La fiche 9 du guide pratique de la CNIL pour les SPST relie la conformité au RGPD à l’attestation de conformité et à la certification prévue par l’article L. 4622-9-3 du code du travail, sur la base de la SPEC 2217 de l’AFNOR. Le délégué à la protection des données désigné figure parmi les points examinés par l’auditeur.
Le 10 août 2026, la CNIL a publié une fiche intitulée « DPO : identifier et gérer les conflits d’intérêts ». Le DPO ne doit pas être juge et partie, et l’obligation de résoudre un éventuel conflit pèse sur l’organisme qui l’a désigné.
Ce qui change
L’article 38.6 du RGPD autorise le DPO à exercer d’autres missions, à condition qu’elles n’entraînent pas de conflit d’intérêts. La Cour de justice de l’Union européenne a précisé ce point dans l’arrêt X-FAB Dresden (C-453/21) : un conflit existe lorsque le DPO se voit confier des tâches qui le conduisent à déterminer les finalités et les moyens d’un traitement.
La fiche de la CNIL donne des repères concrets. Sont généralement incompatibles avec la fonction de DPO : la direction générale, les ressources humaines, la direction des systèmes d’information, tout poste qui décide des finalités et des moyens d’un traitement, ainsi qu’un mandat de représentant du personnel.
Pour un DPO externe, la CNIL invite à vérifier l’absence de participation antérieure à un litige impliquant l’organisme et l’absence d’intérêt contraire, par exemple un rôle de sous-traitant. Pour un DPO mutualisé entre plusieurs organismes, il faut analyser les intérêts opposés éventuels entre eux.
Lorsqu’un conflit est identifié, la fiche propose des remèdes : remplacer le DPO, lui retirer les missions en conflit, ou organiser un déport vers un suppléant sans lien de subordination. Le déport doit être documenté et réellement appliqué.
Ce que cela implique pour un SPST
- Le service doit pouvoir produire une analyse de conflit d’intérêts du DPO, signée par la direction, à côté de la désignation déposée auprès de la CNIL.
- Un DPO interne qui cumule sa fonction avec la direction des systèmes d’information ou la qualité doit faire l’objet d’une analyse précise des missions en cause et de la solution retenue.
- Un DPO mutualisé entre plusieurs SPST, par exemple dans un même réseau régional, appelle une analyse des situations où les intérêts des services pourraient diverger : fusion, litige, partage d’un outil.
- Si un déport vers un suppléant est prévu, ses conditions, ses cas de déclenchement et ses traces d’application sont écrits.
- L’analyse se met à jour à chaque changement de missions ou d’organisation.
L’indépendance du DPO devient ainsi une exigence documentée de certification, examinée par l’auditeur au même titre que la désignation elle-même.
Comment le traiter dans DPO SUITE
- Créez une procédure « Analyse des conflits d’intérêts du DPO », faites-la approuver par la direction et générez son plan de tâches : recensement des missions, analyse, solution retenue, signature, revue annuelle.
- Rattachez l’analyse signée et la désignation CNIL comme preuves dans l’audit SPEC 2217, en localisant les documents dans le drive du service.
- Planifiez un point en comité de direction dans le module réunions et consignez la décision prise.
- Si un cumul de fonctions non analysé apparaît, ouvrez une non-conformité et une action corrective avec une échéance.
- Inscrivez la revue annuelle de l’analyse dans la campagne annuelle et reprenez-la dans le rapport annuel du DPO.
- Demandez à ALIX une grille de questions tirée de la fiche du 10 août 2026, puis adaptez-la à l’organisation du service avant validation.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- CNIL, fiche « DPO : identifier et gérer les conflits d’intérêts » du 10 août 2026
- Règlement (UE) 2016/679 (RGPD), articles 37 à 39
- Cour de justice de l’Union européenne, X-FAB Dresden, C-453/21
- Code du travail, article L. 4622-9-3 ; AFNOR SPEC 2217 (avril 2023)
- Guide CNIL SPST, fiche 9
