DPO et conflit d'intérêts : la CNIL publie sa grille d'analyse et ses solutions de remédiation
Le DPO peut cumuler sa fonction avec d'autres missions au sein de son organisation — c'est la règle depuis l'entrée en application du RGPD. Mais jusqu'où ? Dans une publication du 10 août 2026, la CNIL détaille pour la première fois de façon aussi systématique la grille d'analyse permettant d'identifier un conflit d'intérêts chez le délégué à la protection des données, et les solutions concrètes pour y remédier.
Ce que dit la CNIL
Le RGPD autorise un DPO à temps partiel : il peut exercer d'autres fonctions en plus de celles listées à l'article 39, à deux conditions cumulatives. D'abord, ces missions tierces ne doivent pas l'empêcher matériellement de remplir son rôle de DPO. Ensuite — et c'est le cœur de la publication — ce cumul ne doit pas le placer en situation de conflit d'intérêts, c'est-à-dire le rendre « juge et partie » sur les traitements qu'il est censé contrôler.
La CNIL propose une série de questions selon la configuration du DPO. Pour un DPO interne : exerce-t-il des fonctions d'encadrement supérieur (DG, DRH) ? Détient-il, seul ou via son équipe, un pouvoir décisionnel sur les finalités ou les moyens d'un traitement ? Siège-t-il dans un comité d'éthique ou exerce-t-il un mandat syndical qui l'amènerait à prendre position sur des sujets data ? Pour un DPO externalisé, notamment un avocat : a-t-il déjà représenté l'organisme dans un litige lié à la protection des données ? Pour un DPO mutualisé entre plusieurs structures : est-il aussi désigné par un sous-traitant, un responsable conjoint, une source ou un destinataire de données de l'organisme ?
Pourquoi c'est important
Cette publication ne sort pas de nulle part : elle s'appuie sur l'arrêt de la CJUE dans l'affaire C-453/21 (X-FAB Dresden), qui avait déjà posé le principe qu'un DPO ne peut pas exercer une fonction qui l'amène à déterminer les finalités et moyens d'un traitement qu'il doit lui-même contrôler. La CNIL transforme ce principe jurisprudentiel en outil opérationnel, avec des exemples concrets : un DPO qui est aussi RSSI et qui fixe la durée de conservation des logs de connexion, ou qui décide des suites à donner à une demande d'accès aux données de collaborateurs, est structurellement en conflit.
C'est un sujet que les DPO eux-mêmes identifient comme sensible, d'autant que beaucoup exercent la fonction en parallèle d'un autre poste, en particulier dans les structures de taille intermédiaire où un DPO à temps plein n'est pas toujours envisageable.
Ce que ça change pour les organisations
Quand un conflit d'intérêts est identifié, l'organisme n'a pas le choix : il doit y mettre fin. La CNIL détaille trois leviers. Le remplacement pur et simple du DPO. Le retrait des missions tierces incompatibles. Ou, solution la plus fréquente en pratique, la mise en place d'un « déport » : le DPO se retire du périmètre concerné au profit d'un DPO suppléant, qui doit bénéficier des mêmes garanties d'indépendance que le DPO titulaire (moyens, formation, absence de lien de subordination). La CNIL insiste : ce déport ne peut pas être une formalité de façade — un simple contreseing sans réel pouvoir de décision ne suffit pas. Il faut documenter le risque, répartir clairement les responsabilités, et s'assurer que le suppléant ne soit pas hiérarchiquement dépendant du DPO désigné sur ce périmètre précis.
Pour les organismes qui recourent à un même DPO externe — personne morale — à la fois comme responsable de traitement et comme sous-traitant, la CNIL admet une autre solution : confier l'exercice effectif des fonctions à des collaborateurs distincts au sein de cette structure, chacun tenu à une obligation de confidentialité propre. Dans tous les cas, l'analyse du risque de conflit d'intérêts doit idéalement précéder la désignation du DPO, et pas seulement intervenir a posteriori quand le problème est déjà là.
Ce que Leto pense de cette décision
Cette publication comble un vrai vide méthodologique : jusqu'ici, les organismes devaient déduire seuls de la jurisprudence X-FAB ce qui constituait un conflit d'intérêts concret. La grille de questions de la CNIL est utile précisément parce qu'elle est actionnable — elle permet un audit rapide, y compris pour les DPO mutualisés ou externalisés, deux configurations qui restent minoritairement documentées dans les guides existants. Notre recommandation : ne pas attendre un contrôle CNIL pour faire cet exercice. Une cartographie des fonctions du DPO, réalisée dès la désignation ou à l'occasion de tout changement de périmètre, coûte très peu cher comparée au risque de voir la désignation elle-même contestée pour défaut d'indépendance.
