CNIL, 85 % des DPO répondants exercent à temps partiel.
Peut-on limiter le DPO à une partie des traitements pour réduire le coût ?
Non. Le guide pratique de la CNIL exclut toute désignation partielle : le délégué couvre tous les traitements de l’organisme.
La mission de DPO est-elle comprise dans l’abonnement juridique ?
Non. Chez Hashtag Avocats, le délégué à la protection des données externalisé s’ajoute à l’abonnement, sur devis. Les formules d’abonnement et le domaine « Données personnelles et conformité » figurent sur nos tarifs publiés.
Qui paie la plateforme de pilotage ?
Cela dépend du prestataire : posez la question avant de signer. Dans notre offre, l’éditeur facture directement la plateforme. Le cabinet ne perçoit aucune rémunération à ce titre.
Le DPO externe est-il responsable en cas de manquement au RGPD ?
Selon le guide de la CNIL, l’organisme reste responsable des manquements, pas le délégué. Le DPO externe qui commet une faute professionnelle causant un préjudice peut toutefois voir sa responsabilité recherchée. Les démarches de désignation sont détaillées dans notre article sur la désignation du DPO auprès de la CNIL.
Sources officielles
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 37 à 39 et 83.4 – EUR-Lex
- RGPD, chapitre IV (articles 24 à 43) – CNIL
- RGPD, chapitre VIII (voies de recours, responsabilité et sanctions) – CNIL
- Désigner un DPO ou modifier une désignation, mise à jour du 3 avril 2026 – CNIL
- Délégué à la protection des données : identifier et gérer les conflits d’intérêts, 10 août 2026 – CNIL
- Observatoire du métier de DPO, enquête 2024 – CNIL
- Guide pratique RGPD – Délégués à la protection des données, édition novembre 2021 – CNIL
Cet article présente l’état du droit à titre d’information générale, tel que vérifié le 1er octobre 2026. Il ne constitue pas une consultation juridique. Chaque situation est particulière et mérite une analyse dédiée.
