La CNIL a mis en ligne le 10 août 2026 une fiche pratique consacrée à l'identification et à la gestion des conflits d'intérêts liés à la fonction de délégué à la protection des données. Le document s'appuie sur les articles 37 à 39 du RGPD et sur l'arrêt CJUE, 9 février 2023, X-FAB Dresden, C-453/21, selon lequel un délégué ne peut se voir confier des missions le conduisant à déterminer les finalités et les moyens des traitements qu'il contrôle. Les collectivités, syndicats mixtes et établissements publics, qui confient souvent la fonction à un agent déjà en poste ou à un délégué mutualisé par un centre de gestion, sont directement concernés. La question est celle de la compatibilité entre la fonction de DPO et les autres responsabilités exercées par la même personne.
Le cumul est permis à condition que le délégué ne soit pas juge et partie sur les traitements
L'article 38, paragraphe 6, du RGPD autorise le délégué à exercer d'autres missions, pourvu qu'elles n'entraînent pas de conflit d'intérêts et lui laissent le temps nécessaire. Le conflit naît lorsque les missions de contrôle de l'article 39 se cumulent avec un pouvoir de décision sur les traitements. Les fonctions de direction générale, de direction des ressources humaines ou de direction des systèmes d'information sont en principe incompatibles. Un niveau hiérarchique inférieur ne met pas à l'abri si la personne arrête, dans les faits, les finalités ou les moyens d'un traitement : la fiche cite le délégué qui est aussi responsable de la sécurité des systèmes d'information et qui fixe la durée de conservation des journaux, valide les mesures de sécurité ou décide des accès aux données des agents.
La CNIL vise aussi des situations moins attendues : la participation du délégué à un comité d'éthique ou de déontologie amené à rendre des avis sur des projets fondés sur des données, et l'exercice d'un mandat de représentant du personnel ou d'un mandat syndical lorsque l'instance se prononce sur des dispositifs de contrôle de l'activité des agents.
Les délégués externes et mutualisés sont soumis à la même grille d'analyse
Pour le délégué externalisé, la fiche identifie le cas de l'avocat ou du collaborateur de cabinet qui a déjà représenté l'organisme dans un contentieux relatif aux données, et celui du délégué appartenant au personnel d'un organisme aux intérêts potentiellement contraires : sous-traitant, responsable conjoint, source ou destinataire des données. Le délégué mutualisé, formule répandue entre communes, intercommunalités et centres de gestion, ne doit pas être désigné par deux organismes dont les intérêts peuvent s'opposer.
Le déport vers un suppléant doit être effectif et documenté
L'organisme doit mettre fin au conflit identifié par le remplacement du délégué, le retrait des missions en cause ou d'autres mesures. Pour le délégué interne, la CNIL décrit le déport vers un suppléant, qui assure les fonctions sur le périmètre du conflit ; un simple contreseing sans pouvoir réel ne suffit pas. Le risque doit être documenté, la répartition des responsabilités doit couvrir tous les traitements, le suppléant doit disposer des moyens et de la formation prévus par les articles 37 à 39, et aucun lien de subordination ne doit l'unir au délégué désigné. Le suppléant n'est pas déclaré à la CNIL, qui ne connaît que le délégué désigné. Pour un délégué personne morale commun au responsable et au sous-traitant, la CNIL exige des collaborateurs distincts, tenus à la confidentialité et sans lien hiérarchique entre eux.
Ce que la fiche induit pour les collectivités et établissements publics employeurs
L'acte de désignation du délégué doit être relu à la lumière de cette grille. Une collectivité qui a désigné son directeur des systèmes d'information, son responsable de la sécurité informatique ou son directeur des affaires juridiques chargé de piloter les projets numériques doit soit redistribuer les attributions, soit organiser un déport formel vers un suppléant indépendant. La délibération ou la décision de désignation doit mentionner le temps alloué à la fonction. Les conventions de mutualisation passées avec un centre de gestion ou un syndicat informatique doivent prévoir une clause de prévention des conflits d'intérêts et une procédure de déport lorsque le délégué intervient pour deux entités dont les intérêts divergent. Les marchés de prestation de délégué externe doivent interdire au titulaire de représenter l'organisme dans un contentieux relatif aux données pendant la durée du contrat. La CNIL recommande de mener cette analyse avant toute désignation ou attribution de nouvelles missions et d'en conserver la trace.
Références : CNIL, « Délégué à la protection des données : identifier et gérer les conflits d'intérêts liés à la fonction de DPO », 10 août 2026 ; CJUE, 9 février 2023, X-FAB Dresden GmbH & Co. KG, aff. C-453/21.
