Externaliser son DPO, c'est confier à un prestataire la fonction de délégué à la protection des données : tenir le registre, conseiller sur chaque nouveau traitement, répondre aux demandes des personnes, parler à la CNIL en votre nom. Autour de ce cœur gravitent l'audit RGPD, la rédaction des mentions et des contrats de sous-traitance, la mise en place d'un bandeau cookies conforme. Ce comparatif est neuf : 3 prestataires déclarent aujourd'hui la conformité RGPD sur leur fiche, et ce ne sont pas tous des spécialistes. Les résultats de Google, eux, sont tenus par des cabinets DPO et des avocats. Plutôt que de gonfler un classement encore court, cette page vous explique qui fait quoi dans ce métier, ce que prouvent réellement nos données, et comment choisir entre une agence, un cabinet de conseil et un avocat.
Êtes-vous vraiment tenu de nommer un DPO ?
La désignation d'un délégué n'est pas universelle. Le RGPD l'impose dans trois situations : vous êtes une autorité ou un organisme public ; votre activité de base consiste à suivre les personnes de manière régulière et systématique à grande échelle (programme de fidélité avec profilage, géolocalisation, publicité ciblée comme métier) ; ou vous traitez à grande échelle des données sensibles, de santé par exemple, ou des données d'infractions.
Hors de ces cas, le DPO reste facultatif, et beaucoup de PME se contentent d'un référent RGPD interne épaulé ponctuellement par un consultant. Attention toutefois : si vous désignez volontairement un DPO, toutes les règles de la fonction s'appliquent, indépendance comprise. Et l'absence de DPO ne dispense de rien d'autre : registre, information des personnes, sécurité et contrats restent dus.
Ce que coûte un DPO externalisé, et pourquoi nous ne donnons pas de fourchette
Nous ne publions pas ici de médiane de budget, parce qu'elle serait trompeuse. Les agences rattachées à cette expertise ont surtout chiffré des sites, des applications et de l'infogérance : une médiane calculée là-dessus mesurerait le prix d'une application mobile, pas celui d'un mandat de DPO. Aucune fiche ne renseigne non plus de budget minimum pour la conformité RGPD.
Ce qui fait réellement varier un devis de DPO externalisé tient en quelques paramètres, et un bon prestataire vous les demande avant de chiffrer :
- le nombre de traitements à documenter et leur sensibilité (paie et recrutement ne pèsent pas comme un dossier patient) ;
- le nombre d'entités couvertes, filiales ou établissements, et les sous-traitants à auditer ;
- l'état de départ : un registre existant à reprendre ou une page blanche ;
- le temps réservé chaque mois, exprimé en jours de mandat, et ce qui se passe au-delà ;
- les à-côtés facturés à part ou non : formation des équipes, analyses d'impact, gestion d'une violation de données, présence face à la CNIL.
Deux formats dominent. Le forfait annuel inclut un volume d'heures et un audit de départ, parfois facturé séparément la première année. Le mandat en jours, plus lisible, laisse moins de surprises quand l'activité grossit. Demandez dans les deux cas le taux appliqué aux dépassements.
Agence web, cabinet DPO ou avocat : trois métiers qui se ressemblent de loin
Les 3 fiches de cette page recouvrent des profils très différents, et c'est tout le sujet de votre choix.
Le cabinet de conseil spécialisé fait du DPO externalisé son métier principal. Parmi les fiches de cette page, DP&S Conseil est le seul à décrire explicitement un service de DPO externe, assurant un rôle de mandataire, à côté de la gouvernance et de la sécurité des données. Cyberstrat, fiche ouverte en 2026, se présente comme spécialiste de la conformité réglementaire au sens large : RGPD, mais aussi accessibilité, IA Act, NIS2, DORA et ISO 27001, avec de la gouvernance externalisée. C'est le bon interlocuteur quand vous cherchez une personne désignée, qui tient la conformité dans la durée.
L'agence web ou le studio traite la partie visible de la conformité : bandeau de consentement, formulaires, mentions légales, hébergement, suppression des traceurs inutiles. Sur cette page, c'est Digital Unicorn, studio de développement web, mobile et logiciel, qui se rapproche le plus de ce profil. Un principe vaut pour tout prestataire technique : celui qui construit un outil ne devrait pas en être aussi le contrôleur.
L'avocat en droit des données intervient quand l'enjeu devient juridique au sens strict : négocier un contrat avec un sous-traitant américain, répondre à un contrôle, contester une sanction, défendre l'entreprise après une fuite. En France, la consultation juridique rémunérée est en principe réservée aux avocats et à quelques professions encadrées ; un DPO non avocat organise la conformité, il ne vous représente pas. Plusieurs cabinets d'avocats proposent d'ailleurs eux-mêmes un DPO externalisé.
Restent deux profils voisins : l'infogérant, comme ACI Technology, qui sécurise le système d'information, et le prestataire de sécurité informatique. La sécurité des données est une obligation du RGPD, mais un pare-feu ne remplace pas un registre.
Deux réalisations seulement abordent le RGPD
Au relevé de septembre 2026, nous avons relu les 119 réalisations publiées par les agences de cette page. Elles viennent toutes de deux fiches : 108 pour Digital Unicorn, studio de développement web et mobile, et 11 pour ACI Technology, en infogérance. Les deux cabinets de conseil, DP&S Conseil et Cyberstrat, n'en ont encore publié aucune. Deux mentionnent le RGPD, la CNIL, un DPO, des cookies ou le consentement.
La première est un logiciel : Digital Unicorn a développé pour SMC Protect un outil web qui structure les démarches de conformité au RGPD des entreprises, un projet annoncé à 40 000 € sur six mois. C'est un travail de développement pour un éditeur du secteur, pas une mission de DPO. La seconde est un contrat de maintenance informatique pour des cabinets d'avocats parisiens, à 75 000 € sur douze mois, dont l'objectif affiché inclut la sécurité et la conformité avec le RGPD.
Aucune réalisation ne décrit donc un mandat de délégué, un audit de conformité ou la tenue d'un registre. Ce type de mission se documente mal en cas client, les clients n'aimant pas qu'on sache qu'ils ont été audités. Pour ce besoin, la preuve se demande en rendez-vous plutôt qu'elle ne se lit sur une fiche.
Reconnaître un vrai DPO derrière une ligne « RGPD » au catalogue
Une personne nommée. Le DPO désigné auprès de la CNIL est une personne physique ou un organisme, mais vous devez savoir qui traitera votre dossier, qui le remplace en son absence, et ce que devient votre documentation si le contrat s'arrête.
L'indépendance. Le délégué ne doit pas décider des finalités ni des moyens des traitements qu'il contrôle. Le prestataire qui héberge vos données, développe votre CRM ou gère votre parc informatique se retrouverait à auditer son propre travail. Séparer les deux rôles évite le conflit d'intérêts.
Une double compétence. Le RGPD est un texte juridique appliqué à des systèmes techniques. Un bon DPO lit un contrat de sous-traitance et comprend aussi où partent vos sauvegardes. Pour le versant technique poussé, un audit de cybersécurité reste un exercice à part.
Une méthode outillée. Registre, analyses d'impact, suivi des demandes d'accès et des violations : demandez à voir l'outil utilisé et si vous en gardez l'accès.
Une certification vérifiable, si elle est avancée. Il existe une certification des compétences du DPO, délivrée par des organismes agréés selon un référentiel de la CNIL. Elle n'est pas obligatoire, mais elle se vérifie.
Une assurance professionnelle couvrant le conseil en protection des données, que le prestataire accepte de vous montrer.
Les questions qui font parler un futur délégué
Quelques questions suffisent à distinguer un praticien d'un revendeur de modèles :
- Combien de mandats de DPO tenez-vous aujourd'hui, et combien de jours par mois réservez-vous à une structure comme la nôtre ?
- Sur votre dernier audit de départ, qu'avez-vous trouvé que le client ignorait ?
- Comment se passe la gestion d'une violation de données un vendredi soir : qui décide de notifier la CNIL, qui rédige ?
- Qui, chez vous, relit les contrats avec nos sous-traitants, et que faites-vous quand l'un d'eux refuse vos clauses ?
- Avez-vous déjà accompagné un client lors d'un contrôle de la CNIL ? Qu'est-ce qui a été demandé ?
- En fin de contrat, qu'emportons-nous : le registre complet, les analyses d'impact, l'historique des demandes ?
Un prestataire qui répond par le montant des amendes vous vend la peur ; celui qui interroge vos traitements vous vend un travail.
Composer sa short-list quand le classement est encore court
Avec un panel de cette taille, la short-list se construit en partie hors de cette page, et il vaut mieux l'assumer. Une méthode qui tient :
- Qualifiez votre besoin avec la section sur l'obligation plus haut : mandat de DPO, audit ponctuel, ou simple remise à niveau du site.
- Retenez un cabinet spécialisé pour le mandat, parmi ces fiches ou ailleurs, en vérifiant qu'il est bien désigné comme DPO chez d'autres clients de votre taille.
- Gardez l'agence web pour le chantier du site : bandeau de consentement, formulaires, traceurs. Elle exécutera les recommandations du DPO, elle ne les écrira pas.
- Identifiez un avocat de référence si vous transférez des données hors de l'Union, traitez des données de santé ou avez déjà reçu une plainte.
Ce que les avis vérifiés disent, et ce qu'ils taisent
Les 19 avis vérifiés affichés ici sont rattachés à deux fiches, ACI Technology et Digital Unicorn, et tous portent la note de cinq sur cinq. Ils décrivent les missions que ces clients leur ont confiées : l'infogérance et la maintenance informatique pour la première, des projets web et mobiles pour la seconde. Les deux cabinets de conseil de la page, DP&S Conseil et Cyberstrat, n'ont pas encore d'avis sur leur fiche.
Pour un mandat de DPO, l'avis le plus utile reste celui que vous recueillez vous-même : demandez à parler à un client dont le prestataire est le délégué désigné depuis au moins un an, et interrogez-le sur la disponibilité réelle et sur la façon dont les alertes ont été traitées.
Registre, AIPD, CMP : le lexique d'un devis de conformité
Pour lire un devis ligne par ligne, voici ce que recouvrent ses sigles.
- Registre des traitements : l'inventaire de ce que vous faites des données (qui, quoi, pourquoi, combien de temps, avec quels sous-traitants). C'est la pièce que la CNIL demande en premier.
- AIPD (analyse d'impact relative à la protection des données) : obligatoire pour les traitements à risque élevé, comme la surveillance d'employés ou le traitement massif de données de santé.
- Contrat de sous-traitance : les clauses qui encadrent ce que votre prestataire, votre hébergeur ou votre outil d'emailing fait de vos données.
- Droits des personnes : accès, rectification, effacement, opposition. Le DPO organise la réponse dans les délais.
- Violation de données : fuite, perte ou accès non autorisé, à documenter et, selon le risque, à notifier à la CNIL puis aux personnes.
- CMP (plateforme de gestion du consentement) : l'outil derrière le bandeau cookies. La CNIL attend que refuser soit aussi simple qu'accepter.
- Transferts hors UE : tout outil hébergé ou administré hors de l'Union.
Le brief qui fait gagner le premier rendez-vous
Un prestataire sérieux chiffre sur des faits. Préparez une page avec ces éléments, vous recevrez des devis comparables :
- votre activité, votre effectif et le nombre d'entités à couvrir ;
- la liste approximative de vos traitements : clients, prospects, salariés, candidats, et toute donnée sensible ;
- les outils principaux (CRM, paie, emailing, hébergement) et leur localisation si vous la connaissez ;
- ce qui existe déjà : registre, mentions, bandeau cookies, référent interne ;
- l'élément déclencheur : appel d'offres qui exige un DPO, demande d'un client, plainte, contrôle annoncé ;
- le format souhaité : mandat de DPO, audit ponctuel ou accompagnement du seul chantier du site.
.jpeg){kind=logo}
