Une fois l'obligation établie, une autre question arrive vite : qui ? Un salarié en interne, un prestataire externe, un DPO partagé entre plusieurs entités ? Il n'y a pas de bon choix dans l'absolu : il y a un choix adapté à votre charge réelle et à un piège qu'on oublie presque toujours.

Le piège d'abord : le conflit d'intérêts

Le DPO contrôle la conformité des traitements. Il ne peut donc pas être la personne qui décide de ces traitements. Un dirigeant, un directeur des systèmes d'information, un directeur marketing ou un RSSI doté d'un pouvoir de décision se contrôlerait lui-même, ce que la justice européenne a explicitement écarté.

Le cumul de fonctions n'est pas interdit en soi. Il le devient dès que l'autre casquette permet de fixer les finalités ou les moyens d'un traitement. C'est la raison la plus fréquente pour laquelle « on va confier ça à notre responsable informatique » est une mauvaise idée.

On ne peut pas être à la fois celui qui décide du traitement et celui qui vérifie qu'il est légal.

Interne : la proximité, si la charge le justifie

Un DPO interne connaît finement l'organisation et reste disponible au quotidien. C'est pertinent pour une ETI, une grande entreprise ou un secteur sensible, avec des traitements continus. Le risque : l'isolement, un rattachement hiérarchique inadéquat, et un temps réellement insuffisant quand le poste est à temps partiel.

Externe : l'expertise et l'indépendance

Un DPO externe apporte une expertise spécialisée et une indépendance organisationnelle naturelle. Pour une PME dont la charge est régulière mais limitée, c'est souvent le meilleur rapport sécurité/coût, à condition que le contrat garantisse la disponibilité, une suppléance et une vraie connaissance de vos process. Une prestation de quelques heures par an ne convient pas à une plateforme numérique ou à une entreprise qui manipule des données sensibles.

Mutualisé et hybride : pour les structures à plusieurs entités

Un groupe peut désigner un DPO unique, à condition qu'il soit facilement joignable depuis chaque établissement. Le modèle hybride, un DPO central, un réseau de référents internes, des experts externes, convient bien aux ETI et aux groupes : le DPO garde l'indépendance du contrôle, les référents collectent l'information et déploient les actions.

Le critère qui tranche : la charge réelle

Avant de comparer des devis, estimez la charge : nombre d'entités, de salariés et de clients, volume de projets, demandes de droits, incidents, analyses d'impact, sous-traitants, pays concernés. C'est ce chiffre, pas le prix affiché, qui dit si un forfait tient la route.

  • Peu de traitements, pas de données sensibles → externe mutualisé, forfait avec un minimum garanti.
  • Activité numérique, RH, santé ou publicité → externe spécialisé ou interne à temps significatif, suppléance obligatoire.
  • Plusieurs entités, gouvernance commune → DPO central + référents, lignes d'escalade formalisées.

Concrètement

Listez les fonctions de la personne pressentie et demandez-vous si l'une d'elles lui permet de décider d'un traitement. Si oui, cherchez ailleurs. Puis chiffrez votre charge annuelle avant de regarder le moindre tarif : c'est la seule base honnête pour choisir un modèle qui tiendra dans la durée.

Un DPO mal choisi coûte moins cher qu'un bon, jusqu'au jour du contrôle.