Le 10 août 2026, la CNIL a publié une fiche pratique sur un problème que presque tout organisme rencontre et que presque aucun n'a formalisé : le conflit d'intérêts du délégué à la protection des données.
Le point de départ est l'article 38, paragraphe 6, du RGPD. Le DPO peut exercer d'autres missions que celles de l'article 39, à deux conditions cumulatives : que ces missions ne le privent pas du temps nécessaire à ses fonctions de DPO, et qu'elles ne le placent pas en situation de conflit d'intérêts.
Les questions qui permettent de l'identifier
La CNIL recommande de mener l'analyse avant la désignation, ou avant d'attribuer de nouvelles fonctions à un DPO en poste. Voici les questions qu'elle propose :
- Quelles autres fonctions sont cumulées avec celles de DPO ?
- Le DPO exerce-t-il des fonctions d'encadrement ? Directeur général et responsable des ressources humaines sont généralement incompatibles, mais des rôles de niveau inférieur peuvent l'être aussi s'ils amènent à déterminer les finalités et les moyens d'un traitement
- Le DPO ou les membres de son équipe détiennent-ils un pouvoir décisionnel sur les finalités ou les moyens ? Si le DPO est aussi RSSI : détermine-t-il la durée de conservation des journaux, propose-t-il les mesures de sécurité, décide-t-il des demandes d'accès aux données des collaborateurs ?
- Dans ses fonctions tierces, le DPO prend-il position sur des projets liés aux données personnelles, par exemple comme membre d'un comité d'éthique ?
- Le DPO est-il représentant du personnel ou titulaire d'un mandat syndical ? Lors d'un vote, il peut devoir se prononcer sur des mesures de contrôle de l'activité des salariés
- Si le DPO est externalisé : a-t-il déjà représenté l'organisme dans un litige lié à la protection des données ? Appartient-il à un organisme aux intérêts contraires, par exemple un sous-traitant ou un responsable conjoint ?
Si le conflit existe, il doit cesser
L'organisme désignant a l'obligation de mettre fin au conflit d'intérêts. Trois voies sont ouvertes : remplacer le DPO, retirer les missions tierces à l'origine du conflit, ou mettre en œuvre d'autres mesures de remédiation.
Le déport et le DPO suppléant
La mesure la plus courante est le déport : le DPO se retire sur le périmètre concerné et un DPO suppléant y exerce les fonctions. La CNIL est ferme : cela ne peut pas être une mesure purement formelle. Un simple contreseing, sans réel pouvoir de décision du suppléant, ne suffit pas.
Le suppléant doit bénéficier des garanties des articles 37 et 39 : moyens, formation, association aux questions relevant de son périmètre. Et il ne doit avoir aucun lien de subordination avec le DPO désigné. L'exemple de la CNIL est net : si le DPO d'une assurance est aussi responsable de la lutte contre la fraude et doit se déporter sur ce périmètre, un analyste anti-fraude ne peut pas être nommé suppléant, car il ne peut contrôler en toute indépendance des traitements décidés par son supérieur hiérarchique.
Il faut documenter le risque justifiant le déport ainsi que la répartition des responsabilités entre le DPO et son suppléant, afin qu'aucun traitement ne reste découvert. Le suppléant n'a pas à être désigné auprès de la CNIL : le point de contact demeure le DPO désigné, qui doit toutefois pouvoir informer le suppléant lorsque l'autorité écrit sur des traitements du périmètre déporté.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
