Combien coûte réellement un DPO externalisé ? La question revient systématiquement chez les dirigeants de PME, responsables d’associations ou élus de collectivités qui souhaitent se mettre en conformité avec le RGPD. Et pour cause : les tarifs affichés sur le marché vont du simple au décuple, de 59 € par mois pour les offres les plus légères à plus de 4 000 € mensuels pour les accompagnements premium.

Ce comparatif a pour objectif de décrypter les offres du marché de manière factuelle et impartiale : combien payent réellement les organisations, qu’obtiennent-elles en contrepartie, et quels sont les pièges à éviter avant de signer un contrat.

Le marché du DPO externalisé : état des lieux

Le marché français du DPO externe s’est considérablement structuré depuis l’entrée en vigueur du RGPD en 2018. Il réunit aujourd’hui plusieurs catégories d’acteurs aux approches et aux tarifs très différents.

Les différents types de prestataires

Les cabinets d’avocats spécialisés interviennent traditionnellement sur les missions RGPD les plus complexes. Leur expertise juridique est inégalée, mais leurs honoraires reflètent le coût de structure d’un cabinet. Comptez généralement entre 10 000 et 50 000 € HT par an pour un accompagnement DPO complet.

Les cabinets de conseil RGPD sont apparus massivement depuis 2018. Ils proposent des forfaits mensuels combinant expertise humaine et outils logiciels. C’est la catégorie la plus dynamique du marché, avec des acteurs comme Dipeeo, FCN Data (ex-Blockproof), Mon Expert RGPD ou encore CODPO.

Les consultants indépendants (freelances) offrent souvent un excellent rapport qualité-prix et une relation personnalisée. Leur tarif journalier oscille entre 800 et 1 200 € HT, mais leur capacité de remplacement en cas d’absence peut poser question.

Les éditeurs de logiciels RGPD (Leto, Witik, Dastra…) proposent des plateformes de pilotage de la conformité. Ils ne sont pas DPO au sens strict, mais certains adossent à leur outil un accompagnement humain. Attention à bien distinguer l’outil (qui ne fait pas le travail à votre place) du service d’accompagnement.

Les réseaux de DPO mutualisent un pool d’experts au service de plusieurs clients, ce qui permet de proposer des tarifs compétitifs tout en garantissant la continuité de service.

Grille tarifaire : ce que disent les prix du marché

Voici une synthèse des fourchettes de prix constatées en 2025, tous types de prestataires confondus.

Tarifs mensuels moyens selon la taille de la structure

NB : Tous les prix sont indiqués hors taxes. La première année (mise en conformité initiale) est souvent facturée plus cher que les années suivantes (maintien de la conformité).

Tarifs par type de prestataire

Comparatif de quelques acteurs identifiés du marché

Le tableau ci-dessous présente des exemples d’acteurs dont les tarifs ou le positionnement sont publiquement accessibles. Il ne s’agit pas d’un classement, mais d’une photographie factuelle du marché.

Important : Les tarifs d’entrée affichés ne reflètent pas toujours le coût réel de la prestation. Certains acteurs affichent des prix d’appel très bas qui correspondent à un périmètre très réduit, l’essentiel du travail restant à la charge du client.

DPO externe vs DPO interne : le comparatif économique

Le choix entre un DPO interne et un DPO externe est d’abord une question de budget. Voici les données clés pour trancher.

Coût d’un DPO interne

Le salaire médian d’un DPO en France se situe aux alentours de 50 000 à 70 000 € brut annuel selon les sources (Glassdoor, Journal du Net, Hellowork). Un profil senior peut dépasser 85 000 € brut. En ajoutant les charges patronales (environ 45 %), les frais de formation continue et l’accès à un logiciel RGPD, le coût annuel chargé complet d’un DPO interne se situe généralement entre 70 000 et 120 000 € par an.

Encore faut-il que la charge de travail justifie un temps plein. Pour une PME de 50 à 200 salariés, le volume de travail RGPD récurrent (hors mise en conformité initiale) représente rarement plus de 2 à 5 jours par mois.

Coût d’un DPO externe

Pour une PME de taille comparable, un DPO externalisé coûte en moyenne entre 500 et 1 500 € HT par mois, soit 6 000 à 18 000 € par an. L’économie est significative : de 50 000 à 100 000 € par an en moins par rapport à une embauche.

Les facteurs qui font varier le prix

Un devis de DPO externe n’est jamais « standard ». Plusieurs paramètres déterminent le tarif final.

• Le secteur d’activité : la santé (données sensibles), la finance ou le médico-social exigent une expertise pointue qui justifie un tarif supérieur.
• Le volume de données traitées : plus les traitements sont nombreux et sensibles, plus le travail de cartographie et de suivi est conséquent.
• Le niveau de maturité RGPD : une organisation partant de zéro nécessite un investissement initial important (audit, registre, documentation complète).
• Le nombre de sites / filiales : une organisation multi-sites multiplie les points de contrôle et les interlocuteurs.
• Le périmètre de la mission : simple conseil ou prise en charge complète (registre, documentation, formation, gestion des violations, interface CNIL) ?
• La désignation CNIL : un DPO formellement désigné auprès de la CNIL engage sa responsabilité et implique un niveau de service supérieur.

Les pièges à éviter

Le marché du DPO externalisé présente des disparités de qualité importantes. Voici les principaux écueils identifiés.

Le DPO « de façade »

Certains prestataires à bas coût se contentent d’occuper le rôle de DPO sans réellement avancer sur la conformité. L’exemple le plus documenté reste celui des Centres de Gestion ayant proposé des DPO externes à faible coût à des communes : plus de 200 collectivités ont été rattrapées par la CNIL, le DPO désigné n’ayant produit aucun livrable concret.

Le transfert de charge déguisé

Attention aux offres qui mentionnent la « tenue du registre des activités » sans préciser qui effectue concrètement le travail de saisie. Si c’est au client de lister toutes les données traitées dans l’organisation, le gain de temps est quasi nul. La question clé à poser : « qui fait le travail de saisie et de rédaction ? »

Les coûts cachés

Certains devis initiaux n’incluent pas la formation des équipes, la gestion des violations de données, les analyses d’impact (AIPD) ou la réponse aux demandes d’exercice des droits. Vérifiez systématiquement ce qui est inclus dans le forfait et ce qui sera facturé en sus.

L’absence de compétence juridique

Le travail de mise en conformité RGPD est estimé à environ 95 % de travaux juridiques et 5 % d’informatique. Un prestataire exclusivement IT sans formation juridique solide risque de produire une conformité de surface, insuffisante pour résister à un contrôle de la CNIL.

Checklist : les questions à poser avant de signer

Avant de vous engager avec un prestataire DPO externe, voici les questions essentielles à lui adresser.

1. Qui sera physiquement désigné DPO auprès de la CNIL, et quel est son parcours (formation juridique, certifications) ?
2. Quelle est la liste exhaustive des livrables inclus dans le forfait (registre, mentions légales, politique de confidentialité, AIPD, procédures, formations…) ?
3. Qui fait concrètement le travail de saisie du registre des traitements ? Le prestataire ou le client ?
4. Quel est le délai de réponse garanti contractuellement (SLA) ?
5. Le tarif est-il dégressif après la première année de mise en conformité ?
6. Le prestataire a-t-il de l’expérience dans votre secteur d’activité spécifique ?
7. Que se passe-t-il en cas de contrôle CNIL ou de violation de données ? L’accompagnement est-il inclus ?
8. Un logiciel RGPD est-il inclus ? Si oui, les données sont-elles récupérables en cas de changement de prestataire ?
9. Quelle est la durée d’engagement ? Existe-t-il une clause de sortie ?
10. Le prestataire peut-il fournir des références clients vérifiables dans un secteur similaire au vôtre ?

DPO mutalisé : une option à considérer

La mutualisation consiste à confier un seul DPO externe à un groupement d’organisations (par exemple plusieurs communes d’un même territoire, ou plusieurs établissements d’un même réseau). Cette approche permet de diviser significativement le coût par structure tout en bénéficiant d’un accompagnement expert.

La mutualisation est particulièrement pertinente pour les collectivités territoriales, les réseaux associatifs, les groupements d’établissements de santé ou les structures multi-sites partageant des traitements et outils communs. Elle suppose néanmoins une organisation cohérente et un prestataire capable de gérer cette complexité.

Synthèse : quel budget prévoir selon votre profil ?

Conclusion

Le prix d’un DPO externalisé ne doit pas être le seul critère de choix. Un tarif trop bas peut signifier un périmètre incomplet, un transfert de charge vers le client ou une absence de véritable expertise juridique. À l’inverse, un tarif élevé ne garantit pas automatiquement un service de qualité.

L’essentiel est de comparer les offres sur un périmètre identique : qui fait le travail, quels livrables sont produits, quel est le niveau d’expertise du DPO désigné, et quelle est la réactivité en cas d’urgence. Demandez systématiquement au moins deux à trois devis, et n’hésitez pas à interroger les références clients.

Le RGPD n’est pas un projet ponctuel mais une démarche continue. Le bon DPO externe est celui qui saura vous accompagner dans la durée, anticiper les évolutions réglementaires (NIS2, AI Act, ePrivacy…) et protéger concrètement votre organisation face aux risques juridiques et réputationnels liés aux données personnelles.