DPO obligatoire ? Interne ou externalisé ?
Ce que disent réellement les textes sur l'obligation de désigner un délégué à la protection des données — et le comparatif honnête entre un poste interne et une fonction externalisée, coûts compris.
Les trois cas où le RGPD impose un DPO
L'article 37 §1 du règlement (UE) 2016/679 rend la désignation obligatoire dans trois situations. En santé, la troisième capture l'essentiel du secteur.
Vous êtes une autorité ou un organisme public
Hôpitaux publics, GHT, collectivités, agences : la désignation est obligatoire, quelle que soit la nature des traitements (seules les juridictions dans l'exercice de leur fonction juridictionnelle sont exemptées).
Vos activités de base exigent un suivi régulier et systématique à grande échelle
Plateformes de suivi de patients, téléconsultation à volume significatif, objets de santé connectés, programmes d'accompagnement : dès que l'observation suivie des personnes est au cœur de l'activité.
Vos activités de base comportent un traitement à grande échelle de données sensibles
C'est le cas qui capture l'essentiel du secteur : les données de santé relèvent de l'article 9 du RGPD. Établissements, structures de soins coordonnés, entrepôts de données, éditeurs traitant des données patients sont directement concernés.
Le critère décisif
Qu’est-ce qu’un traitement « à grande échelle » ?
Le RGPD ne fixe pas de seuil chiffré. Les lignes directrices européennes sur les DPO (WP243) retiennent quatre critères d’appréciation — et donnent deux repères en santé : le traitement des données de patients par un hôpital relève de la grande échelle ; celui d’un médecin exerçant à titre individuel, non. Entre les deux, tout se joue au cas par cas.
Texte de référence : règlement (UE) 2016/679, articles 37 à 39.
- Le nombre de personnes concernées, en valeur absolue ou en proportion de la population
- Le volume et la variété des données traitées
- La durée ou la permanence du traitement
- L'étendue géographique du traitement
DPO interne ou DPO externalisé : les deux colonnes, sans caricature
Les deux modèles sont légitimes — le RGPD reconnaît expressément l'exercice sur contrat de service (article 37 §6). La vraie question est économique et organisationnelle : de quelle capacité avez-vous réellement besoin, et à quel coût complet ?
DPO interne
Ses forces
Présence physique quotidienne et connaissance intime de l'organisation
Disponibilité immédiate sur site pour les équipes
Pertinent quand le volume justifie un temps plein — grands établissements, groupes multi-sites
Ses contraintes
Coût complet d'un profil senior : salaire chargé, formation continue, veille, outils — de l'ordre de 70 à 100 k€ par an
Expertise à construire et à entretenir seul : la réglementation santé évolue en permanence (RGPD, AI Act, EHDS, NIS 2, HDS)
Risque de conflit d'intérêts (article 38 §6) lorsque la fonction est cumulée avec la DSI, les RH, la qualité ou la direction — l'autorité de Berlin a sanctionné un tel cumul à hauteur de 525 000 € en 2022
Continuité fragile : congés, absences, départ — la conformité s'arrête avec la personne
Indépendance délicate à exercer face à sa propre hiérarchie
DPO externalisé spécialisé santé
Ses forces
Coût maîtrisé et modulable : une capacité définie, à partir de 690 € HT par mois — sans charges, sans recrutement, sans formation à financer
Expertise santé immédiate et mutualisée : veille, méthodes et retours d'expérience partagés entre missions comparables
Indépendance renforcée : extérieur à la hiérarchie et sans fonction opérationnelle interne — l'absence de conflit d'intérêts (article 38 §6) est vérifiée et documentée pour chaque mission
Continuité organisée : une équipe en réseau qui assure la suppléance — la fonction ne repose pas sur une seule personne
Crédibilité vis-à-vis des acheteurs, partenaires et de la CNIL : un regard extérieur documenté
Cadre contractuel clair : capacité, délais, livrables et niveau de service écrits
Ses limites — et comment nous les traitons
Présence physique moindre au quotidien — compensée par un relais interne identifié et un rythme de gouvernance défini
Nécessite une organisation rigoureuse de la circulation de l'information (c'est précisément ce que le contrat organise)
L’arbitrage, en une phrase
En dessous d’un besoin réel de mi-temps, un poste interne coûte jusqu’à dix fois plus cher qu’un DPO externalisé spécialisé — pour une expertise à construire seul et une indépendance plus difficile à garantir.
Et pour les grandes structures dont le volume justifie un poste interne, le modèle hybride — DPO interne épaulé par une expertise santé externalisée pour la veille, les AIPD et les sujets pointus (IA, EHDS, recherche) — cumule les avantages des deux colonnes.
Obligation, cumul, mutualisation : ce que l'on nous demande
Une petite structure privée doit-elle désigner un DPO ?
Tout dépend de la grande échelle : les lignes directrices européennes citent le traitement des données de patients par un hôpital comme relevant de la grande échelle, et celui réalisé par un médecin exerçant à titre individuel comme n'en relevant pas. Entre ces deux extrêmes — maison de santé, centre de santé, EHPAD, éditeur — l'analyse se fait au cas par cas, au regard des traitements réellement mis en œuvre. C'est exactement ce que nous qualifions lors d'un premier échange, gratuit.
Le DPO externalisé est-il reconnu par le RGPD et la CNIL ?
Oui, expressément : l'article 37 §6 du RGPD prévoit que le délégué à la protection des données peut exercer ses missions sur la base d'un contrat de service. La désignation est déclarée à la CNIL exactement comme pour un DPO interne, et le délégué externalisé a les mêmes missions et les mêmes obligations d'indépendance.
Un salarié peut-il cumuler la fonction de DPO avec un autre poste ?
C'est possible, mais l'article 38 §6 du RGPD exige l'absence de conflit d'intérêts : le DPO ne peut pas occuper une fonction qui l'amène à déterminer les finalités ou les moyens des traitements — ce qui exclut en pratique la direction générale, la DSI, les RH ou la direction qualité dans la plupart des configurations. Des autorités européennes ont déjà sanctionné ce type de cumul.
Peut-on mutualiser un DPO entre plusieurs structures ?
Oui. Un groupe d'entreprises peut désigner un DPO unique (article 37 §2), les organismes publics peuvent mutualiser (article 37 §3), et des organisations indépendantes peuvent recourir au même délégué externe dans le cadre d'un contrat de service (article 37 §6) — à la condition, dans tous les cas, qu'il soit facilement joignable et effectivement en mesure d'exercer ses missions pour chacune. C'est cette exigence d'effectivité, plus que le montage, qui fait la conformité du modèle.
Et si nous ne sommes pas dans un cas de désignation obligatoire ?
La CNIL encourage la désignation d'un DPO même hors obligation : les obligations de fond du RGPD (registre, sécurité, information, AIPD) s'appliquent dans tous les cas, et un pilotage identifié reste le moyen le plus sûr de les tenir. Un dispositif léger — quelques heures par mois — suffit souvent.
Votre situation mérite mieux qu'une règle générale
Décrivez vos traitements : nous qualifions votre obligation de désignation et le niveau de capacité réellement nécessaire — franchement, y compris si un dispositif léger suffit.
Réponse sous 24 h ouvrées · Sans engagement