Un DPO externalisé a-t-il les mêmes pouvoirs qu’un DPO interne ?

Oui. L’article 37.6 du RGPD prévoit expressément que le DPO peut exercer ses missions sur la base d’un contrat de service. Les missions, les garanties d’indépendance et la protection contre les sanctions liées à l’exercice de la fonction sont identiques.

Qui est désigné auprès de la CNIL, le cabinet ou une personne ?

La CNIL enregistre une personne physique comme DPO, avec l’organisme qui l’emploie. Chez DP FLOW, Florian Boyenval est désigné nommément. Vous savez donc qui répond quand vous appelez.

Que se passe-t-il si nous recevons un contrôle de la CNIL ?

Votre DPO est le point de contact. Il prépare les pièces demandées, vous accompagne pendant le contrôle et rédige les réponses. C’est précisément ce pour quoi la documentation est tenue à jour en continu plutôt que reconstituée dans l’urgence.

Quel est le risque si nous ne désignons pas de DPO alors que nous y sommes obligés ?

L’absence de désignation relève de l’article 83.4 du RGPD, qui prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Dans les faits, la CNIL commence rarement par une amende. Le risque le plus immédiat pour une PME reste commercial : un appel d’offres perdu parce que la case DPO est vide.

Peut-on changer de DPO en cours de route ?

Oui. Il suffit de notifier la nouvelle désignation à la CNIL. Un cabinet sérieux vous restitue l’intégralité de votre documentation de conformité, dans un format exploitable, sans rétention.

Intervenez-vous en dehors de Bordeaux ?

Oui. Le cabinet est basé à Bordeaux, l’accompagnement se fait à distance partout en France, avec des déplacements sur site quand le sujet le justifie.

DPO externalisé

Un DPO externalisé est un délégué à la protection des données que vous désignez auprès de la CNIL sans l’embaucher. Il exerce les mêmes missions qu’un DPO interne, avec les mêmes garanties d’indépendance, dans le cadre d’un contrat de prestation prévu par l’article 37.6 du RGPD. Chez DP FLOW, c’est Florian Boyenval qui est désigné nommément, pas un pool de consultants.

Ce que fait concrètement votre DPO externe

Le rôle n’est pas de produire un classeur de conformité et de disparaître. C’est un travail continu.

Désignation auprès de la CNIL et prise en charge du rôle de point de contact
Tenue et mise à jour du registre des activités de traitement
Réponse aux questions des équipes avant le lancement d’un traitement, pas après
Gestion des demandes d’exercice de droits de vos clients et de vos salariés
Analyses d’impact (AIPD) lorsque le traitement l’impose
Contrôle des sous-traitants et des transferts hors Union européenne
Sensibilisation des équipes
Gestion des violations de données et de la notification à la CNIL dans les 72 heures
Accompagnement en cas de contrôle de la CNIL

Pourquoi externaliser plutôt que recruter

Trois raisons reviennent chez les organisations qui nous appellent.

L’indépendance. L’article 38.6 du RGPD interdit au DPO d’occuper une fonction qui le placerait en conflit d’intérêts. Confier le rôle au DSI, au directeur juridique ou au responsable marketing pose exactement ce problème : ces personnes décident des finalités et des moyens des traitements qu’elles sont censées contrôler. Un DPO externe n’a aucun lien hiérarchique avec vos équipes.

Le volume réel de travail. Dans la plupart des structures qui nous appellent, la charge ne justifie pas un poste à temps plein, mais elle est trop lourde et trop technique pour être ajoutée aux tâches de quelqu’un qui a déjà un métier.

La continuité. Un DPO interne qui part emporte avec lui l’historique des arbitrages. Un cabinet documente au fur et à mesure et vous laisse un dossier de conformité opposable.

Êtes-vous obligé de désigner un DPO ?

La désignation est obligatoire dans trois cas prévus par l’article 37 du RGPD :

vous êtes une autorité ou un organisme public ;
votre activité de base vous conduit à suivre des personnes à grande échelle, de façon régulière et systématique ;
votre activité de base porte à grande échelle sur des données sensibles ou relatives à des condamnations pénales.

Hors de ces cas, la désignation reste volontaire. Elle est alors fortement recommandée par la CNIL, et elle devient de fait indispensable dès que vos clients grands comptes vous demandent le nom de votre DPO dans leurs questionnaires de sécurité. C’est aujourd’hui la première raison pour laquelle des PME nous contactent.

À noter : une fois le DPO désigné volontairement, toutes les obligations du RGPD s’appliquent à lui comme s’il était obligatoire.

Comment nous travaillons

Un premier échange pour comprendre votre activité, vos traitements et votre niveau de départ. Sans engagement.
Un état des lieux qui aboutit à un plan d’action priorisé, du plus risqué au plus accessoire.
La désignation auprès de la CNIL et la mise en place de la documentation obligatoire.
Le suivi courant : un point périodique, un canal direct pour les questions du quotidien, et une mise à jour continue de la documentation.
Un instantané annuel de votre conformité, utilisable tel quel face à un client, un assureur ou un contrôle.

Pour qui

DP FLOW accompagne des entreprises, des associations et des collectivités territoriales. Parmi les organisations pour lesquelles nous sommes intervenus : TotalEnergies, Schneider Electric, Renault, APF France Handicap, Lemlist, La Fourche, Teddy Smith, La Conciergerie Solidaire, Incité, HGO, EGYM Wellpass.

Combien ça coûte

Le prix dépend du nombre de traitements, de la sensibilité des données, de votre point de départ et du rythme de sollicitation. La page comment se construit le coût d’un accompagnement RGPD détaille ces facteurs et ce qu’un devis devrait toujours préciser.

Pour aller plus loin sur le sujet, notre article DPO externalisé : missions, coûts et bénéfices reprend le cadre juridique en détail.

Questions fréquentes

Un DPO externalisé a-t-il les mêmes pouvoirs qu’un DPO interne ?: Oui. L’article 37.6 du RGPD prévoit expressément que le DPO peut exercer ses missions sur la base d’un contrat de service. Les missions, les garanties d’indépendance et la protection contre les sanctions liées à l’exercice de la fonction sont identiques.
Qui est désigné auprès de la CNIL, le cabinet ou une personne ?: La CNIL enregistre une personne physique comme DPO, avec l’organisme qui l’emploie. Chez DP FLOW, Florian Boyenval est désigné nommément. Vous savez donc qui répond quand vous appelez.
Que se passe-t-il si nous recevons un contrôle de la CNIL ?: Votre DPO est le point de contact. Il prépare les pièces demandées, vous accompagne pendant le contrôle et rédige les réponses. C’est précisément ce pour quoi la documentation est tenue à jour en continu plutôt que reconstituée dans l’urgence.
Quel est le risque si nous ne désignons pas de DPO alors que nous y sommes obligés ?: L’absence de désignation relève de l’article 83.4 du RGPD, qui prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Dans les faits, la CNIL commence rarement par une amende. Le risque le plus immédiat pour une PME reste commercial : un appel d’offres perdu parce que la case DPO est vide.
Peut-on changer de DPO en cours de route ?: Oui. Il suffit de notifier la nouvelle désignation à la CNIL. Un cabinet sérieux vous restitue l’intégralité de votre documentation de conformité, dans un format exploitable, sans rétention.
Intervenez-vous en dehors de Bordeaux ?: Oui. Le cabinet est basé à Bordeaux, l’accompagnement se fait à distance partout en France, avec des déplacements sur site quand le sujet le justifie.

Un échange de trente minutes suffit pour savoir si vous êtes concerné par l’obligation de désignation et ce que représenterait l’accompagnement.

Prendre contact