Choisir son Délégué à la Protection des Données (DPO) est une étape clé pour toute organisation, mais le processus s’avère souvent périlleux. Si la désignation d’un DPO en interne est parfaitement autorisée par le RGPD, le cumul de fonctions expose très facilement votre entreprise ou votre organisme à un risque majeur : le conflit d’intérêts.
Le 10 août 2026, la CNIL a tenu à rappeler fermement les règles applicables en la matière. Cette prise de position annonce une vague imminente de contrôles et de potentielles sanctions pour les entités non conformes.
DPO et cumul de fonctions : ce que dit le RGPD
Le Règlement Général sur la Protection des Données (RGPD) permet à un DPO de cumuler ses missions avec d’autres fonctions. Toutefois, une condition stricte s’impose : ce cumul ne doit en aucun cas compromettre son indépendance.
Un conflit d’intérêts survient dès lors que le DPO dispose d’un pouvoir décisionnel sur les finalités (le pourquoi) et les moyens (le comment) des traitements de données personnelles. S’il participe à la décision, il ne peut plus exercer son rôle de contrôle en toute neutralité : il devient alors « juge et partie ».
Quels sont les postes et situations à risque ?
Pour éviter de vous exposer à une sanction, il est essentiel d’évaluer le rôle réel exercé par votre DPO. La CNIL et les autorités européennes identifient plusieurs situations incompatibles :
-
Les fonctions d’encadrement supérieur : Un Directeur Général (DG), un Directeur des Ressources Humaines (DRH) ou un Directeur des Systèmes d’Information (DSI) ne peuvent pas être DPO, car ils décident directement de l’orientation stratégique et des outils de traitement des données.
-
Le cumul DPO et RSSI : Cumuler la fonction de DPO avec celle de Responsable de la Sécurité des Systèmes d’Information (RSSI) crée un risque direct de conflit d’intérêts si la personne arbitre seule les choix techniques et décisionnels liés aux traitements.
-
La participation à certains comités : Un membre de comité d’éthique ou d’innovation qui prend position sur des projets stratégiques impliquant des données personnelles perd la neutralité requise.
-
Les mandats de représentation : L’exercice d’un mandat de représentant du personnel ou de délégué syndical est également incompatible avec les fonctions de DPO.
Codexio Avocats vous accompagne dans l’audit de votre gouvernance Data, l’analyse du statut de votre DPO et sa mise en conformité, ou prend en charge la mission de DPO externe certifié pour garantir l’indépendance totale de votre organisation face aux exigences de la CNIL.