Conflit d'intérêts du DPO : organiser un déport
Conflit d'intérêts du DPO : définir le périmètre du déport, choisir un suppléant indépendant et documenter un fonctionnement effectif.
Un DPO ne peut pas contrôler indépendamment un traitement dont il détermine les finalités et les moyens dans une autre fonction. Un déport peut remédier à un conflit circonscrit, mais seulement si une autre personne exerce réellement les missions de DPO sur ce périmètre. Ajouter une seconde signature au même avis ne suffit pas.
La première décision consiste à comparer les solutions : retirer la fonction incompatible, changer de DPO ou organiser une remédiation effective. Le maintien des deux fonctions n’est pas un objectif à atteindre à tout prix. Si le périmètre ne peut être isolé ou contrôlé indépendamment, le déport ne résout pas le problème.
Rechercher le pouvoir réel plutôt que l’intitulé du poste
L’Art. 38(6) du RGPD permet au DPO d’exercer d’autres tâches, à condition qu’elles ne créent pas de conflit d’intérêts. L’Art. 39(1)(b) lui confie notamment le contrôle du respect du règlement. La difficulté apparaît lorsque les fonctions opérationnelles le conduisent à définir ce qu’il devra ensuite examiner de manière indépendante. Art. 38 et 39.
Reconstituez une décision concrète : qui fixe les données collectées, les usages, les destinataires, les droits ou les durées ? Qui peut modifier ces choix ? Une fiche de poste « conseil » peut masquer un pouvoir d’arbitrage. Inversement, préparer une analyse technique pour un décideur n’a pas nécessairement la même portée que déterminer le traitement.
Ne limitez pas l’examen aux organigrammes. Regardez les délégations, validations dans les outils et décisions effectivement prises. Une personne sans titre de direction peut exercer un pouvoir déterminant. Les missions confiées doivent également laisser au DPO les ressources nécessaires à son travail, conformément à l’Art. 38(2) : l’absence de conflit ne compense pas une indisponibilité permanente.
Ce que l’arrêt X-FAB établit exactement
Dans l’affaire C-453/21, X-FAB Dresden, jugée le 9 février 2023, un salarié cumulait notamment les fonctions de président du comité d’entreprise et de délégué à la protection des données. Le litige concernait son retrait de la fonction de DPO. La Cour répond à des questions d’interprétation du RGPD ; elle ne remplace pas le juge national dans l’examen complet du cumul concret.
Aux points 40 à 46, elle écarte une incompatibilité de principe entre toute fonction supplémentaire et celle de DPO. Elle souligne toutefois que le délégué ne doit pas être chargé de missions le conduisant à déterminer les finalités et les moyens des traitements qu’il doit contrôler indépendamment. L’appréciation doit tenir compte de toutes les circonstances, de l’organisation et des règles applicables. CJUE, C-453/21, points 10–17 et 38–46.
La conséquence pratique n’est donc ni « tout cumul est permis » ni « tout représentant du personnel est automatiquement incompatible ». Il faut relier les pouvoirs exercés aux traitements concernés. Une procédure de déport doit partir de cette analyse, et non d’une formule générale signée chaque année.
L’arrêt rappelle aussi la protection de l’indépendance fonctionnelle. L’Art. 38(3) interdit de relever le DPO de ses fonctions ou de le pénaliser pour l’exercice de ses missions. Faire disparaître un avis défavorable en qualifiant artificiellement son auteur de personne « en conflit » détournerait cette logique. Un désaccord professionnel doit être distingué d’un cumul incompatible.
Quand le déport est-il une solution possible ?
La CNIL a précisé le 10 août 2026 qu’un DPO interne peut se déporter au profit d’un suppléant sur le périmètre du conflit. La répartition doit être documentée, les garanties des Art. 37 à 39 appliquées et la suppléance effective. Le suppléant ne doit pas être subordonné au DPO initial dans l’exercice de ces fonctions. CNIL, identifier et gérer les conflits d’intérêts.
Pour choisir, comparez trois questions. Le conflit concerne-t-il un traitement identifiable ou l’essentiel de l’activité ? Existe-t-il une personne suffisamment compétente et disponible ? Peut-elle accéder aux informations et faire rapport sans validation du responsable dont elle contrôle les choix ?
Un conflit étendu à presque tous les projets peut rendre la répartition illisible. Le retrait de la fonction opérationnelle ou le remplacement du DPO peut alors offrir une organisation plus robuste. S’il est décidé de remplacer le titulaire, la passation du dossier DPO doit préserver les demandes en cours, les échéances et les alertes.
Le suppléant n’hérite pas pour autant du pouvoir de décider le traitement. Ses missions de conseil et de contrôle restent distinctes des décisions de l’organisme. Lui confier la définition des usages qu’il devra surveiller recréerait la difficulté au lieu de la résoudre.
Une note de déport renseignée et commentée
Exemple hypothétique. Une entreprise a confié à son DPO une autre mission : piloter son dispositif interne de formation. Dans ce rôle, il décide des indicateurs nominatifs de suivi, de leurs destinataires et de leur utilisation par les managers. L’entreprise identifie un conflit sur ces traitements, sans conclure que tous ses autres traitements sont concernés.
Elle retient une juriste qui n’a pas participé à ces décisions, dispose des compétences nécessaires en protection des données et n’est pas placée sous l’autorité du responsable de formation pour cette mission. Avant de retenir le dispositif, la direction lui attribue effectivement du temps, les accès nécessaires et un circuit direct de rapport.
La note D-2 ci-dessous est une proposition de rédaction appliquée à cet exemple, pas un formulaire réglementaire.
| Rubrique | Organisation retenue dans D-2 |
|---|---|
| Origine du conflit | DPO également décideur du suivi nominatif des formations internes |
| Périmètre de déport | Collecte des inscriptions, suivi de participation, indicateurs individuels, communications aux managers et outils utilisés pour ces opérations |
| Missions exercées par la suppléante | Conseil, contrôle, examen des évolutions et des analyses d’impact, coopération avec l’autorité et suivi des questions des personnes sur ce périmètre |
| Rôle du titulaire dans ce dossier | Fournir les faits comme responsable opérationnel de formation ; ne pas valider ni réviser l’avis de la suppléante |
| Décision sur les traitements | Direction et responsables habilités de l’entreprise, avec traçabilité des arbitrages |
| Accès et ressources | Accès direct à la documentation et aux interlocuteurs, temps réservé à la mission, moyens de formation et appui technique identifiés |
| Rapport et confidentialité | Avis adressés directement à la direction ; accès au dossier limité aux acteurs nécessaires |
| Revue du dispositif | Nouvelle mission du titulaire, changement de hiérarchie de la suppléante, extension des indicateurs ou indisponibilité durable |
Le périmètre doit suivre les données. Déporter seulement la réunion de choix du logiciel serait insuffisant si le titulaire contrôle ensuite lui-même les exports transmis aux managers. La note couvre les opérations en aval qui appartiennent au même traitement et leurs évolutions.
La compétence doit être vérifiée. L’Art. 37(5) vise des connaissances spécialisées et la capacité d’accomplir les missions. Dans cet exemple, l’entreprise documente l’expérience pertinente de la juriste et ses besoins de formation. Son seul titre ne constitue pas la preuve de sa capacité à exercer la suppléance.
Les moyens doivent exister. Les Art. 38(1) et (2) exigent association en temps utile, accès et ressources. Un accès promis mais jamais ouvert empêche le contrôle. La direction doit pouvoir identifier qui fournit les documents, qui débloque un accès et comment la suppléante obtient l’appui nécessaire. Art. 37 à 39.
Appliquer la note à un projet précis
Dans la suite de l’exemple fictif, le service formation propose d’ajouter un indicateur individuel de retard aux managers. La suppléante reçoit la description avant l’arbitrage, interroge les équipes et demande de justifier la nécessité du niveau nominatif. Le titulaire apporte les faits dans son rôle opérationnel ; il ne corrige pas son avis.
La direction décide de ne pas déployer cet indicateur individuel et retient une information agrégée pour le pilotage proposé. La suppléante consigne sa lecture de la décision puis vérifie que l’export transmis aux managers ne réintroduit pas le détail écarté. Les échanges et le contrôle sont versés au dossier D-2. Cette démonstration est hypothétique ; elle n’est pas un résultat d’audit réellement réalisé.
Ce chemin illustre les trois fonctions séparées : proposition opérationnelle, avis indépendant, décision suivie d’un contrôle. Un simple contreseing aurait laissé le titulaire préparer et approuver son propre contrôle.
Si la direction retient une autre solution que celle conseillée, le dossier de désaccord entre DPO et direction doit préserver les motifs et les positions. Le déport garantit l’indépendance de l’avis, pas son adoption automatique ni une dispense de conformité pour le décideur.
Éviter les trous dans les demandes et les alertes
Une répartition de dossiers doit couvrir les sollicitations imprévues : demande d’accès, plainte d’un salarié, incident concernant un export ou contrôle de l’autorité. Ne faites pas dépendre leur transmission du bon vouloir de la personne dont les décisions sont examinées.
La CNIL indique que le suppléant n’a pas à être déclaré auprès d’elle. Le DPO désigné reste son point de contact ; l’organisme doit veiller à transmettre au suppléant les échanges relatifs à son périmètre. Précisions de la CNIL sur le point de contact.
En pratique, la note D-2 prévoit un circuit de réception permettant d’identifier les demandes « formation », d’en assurer la transmission et d’en vérifier la prise en charge. Les échéances du dossier restent suivies pendant l’absence d’un interlocuteur. Ne partagez pas pour autant tous les dossiers confidentiels entre tous les membres de l’équipe : les accès doivent correspondre à la répartition effective.
Avec un DPO mutualisé, examinez aussi les intérêts des organismes concernés. La solution décrite pour un cumul interne ne peut être transposée automatiquement à un prestataire intervenant pour plusieurs entités. Les pouvoirs, relations et risques d’influence doivent être analysés dans leur contexte.
Ce qu’il faut retenir
- Identifiez les pouvoirs qui empêchent le contrôle indépendant d’un traitement.
- Choisissez une remédiation adaptée au périmètre ; le déport n’est pas toujours suffisant.
- Écrivez les missions et donnez réellement compétences, moyens, accès et indépendance.
- Vérifiez les décisions, les demandes urgentes et les changements d’organisation.
FAQ
Un désaccord avec la direction prouve-t-il un conflit d’intérêts ?
Non. Le désaccord peut relever normalement du conseil et du contrôle. Le conflit exige une analyse des autres fonctions et des circonstances qui compromettent l’exercice indépendant des missions.
Le suppléant peut-il être choisi parce qu’il signe toujours les avis du titulaire ?
Une signature de convenance ne répond pas au besoin. Il doit pouvoir mener sa propre analyse, accéder aux informations et rapporter ses conclusions sans approbation du DPO déporté.
Peut-on conserver le dispositif si le suppléant change de poste ?
Il faut réexaminer ses missions, sa disponibilité et ses liens hiérarchiques. Si les garanties ne sont plus réunies, l’organisme doit modifier la répartition ou choisir une autre remédiation effective.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.