DPO externalisé avec plusieurs clients : gérer le RGPD de tous sans se noyer

Pour qui

Pour qui est ce guide : DPO externalisés et consultants

La scène · lundi, 9 h 05

Quatorze clients, quatorze façons de s’organiser

Modèle gratuit: le Kit du DPO multi-clients transforme ce guide en tableur prêt à l’emploi.

Étape 1

Ce que la loi permet, et exige, d’un DPO avec plusieurs clients

Le RGPD le dit clairement : le DPO peut être un membre du personnel de l’organisme ou exercer ses missions « sur la base d’un contrat de service ». En France, la CNIL le confirme : le DPO peut être interne ou externe, personne physique ou personne morale, et mutualisé entre plusieurs organismes. Aucun diplôme n’est exigé. La CNIL a adopté un référentiel de certification des compétences du DPO, délivrée par des organismes agréés, mais cette certification est volontaire. Au Portugal, où travaille Inês, la loi 58/2019 ajoute que le DPO agit avec une autonomie technique, quelle que soit la relation juridique, et n’a pas besoin de certification professionnelle.

Art. 37, paragraphe 6, du RGPD ; CNIL, guide pratique des délégués à la protection des données ; loi 58/2019, art. 9

Être externe ne change pas les obligations de celui qui vous engage. Chaque client doit toujours :

• vous associer, d’une manière appropriée et en temps utile, à toutes les questions de protection des données ;
• vous fournir les ressources nécessaires, y compris l’accès aux données personnelles et aux opérations de traitement ;
• ne pas vous donner d’instructions sur l’exercice de vos missions, et vous permettre de faire rapport directement au niveau le plus élevé de la direction ;
• publier vos coordonnées et les communiquer à l’autorité de contrôle. En France, la désignation se fait en ligne auprès de la CNIL, avec son téléservice de désignation, et chaque organisme désigne de son côté. Au Portugal, elle se communique à la CNPD (l’autorité portugaise de protection des données), avec son propre formulaire.

Art. 37, paragraphe 7, et art. 38, paragraphes 1 à 3, du RGPD ; CNPD, Encarregado de proteção de dados (en portugais)

De votre côté, trois règles pèsent plus lourd quand les clients sont nombreux. Vous êtes soumis au secret professionnel, qui continue après la fin de votre mission. Vous pouvez exécuter d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts. Et vous devez tenir dûment compte du risque associé aux opérations de traitement, ce qui revient en pratique à donner la priorité à ce qui est le plus risqué, sans négliger le reste.

Art. 38, paragraphes 5 et 6, et art. 39, paragraphe 2, du RGPD

Le RGPD vous protège aussi : vous ne pouvez être relevé de vos fonctions ni pénalisé pour l’exercice de vos missions (art. 38, paragraphe 3). Et les personnes concernées peuvent vous contacter directement pour toute question sur le traitement de leurs données et l’exercice de leurs droits (art. 38, paragraphe 4). Cela compte pour le tri : ces messages arrivent souvent avec un délai qui court déjà. Au Portugal, la loi 58/2019 confie en plus au DPO les audits, la sensibilisation pour détecter les incidents et la relation avec les personnes concernées (art. 11).

Loi 58/2019, art. 11 (Diário da República, en portugais)

Si vous travaillez en équipe, les lignes directrices européennes sur les DPO admettent qu’un groupe de personnes exerce la fonction, mais recommandent une règle simple : une personne désignée comme contact principal et responsable de chaque client. Pour le client, ce ne devrait jamais être « l’équipe ».

Lignes directrices WP243 concernant les délégués à la protection des données, section 2.5 (reprises par le Comité européen de la protection des données, CEPD)

Étape 2

Ce qu’ont trouvé les autorités

En 2023, 25 autorités européennes, dont la CNIL, ont mené une action coordonnée sur la désignation et la position des DPO. Le rapport du CEPD, publié en janvier 2024, décrit le quotidien de ceux qui lisent ce guide.

Source : CEPD, rapport de l’action coordonnée de 2023 sur la désignation et la position des DPO (valeurs médianes entre autorités).

Deux conclusions touchent directement le DPO externalisé. Plusieurs autorités ont averti qu’un DPO qui travaille pour de nombreux clients risque de « trop se disperser ». Et le CEPD recommande qu’en engageant un DPO externe, l’organisme vérifie combien de clients il suit, pour s’assurer qu’il a assez de temps et de capacité. Il recommande aussi que les missions et les conditions figurent dans une lettre de mission.

CEPD, rapport de l’action coordonnée de 2023 sur la désignation et la position des DPO, sections 4.2 à 4.6 (en anglais)

Étape 3

Où s’arrête votre rôle

Plus un client vous fait confiance, plus il est tentant de décider à sa place. C’est là que l’indépendance se perd, presque toujours par bonne volonté.

Les lignes directrices européennes sont directes : c’est le responsable du traitement, et non le DPO, qui réalise l’analyse d’impact lorsqu’elle est nécessaire. Le DPO conseille sur l’opportunité de la faire, la méthode à suivre et la conformité des conclusions au RGPD.

Art. 35, paragraphe 2, et art. 39, paragraphe 1, point c, du RGPD ; WP243, section 4.2

Sur les conflits d’intérêts, la Cour de justice de l’Union européenne (CJUE) a jugé dans l’affaire X-FAB qu’il y a conflit lorsque le DPO exerce d’autres missions qui le conduisent à déterminer les finalités et les moyens du traitement, et que cela s’apprécie au cas par cas. Les lignes directrices européennes donnent un exemple qui intéresse les consultants : il y a conflit si l’on demande au DPO externe de représenter le client en justice dans une affaire de protection des données.

CJUE, C-453/21, X-FAB Dresden ; WP243, section 3.5

En pratique, trois habitudes vous protègent :

• Rendez vos avis par écrit, même brefs.
• Quand le client ne suit pas votre avis, demandez-lui de consigner pourquoi. Les lignes directrices européennes en font une bonne pratique, et l’analyse d’impact doit justifier pourquoi l’avis n’a pas été suivi.
• Refusez les tâches qui vous placent du côté de celui qui décide, comme valider des campagnes, choisir des prestataires ou signer au nom du client.

WP243, sections 3.1 et 4.2 ; art. 38, paragraphe 6, du RGPD

Étape 4

Classez les clients par risque, pas par honoraires

Le client qui paie le plus n’est pas forcément celui qui a le plus besoin d’attention. Le RGPD demande au DPO de tenir compte du risque associé aux opérations de traitement, et c’est ce qui fixe la fréquence de suivi de chacun. Un modèle simple, avec six critères notés de 0 à 2 :

Modèle de travail proposé par Pulsaiq, fondé sur l’art. 39, paragraphe 2, du RGPD. Ce n’est pas un critère légal : adaptez-le à votre portefeuille de clients.

Heures par mois comme point de départ.

Revoyez le classement une fois par an et chaque fois que survient un événement du dernier critère.

Étape 5

Le même kit d’accueil pour tous les clients

Le temps se perd surtout en changeant de contexte : chaque client s’organise à sa façon. Réglez cela dès le premier jour, avec quatre pièces.

Étape 6

Le calendrier annuel

Avec le même calendrier pour tous, le travail récurrent cesse de dépendre de la mémoire. Chaque client a ces tâches les mêmes mois ; le niveau de risque ne fixe que la fréquence des revues et des réunions.

1. JanvierRapport annuel à la direction
2. Février—
3. MarsRevue du registre des activités
4. AvrilFormation et sensibilisation
5. MaiRevue des sous-traitants (art. 28)
6. JuinRevue du registre · A seulement
7. JuilletAudit interne
8. AoûtVide exprès
9. SeptembreRevue du registre · A et BRevue du classement par risque
10. OctobreFormation et sensibilisation
11. NovembreExercice de violation de données
12. DécembreRevue du registre · A seulement

Proposition de Pulsaiq ; la loi ne fixe pas ces dates.

Août reste vide exprès. Les incidents ne partent pas en vacances, mais vos clients si, et les réunions de ce mois-là ont rarement lieu.

Étape 7

Le tri : quand tout arrive en même temps

Revenons au lundi d’Inês. L’ordre ne dépend pas de qui crie le plus fort, mais de l’horloge qui tourne.

1. 1

   Violations de données possibles

   72 heures

   Le responsable a 72 heures, à partir du moment où il en a pris connaissance, pour notifier l’autorité de contrôle (la CNIL en France, la CNPD au Portugal), sauf si la violation n’est pas susceptible d’engendrer un risque. L’horloge est celle du client et elle tourne déjà. Si le client est sous-traitant, il doit prévenir le responsable dans les meilleurs délais. Et toute violation est documentée, y compris celles qui ne sont pas notifiées.

   Art. 33, paragraphes 1, 2 et 5, du RGPD · voir le guide Violation de données personnelles : que faire dans les 72 premières heures
2. 2

   Demandes des personnes concernées

   1 mois

   Un mois à compter de la réception, prolongeable de deux mois si la demande est complexe ou si elles sont nombreuses, à condition d’en informer la personne dans le premier mois. La demande vieille de neuf jours qu’a reçue Inês a déjà consommé près d’un tiers du délai.

   Art. 12, paragraphe 3, du RGPD · voir le guide Droit d’accès et droit à l’effacement
3. 3

   Délais fixés par le client ou l’autorité

   Date fixe

   Demandes d’information de l’autorité de contrôle, suites d’un contrôle de la CNIL, réclamations transmises par l’autorité, réunions de direction, lancements de produits.

4. 4

   Tout le reste

   Au calendrier

   Va au calendrier, avec une date, au lieu de rester dans la boîte de réception.

Étape 8

Un registre des preuves qui démontre le travail

Le principe de responsabilité oblige le client à respecter le RGPD et à pouvoir le démontrer. Une grande partie de cette démonstration repose sur votre travail : les avis, la formation, les revues. Si ce n’est pas écrit, en cas de contrôle, c’est comme si cela n’avait jamais eu lieu.

Art. 5, paragraphe 2, et art. 24 du RGPD

Une ligne par intervention suffit, dans un registre unique pour tous les clients :

Exemples fictifs. En pratique, ajoutez une colonne avec le lien vers le document dans le dossier 09 du client.

Étape 9

Tableurs ou logiciel ?

Tout ce que décrit ce guide fonctionne avec des tableurs et une bonne arborescence de dossiers. Pour beaucoup de DPO avec peu de clients, c’est suffisant. Les problèmes apparaissent avec l’échelle, et presque toujours aux mêmes endroits :

Quel que soit votre choix, la méthode passe d’abord. Un outil ne corrige pas un portefeuille sans classement par risque ni un client qui ne signale pas ses incidents.

Mis à jour le 21 octobre 2026

Ce qui pourrait changer

Deux propositions de l’UE en cours modifient le RGPD. Aucune ne touche au cœur de ce guide : les missions et la position du DPO. Mais elles changent le travail que vous faites pour vos clients.

• Registre des activités de traitement (Omnibus IV). La Commission a proposé d’étendre l’exemption du registre aux organismes de moins de 750 salariés. Dans l’accord provisoire du 26 juin 2026, le Conseil et le Parlement ont relevé le seuil à moins de 1 000 personnes, en maintenant le registre obligatoire pour les activités à risque élevé, pour celles qui exigent un DPO et pour les organismes publics. Le vote en plénière est prévu le 23 novembre 2026. Certains clients de niveau C pourraient ne plus être tenus au registre, mais ils devront toujours connaître leurs données pour répondre aux demandes et démontrer leur conformité.
• Violations et demandes (Digital Omnibus). La proposition de novembre 2025 ne ferait notifier à l’autorité que les violations à risque élevé, porterait le délai à 96 heures, créerait un point d’entrée unique de l’UE pour les notifications et préciserait quand une demande d’accès est abusive. Elle prévoit aussi des listes communes à l’UE des traitements qui exigent, ou non, une analyse d’impact. Le CEPD et le Contrôleur européen de la protection des données soutiennent plusieurs de ces mesures, avec des réserves. Les ambassadeurs des États membres discutaient du mandat de négociation du Conseil le 21 octobre 2026.

Tant que les nouvelles règles ne sont pas publiées au Journal officiel et applicables, ce sont les règles actuelles qui s’appliquent : 72 heures, notification dès qu’il y a un risque, et le registre avec l’exemption actuelle de l’art. 30, paragraphe 5.

Nous expliquons ce que le Digital Omnibus change pour les violations de données et les demandes d’accès dans notre article sur le Digital Omnibus.

Procédure 2025/0130(COD) ; COM(2025) 837 ; CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026 ; ordre du jour du Coreper, 21 oct. 2026

À imprimer

Checklist du DPO externalisé avec plusieurs clients

Questions courantes

Questions fréquentes

Combien de clients un DPO externalisé peut-il avoir ?

La loi ne fixe pas de maximum, et le rapport du CEPD non plus. On attend de vous que vous puissiez démontrer que vous avez le temps et les moyens pour chaque client, et le CEPD recommande aux organismes de le vérifier avant de vous engager. La feuille Capacité du kit du DPO multi-clients fait ce calcul pour vous.

Un DPO externalisé peut-il réaliser l’analyse d’impact du client ?

Il ne devrait pas. L’analyse d’impact incombe au responsable du traitement (art. 35, paragraphe 2). Le DPO conseille sur sa nécessité, la méthode à suivre et la conformité des conclusions au RGPD (art. 39, paragraphe 1, point c). Il peut fournir le modèle, mais la décision est consignée comme celle du client.

Un DPO doit-il être certifié en France ?

Non, ce n’est pas obligatoire. La CNIL a adopté un référentiel de certification des compétences du DPO, délivrée par des organismes agréés, mais elle est volontaire. Ce qu’exige le RGPD, c’est que le DPO soit désigné sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données (art. 37, paragraphe 5).

Qui communique à la CNIL les coordonnées du DPO ?

Chaque client, de son côté. L’organisme qui désigne le DPO publie ses coordonnées et les communique à l’autorité de contrôle (art. 37, paragraphe 7). En France, cela se fait en ligne sur le site de la CNIL, avec le téléservice de désignation. La lettre de mission doit dire qui s’en charge et quand.

Et si le client ne suit pas l’avis du DPO ?

Demandez que le motif soit consigné. L’avis écrit et la décision du client vont dans le registre des preuves, et une analyse d’impact doit justifier pourquoi l’avis n’a pas été suivi. Ainsi, la décision reste entre les mains de celui qui l’a prise, et votre travail est documenté.

Sources officielles uniquement

Sources

Législation et jurisprudence

• Règlement (UE) 2016/679 (RGPD), art. 5, 12, 24, 33, 35 et 37 à 39 (EUR-Lex)
• Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (Légifrance)
• Loi portugaise n° 58/2019 du 8 août 2019, art. 9 à 11 (Diário da República, en portugais)
• CJUE, arrêt du 9 février 2023, C-453/21, X-FAB Dresden

CEPD et autorités nationales

• CNIL, guide pratique RGPD : délégués à la protection des données, qui reprend les lignes directrices WP243
• CNIL, désigner un délégué à la protection des données
• CEPD, action coordonnée de 2023 : désignation et position des DPO (janvier 2024, en anglais)
• CNPD, Encarregado de proteção de dados (en portugais)

Changements en cours

• Parlement européen, procédure 2025/0130(COD) (Omnibus IV)
• COM(2025) 837, proposition Digital Omnibus
• CEPD et Contrôleur européen de la protection des données, avis conjoint 2/2026 (en anglais)
• Conseil de l’UE, ordre du jour du Coreper du 21 octobre 2026 (en anglais)

Dernière révision : 21 octobre 2026. Nous révisons ce guide chaque fois que la loi ou les orientations des autorités changent.

Ce guide est une information générale et ne remplace pas un conseil juridique sur un cas particulier. Les personnes, les entreprises et les situations des scènes sont fictives.