Un délégué à la protection des données peut-il être en même temps responsable informatique, juriste, représentant du personnel ou prestataire d’autres services ? Le RGPD n’interdit pas par principe le cumul des fonctions. Il impose en revanche une condition déterminante : les autres missions du DPO ne doivent ni nuire à l’exercice de sa fonction, ni le placer en situation de conflit d’intérêts.
La fiche publiée par la CNIL le 10 août 2026 rend cette exigence beaucoup plus opérationnelle. Elle ne crée pas une nouvelle obligation, mais précise comment identifier un conflit, comment le traiter et dans quelles conditions un mécanisme de déport peut être envisagé. Pour les organisations, le message est clair : l’indépendance du DPO ne peut plus être seulement affirmée dans une fiche de poste ou un contrat. Elle doit être analysée, organisée et documentée.
Le vrai critère : qui décide des traitements ?
L’article 38, paragraphe 6, du RGPD autorise le DPO à exercer d’autres tâches. Il appartient toutefois au responsable du traitement ou au sous-traitant de s’assurer que ces tâches ne provoquent pas de conflit d’intérêts.
La Cour de justice de l’Union européenne a précisé ce critère dans son arrêt du 9 février 2023, dans l’affaire C-453/21. Il peut y avoir conflit lorsque les autres fonctions du DPO le conduisent à déterminer les finalités et les moyens des traitements qu’il devra ensuite contrôler. L’appréciation doit être réalisée au cas par cas, compte tenu de l’organisation réelle, des responsabilités exercées et des règles internes.
Le titre d’un poste ne suffit donc pas. Un responsable informatique, un responsable RH ou un directeur financier n’est pas automatiquement incompatible avec la fonction de DPO. Mais le risque devient élevé s’il décide, par exemple, quelles données sont collectées, pourquoi elles le sont, qui y accède, combien de temps elles sont conservées ou quels contrôles sont mis en œuvre.
Le DPO ne peut pas être chargé de vérifier en toute indépendance des choix qu’il a lui-même arrêtés.
Des situations plus diverses qu’il n’y paraît
La CNIL distingue plusieurs configurations.
Pour un DPO interne, les fonctions de direction ou d’encadrement supérieur sont généralement les plus sensibles. Des rôles moins élevés dans l’organigramme peuvent toutefois créer le même problème s’ils comportent un réel pouvoir de décision sur les traitements. Le cumul DPO-RSSI mérite ainsi une analyse concrète : conseiller sur la sécurité n’est pas identique à décider seul des durées de conservation des journaux, des habilitations ou des réponses aux demandes d’accès des salariés.
Les mandats de représentation du personnel ou la participation à un comité d’éthique ne sont pas davantage incompatibles par nature. Ils peuvent néanmoins conduire la personne à prendre position sur des projets que le DPO devra ensuite contrôler. L’organisation doit examiner les sujets traités, les pouvoirs réels et la fréquence des situations de chevauchement.
Pour un DPO externalisé, le risque ne disparaît pas avec le contrat de service. Il faut notamment vérifier si le prestataire représente déjà l’organisation dans un litige relatif aux données personnelles, s’il fournit des prestations qui l’amènent à décider des traitements, ou s’il intervient aussi pour une partie dont les intérêts peuvent être opposés. Un DPO mutualisé entre plusieurs structures doit faire l’objet de la même vigilance.
Une analyse à conduire avant la désignation, puis dans la durée
La CNIL recommande d’analyser les conflits potentiels avant la désignation du DPO et avant toute attribution de nouvelles missions. Cette analyse doit ensuite être revue lorsque l’organisation, les responsabilités ou le portefeuille de clients évoluent.
Une méthode simple peut reposer sur cinq questions :
- Quelles sont les missions exactes exercées en dehors de la fonction de DPO ?
- Ces missions donnent-elles un pouvoir de décision sur les finalités ou les moyens d’un traitement ?
- Le DPO doit-il contrôler, auditer ou conseiller des décisions auxquelles il a participé ?
- Existe-t-il un lien hiérarchique, contractuel ou commercial susceptible d’affecter son indépendance ?
- Le cumul lui laisse-t-il réellement le temps, les moyens et l’accès nécessaires pour exercer ses missions ?
Le résultat ne devrait pas se limiter à une case cochée. Il peut être conservé dans une note courte mentionnant les fonctions examinées, les pouvoirs associés, les risques identifiés, les mesures retenues et la date de réexamen. Cette documentation relève de la logique d’accountability : l’organisation doit pouvoir expliquer pourquoi la configuration choisie respecte le RGPD.
Le déport est possible, mais il doit être réel
Lorsqu’un conflit est identifié, l’organisation a l’obligation d’y mettre fin. Elle peut remplacer le DPO, lui retirer la mission tierce en cause ou mettre en place une autre mesure de remédiation adaptée.
La fiche de la CNIL développe une option importante : le déport vers un DPO suppléant sur le périmètre concerné. Cette solution peut être utile lorsqu’un conflit est ponctuel et clairement délimité. Elle ne doit toutefois pas devenir une construction de façade.
Le suppléant doit bénéficier des garanties prévues par les articles 37 à 39 du RGPD : moyens, compétence, association aux sujets concernés et indépendance. La répartition des responsabilités doit être écrite, l’ensemble des traitements doit rester couvert et le suppléant ne doit pas être placé sous l’autorité du DPO qu’il remplace sur ce périmètre.
Plus le nombre de déports est important, plus il faut s’interroger sur la viabilité de l’organisation. Une succession d’exceptions peut révéler que le cumul initial n’est plus compatible avec une fonction de contrôle indépendante.
Ce que les organisations devraient vérifier maintenant
La publication de la CNIL offre une bonne occasion de réaliser une revue ciblée de la fonction DPO. Cette revue peut porter sur la lettre de mission, la fiche de poste ou le contrat, l’organigramme, les délégations de pouvoir, les prestations complémentaires, les liens hiérarchiques et les procédures de déport.
Pour un DPO externalisé, le contrat devrait notamment clarifier le périmètre de la mission, les autres prestations éventuellement fournies, les règles de prévention des conflits, l’obligation d’alerte en cas de nouvelle situation et les modalités de remplacement ou de déport. Cette formalisation protège l’organisation comme le prestataire, sans supprimer la nécessité d’un examen concret.
Il faut enfin distinguer trois niveaux : le RGPD impose l’absence de conflit d’intérêts ; la jurisprudence précise le critère du pouvoir de décision ; la CNIL propose des questions et des mesures opérationnelles pour appliquer cette exigence. Toutes les recommandations ne constituent pas en elles-mêmes de nouvelles obligations, mais elles indiquent ce qu’une organisation prudente devrait être capable de démontrer en cas de contrôle.
Conclusion
L’indépendance du DPO n’est pas un principe abstrait. Elle dépend de la manière dont les responsabilités sont distribuées, des décisions réellement prises et des mécanismes prévus lorsqu’un conflit apparaît.
La bonne approche n’est donc ni d’interdire systématiquement tout cumul, ni de considérer qu’une déclaration d’absence de conflit suffit. Elle consiste à examiner les pouvoirs réels, à documenter l’analyse, à traiter les situations identifiées et à réévaluer régulièrement l’organisation. C’est à cette condition que le DPO peut jouer pleinement son rôle : conseiller, alerter et contrôler sans être juge de ses propres décisions.