DPO externalisé : votre délégué à la protection des données, sans recrutement.

Sur le fond, aucune : le RGPD confie les mêmes missions au délégué, qu'il soit membre du personnel ou qu'il les exerce sur la base d'un contrat de service (article 37, paragraphe 6). La différence est pratique. Un DPO interne doit être recruté, formé et remplacé s'il part, et ses autres fonctions ne doivent pas créer de conflit d'intérêts (article 38, paragraphe 6). Un DPO externalisé arrive avec une équipe : juristes pour l'analyse, ingénieurs en cybersécurité pour les questions techniques, développeurs pour les outils.

Pour un mandat au Luxembourg, voir aussi notre page DPO au Luxembourg.

Oui, dans les trois cas fixés par l'article 37, paragraphe 1, du RGPD : le traitement est effectué par une autorité ou un organisme public (sauf les juridictions agissant dans l'exercice de leur fonction juridictionnelle) ; vos activités de base exigent un suivi régulier et systématique à grande échelle des personnes concernées ; vos activités de base consistent en un traitement à grande échelle de données sensibles ou relatives aux condamnations pénales et aux infractions (articles 9 et 10). L'obligation vaut pour le responsable du traitement comme pour le sous-traitant, et le droit de l'Union ou d'un État membre peut l'étendre à d'autres cas (paragraphe 4).

Hors de ces cas, vous pouvez désigner un DPO volontairement : il relève alors des mêmes règles (articles 38 et 39).

La désignation passe par un contrat de service : vous confiez la mission de délégué à Luxgap (article 37, paragraphe 6). Le RGPD demande ensuite deux démarches : publier les coordonnées du délégué, notamment dans l'information donnée aux personnes concernées (article 13), et les communiquer à l'autorité de contrôle, la CNPD au Luxembourg (article 37, paragraphe 7). Nous les préparons avec vous.

Le délégué est choisi pour ses qualités professionnelles et ses connaissances spécialisées du droit et des pratiques en matière de protection des données (article 37, paragraphe 5). Une entité établie dans un autre État membre communique ces coordonnées à l'autorité de ce pays, par exemple l'APD en Belgique ou la CNIL en France.

Ses missions minimales sont fixées par l'article 39 du RGPD : informer et conseiller la direction et les employés ; contrôler le respect du règlement, y compris la répartition des responsabilités, la sensibilisation et la formation du personnel, et les audits ; dispenser des conseils, sur demande, sur les analyses d'impact et vérifier leur exécution ; coopérer avec la CNPD et lui servir de point de contact.

Dans un mandat Luxgap, cela recouvre en pratique le registre des traitements (article 30), les analyses d'impact (article 35), la procédure de réponse aux demandes des personnes, la gestion des violations de données, à notifier à la CNPD en principe sous 72 heures lorsqu'elles présentent un risque (article 33), la revue des contrats de sous-traitance (article 28) et la formation de vos équipes. Le déroulé du mandat est détaillé sur la page Mandat DPO externalisé.

Non. Le responsable du traitement reste responsable de la conformité et doit être en mesure de la démontrer (article 24). Le délégué conseille et contrôle ; les décisions restent les vôtres.

En contrepartie, l'article 38 protège sa fonction : il est associé en temps utile à toutes les questions relatives à la protection des données, reçoit les ressources nécessaires, ne reçoit aucune instruction pour l'exercice de ses missions, ne peut être relevé de ses fonctions ou pénalisé pour leur exercice, et fait directement rapport au niveau le plus élevé de la direction.

Le tarif dépend de votre périmètre : nombre d'entités et de collaborateurs, volume et sensibilité des traitements, état du registre au démarrage, présence attendue sur site. Il est établi sur devis : vous le configurez en ligne, poste par poste, et recevez une proposition sous 24 heures ouvrées.

Configurer mon devis →