Combien coûte un accompagnement RGPD
Il n’existe pas de tarif unique pour un DPO externalisé, et méfiez-vous de ceux qui en affichent un sans rien savoir de votre activité. Le prix dépend de quatre choses : le nombre de traitements, le niveau de sensibilité des données, l’état de votre documentation au départ, et le volume de sollicitations une fois l’accompagnement en place. Cette page explique comment ces facteurs jouent, pour que vous puissiez lire un devis, le nôtre ou celui d’un confrère.
Les quatre facteurs qui font le prix
Le nombre et la complexité de vos traitements. Une société de service de vingt personnes avec un CRM, une paie et un site vitrine n’a rien à voir avec une plateforme qui traite des données de santé ou fait du profilage. Le travail se mesure au nombre de traitements à documenter, pas au chiffre d’affaires.
La sensibilité des données. Données de santé, données de mineurs, données biométriques, condamnations pénales : ces traitements déclenchent des obligations supplémentaires, dont l’analyse d’impact. Le temps d’analyse augmente d’autant.
Votre point de départ. Une organisation qui arrive avec un registre à jour et des contrats de sous-traitance corrects demande beaucoup moins de travail initial qu’une organisation qui part de zéro. C’est le facteur le plus sous-estimé, et celui qui écarte le plus deux devis entre eux.
Le rythme de sollicitation. Une entreprise qui lance un nouveau produit tous les trimestres, qui recrute, qui change d’outils, génère un flux de questions continu. Une structure stable en génère peu. C’est ce qui différencie un forfait de suivi léger d’un accompagnement soutenu.
À ces quatre facteurs s’ajoute parfois la structure de l’organisation : plusieurs entités juridiques, plusieurs sites, plusieurs pays, et le périmètre change de nature.
Les trois modèles de facturation du marché
Le forfait de mission. Un montant global pour un livrable défini : un audit, une mise en conformité, une AIPD. Vous savez ce que vous payez, le prestataire assume le dépassement. C’est le modèle adapté à un chantier qui a un début et une fin.
L’abonnement mensuel ou annuel. Le modèle du DPO externalisé. Il couvre la désignation, le suivi de la documentation, un volume de sollicitations et un nombre de points périodiques. Vérifiez toujours ce que « volume de sollicitations » recouvre exactement, c’est là que les offres se distinguent.
La régie, facturée au temps passé. Utile pour un besoin ponctuel ou imprévisible, inconfortable pour un budget annuel.
Le DPO mutualisé, souvent présenté comme un quatrième modèle, est en réalité un abonnement dont le prix est bas parce que le temps est partagé entre de nombreux clients. Ce n’est pas un mauvais choix en soi. C’en est un si vous avez besoin de quelqu’un qui connaisse votre activité. Notre comparaison des solutions de DPO détaille les différences.
Ce qu’un devis devrait toujours préciser
Quatre points à vérifier, quel que soit le prestataire consulté.
- Qui est désigné auprès de la CNIL. Une personne nommée, ou un pool anonyme dans lequel vous tomberez sur un interlocuteur différent à chaque appel.
- Ce qui est inclus et ce qui est facturé en plus. Les AIPD, la gestion d’une violation de données, l’accompagnement pendant un contrôle CNIL et les déplacements sur site sont les quatre postes les plus souvent exclus des forfaits d’entrée de gamme.
- Le temps réellement alloué. Un abonnement bon marché qui correspond à deux heures par mois ne permet pas de tenir un registre à jour dans une structure active.
- Ce que vous récupérez si vous partez. Votre documentation doit vous être restituée dans un format exploitable. Un prestataire qui la garde dans son outil vous rend captif.
Les signaux qui doivent alerter
- Un tarif annoncé avant tout échange sur votre activité
- Une garantie de conformité totale, qui n’existe pas juridiquement
- Un « label » ou une « certification RGPD » de l’entreprise cliente, qui n’existe pas non plus
- Un forfait dont le prix mensuel est inférieur au coût d’une heure de conseil juridique
- Aucune mention du nom de la personne désignée
Notre approche
Nous ne publions pas de grille tarifaire, pour une raison simple : nous ne savons pas ce que coûte votre accompagnement avant d’avoir compris ce que vous faites. Un premier échange suffit à le déterminer.
Ce que nous nous engageons à faire :
- vous donner une fourchette dès le premier entretien, sans attendre un audit préalable payant ;
- distinguer clairement dans le devis ce qui relève du chantier initial et ce qui relève du suivi ;
- désigner nommément votre interlocuteur ;
- vous restituer l’intégralité de votre dossier de conformité si vous décidez d’arrêter.
Pour vous situer : un audit représente un budget de l’ordre de quelques jours de conseil. Un abonnement de DPO externalisé pour une PME se compare au coût mensuel d’un outil métier, pas à celui d’un salarié.
Questions fréquentes
- Le tarif d’un DPO externalisé est-il plus élevé que le salaire d’un DPO interne ?
- Presque jamais, sauf pour les organisations dont le volume justifie un poste à temps plein. En dessous de ce seuil, l’externalisation revient à payer le temps réellement nécessaire au lieu d’un salaire complet, charges comprises, plus la formation continue et le risque de vacance du poste.
- Facturez-vous l’audit si nous poursuivons avec un accompagnement ?
- En général l’accompagnement en suivant inclut le fait qu’un audit a été réalisé, c’est du temps gagné pour la suite.
- Y a-t-il un engagement de durée ?
- À voir ensemble en fonction du projet.
- Que se passe-t-il en cas de contrôle CNIL ou de violation de données ?
- Ce sont deux situations qui mobilisent du temps de façon imprévisible. Nous précisons dans le devis si elles sont incluses dans le forfait ou traitées à part. C’est un point à vérifier chez tous les prestataires, il est fréquemment passé sous silence.
- Existe-t-il des aides pour financer une mise en conformité ?
- Selon votre région, votre secteur et votre taille, des dispositifs d’accompagnement à la transformation numérique peuvent couvrir une partie du coût.
- Une association ou une collectivité paie-t-elle le même prix qu’une entreprise ?
- Le travail se mesure au nombre et à la nature des traitements, pas au statut juridique. Une commune de taille moyenne représente souvent un périmètre plus large qu’une PME, parce qu’elle cumule état civil, scolaire, social, vidéoprotection et ressources humaines.
Prendre contact
Décrivez-nous votre activité en quelques lignes. Nous vous donnons une fourchette lors du premier échange, sans engagement.