« Le DPO ne peut pas être juge et partie » : la CNIL outille les organismes

Une obligation qui pèse sur l'organisme, non sur le délégué

Le RGPD n'interdit pas au délégué à la protection des données d'exercer d'autres missions. Son article 38.6 le permet expressément, à la condition que ces missions n'entraînent pas de conflit d'intérêts. La CNIL rappelle que la charge de cette vérification n'incombe pas au délégué lui-même, mais à l'organisme qui le désigne : lorsqu'un conflit est caractérisé, celui-ci a l'obligation d'y mettre fin.

Le principe directeur tient en une formule : le DPO ne doit pas être juge et partie. Le test central proposé par la CNIL consiste à se demander si les autres missions confiées créent un risque que le délégué exerce une autorité sur des traitements qu'il est précisément chargé de contrôler.

L'autorité s'appuie sur les articles 37 à 39 du RGPD ainsi que sur l'arrêt de la Cour de justice de l'Union européenne X-FAB Dresden GmbH & Co. KG contre FC (affaire C-453/21), devenu la référence en matière de conflit d'intérêts du délégué.

Les fonctions généralement incompatibles

La CNIL ne publie pas une liste fermée de métiers proscrits, mais des catégories fonctionnelles.

Les fonctions d'encadrement supérieur sont présentées comme « généralement incompatibles » avec celles de DPO ; la fiche cite le directeur général et le responsable des ressources humaines. Les fonctions d'encadrement de niveau inférieur ne sont pas écartées par principe, mais le deviennent dès lors qu'elles amènent leur titulaire à déterminer les finalités et les moyens des traitements.

Sont également visées toute fonction créant un pouvoir décisionnel sur les finalités ou les moyens des traitements, les mandats de représentant du personnel et les mandats syndicaux — en raison des prises de position qu'ils supposent sur des sujets liés aux données — ainsi que la participation à des organes décisionnels tels que les comités d'éthique ou de déontologie.

Le critère retenu est donc fonctionnel et non nominal : c'est le pouvoir de décision sur les traitements qui déclenche l'incompatibilité, indépendamment de l'intitulé du poste.

Une analyse préalable, différenciée selon le type de délégué

La CNIL recommande — le terme est important, il ne s'agit pas d'une obligation à ce stade — de conduire une analyse des conflits potentiels avant la désignation du délégué, ou avant l'attribution de nouvelles fonctions à un délégué déjà en poste.

Trois grilles de questions sont proposées selon la configuration retenue.

Pour un DPO interne : exerce-t-il d'autres fonctions ou missions ? des fonctions d'encadrement ? dispose-t-il d'un pouvoir décisionnel sur les finalités et les moyens des traitements ? est-il amené à prendre position sur des projets liés aux données ? exerce-t-il un mandat de représentation du personnel ?

Pour un DPO externalisé : a-t-il participé antérieurement à un contentieux relatif à la protection des données impliquant l'organisme ? appartient-il à une structure susceptible d'avoir des intérêts contraires — sous-traitant, responsable conjoint, source ou destinataire des données ?

Pour un DPO mutualisé : est-il désigné par des organismes susceptibles d'avoir des intérêts contraires ? Cette dernière configuration retiendra l'attention des groupements hospitaliers de territoire et, plus largement, de toutes les structures ayant mutualisé la fonction.

Remédier : trois voies, dont le déport

Lorsqu'un conflit est identifié, la CNIL envisage le remplacement du délégué, le retrait des missions tierces à l'origine du conflit, ou d'autres mesures de remédiation.

Parmi ces dernières, le déport fait l'objet d'un développement spécifique. Le mécanisme consiste à confier à une autre personne l'exercice des fonctions de DPO sur le seul périmètre concerné par le conflit. Il est strictement encadré : le DPO suppléant doit bénéficier des garanties prévues aux articles 37 et 39 du RGPD, aucun lien de subordination hiérarchique ne doit exister avec le délégué désigné, le risque comme la répartition des responsabilités doivent être documentés, et le suppléant ne doit pas être déclaré auprès de la CNIL. L'autorité prévient explicitement que le déport ne doit pas constituer une mesure purement formelle.

Lorsque le délégué est une personne morale, la remédiation passe par l'attribution effective des fonctions à des collaborateurs distincts, soumis à une obligation de confidentialité ou au secret professionnel, et sans lien de subordination entre eux.

À retenir
· Le cumul de fonctions n'est pas interdit en soi : c'est le conflit d'intérêts qui l'est.
· L'obligation d'y mettre fin pèse sur l'organisme désignant, pas sur le délégué.
· Le critère déclencheur est le pouvoir de décision sur les finalités et les moyens des traitements, quel que soit l'intitulé du poste.
· L'analyse doit être conduite avant la désignation, ou avant tout ajout de missions à un DPO en poste.
· Le déport vers un DPO suppléant doit être effectif et documenté, jamais formel.