Aller au contenu principal
Quel logiciel RGPD

Qui ne peut pas être DPO chez vous ?

Pour qui : Votre direction veut confier le rôle de délégué à la protection des données à une personne déjà en poste, DSI, DAF ou responsable RH. Vous devez dire si c’est tenable.

Ne peut pas être DPO une personne dont les autres fonctions la conduisent à décider des finalités et des moyens d’un traitement. L’appréciation se fait au cas par cas.

La CNIL cite comme susceptibles de poser ce conflit : direction générale, secrétariat général, direction financière ou opérationnelle, médecin-chef, responsables marketing, ressources humaines et service informatique. Un poste moins élevé est concerné aussi s’il conduit aux mêmes décisions.

Notre avis

Écartez la direction générale, et ne prenez pas le DSI, le DAF ou le responsable RH par facilité. Posez les questions de la CNIL par écrit, avant la désignation.

Pourquoi

  • Le critère porte sur le pouvoir de décider des finalités et des moyens. L’intitulé n’est qu’un indice.
  • La personne qui choisit les outils ou fixe les durées devrait contrôler ses propres choix, ce que la CNIL appelle être juge et partie.
  • Corriger après coup impose de remplacer le DPO, de retirer des missions ou d’organiser un déport documenté.

Ce qui change le choix

Un RSSI ou un juriste peut convenir s’il n’a pas de pouvoir de décision sur ces traitements. Si ses décisions réelles le confirment, écrivez-le et désignez-le.

Comparez la fonction à quatre décisions réelles

Ces questions reprennent le raisonnement de la CNIL, avec notre formulation. Un oui appelle une analyse, et un pouvoir de décision écarte la personne.

  1. Décide-t-elle pourquoi un traitement existe ? Lancer une campagne, choisir de suivre l’activité de salariés, ouvrir un service.
  2. Décide-t-elle comment il se fait ? Choisir le logiciel, le prestataire, les données collectées, les destinataires.
  3. Fixe-t-elle ses paramètres ? La CNIL prend l’exemple d’un RSSI : détermine-t-il la durée de conservation des journaux de connexion, a-t-il un rôle de décision sur une demande d’accès aux données des collaborateurs ?
  4. Prend-elle position ailleurs sur ces projets ? Vote de représentant du personnel, comité d’éthique. La CNIL y voit un risque possible, à examiner.

Les cas que la CNIL tranche ou commente

Fonctions lues dans le guide et l’article de la CNIL
ProfilLecture de la CNIL
RSSIPossible s’il n’a pas de pouvoir de décision sur les finalités et les moyens.
Élu de la collectivitéImpossible : il participe aux décisions sur les traitements.
Secrétaire de mairiePossible seulement s’il ne prend pas part aux décisions sur les fichiers et s’il a le temps nécessaire.
Stagiaire ou apprentiNon exclu par le texte, difficilement compatible avec les exigences de la fonction.
Avocat, DPO externePossible, sans représenter l’organisme en justice sur ces sujets. La page « Devenir délégué » dit ce cumul interdit dans tous les cas, le guide le lie au conflit possible : tenez-vous à la lecture la plus stricte.
Prestataire aussi sous-traitantPas d’interdiction de principe, analyse au cas par cas, contacts distincts et deux contrats à envisager.

Si le conflit existe déjà

L’organisme doit y mettre fin, selon la CNIL. Elle cite le remplacement du DPO, le retrait des missions en cause, ou une autre mesure.

Le déport est l’une de ces mesures : pour un DPO interne, une autre personne, le DPO suppléant, exerce la fonction sur le seul périmètre du conflit. Il ne doit avoir aucun lien de subordination avec le DPO sur ce périmètre, et la répartition doit être écrite. Un contreseing formel ne suffit pas.

Le bilan de la CNIL publié le 17 janvier 2024 mentionne des mises en demeure ou des rappels aux obligations adressés à quelques organismes, en raison notamment de conflits entre les missions du délégué et ses autres tâches.

Dans une très petite structure

Chacun y participe vite aux décisions. Le RGPD ne prévoit pas d’exception de taille sur ce point. Si la désignation n’est pas obligatoire, un référent sans le titre évite le problème. Si elle l’est, un DPO externe ou mutualisé est la voie la plus propre. Quand vous n’en avez pas les moyens, écrivez le risque, retirez les décisions concernées à la personne et faites-les porter par un dirigeant.

Limites de cette page

Ces exemples ne remplacent pas l’appréciation au cas par cas. L’arrêt C-453/21 cité par la CNIL n’a pas été relu. Pour une personne déjà en poste, le droit du travail entre aussi en jeu et peut justifier un conseil.

Prochaine action

Listez les décisions que la personne envisagée a prises sur douze mois, comparez-les aux quatre questions, puis écrivez votre analyse d’absence de conflit avant la désignation. Si un pouvoir de décision reste, choisissez une autre personne ou un DPO externe. En très petite structure sans autre choix, écrivez le risque et retirez à la personne les décisions concernées.

Preuves et sources

Lu le 5 novembre 2026 : l’article 38 du RGPD dans le texte publié par la CNIL, l’article de la CNIL du 10 août 2026 sur les conflits d’intérêts, son guide pratique des délégués, sa page « Devenir délégué », son bilan de contrôles du 17 janvier 2024 et les lignes directrices WP243 révisées.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 38 du RGPD permet au délégué d’exécuter d’autres missions et impose à l’organisme de veiller à ce qu’elles n’entraînent pas de conflit d’intérêts.

    Portée : Article 38, paragraphe 6.

    Réserve : Le texte ne liste aucun poste.

  • Déclaration de l’éditeur. La CNIL cite comme fonctions susceptibles de provoquer un conflit d’intérêts le secrétaire général, le directeur général des services, le directeur général, le directeur opérationnel, le directeur financier, le médecin-chef et les responsables du marketing, des ressources humaines et du service informatique, ainsi que des rôles de niveau inférieur s’ils déterminent finalités et moyens.

    Portée : Page CNIL « Devenir délégué » et WP243 rev.01.

    Réserve : Appréciation au cas par cas.

  • Déclaration de l’éditeur. L’article de la CNIL du 10 août 2026 propose de vérifier si le DPO a un pouvoir décisionnel et cite l’exemple d’un RSSI déterminant la durée de conservation des journaux ou décidant en cas de demande d’accès aux données des collaborateurs, ainsi que la participation à un comité d’éthique et les mandats de représentant du personnel.

    Portée : Article CNIL du 10 août 2026.

    Réserve : La CNIL présente cette liste comme non exhaustive.

  • Déclaration de l’éditeur. Le guide de la CNIL admet un RSSI comme DPO s’il n’a pas de pouvoir décisionnel sur les finalités et les moyens, exclut l’élu de sa collectivité, encadre le secrétaire de mairie et juge la désignation d’un stagiaire ou d’un apprenti difficilement compatible avec la fonction.

    Portée : Guide pratique CNIL, fiche 2.

    Réserve : Doctrine de la CNIL.

  • Déclaration de l’éditeur. Le guide de la CNIL indique qu’un avocat désigné DPO ne peut pas représenter l’organisme en justice sur des dossiers de données personnelles dès lors que cela pourrait constituer un conflit, tandis que sa page « Devenir délégué » écrit que ce cumul est dans tous les cas interdit.

    Portée : Deux pages CNIL de formulation différente.

    Réserve : Écart signalé sans être résolu par une décision lue.

  • Déclaration de l’éditeur. Selon le guide de la CNIL, un prestataire sous-traitant peut être désigné DPO de son client sans interdiction de principe, après une analyse au cas par cas de son indépendance, avec éventuellement des contacts différents et deux contrats distincts.

    Portée : Guide pratique CNIL.

    Réserve : Analyse à documenter par chaque organisme.

  • Déclaration de l’éditeur. Selon la CNIL, l’organisme doit mettre fin à un conflit identifié, notamment par le remplacement du DPO, le retrait des missions en cause ou une autre mesure, le déport vers un DPO suppléant supposant documentation, garanties et absence de lien de subordination.

    Portée : Article CNIL du 10 août 2026.

    Réserve : Mesures variables selon le type de DPO.

  • Fait lu. Le bilan publié par la CNIL le 17 janvier 2024 indique des mises en demeure ou des rappels aux obligations légales adressés à quelques organismes, notamment pour des conflits d’intérêts entre les missions du délégué et ses autres tâches, à la suite de contrôles menés en 2023.

    Portée : Action coordonnée européenne, contrôles de 2023.

    Réserve : Organismes non nommés, et échantillon limité.

  • Notre avis. Refuser le DSI par défaut et recourir à un DPO externe ou mutualisé en très petite structure tenue de désigner est notre avis.

    Portée : Choix de la personne.

    Réserve : Un DSI sans pouvoir de décision sur ces traitements reste possible : il faut alors le montrer par écrit.

    Daté du 5 novembre 2026.