Vous êtes DPO et RSSI à la fois. Êtes-vous vraiment protégé ?
Posez-vous la question franchement : qui décide, dans votre organisation, de la durée de conservation des journaux de connexion ? Qui valide les mesures de sécurité sur un nouveau traitement ? Si la réponse est « moi », en tant que RSSI, et que vous portez aussi la casquette de DPO sur ce même traitement, vous avez un problème. Pas un problème théorique. Un problème que la CNIL vient de nommer précisément.
Beaucoup de DPO internes pensent que leur désignation les met à l’abri. C’est l’inverse. Le statut de DPO n’efface pas les autres fonctions que vous occupez : il les met sous tension. Et cette tension, si elle n’est pas identifiée, devient une faille de conformité que personne ne voit venir jusqu’au jour d’un contrôle ou d’un contentieux.
Ce que dit la CNIL, en deux lignes
La CNIL publie une grille pour identifier les situations où les missions confiées à un DPO à temps partiel entrent en conflit avec ses missions de l’article 39 du RGPD, et détaille les mesures de remédiation possibles. Rien de révolutionnaire dans le principe. Mais dans les faits, cette grille formalise ce que nous constatons en formation depuis longtemps : la plupart des organismes n’ont jamais fait ce diagnostic.
Le test qui compte vraiment
Oubliez la question « ai-je un conflit d’intérêts ? ». Elle est trop vague, tout le monde y répond non par réflexe. La bonne question est plus précise : avez-vous un pouvoir de décision sur les finalités ou les moyens d’un traitement que vous devez, par ailleurs, contrôler en tant que DPO ?
Si oui, vous êtes juge et partie. Point final.
Ce test s’applique dans trois configurations que nous croisons régulièrement :
- Le DPO-RSSI. Il propose des mesures de sécurité, décide parfois de durées de conservation, tranche sur des demandes d’accès aux données des salariés. Sur ces sujets précis, il ne peut pas se contrôler lui-même.
- Le DPO-représentant du personnel. Il vote sur un projet de vidéosurveillance ou de contrôle d’activité, puis doit en apprécier la conformité en tant que DPO. Deux casquettes, une seule tête.
- Le DPO membre d’un comité d’éthique. Il prend position sur un projet en amont, puis doit l’auditer en aval. Le regard n’est plus indépendant, il est déjà engagé.
Si vous vous reconnaissez dans une de ces situations et que vous n’aviez jamais formalisé ce risque, vous n’êtes pas seul. C’est la question qui revient le plus souvent lors de nos sessions de formation DPO : « est-ce grave si je cumule ? » La réponse n’est jamais binaire. Elle dépend d’un seul critère : avez-vous, ou non, un pouvoir décisionnel sur le traitement que vous devez surveiller ?
Pourquoi ça vous concerne, même si vous pensiez être en règle
L’organisme qui désigne un DPO a l’obligation de mettre fin à un conflit d’intérêts dès qu’il est identifié. Ce n’est pas une recommandation, c’est une obligation légale rattachée à l’article 38 du RGPD. Concrètement, si un contrôle CNIL révèle que votre DPO a rendu un avis de conformité sur un traitement qu’il pilotait lui-même, ce n’est pas seulement le DPO qui est en tort. C’est l’organisme entier qui n’a pas sécurisé sa désignation.
Voilà l’écart de compétence que cette clarification met en lumière : savoir repérer un conflit d’intérêts ne suffit pas. Il faut aussi savoir le documenter, et choisir la bonne mesure de remédiation. Trois options existent : remplacer le DPO, retirer les missions tierces problématiques, ou mettre en place d’autres mesures — la plus fréquente étant le déport.
Le déport : une solution, à condition qu’elle soit réelle
C’est ici que la plupart des organismes se plantent. Ils croient qu’un déport formel — une simple signature d’un collègue en plus de celle du DPO — suffit à couvrir le risque. Ce n’est pas un problème de logiciel de registre, c’est un problème de méthode. Un déport de façade ne protège personne, ni juridiquement, ni opérationnellement.
Pour qu’un déport tienne la route, il faut :
- Documenter le risque qui justifie le déport, et pas seulement l’affirmer dans une note interne,
- Désigner un DPO suppléant qui dispose d’un réel pouvoir de décision sur le périmètre concerné — pas quelqu’un qui contresigne sans jamais trancher,
- Vérifier l’absence de lien de subordination entre le DPO suppléant et le DPO titulaire sur ce périmètre précis,
- Garantir au suppléant les mêmes moyens que ceux prévus aux articles 37 et 39 du RGPD : formation, association aux projets, accès à l’information.
Un exemple parlant : un DPO responsable de la lutte antifraude dans une compagnie d’assurance ne peut pas confier le contrôle de ces traitements à un analyste qui lui est hiérarchiquement subordonné et qui participe lui-même aux décisions opérationnelles. Le suppléant doit être réellement indépendant, sinon le déport n’existe que sur le papier.
Si vous ne savez pas répondre, aujourd’hui, à la question « qui serait mon suppléant sur mon périmètre à risque ? », vous avez déjà la réponse : votre dispositif n’est pas prêt.
Et pour les DPO externes ou mutualisés ?
Le même principe s’applique, avec une variante. Un DPO externe qui est avocat et qui a déjà représenté l’organisme dans un litige lié aux données a un passif qui pèse sur son indépendance. Un DPO mutualisé entre plusieurs structures doit vérifier qu’il ne défend pas, d’un côté, les intérêts d’un sous-traitant, et de l’autre, ceux du responsable de traitement qui l’a désigné. Dans le cas d’un DPO personne morale, la solution passe par une répartition claire des dossiers entre collaborateurs distincts, chacun soumis à une obligation de confidentialité, sans lien de subordination entre eux sur les dossiers sensibles.
Ce que nous vous conseillons de faire cette semaine
Avant toute nouvelle désignation ou toute nouvelle mission confiée à votre DPO, passez par un diagnostic écrit. Pas une intuition, un document. Listez les traitements sur lesquels le DPO exerce un pouvoir décisionnel dans ses autres fonctions. Si la liste n’est pas vide, ouvrez le dossier « déport » avant que la CNIL ou un salarié ne l’ouvre pour vous.
Passez de la vigilance à la méthode
Repérer un conflit d’intérêts, c’est une chose. Construire un dispositif de déport qui résiste à un contrôle, en est une autre. Nos formations DPO et RGPD abordent ce sujet à partir de cas réels de terrain, avec les documents types à produire pour sécuriser votre registre et votre désignation. Si vous exercez déjà comme DPO ou que vous vous préparez à le devenir, c’est le moment de vérifier que votre organisation tient la distance face à un contrôle.
Votre prochaine étape : listez, dès cette semaine, les traitements sur lesquels vous cumulez pouvoir de décision et mission de contrôle. C’est le seul point de départ sérieux pour un diagnostic de conflit d’intérêts.