La CNIL a publié le 10 août 2026 une fiche sur les conflits d’intérêts du délégué à la protection des données (ci-après « DPO »).^[1] Le texte dépasse le rappel de l’article 38, paragraphe 6, du RGPD : il livre une grille de détection et admet le déport au profit d’un suppléant.^[2]

Un conflit caractérisé par la maîtrise des finalités et des moyens

Le critère repris de la Cour de justice

L’article 38, paragraphe 6, du RGPD autorise le DPO à exécuter d’autres missions et tâches, à charge pour le responsable du traitement ou le sous-traitant de veiller à l’absence de conflit d’intérêts.^[3] La CNIL en tire deux conditions cumulatives : ces missions ne doivent ni nuire à l’exercice des fonctions de DPO, notamment en le privant du temps nécessaire, ni le placer en conflit.^[4]

Le critère de fond vient de l’arrêt X-FAB Dresden : un DPO ne saurait se voir confier des missions qui le conduiraient à déterminer les finalités et les moyens du traitement.^[5] La fiche en donne la traduction opérationnelle, le DPO ne devant pas être « juge et partie ».^[6] L’encadrement supérieur est visé au premier chef, l’examen s’étendant aux rôles de niveau inférieur qui conduisent à cette détermination.^[7]

Le RGPD n’établit pourtant aucune incompatibilité de principe entre les fonctions de DPO et d’autres fonctions^[8], la Cour renvoyant à l’appréciation de l’espèce :

« La détermination de l’existence d’un conflit d’intérêts, au sens de l’article 38, paragraphe 6, du RGPD, doit être effectuée au cas par cas, sur la base d’une appréciation de l’ensemble des circonstances pertinentes, notamment de la structure organisationnelle du responsable du traitement […] et à la lumière de l’ensemble de la réglementation applicable, y compris des éventuelles règles internes de ces derniers »^[9].

Une grille de questions selon le mode de désignation

La CNIL décline huit questions en trois situations, en avertissant que la liste n’est pas exhaustive.^[10] Pour le DPO interne, les points de contrôle portent sur :

les autres fonctions et missions cumulées avec celles de DPO ;

l’exercice de fonctions d’encadrement ;

le pouvoir décisionnel du DPO ou de son équipe sur les finalités ou les moyens ;

la prise de position sur des projets touchant un traitement, tel un comité d’éthique ;

l’exercice des fonctions de représentant du personnel ou d’un mandat syndical.^[11]

Le DPO avocat ou employé d’un cabinet d’avocats est interrogé sur sa participation antérieure à la représentation de l’organisme dans un litige de protection des données.^[12] Le DPO mutualisé l’est sur sa désignation par un organisme aux intérêts contraires, tel un sous-traitant, un responsable conjoint ou un destinataire des données.^[13]

Des mesures de remédiation au-delà du remplacement

Le déport au profit d’un DPO suppléant

Le conflit identifié, l’organisme désignant a l’obligation d’y mettre fin, par le remplacement du DPO, le retrait des missions tierces, ou d’autres mesures de remédiation.^[14] Le déport retire le DPO du périmètre conflictuel au profit d’un suppléant, la CNIL écartant la mesure purement formelle, tel un contreseing sans pouvoir de décision.^[15]

Quatre exigences encadrent le dispositif : documenter le risque justifiant le déport, documenter la répartition des responsabilités pour couvrir tous les traitements, assurer à l’un et à l’autre les garanties des articles 37 à 39 du RGPD, exclure entre eux tout lien de subordination.^[16] L’exemple retenu vise le DPO d’un assureur chargé de la lutte contre la fraude : un analyste anti-fraude ne peut pas être suppléant, faute d’indépendance envers son supérieur.^[17]

La désignation du suppléant auprès de la CNIL n’est pas requise, le DPO déclaré restant le seul point de contact, à charge pour l’organisme de l’informer lorsque l’autorité le saisit d’un traitement relevant du déport.^[18]

La séparation des collaborateurs chez le DPO personne morale

Lorsqu’un même DPO externe personne morale est désigné par un responsable du traitement et par son sous-traitant, la CNIL admet de confier l’exercice effectif des fonctions à des collaborateurs distincts, tenus par une obligation de confidentialité ou par un secret professionnel, chaque organisme désignant devant en vérifier l’effectivité.^[19]

Ce que la fiche impose désormais

La charge pèse sur l’organisme désignant, non sur le DPO. L’analyse des conflits potentiels est recommandée avant la désignation, mais aussi avant toute attribution de nouvelles fonctions au DPO en place, donc à chaque évolution de périmètre.^[20] Le déport se joue sur le terrain de la preuve : sans écrit sur le risque, la répartition des périmètres et l’absence de subordination, la mesure reste formelle et le conflit subsiste.^[21] La fiche reste muette sur les suites d’un conflit maintenu : ni contrôle, ni mise en demeure, ni sanction.^[22]

 

________

[1] CNIL, « Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO », 10 août 2026, section introductive : https://www.cnil.fr/fr/dpo-identifier-gerer-conflits-interets

[2] Fiche précitée, sections « Identifier le conflit d’intérêts » et « Remédier au conflit d’intérêt par le déport du DPO ».

[3] Article 38, paragraphe 6, du RGPD, cité à la section 3.5 des lignes directrices du groupe de travail « article 29 » concernant les délégués à la protection des données, WP 243 rev.01, adoptées le 13 décembre 2016 et révisées le 5 avril 2017 : https://www.cnil.fr/sites/cnil/files/atoms/files/wp243rev01_fr.pdf

[4] Fiche précitée, section « Vérifier la compatibilité des missions tierces confiées au DPO ».

[5] CJUE, 6e ch., 9 février 2023, X-FAB Dresden GmbH & Co. KG c. FC, C-453/21, point 44 : https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:62021CJ0453

[6] Fiche précitée, section « Identifier le conflit d’intérêts », commentaire sous la question relative au pouvoir décisionnel sur les finalités et les moyens.

[7] Fiche précitée, même section, commentaire sous la question relative aux fonctions d’encadrement, citant le directeur général et le responsable des ressources humaines.

[8] CJUE, 9 février 2023, C-453/21, point 40.

[9] CJUE, 9 février 2023, C-453/21, point 45.

[10] Fiche précitée, section « Identifier le conflit d’intérêts », phrase conclusive.

[11] Fiche précitée, section « Identifier le conflit d’intérêts », sous-partie « DPO interne à l’organisme/groupe ».

[12] Fiche précitée, section « Identifier le conflit d’intérêts », sous-partie « DPO externalisé ».

[13] Fiche précitée, même section, sous-partie « DPO mutualisé entre plusieurs organismes ».

[14] Fiche précitée, section « Gérer le conflit d’intérêts : les mesures de remédiation envisageables ».

[15] Fiche précitée, section « Désigner un DPO suppléant ».

[16] Fiche précitée, section « Désigner un DPO suppléant ». La fiche vise les articles 37 à 39 du RGPD dans son texte courant, et les seuls articles 37 et 39 dans la liste d’exigences.

[17] Fiche précitée, même section, encadré « Exemple ».

[18] Fiche précitée, section « Désigner un DPO suppléant ».

[19] Fiche précitée, section « Distinguer les fonctions de DPO entre responsable de traitement et sous-traitant ».

[20] Fiche précitée, section « Identifier le conflit d’intérêts », phrase introductive.

[21] Fiche précitée, section « Désigner un DPO suppléant ».

[22] Vérification faite sur l’intégralité de la fiche précitée, section par section.