DPO externalisé pour les PME : un délégué à la protection des données qualifié, sans embauche à temps plein.
Besoin d’un délégué à la protection des données, ou pas sûr ? Nous vous le disons, et pouvons assurer le rôle.
Êtes-vous concerné ?
Devez-vous désigner un DPO ?
Oui à l’une des trois premières : le RGPD l’impose. Les critères exacts figurent plus bas. Le service s’adresse aux organismes établis en France, métropole et DROM.
- Êtes-vous une autorité ou un organisme public ?Un délégué à la protection des données (DPO) est alors obligatoire.
- Le suivi de personnes à grande échelle est-il au cœur de votre activité ?Publicité ciblée, géolocalisation, surveillance des salariés à grande échelle. Il est alors obligatoire aussi.
- Le traitement de données sensibles à grande échelle est-il au cœur de votre activité ?Données de santé, génétiques, biométriques ou pénales. Obligatoire également.
- Vos clients vous demandent-ils d’en avoir un ?Désigner un DPO volontairement est souvent la réponse la plus simple, et la CNIL l’encourage.
Pas concerné ?
Pas de DPO obligatoire ? Le RGPD s’applique quand même.
Sans DPO, quelqu’un dans votre entreprise tient le registre des traitements, répond aux demandes des personnes et gère les violations de données. Notre accompagnement RGPD met cela en place.
Découvrir la conformité RGPDCe qui change pour vous
Un rôle continu et protégé par la loi, pas un projet ponctuel.
Le délégué à la protection des données conseille votre entreprise sur le RGPD et vérifie son application. Il sert de contact à la CNIL et aux personnes concernées. Il rend compte à votre direction et ne reçoit aucune instruction sur l’exercice de ses missions.
Nous assurons ce rôle en tant que service, pour les organismes établis en France, métropole et DROM. Votre consultant est certifié Data Protection Officer RGPD. Pour rester indépendant, le DPO ne décide jamais pourquoi ni comment vos données sont traitées. Nous vérifions l’absence de conflit d’intérêts au départ, puis chaque année.
Ne pas désigner de DPO quand c’est obligatoire est en soi un manquement au RGPD. La réponse : savoir vite si vous en avez besoin, puis avoir un DPO en place en trois semaines environ.
Par où commencer
Vérifier si vous en avez besoin, puis désigner et déclarer.
Ce que nous livrons
- Une réponse claire : obligatoire, recommandé ou inutile
- Un DPO désigné, déclaré à la CNIL, avec des coordonnées publiées
- Des comptes rendus réguliers à votre direction, au moins chaque trimestre
- Des conseils sur les analyses d’impact, les violations et les demandes des personnes
- Des garanties d’indépendance inscrites au contrat
Qui fait quoi
Le DPO conseille et contrôle. Votre entreprise garde les décisions.
Ce que fait votre DPO
- Conseiller sur le RGPD et les analyses d’impact
- Contrôler la conformité et rendre compte à la direction
- Servir de contact à la CNIL et aux personnes concernées
- Former vos équipes, ou superviser leur formation
Ce qui reste chez vous
- Décider pourquoi et comment les données sont traitées
- Appliquer les mesures et répondre aux demandes dans les délais
- Notifier les violations à la CNIL, sur les conseils du DPO
Votre entreprise reste responsable de la conformité ; le DPO conseille et contrôle.
Pour commencer
Première étape : un appel gratuit pour savoir si vous en avez besoin.
Si c’est le cas, le service est un forfait mensuel fixe, sans frais de mise en place. Il dépend de votre taille et des données que vous traitez.
- Prix
- Forfait fixe
- Votre temps
- Un court appel
Devis ferme après l'appel gratuit.
Réserver une consultation gratuite de 25 minutesPour votre DSI, DPO ou DAF
Les missions du DPO au titre du RGPD — et ce que notre service y ajoute.
- 01
Conseiller le responsable, le sous-traitant et les employés
Sur les obligations sous le RGPD et les autres lois de protection des données.
- 02
Surveiller la conformité au RGPD
Y compris les responsabilités, la sensibilisation et la formation du personnel impliqué dans les opérations de traitement.
- 03
Conseil et supervision des AIPD
Fournir des conseils sur les Analyses d'Impact sur la Protection des Données et surveiller leur réalisation.
- 04
Être le contact de l'autorité de contrôle
Point de contact principal de l'autorité de contrôle — la CNIL, pour les organismes établis en France, DROM compris.
- 05
Être le contact des personnes concernées
Contact désigné pour les personnes exerçant leurs droits.
- 06
Soutenir le registre des traitements
Élaborer et tenir à jour le registre des activités de traitement (article 30).
- 07
Supervision des transferts internationaux
Guider l'organisation sur les mécanismes licites de transfert de données personnelles hors UE/EEE.
- 08
Conseiller sur la réponse aux violations
Conseil sur l'évaluation des violations et sur la notification, par le responsable du traitement, à l'autorité dans les 72 heures et aux personnes concernées ; suivi du registre des violations.
- 09
Délivrer la formation vie privée
Ou commander et superviser la formation de tout le personnel manipulant des données personnelles.
- 10
Réviser la documentation vie privée
Mentions d'information, contrats de sous-traitance, mécanismes de consentement.
- 11
Rendre compte à la plus haute direction
Ligne de reporting directe. Ne peut recevoir d'instructions sur l'exercice des missions DPO (article 38).
L'absence de désignation est en elle-même une violation.
Le défaut de désignation d'un DPO lorsqu'il est requis sous l'article 37 est une violation RGPD à part entière — indépendante de toute violation de données ou incident vie privée. L'article 83(4) fixe le maximum à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, selon le plus élevé.
Au-delà des sanctions, l'absence de fonction DPO accumule les risques : les demandes des personnes ne sont pas gérées (autres violations), les violations sont notifiées tardivement ou pas du tout (sanctions de niveau supérieur), les AIPD pour les traitements à haut risque ne sont pas conduites.
Amende non-désignation
10 M€ / 2 %
selon le plus élevé, du chiffre d'affaires annuel mondial total (article 83(4)).
Délai de désignation (nous)
Environ 3 semaines
de la mission à la déclaration auprès de la CNIL.
Alternative à temps plein
Un recrutement senior
salaire, charges et recrutement — pour un rôle souvent nécessaire à temps partiel.
Démarrage
Conçu pour démarrer vite. La plupart des missions sont pleinement actives en trois semaines environ.
Semaines 1–2
Cadrage et contrat
Confirmation du déclencheur de désignation DPO, périmètre de traitement, autorité de contrôle compétente. Lettre de mission et coordonnées article 37(7).
Semaine 3
Déclaration et reprise
Déclaration des coordonnées du DPO auprès de la CNIL. Reprise depuis tout DPO interne ou externe antérieur. Briefing initial avec la direction.
En continu
Exécution des missions légales
Cadence mensuelle de surveillance de conformité, conseil, supervision de la formation, contact avec l'autorité de contrôle, préparation à la réponse aux violations.
FAQ