Votre délégué à la protection des données cumule peut-être sa fonction avec celle de RSSI, de directeur des ressources humaines, de directeur juridique ou de dirigeant. Cette organisation paraissait économique et cohérente : la même personne connaît les systèmes, les salariés et les traitements. La nouvelle grille publiée par la CNIL le 10 août 2026 oblige pourtant chaque entreprise à reprendre le dossier depuis le début. Le titre porté sur l’organigramme ne décide pas, à lui seul, de la compatibilité. La question est de savoir qui fixe réellement la finalité d’un traitement, choisit ses moyens, tranche une durée de conservation ou décide de la réponse donnée à une personne.
Une entreprise qui découvre un conflit ne doit ni conserver une désignation fictive ni congédier précipitamment le salarié concerné. Elle doit cartographier ses décisions effectives, isoler les périmètres problématiques et choisir une mesure qui fonctionne en pratique : retrait de certaines attributions, remplacement, externalisation ou déport vers un DPO suppléant. Ce dernier mécanisme, détaillé par la CNIL, ne se résume pas à un contreseing. Il suppose une personne autonome, formée, dotée de moyens et sans lien de subordination fonctionnelle sur le périmètre contrôlé. L’enjeu est immédiat : le DPO doit pouvoir vérifier les choix de l’entreprise sans auditer ses propres décisions.
I. Un RSSI, un DRH ou un dirigeant peut-il aussi être DPO ?
A. Comment reconnaître un conflit d’intérêts du DPO dans l’organigramme réel ?
Le règlement européen n’interdit pas au DPO d’exercer une autre activité. L’article 38, paragraphe 6, du RGPD énonce exactement : « Le délégué à la protection des données peut exécuter d’autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts. » Le cumul est donc possible. Il devient irrégulier lorsque la fonction tierce conduit le DPO à déterminer ce qu’il devra ensuite contrôler en toute indépendance.
La Cour de justice de l’Union européenne a fixé le test dans l’arrêt X-FAB du 9 février 2023, C-453/21. Elle juge mot pour mot qu’un conflit « est susceptible d’exister lorsqu’un délégué à la protection des données se voit confier d’autres missions ou tâches, qui conduiraient ce dernier à déterminer les finalités et les moyens du traitement ». L’appréciation se fait au cas par cas, selon toutes les circonstances pertinentes, la structure de l’organisme et ses règles internes. Une liste de métiers interdits ne remplace donc pas l’étude des pouvoirs exercés.
La finalité répond à la question : pourquoi l’entreprise traite-t-elle ces données ? Les moyens désignent les choix essentiels permettant ce traitement. Un DRH qui décide de créer un dispositif de surveillance des salariés, d’utiliser un logiciel d’évaluation ou de conserver des dossiers candidats pendant une certaine durée participe à la détermination des finalités et des moyens. S’il est aussi DPO, il devra contrôler une opération qu’il a décidée, soutenue ou arbitrée. Son expertise ne supprime pas ce conflit.
Le directeur général et les membres de la direction supérieure sont généralement exposés pour la même raison. Ils déterminent la stratégie, valident les budgets et arbitrent les traitements sensibles. La CNIL cite expressément le directeur général et le responsable des ressources humaines parmi les fonctions d’encadrement supérieur généralement incompatibles. Le critère peut aussi atteindre un cadre moins élevé lorsqu’il dispose, dans les faits, d’un pouvoir de décision sur un traitement.
Le cas du RSSI demande une analyse plus fine. La sécurité des données relève naturellement de son travail et le DPO doit coopérer avec lui. Le cumul devient problématique si le RSSI choisit la durée de conservation des journaux de connexion, décide des habilitations, arrête les mesures de sécurité, organise la surveillance du réseau ou tranche les demandes d’accès aux données des collaborateurs. Dans cette configuration, il conçoit un moyen du traitement puis doit vérifier sa conformité. À l’inverse, une mission d’exécution technique strictement encadrée, sans décision sur les objectifs ou les moyens essentiels, n’emporte pas automatiquement conflit.
Le directeur juridique n’est pas incompatible par nature. Le risque apparaît s’il représente l’entreprise dans un litige relatif aux données, fixe sa position sur une réclamation, décide d’un refus d’accès ou défend les choix qu’il devrait auditer comme DPO. Pour un DPO avocat ou salarié d’un cabinet, la CNIL invite à vérifier s’il a déjà représenté l’organisme dans un contentieux de protection des données. Le secret professionnel ne suffit pas à rendre compatibles deux missions dont les intérêts se heurtent.
Un mandat syndical ou une fonction de représentant du personnel n’établit pas davantage un conflit automatique. Le représentant peut toutefois voter sur un projet de contrôle de l’activité des salariés, puis être appelé à examiner ce même projet comme DPO. L’entreprise doit identifier ces situations avant le vote ou l’avis, pas après une plainte. La décision dépend des attributions réelles, de la fréquence des dossiers communs et de la possibilité d’organiser un retrait effectif.
Le même raisonnement vaut pour un DPO externalisé. Un prestataire qui agit comme sous-traitant sur un traitement, conseille son paramétrage, fournit l’outil et contrôle ensuite sa conformité peut se trouver placé des deux côtés de la décision. Un cabinet qui représente l’entreprise contre une personne concernée ne peut pas ignorer cette position lorsqu’il exerce parallèlement la mission de DPO. Le contrat doit décrire les activités tierces, les clients ou entités concernés, les règles de séparation et la procédure applicable lorsqu’un conflit apparaît.
L’analyse ne doit donc pas partir d’un intitulé de poste, mais d’une matrice des décisions. Pour chaque traitement important, l’entreprise identifie la personne qui propose la finalité, valide l’outil, détermine les destinataires, fixe la conservation, choisit la base juridique, arrête les mesures de sécurité et tranche les droits des personnes. Elle rapproche ensuite ces décisions des missions de contrôle énumérées par l’article 39 du RGPD, notamment informer, conseiller, contrôler le respect des règles, vérifier les analyses d’impact, coopérer avec l’autorité et servir de point de contact.
Le Conseil d’État rappelle que le DPO doit disposer des ressources, de l’accès et de l’indépendance nécessaires. Dans sa décision du 21 octobre 2022, n° 459254, il reproduit les articles 38 et 39 du RGPD et relève que le responsable du traitement doit permettre au DPO d’entretenir ses connaissances, ne lui donner aucune instruction sur ses missions et le faire rapporter directement au niveau le plus élevé de la direction. Il indique également que le considérant 97 exige un exercice « en toute indépendance ». Cette indépendance est fonctionnelle : elle doit se lire dans les circuits de décision, les accès et les moyens, non dans la seule fiche de poste.
Une fiche de poste peut même masquer un conflit. Un document affirme parfois que le DPO ne décide de rien, alors que les comptes rendus montrent qu’il valide seul les durées de conservation, choisit les prestataires ou autorise un traitement. À l’inverse, un titre de responsable informatique ne démontre pas que la personne fixe les finalités et moyens essentiels. L’audit doit recouper délégations de pouvoirs, matrices RACI, procès-verbaux de comités, tickets de décision, contrats, budgets et pratiques quotidiennes.
B. Quels risques l’entreprise encourt-elle si le DPO reste juge et partie ?
Le premier risque est l’inefficacité du contrôle. Un DPO qui a porté un projet aura plus de difficulté à demander sa suspension, à relever une absence de base légale ou à reconnaître que la conservation est excessive. Les analyses d’impact peuvent devenir formelles. Les alertes peuvent être retardées. Les demandes des salariés, clients ou partenaires peuvent être examinées par la personne qui a décidé la pratique contestée.
Le deuxième risque concerne la preuve de conformité. L’entreprise doit pouvoir démontrer qu’elle a organisé la fonction de DPO selon le RGPD. Une désignation déposée auprès de la CNIL ne prouve ni l’absence de conflit ni l’effectivité des moyens. En cas de contrôle, l’organigramme, les délégations, les avis rendus, les décisions de déport et les ressources deviennent des pièces centrales. Une procédure écrite créée après l’ouverture du contrôle sera moins convaincante qu’un dispositif daté, appliqué et révisé.
La CNIL peut recevoir une plainte, diligenter un contrôle, rappeler l’organisme à ses obligations, prononcer une mise en demeure ou saisir sa formation restreinte. Le Conseil d’État, le 27 mars 2023, n° 467774, résume ce pouvoir en indiquant que le président de la CNIL peut adresser un avertissement, un rappel aux obligations ou une mise en demeure de mettre les opérations en conformité, puis saisir la formation restreinte en vue de mesures correctrices et de sanctions. Le conflit du DPO peut aussi révéler d’autres manquements : défaut de conseil, analyse d’impact insuffisante, traitement illicite ou réponse irrégulière aux droits des personnes.
L’entreprise ne doit pas attendre nécessairement une mise en demeure avant toute sanction. Dans la décision Optical Center du 26 avril 2022, n° 449284, le Conseil d’État juge mot pour mot que « le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure ». Le fait d’avoir détecté le problème ou commencé à le corriger ne crée donc pas une immunité.
Une régularisation demeure utile. Elle réduit la durée du manquement, protège les personnes et peut peser dans le choix de la mesure. Elle n’efface pas automatiquement les faits passés. Le Conseil d’État, le 17 avril 2019, n° 423559, a jugé que la CNIL pouvait sanctionner sans mise en demeure préalable un manquement auquel il avait déjà été remédié, puisqu’il n’était plus susceptible de régularisation. La décision précise aussi que le montant dépend notamment de la gravité, des mesures d’atténuation et du degré de coopération.
La publication de la grille du 10 août 2026 ne crée pas une nouvelle interdiction détachée du RGPD. Elle explicite la lecture opérationnelle de l’article 38, paragraphe 6, à partir de l’arrêt X-FAB. Une entreprise ne peut pourtant pas l’écarter comme un simple conseil sans portée. Dans sa décision Cdiscount du 10 décembre 2020, n° 429571, le Conseil d’État rappelle que la CNIL peut établir et publier des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité et l’évaluation préalable des risques. Il relève qu’elle peut y donner son interprétation du RGPD dans le champ de ses prérogatives.
Le pouvoir de la CNIL reste adapté au contexte. Le Conseil d’État, le 16 octobre 2019, n° 433069, indique qu’elle dispose d’un « large pouvoir d’appréciation », notamment pour décider d’engager des poursuites ou des suites données aux plaintes, en tenant compte de la gravité, de la date, du contexte et des intérêts généraux dont elle a la charge. Une absence de sanction publique dans une affaire comparable ne garantit donc pas la même issue.
La proportionnalité se mesure aussi aux efforts de l’organisme. Dans la décision Optical Center précitée, le Conseil d’État reprend l’article 83 du RGPD : les amendes doivent être « effectives, proportionnées et dissuasives ». Sont notamment examinés la nature, la gravité, la durée, la négligence, les mesures prises pour atténuer le dommage, le degré de responsabilité et la coopération. La documentation d’un audit rapide et d’une remédiation effective ne doit donc pas être traitée comme une formalité interne.
Une correction prompte peut conduire la CNIL à privilégier une mesure de mise en conformité. Dans la décision Boursorama du 31 décembre 2024, n° 493549, le Conseil d’État relève « le bref délai écoulé entre la mise en demeure de se mettre en conformité et la cessation du manquement » ainsi que l’absence de préjudice établi pour valider l’absence de saisine de la formation restreinte. Cette solution ne portait pas sur le conflit du DPO, mais elle montre l’importance concrète de la vitesse, de la cessation et de la preuve.
Le risque ne se limite pas à l’amende. Une fonction de DPO décrédibilisée fragilise les audits clients, les appels d’offres, les opérations de cession et la relation avec les investisseurs. Elle peut aussi compliquer la défense de l’entreprise lorsque la personne concernée soutient que ses demandes ont été examinées par celui qui avait conçu le traitement. Le coût réel comprend alors la réorganisation, la reprise des dossiers, les conseils externes et les litiges qui auraient pu être évités.
Enfin, la correction ne doit pas devenir un problème social. Le salarié DPO bénéficie d’une indépendance fonctionnelle et ne peut être pénalisé pour l’exercice de ses missions. La décision du Conseil d’État du 21 octobre 2022, n° 459254 précise, à partir de l’arrêt Leistritz, que cette protection vise à préserver l’indépendance et l’effectivité du RGPD. Elle n’interdit pas toute sanction ou rupture fondée sur des carences étrangères à une alerte protégée, mais l’employeur doit pouvoir séparer le conflit d’organisation d’un reproche adressé à la personne.
II. Comment corriger un conflit d’intérêts du DPO sans désorganiser l’entreprise ?
A. Quel audit mener pour choisir entre remplacement, retrait de missions et DPO externe ?
La première étape consiste à figer la situation actuelle. L’entreprise conserve la désignation, le contrat ou la fiche de poste, les délégations, l’organigramme, le temps alloué, le budget, les avis du DPO, ses rapports annuels et la liste des traitements. Elle identifie aussi les décisions prises dans les fonctions tierces. L’objectif n’est pas de rechercher une formule rassurante, mais de comprendre où une même personne décide puis contrôle.
L’audit peut couvrir successivement les traitements RH, la sécurité, la prospection, les outils clients, la vidéoprotection, l’intelligence artificielle, les transferts internationaux et les incidents. Pour chacun, il répond à des questions simples : qui a proposé le traitement ? Qui a validé sa finalité ? Qui a choisi le logiciel et les paramètres essentiels ? Qui fixe les accès et la conservation ? Qui répond aux demandes ? Qui peut arrêter le traitement ? Les réponses doivent être appuyées par des pièces.
La matrice distingue ensuite quatre situations. Dans la première, aucune décision incompatible n’est exercée et le cumul peut être maintenu avec des moyens suffisants. Dans la deuxième, le conflit porte sur quelques dossiers identifiables et un déport effectif peut suffire. Dans la troisième, la fonction tierce détermine régulièrement des finalités ou des moyens ; le retrait de ces attributions ou le remplacement du DPO devient nécessaire. Dans la quatrième, les activités de l’organisme, sa taille ou ses relations avec ses prestataires justifient une externalisation distincte.
Le choix doit rester proportionné à l’organisation. Une PME peut conserver un DPO à temps partiel si ses autres missions n’empiètent pas sur son indépendance et si le temps disponible suffit. Elle n’est pas obligée d’externaliser par principe. Une grande entreprise ne peut pas, à l’inverse, justifier un cumul problématique par la seule connaissance historique du titulaire. Plus les traitements sont nombreux et sensibles, plus la séparation des fonctions, l’équipe et les ressources devront être robustes.
Le rapport d’audit doit qualifier chaque conflit, son périmètre et sa fréquence. Il précise les traitements concernés, les décisions incompatibles, les personnes exposées et la mesure recommandée. Il distingue le risque avéré du risque potentiel. Cette nuance évite deux erreurs : déclarer toutes les fonctions incompatibles sans examiner les pouvoirs, ou conclure à l’absence de conflit parce qu’aucune plainte n’a encore été reçue.
L’entreprise peut aussi demander au DPO de déclarer périodiquement ses fonctions tierces et les changements de périmètre. Cette déclaration ne transfère pas sur lui la responsabilité de l’organisation. L’article 38 impose au responsable du traitement ou au sous-traitant de veiller à l’absence de conflit. La direction doit donc examiner la déclaration, prendre une décision et financer la solution retenue.
Le comité de direction reçoit une synthèse, mais il ne dicte pas au DPO le résultat de son analyse sur les traitements. Il arbitre l’organisation, le budget et la répartition des fonctions. Le DPO doit pouvoir consigner un désaccord. Le compte rendu indique les mesures décidées, leur responsable et leur échéance, sans transformer l’avis indépendant en validation de la direction.
Le remplacement du DPO nécessite de vérifier les qualités professionnelles, la connaissance du droit et des pratiques, les moyens et l’accès au niveau le plus élevé. L’article 37 du RGPD prévoit une désignation fondée sur les qualités professionnelles et, en particulier, les connaissances du droit et des pratiques de protection des données ainsi que la capacité d’accomplir les missions. Un intitulé de juriste, d’informaticien ou de consultant ne suffit pas à établir ces capacités.
Si le DPO est salarié, le changement doit être préparé avec les documents contractuels et les règles de droit du travail applicables. Retirer la fonction de DPO n’autorise pas à réduire automatiquement la rémunération, la qualification ou les responsabilités sans examiner la situation. L’entreprise doit aussi conserver les dossiers, organiser la transmission et éviter toute mesure qui pourrait apparaître comme une sanction liée à une alerte ou à un avis défavorable.
Si le DPO est externe, le contrat doit être relu avant la résiliation ou la réorganisation. Il faut contrôler les obligations de préavis, de restitution, de confidentialité, d’assistance et de continuité. Le nouveau prestataire ne doit pas reprendre sans examen une architecture qui créait déjà le conflit. Les autres prestations du cabinet ou de la société externalisée sont recensées afin de vérifier qu’elles ne l’amènent pas à auditer ses propres choix.
La décision finale doit être traçable. Elle décrit les faits examinés, le test juridique appliqué, le traitement des cas limites et les raisons pour lesquelles la mesure choisie est effective. Le Conseil d’État, le 9 avril 2024, n° 487715, rappelle que la CNIL peut mettre en demeure un responsable de traitement de mettre ses opérations en conformité et demander qu’il en soit justifié. Une documentation prête avant toute demande réduit le risque d’une réponse improvisée et contradictoire.
B. Comment organiser un déport et un DPO suppléant réellement indépendants ?
La grille du 10 août 2026 ouvre une solution utile lorsque le conflit reste limité : le DPO se retire du dossier et un DPO suppléant exerce ses fonctions sur ce périmètre. Cette option permet de conserver un titulaire compétent sans lui demander de contrôler une décision prise dans son autre fonction. Elle échoue si le suppléant se contente d’approuver une analyse préparée par le titulaire ou dépend de lui pour sa carrière, ses moyens ou ses instructions.
La procédure commence par un événement déclencheur. Le conflit peut être signalé par le DPO, la direction, le RSSI, les ressources humaines, un chef de projet ou un membre du comité de conformité. Dès le signalement, le traitement concerné, la décision à prendre et les fonctions tierces du titulaire sont décrits. Une personne indépendante décide si le déport est nécessaire selon les critères approuvés par l’entreprise.
Le document de déport précise la date, le périmètre, la durée et les pouvoirs transférés. Il indique qui recevra les informations, rendra les avis, assistera aux réunions, répondra aux personnes et échangera avec la CNIL. Il désigne aussi les dossiers qui restent au titulaire afin d’éviter un vide de contrôle. La CNIL recommande de documenter la répartition des responsabilités pour garantir que tous les traitements restent couverts.
Le suppléant bénéficie des garanties prévues aux articles 37 à 39 du RGPD. Il reçoit les ressources nécessaires, accède aux données et aux opérations, entretient ses connaissances et fait remonter son avis au bon niveau. Il ne reçoit aucune instruction sur le résultat du contrôle. La direction peut lui demander une analyse datée et argumentée ; elle ne peut pas lui imposer d’écarter un risque ou d’adopter la position défendue par l’équipe opérationnelle.
L’absence de lien de subordination fonctionnelle constitue un point décisif. Si le DPO est aussi responsable de la lutte contre la fraude, un analyste placé sous ses ordres ne peut pas contrôler de façon autonome les traitements qu’il a décidés. La CNIL donne précisément cet exemple. Le suppléant peut appartenir à une autre ligne hiérarchique, être rattaché directement à la direction ou être externe, selon la structure et le périmètre.
Le déport doit produire des effets visibles. Le titulaire ne prépare pas seul l’avis, ne filtre pas les documents et ne choisit pas les questions transmises au suppléant. Les équipes concernées communiquent directement avec ce dernier. Les comptes rendus distinguent les positions de chacun. Si le suppléant estime que le traitement doit être suspendu ou modifié, son avis atteint le niveau le plus élevé sans réécriture par la personne en conflit.
La CNIL n’exige pas la désignation administrative du suppléant comme second point de contact permanent. Le DPO déclaré demeure le contact officiel. Si l’autorité interroge l’entreprise sur un traitement relevant du déport, l’organisme doit toutefois s’assurer que la personne exerçant effectivement les missions sur ce périmètre soit informée et puisse intervenir. Cette organisation doit apparaître dans la procédure interne et dans le registre de décision.
Pour un DPO externe personne morale intervenant à la fois auprès d’un responsable de traitement et de son sous-traitant, des collaborateurs distincts peuvent exercer effectivement la mission pour chaque organisme. La séparation doit être réelle : confidentialité, absence de subordination sur le dossier, accès séparés et capacité d’émettre des avis divergents. Le simple changement de nom sur la page de garde ne règle pas le conflit si le même responsable commercial ou technique décide pour les deux équipes.
La procédure prévoit une revue périodique. Un déport ponctuel peut devenir permanent si les conflits se répètent sur les traitements centraux. Dans ce cas, le maintien du titulaire perd sa logique et le remplacement ou l’externalisation doit être réexaminé. À l’inverse, un changement d’attributions peut supprimer le conflit et permettre la fin du déport. Chaque clôture est motivée et datée.
L’entreprise doit enfin vérifier l’effectivité par un test. Elle choisit un dossier récent, contrôle les accès du suppléant, la date de son intervention, les informations reçues, son autonomie et le suivi de ses recommandations. Ce test peut être intégré à l’audit RGPD annuel. Il révèle les procédures qui existent sur le papier mais ne fonctionnent pas lorsque survient une décision urgente.
Les mesures doivent être communiquées aux équipes qui lancent des traitements. Elles n’ont pas besoin de connaître tous les détails sociaux ou contractuels. Elles doivent savoir identifier un conflit, saisir le bon interlocuteur et ne pas attendre l’avis de la personne qui a porté le projet. Une fiche courte, un formulaire de signalement et une matrice de contact rendent la séparation utilisable.
La réussite se mesure par des éléments concrets : avis rendus avant les décisions, temps disponible, accès complet, dossiers de déport documentés, traitement des désaccords et suivi des recommandations. Une organisation qui compte seulement le nombre de réunions du DPO manque le point principal. Le contrôle doit modifier les projets lorsqu’un risque juridique le justifie.
Conclusion
La publication de la CNIL du 10 août 2026 ne commande pas de remplacer tous les RSSI, DRH, directeurs juridiques ou représentants du personnel qui exercent aussi comme DPO. Elle commande un examen des pouvoirs réels. Le cumul devient problématique lorsque la personne détermine la finalité ou les moyens d’un traitement qu’elle doit ensuite contrôler. L’arrêt X-FAB impose une appréciation au cas par cas ; la grille CNIL montre comment l’appliquer aux organigrammes internes, aux DPO externes et aux missions mutualisées.
L’entreprise doit agir sans improviser. Elle cartographie les décisions, recoupe les fiches de poste avec la pratique, qualifie chaque conflit et choisit une réponse adaptée. Le remplacement ou le retrait d’attributions reste nécessaire lorsque le conflit structure la fonction. Le déport et le DPO suppléant conviennent à un périmètre identifiable, à condition que le suppléant ait des moyens, un accès direct, une autonomie réelle et aucune subordination fonctionnelle envers le titulaire sur le dossier.
La correction doit être rapide, documentée et respectueuse de l’indépendance du DPO. Une régularisation tardive ne garantit pas l’absence de sanction, mais sa date, son effectivité et la coopération de l’entreprise pèsent dans l’analyse. Le dossier à conserver tient en quelques pièces vérifiables : matrice des décisions, rapport de conflit, mesure choisie, répartition des responsabilités, preuves des ressources et test d’effectivité.
Besoin d’un avis rapide sur votre dossier. Le cabinet propose une consultation téléphonique sous 48 heures avec un avocat afin d’examiner l’organigramme, les missions cumulées et la mesure de remédiation adaptée. Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact. Le cabinet intervient à Paris et en Île-de-France pour accompagner les entreprises dans leurs audits, contrats et contentieux.
Pour replacer cette question dans l’organisation juridique de l’entreprise, consultez la page avocat en droit des affaires à Paris. La gestion du DPO doit aussi être coordonnée avec les procédures décrites dans notre article sur la fuite de données de prospects et la notification à la CNIL.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.