DPO externe ou logiciel RGPD : que choisir en 2026 ?

La France compte environ 38 000 DPO désignés auprès de la CNIL. Derrière ce chiffre, l’enquête DPO 2025 publiée par la CNIL, l’AFCDP et le ministère du Travail le 3 juillet 2026 décrit une réalité moins flatteuse : 85 % des DPO internes et mutualisés exercent à temps partiel, 60 % consacrent moins d’un quart de leur temps à la fonction, 66 % n’ont aucun budget et 77 % travaillent seuls, sans équipe. Un tiers des répondants relèvent du profil que l’étude appelle « DPO ponctuel » : très peu de temps, aucun moyen, une expérience de la matière inférieure à deux ans dans 64 % des cas.

C’est dans ce contexte qu’un dirigeant de PME me pose, presque à chaque fois, la même question : « On prend un DPO externe ou on prend un logiciel ? » La question est mal posée, et y répondre telle quelle conduit à dépenser au mauvais endroit. Voici comment la reformuler — et ce que chaque option couvre réellement.

Un logiciel ne peut pas être votre DPO, et un DPO n’est pas un logiciel

Commençons par lever une ambiguïté juridique. Le RGPD ne connaît qu’une seule figure du délégué : une personne, physique ou morale. L’article 37(6) prévoit expressément que le DPO « peut être un membre du personnel du responsable du traitement ou du sous-traitant, ou exercer ses missions sur la base d’un contrat de service ». C’est le fondement du DPO externalisé. L’article 37(5) exige qu’il soit désigné « sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données ».

Un logiciel n’a ni qualités professionnelles ni personnalité juridique. Il ne peut pas être désigné via le téléservice de la CNIL, ne peut pas être le point de contact de l’autorité de contrôle au sens de l’article 39(1)(e), ne peut pas « informer et conseiller » le responsable de traitement au sens de l’article 39(1)(a), ni « contrôler le respect » du règlement au sens de l’article 39(1)(b). Si votre organisation relève d’un des trois cas de l’article 37(1) — organisme public, suivi régulier et systématique à grande échelle, traitement à grande échelle de données sensibles ou relatives aux infractions — la désignation d’un DPO est obligatoire, et aucun outil ne vous en dispensera.

Le raisonnement inverse est tout aussi vrai. Le DPO n’est pas celui qui fait la conformité. La responsabilité de mettre en œuvre les mesures appropriées et d’être en mesure de le démontrer pèse sur le responsable de traitement, en vertu de l’article 24(1) et du principe de responsabilité de l’article 5(2). Le registre des activités de traitement est tenu par le responsable du traitement (art. 30(1)) — et par le sous-traitant pour ce qui le concerne (art. 30(2)) —, pas par le DPO. Les contrats de sous-traitance de l’article 28(3) sont signés par le responsable de traitement. L’analyse d’impact de l’article 35(1) est effectuée par le responsable de traitement, qui « demande conseil » au DPO (art. 35(2)). Le DPO conseille et contrôle ; il ne décide pas et ne produit pas à votre place.

D’où la reformulation que je propose : le DPO conseille et contrôle, le logiciel produit et prouve, le responsable de traitement décide et répond. Les deux premières fonctions ne sont pas substituables l’une à l’autre. La vraie question est de savoir combien de chacune vous avez besoin, et dans quel ordre.

Ce que le DPO externe couvre — et ce qu’il ne couvre pas

Ce qu’il apporte : le jugement et l’indépendance

Le DPO externalisé vend deux choses qu’aucun outil ne fournit. La première est le jugement juridique sur les questions qui n’ont pas de réponse mécanique : la qualification de la base légale d’un traitement ambigu, la mise en balance d’un intérêt légitime, l’arbitrage d’une AIPD dont le risque résiduel reste élevé, la stratégie de réponse à une plainte, la conduite d’un contrôle de la CNIL. Ce sont les missions de conseil et de coopération que l’article 39(1)(a), ©, (d) et (e) confie au délégué.

La seconde est l’indépendance. L’article 38(3) interdit que le DPO reçoive des instructions dans l’exercice de ses missions et qu’il soit relevé de ses fonctions ou pénalisé pour les avoir exercées. L’article 38(6) autorise le cumul avec d’autres missions à condition que ces missions « n’entraînent pas de conflit d’intérêts ». La CJUE a précisé dans l’arrêt X-FAB Dresden (C-453/21, 9 février 2023) qu’un tel conflit peut exister dès lors que le DPO est chargé de missions qui l’amèneraient à déterminer lui-même les finalités et les moyens d’un traitement — appréciation à faire au cas par cas, au regard de l’organisation concernée. La CNIL a repris ce critère dans sa fiche du 10 août 2026 sur les conflits d’intérêts du DPO : le DPO ne doit pas être « juge et partie ». Les fonctions d’encadrement supérieur (direction générale, DRH) sont généralement incompatibles ; des fonctions de niveau inférieur le sont aussi dès qu’elles confèrent un pouvoir de décision sur un traitement — l’exemple retenu par la CNIL est celui du RSSI qui fixe la durée de conservation des journaux de connexion ou tranche les demandes d’accès aux données des collaborateurs.

C’est précisément ce qui rend le DPO interne « accidentel » fragile dans une PME : le responsable informatique ou la DRH que l’on désigne faute de mieux se trouve fréquemment en situation de conflit structurel. L’externalisation est la mesure de remédiation la plus simple. Elle n’est pas sans angle mort : la même fiche CNIL rappelle qu’un avocat ayant représenté l’organisme dans un litige de protection des données, ou un prestataire qui est par ailleurs DPO de votre sous-traitant ou de votre responsable conjoint, peut lui aussi être en conflit.

Ce qu’il ne couvre pas : le temps, l’inventaire, la responsabilité

Le premier angle mort est le temps. Un DPO externalisé se facture entre 800 et 1 200 € par jour en régie, ou sous forme de forfait mensuel de 300 à 2 500 € selon la taille de l’organisation. Un forfait à 600 € par mois, c’est de l’ordre d’une demi-journée d’expert mensuelle. Cette demi-journée doit absorber les questions des métiers, la veille, la relecture des nouveaux contrats, le suivi des demandes de droits et la préparation du rapport annuel. Elle ne suffit jamais à construire l’inventaire.

Le second angle mort est justement l’inventaire. La mise en conformité initiale — cartographie des traitements, collecte des contrats, lecture des clauses de sous-traitance, qualification des durées de conservation — représente 5 à 20 jours de prestation, soit 5 000 à 25 000 € en régie. Or ce travail est, pour l’essentiel, de la collecte et de la structuration d’information qui existe déjà dans vos documents. Payer un juriste senior 1 000 € par jour pour lire des DPA et remplir des tableaux est une allocation de ressources que peu de directions financières accepteraient si elles en voyaient le détail. Et le DPO externe ne connaît de votre système d’information que ce que vous lui en dites : si le tableau de bord marketing installé le mois dernier ne lui est pas signalé, il n’apparaîtra dans aucun registre.

Le troisième angle mort est la responsabilité. Externaliser le DPO ne transfère aucune obligation. Le groupe de l’article 29 l’écrivait déjà dans ses lignes directrices WP243 sur les délégués à la protection des données, et le guide pratique de la CNIL le confirme : le DPO n’est pas personnellement responsable en cas de non-conformité, c’est le responsable de traitement qui répond au titre de l’article 24. Un contrat de DPO externe n’est pas une police d’assurance. Ce qui protège l’organisation en contrôle, c’est la documentation datée qui prouve que les mesures ont été prises — et cette documentation, le DPO externe ne la produit pas dans un forfait de quelques heures par mois.

Ce que le logiciel RGPD couvre — et ce qu’il ne couvre pas

Ce qu’il apporte : la production et la preuve

Un logiciel RGPD digne de ce nom couvre, en 2026, l’ensemble des obligations documentaires du règlement : le registre de l’article 30, la cartographie des traitements, l’audit des contrats de sous-traitance au regard des huit clauses de l’article 28(3), la pré-qualification et le pré-remplissage des AIPD, le suivi des demandes de droits dans le délai d’un mois de l’article 12(3), le registre des violations de l’article 33(5) et le compteur des 72 heures.

L’apport décisif tient en deux mots : rapidité et traçabilité. Là où l’inventaire manuel prend des semaines d’entretiens, un outil qui analyse vos documents existants — contrats, DPA, CGV, politiques internes — produit un premier registre des traitements en quelques heures, chaque traitement étant sourcé au document dont il provient. Et chaque modification est horodatée : en contrôle, la question « depuis quand cette mesure est-elle en place ? » reçoit une réponse fondée sur un journal système et non sur une reconstitution de mémoire. C’est la traduction opérationnelle de l’article 5(2).

L’équation économique est sans commune mesure avec la régie. Legiscope, pour prendre l’exemple que je connais le mieux, est facturé 990 € HT par an en formule Basic et 1 990 € HT par an en formule Business, hébergement en France inclus. Le poste « mise en conformité initiale » passe d’un budget à cinq chiffres à un budget à quatre.

Ce qu’il ne couvre pas : la décision, la signature, le contact

Un logiciel ne décide pas. Il propose une base légale, il ne l’arbitre pas lorsque l’intérêt légitime et le consentement sont tous deux défendables. Il identifie un traitement qui requiert une AIPD, il ne signe pas l’analyse ni ne prend la décision de consulter la CNIL au titre de l’article 36(1) lorsque le risque résiduel reste élevé. Il pré-remplit une notification de violation, il ne tranche pas la question du « risque élevé » qui déclenche l’information des personnes au titre de l’article 34(1).

Un logiciel n’est pas non plus un interlocuteur. Il ne répond pas à la CNIL, ne reçoit pas les personnes concernées, ne sensibilise pas un comité de direction réticent. Et il ne vaut que par ce qu’on lui donne : un outil alimenté avec des contrats obsolètes produira un registre obsolète, plus vite et de façon plus convaincante — ce qui est pire qu’un registre manifestement incomplet. Quelqu’un doit lire ce que l’outil produit, avec un regard critique. C’est exactement la mission de contrôle de l’article 39(1)(b).

Le vrai comparatif : coût, délai, risque

Le tableau ci-dessous compare les trois configurations sur les critères qui comptent en pratique. Les montants sont des ordres de grandeur pour une PME de 50 à 150 salariés, à partir des grilles tarifaires observées en 2026 ; ils ne remplacent pas un devis.

Critère	DPO externe seul	Logiciel seul	DPO externe + logiciel
Mise en conformité initiale	5 à 20 jours, 5 000 – 25 000 €	Quelques heures d’import, licence 990 – 1 990 €/an	2 à 5 jours de validation experte, 2 000 – 6 000 € + licence
Coût récurrent (année 1)	3 600 – 30 000 € de forfait	Licence + temps interne	Forfait réduit (2 000 – 10 000 €) + licence
Délai avant premier registre exploitable	4 à 8 semaines	Quelques jours	Une à deux semaines
Arbitrages juridiques (base légale, AIPD, transferts)	Oui	Non	Oui
Point de contact CNIL, désignation art. 37	Oui	Non	Oui
Piste d’audit horodatée	Rarement (livrables Word/Excel)	Oui	Oui
Détection des nouveaux traitements	Dépend de ce qu’on lui signale	À chaque import de document	Continue, validée par l’expert
Dépendance à une personne	Forte (départ du consultant = perte de mémoire)	Faible	Faible si la licence appartient à l’organisation
Réponse à une obligation de DPO (art. 37(1))	Oui	Non	Oui

Trois enseignements se dégagent de ce tableau.

Le DPO externe seul est la configuration la plus coûteuse et, paradoxalement, la moins robuste en contrôle : les livrables sont des documents bureautiques sans piste d’audit, et la connaissance de l’organisation repose sur une personne. J’ai vu plusieurs PME perdre l’essentiel de leur documentation au changement de prestataire, faute d’avoir exigé la réversibilité.

Le logiciel seul est la configuration la moins chère et suffit à la majorité des PME qui ne relèvent pas de l’article 37(1), à condition qu’un référent interne — le « DPO accidentel », précisément — prenne le temps de valider ce que l’outil produit. Elle échoue dès que surgit une question qui exige un arbitrage, ou lorsqu’un DPO est légalement obligatoire.

La combinaison est celle que je recommande dès que la désignation d’un DPO est obligatoire ou que les traitements présentent des risques significatifs. Elle recentre le DPO externe sur ce que lui seul sait faire — arbitrer, contrôler, représenter — et confie la production à l’outil. Le forfait DPO baisse parce que les heures d’inventaire disparaissent ; la qualité juridique monte parce que l’expert consacre son temps aux questions difficiles au lieu de remplir des tableaux.

Quatre situations, quatre réponses

Vous êtes une TPE ou PME sans obligation de DPO

Un cabinet de conseil de 25 personnes, un e-commerçant de 40 salariés, un industriel de 120 personnes sans données sensibles à grande échelle : aucun des trois cas de l’article 37(1) n’est rempli. L’obligation, c’est l’accountability de l’article 24, pas le DPO. Un logiciel, un référent interne qui y consacre quelques heures par mois et, si le budget le permet, un audit annuel d’une journée par un expert externe suffisent. Notre guide sur le logiciel RGPD pour PME détaille les fonctionnalités à exiger.

Vous êtes une PME avec DPO obligatoire

Une clinique, une société de recouvrement, un éditeur d’application de santé, une collectivité, un organisme de formation qui suit ses stagiaires à grande échelle : le DPO est obligatoire. Combinez. Le DPO externe est désigné auprès de la CNIL, dispose d’un accès à l’outil, valide le registre généré, arbitre les AIPD et gère la relation avec l’autorité. L’outil produit, horodate et alerte. C’est aussi la configuration à privilégier pour un DPO mutualisé entre plusieurs entités d’un groupe, que l’article 37(2) autorise à condition qu’il soit « facilement joignable à partir de chaque lieu d’établissement ».

Vous êtes une ETI avec un DPO interne à temps partiel

C’est la situation majoritaire décrite par l’enquête 2025 : un juriste, un responsable qualité ou un DSI désigné DPO, qui y consacre un quart de son temps au mieux, sans budget. Deux actions dans l’ordre. D’abord vérifier le conflit d’intérêts au regard de la grille CNIL du 10 août 2026 — un RSSI ou un DSI désigné DPO qui décide lui-même des durées de conservation des journaux est en conflit, et la remédiation peut passer par un déport partiel vers un DPO suppléant ou par l’externalisation. Ensuite outiller ce DPO : un outil qui lui fait gagner l’inventaire lui rend le temps de contrôle que l’article 39 lui assigne. Un DPO externe en appui ponctuel, pour les AIPD complexes et les transferts hors UE, complète utilement le dispositif sans forfait récurrent lourd.

Vous êtes vous-même DPO externe ou consultant

Le raisonnement s’inverse : le logiciel est votre levier de marge. Le temps de production que vous facturez à 1 000 € par jour est celui que vos clients accepteront de moins en moins de payer, à mesure qu’ils découvrent qu’il s’automatise. Les DPO externes représentent 11 % des répondants de l’enquête CNIL 2025 et se classent à 77 % dans le profil « DPO mission » : peu de temps par client, rarement une équipe. Un outil multi-entités qui génère le registre depuis les documents du client, audite les DPA et produit le rapport annuel change la nature de la prestation : moins d’heures de saisie, plus d’heures de conseil facturées à leur juste valeur. C’est le logiciel pour DPO qu’il faut choisir avec ces critères en tête.

Comment contractualiser la combinaison

Si vous retenez la combinaison, cinq points du contrat de DPO externe méritent une attention particulière. Notre modèle de contrat de DPO externalisé les intègre.

La propriété de l’outil et des données. La licence du logiciel doit être souscrite par votre organisation, pas par le prestataire. Le jour où vous changez de DPO, le registre, les AIPD, l’historique des demandes de droits et les preuves horodatées doivent rester chez vous. Un DPO externe qui héberge votre conformité dans son outil crée une dépendance que vous paierez au moment de la rupture.

Le périmètre exact des missions. Distinguez ce qui relève de l’article 39 (conseil, contrôle, coopération, point de contact) de ce qui relève de la production (rédaction de mentions, audit de contrats, réalisation d’AIPD). La première catégorie justifie le forfait ; la seconde doit être chiffrée à part, et vous devez pouvoir la confier à l’outil ou à un tiers.

L’astreinte violation. Le délai de 72 heures de l’article 33(1) court à compter de la prise de connaissance par le responsable de traitement, week-end compris. Un forfait qui ne prévoit aucune joignabilité hors heures ouvrées est un forfait qui vous laisse seul le vendredi soir.

La vérification des conflits d’intérêts. Demandez au prestataire la liste de ses autres désignations lorsqu’elles concernent vos sous-traitants, vos responsables conjoints ou vos concurrents directs, et documentez l’analyse. La CNIL recommande de la réaliser avant la désignation.

Le rapport annuel et la réversibilité. Exigez un rapport d’activité du DPO annuel, dont la CNIL a rappelé l’utilité dans sa fiche du 27 avril 2026, et une clause de réversibilité prévoyant la restitution de l’ensemble de la documentation dans un format exploitable, sans frais, à l’échéance du contrat.

Ces cinq points s’ajoutent aux garanties classiques : obligation de confidentialité, assurance responsabilité civile professionnelle, information de la CNIL en cas de changement de délégué, publication des coordonnées du DPO comme l’exige l’article 37(7) et mention de ces coordonnées dans l’information des personnes au titre des articles 13(1)(b) et 14(1)(b).

---

Combien de jours de votre DPO externe partent chaque année dans de la saisie ? Legiscope génère votre registre des traitements à partir de vos documents existants, audite vos contrats de sous-traitance, pré-remplit vos AIPD et horodate chaque preuve — pour que votre DPO consacre son temps à ce que lui seul sait faire. Demander une démo Legiscope →

---

Ce qu’il faut retenir

• Un logiciel ne peut pas être désigné DPO : l’article 37 exige une personne, physique ou morale, dotée de qualités professionnelles. Si votre organisation relève de l’article 37(1), un DPO — interne, mutualisé ou externe — est obligatoire quel que soit votre outillage.
• Le DPO conseille et contrôle (art. 39) ; il ne produit pas le registre, ne signe pas les DPA et ne porte pas la responsabilité de l’article 24. Externaliser le DPO ne transfère aucune obligation.
• Le DPO externe seul est la configuration la plus chère (5 000 – 25 000 € d’inventaire initial, puis 3 600 – 30 000 € par an) et la plus dépendante d’une personne. Le logiciel seul (990 – 1 990 € par an) suffit aux PME sans DPO obligatoire, à condition qu’un référent interne valide ce qu’il produit.
• La combinaison est la bonne réponse dès que le DPO est obligatoire ou que les traitements sont sensibles : l’outil produit et prouve, l’expert arbitre et représente, et le forfait DPO baisse parce que les heures d’inventaire disparaissent.
• Contractualisez la propriété de la licence et des données, le périmètre article 39 contre production, l’astreinte 72 heures, l’analyse de conflit d’intérêts et la réversibilité.

FAQ

Un logiciel RGPD peut-il être désigné comme DPO auprès de la CNIL ?

Non. L’article 37(5) du RGPD impose que le délégué soit désigné sur la base de ses qualités professionnelles et de ses connaissances spécialisées du droit de la protection des données, et l’article 37(6) ne connaît que deux hypothèses : un membre du personnel ou un prestataire lié par un contrat de service. Le téléservice de désignation de la CNIL exige l’identité d’une personne physique ou morale. Un logiciel est un moyen mis à la disposition du DPO au titre de l’article 38(2), pas un délégué.

Le DPO externe est-il responsable en cas de sanction de la CNIL ?

Non, sauf faute contractuelle à son égard. Les lignes directrices WP243 et le guide pratique de la CNIL rappellent que le DPO n’est pas personnellement responsable de la non-conformité de l’organisme : c’est le responsable de traitement qui répond, au titre de l’article 24(1) et du principe de responsabilité de l’article 5(2). L’organisation peut, le cas échéant, engager la responsabilité civile de son prestataire sur le fondement du contrat, ce qui suppose un périmètre de mission clairement écrit.

Peut-on se passer de DPO si l’on utilise un logiciel RGPD ?

Uniquement si aucun des trois cas de l’article 37(1) n’est rempli : organisme public, suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles ou relatives aux condamnations. Dans ce cas, le logiciel et un référent interne suffisent à satisfaire l’obligation de documentation de l’article 24. Si l’un des cas est rempli, le logiciel ne dispense pas de la désignation, mais il réduit fortement le temps que le DPO doit y consacrer.

Combien coûte la combinaison DPO externe et logiciel pour une PME ?

Pour une PME de 50 à 150 salariés, en 2026, comptez une licence logicielle de 990 à 1 990 € HT par an, 2 à 5 jours de validation experte lors de la mise en place (2 000 à 6 000 €) et un forfait DPO externe réduit de 2 000 à 10 000 € par an selon la sensibilité des traitements. Soit un budget de première année de l’ordre de 6 000 à 18 000 €, contre 10 000 à 55 000 € pour un DPO externe seul assurant lui-même l’inventaire. Notre guide sur le coût de la mise en conformité RGPD détaille les autres postes.