Aller au contenu principal
Quel logiciel RGPD

Combien de temps prévoir pour un DPO ?

Pour qui : Votre direction doit fixer le temps d’un délégué à la protection des données, interne ou externe. Elle demande un pourcentage, et le texte ne le donne pas.

Aucun chiffre légal n’existe. L’article 38 du RGPD demande les ressources nécessaires, et la CNIL précise que plus les traitements sont complexes ou sensibles, plus elles doivent être importantes.

Comptez donc tâche par tâche et écrivez le résultat. Pour un DPO à temps partiel, le groupe européen recommande de fixer un pourcentage de temps et un plan de travail. Ce pourcentage doit sortir de votre comptage.

Notre avis

Refusez le pourcentage réflexe. Comptez vos tâches sur un an, avec des durées réalistes et une marge, et écrivez le résultat dans la mission.

Pourquoi

  • Aucun texte lu ne fixe de temps minimal, et la CNIL lie les ressources à la taille, à la structure et à l’activité.
  • Un comptage fait apparaître le manque avant la première relance perdue.
  • 60 % de DPO internes ou mutualisés à 25 % de leur temps ou moins, selon une enquête : ce chiffre décrit une pratique, et la CNIL a déjà sanctionné un organisme dont le délégué ne pouvait pas exercer correctement.

Ce qui change le choix

Si le total dépasse ce que la personne peut réellement donner, retirez-lui d’autres tâches ou cherchez un appui externe. La CNIL lit le refus d’un salarié pour manque de temps comme un indice sérieux que vos obligations ne sont pas respectées.

Le comptage, sur un exemple fictif

Exemple fictif : une organisation de 80 personnes, 30 fiches de registre, sans données sensibles en activité de base. Toutes les quantités et durées sont des hypothèses à remplacer par les vôtres. Ces repères sont les nôtres, aucun texte ne les fournit.

Une année courante, en heures
TâcheQuantité par anDurée unitaireTotal
Revue d’une fiche de registre3030 min15 h
Avis sur un nouveau projet63 h18 h
Demande de droits121 h 3018 h
Revue d’un contrat de sous-traitant151 h15 h
Sensibilisation24 h8 h
Point avec la direction42 h8 h
Rapport annuel16 h6 h
Veille121 h12 h
Sous-total100 h
Marge de 20 % pour l’imprévu20 h
Total120 h

Du total à une décision

120 heures par an font 10 heures par mois. Rapportées à un temps de travail fictif de 1 600 heures, elles représentent 7,5 %.

La première année, ajoutez le lancement. Pour 30 fiches à deux heures, cela donne 60 heures, soit 180 heures et 11,25 % dans cet exemple. La violation de données n’y figure pas : elle ne se prévoit pas, et la marge ne suffit pas à l’absorber. Dites qui prend le relais ce jour-là.

Si vos activités sont sensibles, reprenez les durées à la hausse.

Ne prenez pas une enquête pour une norme

Dans l’enquête 2025 de la CNIL, de l’AFCDP et du ministère du Travail, menée auprès de 2 390 répondants, 85 % des DPO internes et mutualisés sont à temps partiel et 60 % consacrent 25 % ou moins de leur temps à cette mission. C’est déclaratif et cela mesure l’existant, sans dire ce qui suffit.

Un cas lu porte sur la capacité réelle d’agir. La CNIL indique avoir sanctionné un organisme du secteur social d’une amende de 10 000 euros au titre de l’article 38 : son délégué n’était pas assez associé aux questions de données et ses fonctions manquaient de visibilité. Son bilan du 17 janvier 2024 ne date pas la décision.

Avec un DPO externe

Le calcul s’inverse : votre comptage devient une question au prestataire. Nous n’avons trouvé le temps alloué chez aucun des prestataires privés lus le 5 novembre 2026. Envoyez-lui votre tableau et demandez combien d’heures il réserve, et qui fait quoi. Une part reste chez vous dans tous les cas : collecte des informations, relais dans les services, décisions.

Limites de cette page

Ce calcul donne une méthode, sans temps standard : nous n’avons pas de données observées sur la durée de ces tâches. Reprenez-le après un an avec les heures constatées.

Prochaine action

Comptez tâche par tâche sur douze mois avec le futur DPO, écrivez le temps retenu dans sa lettre de mission, puis revoyez le chiffre après un an. Pour un service externe, envoyez ce tableau au prestataire avant de signer.

Preuves et sources

Lu le 5 novembre 2026 : l’article 38 du RGPD dans le texte publié par la CNIL, les lignes directrices WP243 révisées, le guide pratique de la CNIL pour les délégués, son bilan de contrôles du 17 janvier 2024 et l’enquête 2025 de la CNIL, de l’AFCDP et du ministère du Travail.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 38 du RGPD prévoit que l’organisme aide le délégué en fournissant les ressources nécessaires à ses missions, sans en fixer le volume.

    Portée : Article 38, paragraphe 2.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. La CNIL écrit que les ressources du délégué s’adaptent à la taille, à la structure et à l’activité de l’organisme, et doivent être plus importantes pour des traitements complexes ou sensibles.

    Portée : Guide pratique CNIL, fiche 5 ; WP243 rev.01.

    Réserve : Sans barème.

  • Déclaration de l’éditeur. Les lignes directrices WP243 présentent comme une bonne pratique de fixer un pourcentage de temps quand la fonction n’est pas exercée à plein temps, de déterminer le temps nécessaire et d’établir un plan de travail.

    Portée : WP243 rev.01, section 3.2.

    Réserve : Bonne pratique.

  • Déclaration de l’éditeur. La CNIL recommande d’estimer le temps nécessaire conjointement avec le DPO et précise que le besoin est plus important lors de l’entrée dans la fonction.

    Portée : Guide pratique CNIL, fiche 5.

    Réserve : Sans chiffre.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, le refus d’un salarié motivé par un manque de ressources, notamment de temps, peut être un indice sérieux que les obligations de l’organisme ne sont pas respectées.

    Portée : Guide pratique CNIL, fiche 4.

    Réserve : Indice, sans preuve automatique.

  • Fait lu. Dans l’enquête 2025 de la CNIL, de l’AFCDP et du ministère du Travail, auprès de 2 390 répondants, 85 % des DPO internes et mutualisés sont à temps partiel et 60 % consacrent 25 % ou moins de leur temps de travail à leurs missions de DPO.

    Portée : Répondants du 5 au 21 novembre 2025.

    Réserve : Échantillon de répondants, déclaratif, sans valeur de norme.

  • Fait lu. La CNIL indique, dans son bilan du 17 janvier 2024, avoir sanctionné un organisme du secteur social d’une amende de 10 000 euros pour manquement à l’article 38, le délégué n’étant pas assez associé aux questions de données personnelles et ses fonctions manquant de visibilité.

    Portée : Bilan CNIL ; organisme non nommé.

    Réserve : Date de la décision absente de la page lue, décision elle-même non lue.

  • Notre calcul ou déduction. Aucun prestataire privé lu le 5 novembre 2026 ne publie un nombre d’heures ou de jours de DPO alloué au client.

    Portée : Pages d’offres lues.

    Réserve : Limité à ces pages, sans valeur d’inexistence sur devis.

  • Notre calcul ou déduction. Dans l’exemple fictif, 100 heures de tâches et 20 % de marge donnent 120 heures par an, soit 10 heures par mois et 7,5 % de 1 600 heures ; 60 heures de lancement portent le total à 180 heures, soit 11,25 %.

    Portée : Calcul sur hypothèses fictives.

    Réserve : Aucune valeur de référence pour un organisme réel.

    Daté du 5 novembre 2026.

  • Notre méthode. Compter les tâches et ajouter une marge de 20 % est une méthode que nous proposons, aucune durée unitaire ne vient d’un texte.

    Portée : Tableau de cette page.

    Réserve : À ajuster avec des heures observées.

    Daté du 5 novembre 2026.