En bref : le DPO (data protection officer), ou délégué à la protection des données, est la personne qu'un organisme désigne pour piloter et contrôler sa conformité au RGPD. Sa désignation est obligatoire dans trois cas fixés par l'article 37 du RGPD : organisme public, suivi régulier et systématique de personnes à grande échelle, traitement à grande échelle de données sensibles ou pénales. Ses missions sont fixées par l'article 39 (informer et conseiller, contrôler le respect du RGPD, coopérer avec la CNIL) et sa position par l'article 38 (indépendance, moyens, rattachement au plus haut niveau de la direction).
Le Data Protection Officer (DPO) ou délégué à la protection des données (DPD) occupe un rôle central dans la protection des données personnelles. Il est d'ailleurs qualifié de chef d'orchestre par la CNIL.
Pour rappel, le droit de la protection des données personnelles est très largement encadré par le Règlement Général sur la Protection des données (RGPD).
Les entreprises recourent de plus en plus aux services des DPO afin de piloter leur mise en conformité au RGPD.
Faisons un tour d'horizon des sujets concernant le DPO :
- La désignation d'un DPO est-elle obligatoire et qui peut être désigné DPO ? (1)
- Quelles sont les missions du DPO et son rôle au sein de l'organisme ? (2)
- Quelles compétences et quelle position le RGPD attend-il du DPO, et comment le trouver ? (3)
1 - La désignation du Data Protection Officer (DPO)
Plusieurs questions nous occupent à ce stade :
- Est-ce que vous avez l'obligation de nommer un DPO ?
- Et comment désigner un DPO : qui peut prétendre à cette fonction et comment recruter un DPO ?
DPO obligatoire : dans quels cas (article 37 du RGPD) ?
Il ressort de l'article 37 RGPD que la désignation d'un DPO est obligatoire dans 3 cas :
Premier cas : établissements publics
Lorsque votre organisme est un établissement public (commune, administration, enseignement, hôpitaux etc.) peu importe la taille ou les activités exercées par cet établissement. Il s'agit d'un critère organique qui s'applique automatiquement.
Deuxième cas : traitements réguliers à grande échelle
Lorsque votre organisme opère des traitements de données personnelles qui "exigent un suivi régulier et systématique à grande échelle des personnes concernées".
💡 Pour rappel, un traitement de données personnelles est une opération (collecte, utilisation, conservation, enregistrement, transfert, manipulation, suppression) sur une information directe ou indirecte concernant une personne physique identifiable (article 4 RGPD).
Un traitement "à grande échelle" est un traitement concernant un volume considérable de données personnelles ou concernant un grand nombre de personnes ou sur une grande zone géographique. Ce type de traitements est naturellement plus susceptible d'engendrer un risque pour la vie privée des personnes.
Par exemple, la géolocalisation des applications telles que Google Maps, Waze ou CityMapper opèrent des traitements de données personnelles à grande échelle.
Pour savoir si votre organisme est concerné par cette hypothèse vous devez vous demander si :
- Vous collectez un très grand nombre de données sur des personnes ou concernant un nombre immense de personnes ou sur une zone géographique très large. Aucun indicateur n'a encore été fixé par la loi ou la jurisprudence mais les exemples susmentionnés sont un bon repère.
- De plus, il convient encore que ce traitement ne soit ni occasionnel, ni ponctuel. Vous serez concerné par cette hypothèse si ce traitement à large échelle est un traitement que vous opérez habituellement pour les besoins de votre activité.
Si ces deux critères sont remplis, vous avez l'obligation de nommer un délégué à la protection des données.
Troisième cas : traitements à grande échelle de données sensibles
Lorsque votre organisme opère des traitements à grande échelle de données sensibles (article 9 RGPD) ou relatives à des condamnations pénales et infractions (article 10 RGPD).
En application de cette dernière hypothèse, votre organisme est concerné lorsque :
- Vous opérez des traitements à grande échelle (pour la définition, voir ci-dessus) ;
- Ces traitements concernent des données sensibles ou relatives à des condamnations pénales. Les données sensibles correspondent à toutes informations relatives à l'origine ethnique, opinions politiques, convictions religieuses ou philosophiques, l'appartenance syndicale, vie sexuelle, orientation sexuelle, données génétiques, données de santé ou données biométrique.
Si un de vos traitements correspond à ces deux critères, vous avez l'obligation de nommer un DPO. En effet, l'idée derrière est que ce type de traitements engendre un risque plus élevé pour les droits et libertés des personnes. Dès lors, votre organisme doit assurer la protection de ces données par la désignation d'une personne dédiée à cette tâche qui sera également l'interlocuteur privilégié auprès des personnes et des autorités.
En dehors de ces cas, si votre organisme n'est pas obligé de nommer un DPO, sa désignation peut s'avérer nécessaire pour vous aider à piloter votre mise en conformité au RGPD.
⚠️ Si vous avez l'obligation de désigner un DPO et que vous ne le faites pas, vous vous exposez à une sanction de la CNIL pouvant aller du simple rappel à l'ordre jusqu'à une amende administrative. Pour rappel, cette amende peut s'élever jusqu'à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé (article 83.4 du RGPD).
Qui peut être désigné DPO ?
Aucun prérequis
La première chose à retenir est qu'il n'y a aucun prérequis pour devenir DPO : il n'y a aucune obligation de diplôme ou de champ d'expertise. Pour faire simple, n'importe qui peut être désigné DPO. L'article 37.5 pose toutefois une exigence de fond : le DPO est désigné « sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données » (voir la partie 3). Néanmoins, si vous choisissez de nommer une personne en interne, il est très fortement recommandé de désigner une personne un minimum formée aux sujets de la protection des données personnelles. Il existe de nombreuses formations dont certaines sont validées par la CNIL.
Seule limite : le conflit d'intérêts
Notons, que la seule limite juridique consiste à ne pas nommer une personne en situation de conflit d'intérêts : le DPO ne doit pas avoir de pouvoir décisionnel sur la détermination des finalités et moyens de traitements. Cela signifie une chose simple : la casquette de DPO est incompatible avec toute fonction dirigeante ou décisionnaire. Par exemple, la fonction de DPO est incompatible avec celles de responsable marketing, de DRH, de DSI, CTO, CEO.
En effet, le DPO ne peut avoir le pouvoir de décision sur un aspect de votre activité (et les traitements associés) et avoir le recul nécessaire pour émettre des avis en toute neutralité.
Ce principe a été fixé par la Cour de justice de l'Union européenne dans l'arrêt X-FAB Dresden du 9 février 2023 (aff. C-453/21) : le conflit d'intérêts s'apprécie au cas par cas, selon que les autres fonctions du DPO l'amènent ou non à déterminer les finalités et les moyens de traitements qu'il doit contrôler. Le 10 août 2026, la CNIL en a tiré une grille d'analyse opérationnelle (DPO interne, externalisé ou mutualisé) et trois leviers de remédiation, dont le déport vers un DPO suppléant : nous l'avons détaillée dans notre actualité DPO et conflit d'intérêts : la grille de la CNIL.
DPO interne ou DPO externe
En pratique, vous pouvez parfaitement nommer un salarié de votre entreprise ou employer une personne spécifiquement pour cette mission ou avoir recours aux services de "DPO externes".
Avec une règle : pas de conflit d'intérêt ! Attention, une situation de conflit d'intérêt peut trouver à s'appliquer avec une DPO externe. Par exemple, il arrive que les avocats occupent des fonctions de DPO pour leurs clients. Celui-ci ne peut pas cumuler cette fonction avec celle d'avocat représentant ou conseillant l'organisme au titre de ses fonctions d'avocat. Pour se prémunir de tout conflit d'intérêts, plusieurs organismes proposent les services de DPO externalisés.
Les deux options ont un coût, un niveau de connaissance du métier et une disponibilité très différents : nous les comparons dans DPO externe ou DPO interne : que choisir ?
Trouver et désigner un DPO
Trois viviers existent pour trouver un DPO : un collaborateur interne que l'on forme (juriste, RSSI sans pouvoir décisionnel sur les traitements, contrôle interne), un recrutement dédié, ou un DPO externe, éventuellement mutualisé entre plusieurs entités d'un même groupe (article 37.2 et 37.6). Une fois le profil choisi, pour désigner un DPO, nous vous recommandons de :
- Formaliser la désignation : indiquer par écrit l'ensemble des missions confiées au DPO dans une lettre de mission, un avenant au contrat de travail si le DPO est un salarié de l'organisme ou encore un contrat de prestation de service si le DPO est une personne externe (morale ou physique).
- Communiquer sur la désignation du DPO : faites savoir que vous avez désigné un DPO et transmettez ses coordonnées à vos collaborateurs, aux instances représentatives du personnel, ou encore à la direction. Invitez-les à prendre contact avec lui pour toute question sur les données à caractère personnel.
- Notifier la désignation du DPO à l'autorité de contrôle : vous devez obligatoirement informer la CNIL de la désignation du délégué. Vous devrez remplir un formulaire de désignation en ligne : Désigner mon DPO
Pour modifier ses informations ou mettre fin aux fonctions du DPO, vous devez simplement envoyer un email au service des délégués à l'adresse électronique qui figure dans l'accusé réception de la désignation. Le pas-à-pas du formulaire est détaillé dans notre guide comment déclarer son DPO à la CNIL.
Nous avons créé un guide complet pour recruter un DPO incluant une fiche de poste dont vous pouvez largement vous inspirer !
2 - Rôle et missions du DPO
Le rôle du DPO est de piloter et mettre en oeuvre la conformité au RGPD au sein de l'organisme qui l'a désigné. À ce titre, il est l'intermédiaire privilégié de la CNIL et des personnes concernées par les traitements, notamment lorsque celle-ci souhaitent exercer leurs droits (article 39 RGPD).
Les missions du DPO sont définies à l'article 39 du RGPD. Il a 3 principales missions :
- Pilotage de la conformité,
- Information et conseil,
- Point de contact et interlocuteur privilégié
Pilotage de la conformité
C'est la principale mission du DPO au sein d'un organisme : piloter la conformité au RGPD. Cela implique plusieurs missions :
- Cartographier les données personnelles. C'est la première étape de toute démarche de mise en conformité : avoir une vue d'ensemble des données personnelles collectées est obligatoire avant de se lancer. Pour cela, il revient au DPO de liste l'ensemble des outils utilisés et des données collectées.
- Documenter la conformité. Une grande partie de la réglementation consiste à documenter ce qu'un organisme fait des données personnelles. Il s'agit de la construction du fameux "registre de traitements de données personnelles" mais pas seulement (registre des sous-traitants, analyses d'impact (AIPD ou PIA), registre des incidents, des exercices de droits etc.Le DPO est tenu de s'assurer de la tenue de cette documentation, de sa pertinence et de son actualisation.
- Identifier et gérer les risques : les traitements de données font peser des risques sur les droits et les libertés des personnes concernées. Par exemple, si vos traitements ont pour objectif la surveillance d'employés, ou si vous traitez des données sensibles ou encore si vous transférez des données en dehors de l'UE. Le DPO a notamment pour mission de déterminer les mesures de sécurité à mettre en oeuvre pour réduire les risques engendrés par ces traitements de manière adéquate.
- Mettre en oeuvre des actions : une fois que les risques sont identifiés, il revient au DPO de mettre en place les actions adéquates. Par exemple réaliser une analyse d'impact lorsque c'est nécessaire, rédiger une politique de confidentialité, mettre en place une politique interne de conservation de données, intervenir en cas de violation de données (fuite de donnée, altération, perte, vol etc.), auditer les sous-traitants à qui sont transférées des données personnelles etc.
Leto est un logiciel SaaS qui met à votre disposition une brique technologique qui permet :
- D'identifier automatiquement les catégories de données personnelles en fonction des outils que votre organisme utilise : Airtable, Hubspot, Salesforce, Shopify etc.. Leto est connecté à plus de 6.000 SaaS et logiciel.
- D'alimenter automatiquement l'ensemble de la documentation obligatoire (registre de traitements, registre sous-traitant etc.)
- Et de disposer d'un module de risque automatisé qui permet d'identifier directement les outils à risques, les données personnelles non associées à un traitement et de nombreux autres éléments.
⚠️ Ceci est très important : le DPO n'est pas responsable de la conformité RGPD de l'organisme. Ce sont bien le responsable du traitement et le sous-traitant qui endossent cette responsabilité. Le DPO peut tenir le registre avec le responsable de traitement par exemple, mais il n'en est pas le responsable ! Sa mission consiste à informer, conseiller et contrôler. Il n'a aucun pouvoir de décision et ne donne que des avis.
Contrairement aux idées reçues, la personne responsable en cas de non-conformité est le responsable de traitement, c'est à dire la personne morale de l'entreprise en la personne de son représentant légal et non pas le DPO.
Information et conseil
C'est une mission très importante du DPO car la conformité doit vivre dans le temps. Une fois le registre de traitements construit, il faut encore le mettre à jour en continu et le faire vivre dans le temps.
Concrètement, pour le DPO, cela implique deux choses :
- Conseiller le responsable de traitement et formuler des avis sur la mise en oeuvre de chaque nouveau traitement.
Dès lors que vos activités se développent, des nouveaux traitements sont engendrés. Le DPO a vocation à être associé à ces prises de décisions pour délivrer son expertise sur les risques potentiels en matière de protection des données personnelles et des actions à mettre en place pour réduire ces risques. Il a pour mission de formuler des avis auprès des dirigeants bien que ces derniers ne soient pas obligés de les suivre.
- La mise en place d'une culture de la protection des données par la sensibilisation des collaborateurs à ces sujets. La sensibilisation doit ensuite déboucher sur la mise en place de bonnes pratiques en fonction des différentes problématiques rencontrées par chaque collaborateur.
La CNIL l'a elle-même confirmé dans son guide à l'intention des délégués à la protection des données : le DPO a avant tout pour mission d'informer l'ensemble des collaborateurs sur ces sujets. En cas de contrôle, l'organisme doit être en mesure de démontrer à la CNIL que ses employés ont reçu une formation ou ont été sensibilisés à ces sujets. Cela signifie qu'il convient de documenter ces campagnes de sensibilisation ou, du moins, d'en garder une trace afin de pouvoir démontrer votre volonté de mise en conformité aux autorités.
Leto met à votre disposition un module de sensibilisation des collaborateurs par le microlearning avec une banque de plus de 500 questions de mises en situation en fonction des différents métiers (RH, Marketing, Sale, Produit, Tech, Data, Compta, Finance etc.) incluant également des questions de cybersécurité.
Interlocuteur privilégié
Interlocuteur privilégié des personnes
Le DPO est l'interlocuteur privilégié en matière de protection des données personnelles. Cela implique que son contact soit ouvertement accessible par des clients, utilisateurs, prospects, fournisseurs ou employés.
En effet, chaque personne a un droit sur ses données personnelles :
- Droit d'accès aux données (article 15 RGPD),
- Droit de rectification des données (article 16 RGPD),
- Droit à la portabilité des données (article 20 du RGPD) : un internaute doit pouvoir obtenir ces données dans un format structuré, couramment utilisé et lisible par une machine,
- Droit à l'effacement (article 17 du RGPD) : sauf intérêt impérieux (c'est rarement le cas pour un site e-commerce), vous avez également l'obligation d'effacer ses données personnelles de vos fichiers si une personne le demande.
- Droit d'opposition (article 21 RGPD) : à tout moment, un internaute peut s'opposer à ce que ses données soient utilisées par vos soins pour une finalité précise. Si les données sont utilisées pour de la prospection commerciale, l'internaute peut s'y opposer sans motif. Et cela, même s'il avait au préalable donné son consentement.
Le Data Protection Officer est l'interlocuteur de ces personnes et a la charge d'étudier puis de répondre à chacune de ces demandes.
Interlocuteur privilégié des autorités
A ce titre, il doit coopérer avec la CNIL : donner les accès aux agents lors d'un contrôle sur place, transmettre les documents demandés pour un contrôle sur pièce, notifier une violation de données. Lors d'un contrôle sur place, le DPO n'est pas l'interlocuteur exclusif mais il est bien l'interlocuteur privilégié. Il est notamment chargé de la relecture et de la signature du procès-verbal dressé à l'issue des vérifications.
En cas d'audition sur convocation, c'est-à-dire lorsque les représentants d'un organisme sont invités à répondre aux questions des agents dans les locaux de la CNIL, le DPO ne peut pas se présenter seul. Il peut, en revanche, accompagner le responsable de traitement pour apporter son expertise.
La relation n'est pas à sens unique, puisque le data protection officer peut consulter la CNIL sur toutes les questions relatives à la protection des données ou à ses missions. Le DPO peut échanger avec l'autorité de contrôle sans demander validation au responsable de traitement.
⚠️Dans le cas où un DPO est obligatoire dans l'organisme, la CNIL ne répond pas aux questions du responsable de traitement si celui-ci ne l'a pas préalablement consulté.
3 - Compétences, profil et position du DPO
Le RGPD ne fixe aucun diplôme, mais il ne se contente pas d'un nom sur un formulaire. Les contrôles le montrent : en janvier 2024, le Comité européen de la protection des données (EDPB) a publié le bilan de son action coordonnée 2023, menée par 25 autorités européennes sur la désignation et la position des DPO. Parmi les défauts relevés : des DPO sans ressources suffisantes, sans connaissances à jour, et trop rarement associés aux décisions qui touchent les données.
Ce que le RGPD exige (article 37.5)
Le DPO doit être désigné sur la base de ses qualités professionnelles, de ses connaissances spécialisées du droit et des pratiques en protection des données, et de sa capacité à accomplir les missions de l'article 39. Le niveau attendu dépend des traitements : un DPO de groupe bancaire ou d'hôpital, qui traite des données sensibles à grande échelle, n'est pas jugé à la même aune que celui d'une PME de services.
La certification CNIL des compétences du DPO
La certification n'est pas obligatoire, mais elle sert de preuve. Le référentiel de la CNIL (délibération n° 2018-318 du 20 septembre 2018) ouvre l'examen aux candidats justifiant de 2 ans d'expérience professionnelle en lien avec la protection des données, ou de 2 ans d'expérience dans tout domaine complétés de 35 heures de formation en protection des données. Elle est délivrée par des organismes certificateurs agréés par la CNIL, sur un QCM. Pour choisir un parcours, voir notre comparatif formation DPO : laquelle choisir ?
Les compétences qui comptent au quotidien
- Juridiques : bases légales, transferts hors UE (chapitre V), contrats de sous-traitance (article 28), notification des violations (articles 33 et 34).
- Techniques : lire une architecture applicative, comprendre les mesures de sécurité de l'article 32, dialoguer avec la DSI et le RSSI.
- Opérationnelles : tenir un registre à jour, conduire une AIPD, auditer des sous-traitants, répondre aux demandes de droits dans le délai d'un mois (article 12.3).
- Relationnelles : convaincre sans pouvoir de décision, sensibiliser les métiers, rendre compte à la direction.
Indépendance et moyens (article 38)
L'article 38 impose à l'organisme d'associer le DPO, en temps utile, à toutes les questions de protection des données, de lui fournir les ressources nécessaires, de ne lui donner aucune instruction sur l'exercice de ses missions et de le faire rendre compte au niveau le plus élevé de la direction. Il ne peut être ni relevé de ses fonctions ni pénalisé pour l'exercice de ses missions (article 38.3). La CJUE a précisé, dans l'arrêt Leistritz du 22 juin 2022 (aff. C-534/20), qu'un État membre peut prévoir une protection encore plus forte contre le licenciement, tant qu'elle reste compatible avec les objectifs du RGPD.
En pratique, ces moyens se jouent sur le temps : un DPO qui passe ses semaines à remplir des tableurs et à répondre aux questionnaires sécurité des clients n'a plus le temps de conseiller. C'est sur ce volet ops que Leto intervient : registre des traitements alimenté depuis les outils de l'organisme, réponses aux questionnaires sécurité préparées par Hari, l'IA de Leto, et audit IA des sous-traitants.
Pour plus d'information sur votre mise en conformité au RGPD, n'hésitez pas à demander une démo du logiciel RGPD Leto !
Questions fréquemment posées
Dans quels cas la désignation d'un DPO est-elle obligatoire ?
La désignation d'un DPO est obligatoire dans 3 cas selon l'article 37 du RGPD : lorsque l'organisme est un établissement public (communes, administrations, hôpitaux, etc.), lorsqu'il effectue des traitements exigeant un suivi régulier et systématique à grande échelle des personnes concernées, et lorsqu'il traite à grande échelle des données sensibles ou relatives à des condamnations pénales.
Qui peut être désigné DPO ?
Aucun diplôme n'est exigé pour devenir DPO, mais l'article 37.5 du RGPD impose de le choisir pour ses qualités professionnelles et ses connaissances spécialisées du droit et des pratiques en protection des données. La seule limite juridique est l'absence de conflit d'intérêts : le DPO ne doit pas avoir de pouvoir décisionnel sur les finalités ou moyens de traitements. Les fonctions de DPO sont donc incompatibles avec celles de responsable marketing, DRH, DSI, CTO ou CEO.
Quelles sont les 3 missions principales du DPO selon le RGPD ?
L'article 39 du RGPD définit 3 missions principales pour le DPO : le pilotage de la conformité RGPD (cartographie des données, documentation, gestion des risques), l'information et le conseil (auprès du responsable de traitement et sensibilisation des collaborateurs), et la fonction d'interlocuteur privilégié des personnes concernées et des autorités de contrôle comme la CNIL.
Le DPO est-il responsable de la conformité RGPD de l'entreprise ?
Non. Le DPO n'est pas responsable de la conformité RGPD : ce sont le responsable de traitement et le sous-traitant qui endossent cette responsabilité légale. Le DPO informe, conseille et contrôle, mais n'a aucun pouvoir de décision. En cas de non-conformité, c'est le représentant légal de l'entreprise qui est responsable, pas le DPO.
Peut-on cumuler la fonction de DPO avec d'autres rôles dans l'entreprise ?
Le cumul est possible sous conditions, mais certaines fonctions sont incompatibles avec celle de DPO en raison du conflit d'intérêts. Les fonctions dirigeantes ou décisionnaires (CEO, CTO, DRH, DSI, responsable marketing) sont expressément incompatibles. Le DPO doit pouvoir exercer ses missions en toute neutralité et indépendance. La CJUE (arrêt X-FAB Dresden, 9 février 2023, C-453/21) impose une analyse au cas par cas, et la CNIL a publié le 10 août 2026 une grille d'analyse et des solutions de remédiation, dont le déport vers un DPO suppléant.
Comment désigner un DPO auprès de la CNIL ?
La désignation se fait en 3 étapes : formaliser la désignation par écrit (lettre de mission, avenant au contrat de travail ou contrat de prestation), communiquer les coordonnées du DPO en interne, puis notifier obligatoirement la désignation à la CNIL via le formulaire en ligne sur designations.cnil.fr.
Quelles sanctions risque-t-on si la désignation d'un DPO obligatoire n'est pas effectuée ?
Ne pas désigner un DPO lorsque c'est obligatoire expose l'organisme à des sanctions de la CNIL pouvant aller du simple rappel à l'ordre jusqu'à une amende administrative pouvant s'élever à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial si ce montant est plus élevé (article 83.4 du RGPD).
Qu'est-ce qu'un DPO ?
Le DPO (data protection officer), ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer et le conseiller sur ses obligations RGPD, contrôler leur respect et coopérer avec la CNIL. Son statut est défini par les articles 37 à 39 du RGPD : il conseille et contrôle, mais ne décide pas à la place du responsable de traitement.
Quelle différence entre un DPO interne et un DPO externe ?
Le DPO interne est un salarié de l'organisme, qui connaît les métiers et les outils mais doit disposer de temps et ne pas être en conflit d'intérêts. Le DPO externe intervient sur la base d'un contrat de service (article 37.6 du RGPD) : il apporte une expertise mutualisée, mais connaît moins le terrain. Dans les deux cas, l'organisme reste responsable de sa conformité.
Quelles compétences faut-il pour être DPO ?
Le RGPD exige des connaissances spécialisées du droit et des pratiques en protection des données, proportionnées aux traitements de l'organisme. En pratique, un DPO combine des compétences juridiques, techniques (sécurité, architecture des outils) et opérationnelles (registre, AIPD, audit des sous-traitants). La certification des compétences du DPO, encadrée par la CNIL depuis 2018, permet de le prouver sans être obligatoire.
Un DPO peut-il être licencié pour l'exercice de ses missions ?
Non. L'article 38.3 du RGPD interdit de relever le DPO de ses fonctions ou de le pénaliser pour l'exercice de ses missions. Il peut en revanche être licencié pour un motif étranger à ses missions, et la CJUE a admis dans l'arrêt Leistritz du 22 juin 2022 (C-534/20) qu'un droit national prévoie une protection plus forte.
