Gestion des conflits d'intérêts pour le Délégué à la Protection des Données : cadre et bonnes pratiques

Le Règlement général sur la protection des données (RGPD) autorise les organismes à confier des missions complémentaires à leur Délégué à la Protection des Données (DPO), sous réserve de ne pas compromettre l’exercice de ses fonctions principales ni de l’exposer à des situations de conflit d’intérêts.

Cadre juridique et conditions de cumul des missions

L’article 39 du RGPD définit les missions incompressibles du DPO, tandis que l’article 38 impose des garanties d’indépendance et de moyens pour l’exercice de ses fonctions. Le cumul de missions supplémentaires est donc possible, mais encadré par deux principes fondamentaux :

• L’exécution des missions tierces ne doit pas nuire à l’accomplissement des missions de DPO, notamment en privant ce dernier du temps ou des ressources nécessaires ;
• Le cumul ne doit pas placer le DPO en situation de conflit d’intérêts, c’est-à-dire en position où son indépendance ou son objectivité pourraient être altérées.

Critères d’identification d’un conflit d’intérêts

L’appréciation d’un conflit d’intérêts s’effectue au cas par cas, en fonction de l’organisation et des fonctions exercées par le DPO. Plusieurs indicateurs permettent d’évaluer ce risque :

Pour un DPO interne à l’organisme

• Le cumul de fonctions d’encadrement, notamment à un niveau hiérarchique élevé (directeur général, responsable des ressources humaines), est généralement incompatible avec la fonction de DPO, sauf à démontrer l’absence de conflit ;
• L’exercice d’un pouvoir décisionnel sur la détermination des finalités ou des moyens d’un traitement de données, dans le cadre d’autres missions, expose le DPO à un conflit d’intérêts ;
• La participation à des instances (comités d’éthique, de déontologie) ou à des mandats représentatifs (représentant du personnel) peut générer des situations de partialité ;
• L’appartenance à une équipe décisionnelle impliquée dans la gestion des données personnelles (ex. : responsable de la sécurité des systèmes d’information) est susceptible de créer un conflit.

Pour un DPO externalisé

• L’exercice de missions juridiques ou de conseil en protection des données pour l’organisme, notamment dans le cadre de litiges, peut compromettre son impartialité ;
• L’appartenance à un organisme ayant des intérêts opposés à ceux de l’organisme désignant (sous-traitant, responsable conjoint de traitement) est un facteur de risque.

Pour un DPO mutualisé entre plusieurs organismes

La désignation par un organisme susceptible d’avoir des intérêts divergents avec ceux de l’organisme principal constitue un conflit d’intérêts avéré.

Mesures de remédiation en cas de conflit identifié

Dès qu’un conflit d’intérêts est constaté, l’organisme doit y mettre fin sans délai. Plusieurs solutions peuvent être envisagées, selon la nature du conflit et l’organisation du DPO :

• Le remplacement du DPO : désignation d’une nouvelle personne pour exercer la fonction ;
• Le retrait des missions tierces : suppression des fonctions complémentaires générant le conflit ;
• La mise en œuvre de mesures correctives : ajustement des responsabilités ou des périmètres d’intervention.

Le recours au déport du DPO : principes et modalités

Lorsque le conflit d’intérêts est circonscrit à un périmètre spécifique, le déport du DPO peut constituer une solution adaptée. Cette mesure implique la désignation d’un DPO suppléant, chargé d’exercer les fonctions de DPO uniquement sur le périmètre concerné. Plusieurs conditions doivent être respectées :

• Le DPO suppléant doit bénéficier des mêmes garanties d’indépendance et de moyens que le DPO principal ;
• La répartition des responsabilités entre le DPO et son suppléant doit être clairement documentée et formalisée ;
• Le DPO suppléant ne doit pas être placé sous l’autorité hiérarchique du DPO principal dans l’exercice de ses fonctions ;
• L’organisme doit s’assurer que l’ensemble des traitements de données est couvert, sans chevauchement ni omission.

Cette approche permet de préserver l’intégrité des missions du DPO tout en traitant efficacement le conflit d’intérêts, sans nécessiter une nouvelle désignation auprès de la CNIL pour le suppléant.

Source : CNIL