La CNIL précise les fonctions incompatibles avec la mission de DPO

Un organisme qui a confié d'autres missions à son délégué à la protection des données doit vérifier qu'elles ne le placent pas en situation de conflit d'intérêts, et y mettre fin si c'est le cas. La CNIL a publié le 10 août 2026 la grille de questions qu'elle recommande d'appliquer, ainsi que les mesures de correction envisageables.

Le point de départ est une autorisation : le règlement général sur la protection des données permet de confier au DPO des fonctions autres que celles prévues à son article 39. Deux limites l'encadrent. Ces missions ne doivent pas le priver du temps nécessaire à l'exercice de son mandat, ni porter atteinte à son indépendance.

Les fonctions désignées comme incompatibles

Pour un DPO interne, la CNIL considère que les fonctions d'encadrement supérieur, comme celles de directeur général ou de responsable des ressources humaines, sont généralement incompatibles avec le rôle de délégué. Le critère n'est pas le niveau hiérarchique : un poste situé plus bas dans l'organigramme est visé lui aussi dès lors qu'il conduit le DPO à déterminer les finalités et les moyens d'un traitement.

L'autorité cite le cas d'un DPO également responsable de la sécurité des systèmes d'information. Elle invite l'organisme à vérifier si l'intéressé fixe la durée de conservation des journaux de connexion et d'activité, s'il propose des mesures de sécurité, s'il décide en cas de demande d'accès aux données des collaborateurs. Le DPO ne doit pas être juge et partie.

• DPO interne : exercice de fonctions d'encadrement, pouvoir décisionnel sur les finalités ou les moyens d'un traitement, participation à un comité d'éthique ou de déontologie, mandat de représentant du personnel ou mandat syndical.
• DPO externalisé : avocat ou collaborateur d'un cabinet ayant déjà représenté l'organisme dans un litige lié à la protection des données ; appartenance au personnel ou à la direction d'une entité aux intérêts contraires, telle qu'un sous-traitant, un responsable conjoint, une source ou un destinataire des données.
• DPO mutualisé : désignation simultanée par un organisme dont les intérêts s'opposent à ceux de l'organisme désignant.

La CNIL précise que cette liste n'est pas exhaustive et que chaque situation s'apprécie au cas par cas, au regard du fonctionnement de l'organisme. Elle recommande de conduire l'analyse avant de désigner un DPO, et de la refaire avant de lui attribuer de nouvelles fonctions.

Trois mesures pour mettre fin au conflit

L'obligation de remédiation pèse sur l'organisme désignant. La CNIL énumère trois mesures possibles, dont le retrait des missions tierces qui placent le DPO en situation de conflit. Elle détaille ensuite deux mécanismes.

Le premier est le déport au profit d'un DPO suppléant, chargé du périmètre concerné par le conflit. L'organisme doit alors appliquer à ce suppléant les garanties des articles 37 à 39 du règlement : moyens d'accomplir ses fonctions, formation nécessaire, association aux questions de protection des données relevant de son périmètre. Le suppléant ne doit avoir aucun lien de subordination avec le DPO désigné sur ce périmètre.

La CNIL prend l'exemple d'un DPO d'assurance qui est aussi responsable de la lutte contre la fraude : il détermine les finalités et les moyens de certains traitements et doit se déporter. Un analyste anti-fraude ne peut pas être nommé suppléant sur ce périmètre, faute de pouvoir contrôler en toute indépendance des traitements décidés par son supérieur.

Le déport ne peut pas être formel. Un simple contreseing, sans pouvoir de décision réel du suppléant, ne suffit pas. L'organisme doit documenter le risque identifié, préciser la répartition des responsabilités entre le DPO et son suppléant, et s'assurer que tous les traitements restent couverts.

Le suppléant ne se déclare pas à la CNIL

La désignation d'un suppléant n'a pas à être déclarée. Le point de contact de l'organisme reste le DPO désigné, aux coordonnées transmises lors de la désignation. Si la CNIL sollicite l'organisme sur un traitement relevant du périmètre du déport, celui-ci doit informer la personne qui exerce effectivement les fonctions de DPO sur ce périmètre.

Le second mécanisme vise le cas d'un DPO externe personne morale désigné à la fois par un responsable de traitement et par son sous-traitant. L'exercice des fonctions peut alors être confié à des collaborateurs distincts au sein de cette structure, chacun tenu par une obligation de confidentialité ou par un secret professionnel. Chaque organisme désignant doit vérifier que la séparation est effective.