Délégué à la protection des données : identifier et gérer les conflits d’intérêts liés à la fonction de DPO

Vérifier la compatibilité des missions tierces confiées au DPO

Le DPO peut exercer, en plus de celles prévues à l’article 39 du RGPD, d’autres fonctions au sein de l’organisme qui le désigne (DPO à temps partiel) à condition que :

• L’exécution de ces missions ou tâches ne doit pas être susceptible de nuire à l’exercice des fonctions qu’il exerce en tant que DPO, y compris en le privant du temps nécessaire à l’exécution de ces missions ; et
• Ce cumul de missions ne doit pas le placer en situation de conflit d’intérêts.

Identifier le conflit d’intérêts

L’existence d’un tel conflit d’intérêts s’apprécie au cas par cas. Il est recommandé de réaliser une analyse des potentiels conflits d’intérêts avant la désignation d’un DPO, ou l’attribution de nouvelles fonctions ou missions au DPO.

Plusieurs questions peuvent permettre à l’organisme d’identifier un conflit d’intérêts :

DPO interne à l’organisme/groupe

• Quelles sont les autres fonctions et/ou missions cumulées avec celles de DPO ?
• Le DPO exerce-t-il des fonctions d’encadrement ?
  

  Les fonctions d’encadrement supérieur (ex. : directeur général, responsable des ressources humaines) sont généralement incompatibles avec celles de DPO, mais ça peut également être le cas de rôles à un niveau inférieur de la structure organisationnelle s’ils amènent le DPO à déterminer les finalités et les moyens d’un traitement.

• Le DPO et/ou les membres de son équipe détiennent-il un pouvoir décisionnel dans la détermination de la finalité et/ou des moyens des traitements de données mis en œuvre par l’organisme ?
  

  Ex. : si le DPO est RSSI, détermine-t-il la durée de conservation des journaux de connexion et d’activité, propose-t-il des mesures de sécurité, a-t-il un rôle de décision en cas de demande d’accès aux données des collaborateurs de l’organisme ?
  
  Le DPO sera par exemple confronté à un conflit d’intérêts s’il dispose d’un pouvoir décisionnel sur la détermination des finalités et moyens de traitements dans le cadre de ses autres fonctions : il ne doit donc pas être « juge et partie ».

• Le DPO est-il amené, dans le cadre de ses fonctions tierces, à prendre position sur des sujets ou projets en lien avec le traitement de données à caractère personnel ?
  

  Ex. : membre d’un comité d’éthique ou de déontologie

• Le DPO exerce-t-il les fonctions de représentant du personnel ou un mandat syndical au sein de l’organisme ?
  

  Conformément au guide pratique de la CNIL relatif aux DPO, un représentant du personnel peut être amené, dans le cadre d’un vote, à prendre position sur certains sujets ou projets en lien avec la protection des données à caractère personnel (ex. : nouvelles mesures de contrôle de l’activité des salariés). Dans de telles hypothèses, il peut exister un risque de conflit d’intérêts avec la fonction de DPO.

DPO externalisé

• Le DPO avocat ou employé par un cabinet d’avocat a-t-il déjà participé à la représentation de l’organisme dans le cadre d’un litige lié à la protection des données ?
• Le DPO appartient-il au personnel ou à la direction d’un organisme susceptible d’avoir des intérêts contraires à ceux de l’organisme désignant (ex. : sous-traitant, responsable conjoint d’un traitement, source ou destinataire de données traitées par l’organisme) ?

DPO mutualisé entre plusieurs organismes

• Le DPO a-t-il également été désigné par un organisme susceptible d’avoir des intérêts contraires à ceux de l’organisme désignant (par exemple : sous-traitant, responsable conjoint d’un traitement, source ou destinataire de données traitées par l’organisme) ?

Cette liste de questions n’est pas exhaustive. Elle a pour objectif de fournir un premier niveau d’analyse, la situation de chaque DPO devant être appréciée au regard du fonctionnement de l’organisme.

Gérer le conflit d’intérêts : les mesures de remédiation envisageables

Si un conflit d’intérêts entre les missions du DPO et ses fonctions tierces est identifié, l’organisme désignant a l’obligation de mettre fin au conflit d’intérêts, notamment en recourant à l’une des trois mesures suivantes :

1. Le remplacement du DPO par un nouveau DPO ;
2. Le retrait des missions tierces attribuées au DPO qui le placent en situation de conflit d’intérêts ;
3. La mise en œuvre d’autres mesures de remédiation.

Les mesures de remédiation envisageables varient grandement suivant les circonstances de chaque DPO. Elles ne seront pas les mêmes suivant que le DPO soit mutualisé ou non, interne ou externe, personne morale ou physique, mais aussi suivant la nature et la portée du conflit d’intérêts identifié.

Remédier au conflit d’intérêt par le déport du DPO

Désigner un DPO suppléant

Si un DPO interne est en situation de conflit d’intérêts, une mesure de remédiation possible est le déport (ou retrait) du DPO au profit d’une autre personne, un « DPO suppléant », pouvant remplir les fonctions de DPO sur le périmètre du conflit d’intérêts.

Dans les cas où le déport du DPO serait l’option choisie, l’organisme désignant devra appliquer les garanties prévues par les articles 37 à 39 du RGPD à la personne exerçant les fonctions de DPO suppléant dans le périmètre du conflit d’intérêt :

• lui donner les moyens d’accomplir ses fonctions, y compris la formation nécessaire ;
• l’associer aux questions relatives à la protection des données dans son périmètre de compétence) ;
• etc.

Le déport ne doit pas constituer une mesure purement formelle (par exemple, un simple contreseing sans réel pouvoir de décision du DPO suppléant sur le périmètre du conflit d’intérêts). Il doit s’agir d’une solution effective, garantissant l’absence de tout conflit d’intérêts, pour le DPO et son suppléant. Cela supposera de :

• Documenter le risque de conflit d’intérêt justifiant la mise en place d’une procédure de déport ;
• Préciser et documenter la répartition des responsabilités entre le DPO et son suppléant en vue de garantir que l’ensemble des traitements soit couvert ;
• S’assurer que le DPO et son suppléant bénéficient des garanties fixées aux articles 37 et 39 du RGPD ;
• S’assurer que le DPO suppléant n’ait aucun lien de subordination avec le DPO désigné auprès de la CNIL dans l’exercice des fonctions de DPO sur le périmètre du conflit d’intérêts.
  

  Exemple : le DPO d’une assurance est également responsable de la lutte contre la fraude au sein de son organisme. Il détermine la finalité et les moyens de certains traitements menés en la matière, et doit donc se déporter sur ce périmètre. Un analyste anti-fraude ne pourra pas contrôler en toute indépendance la conformité de traitements décidés par son supérieur hiérarchique et dans lesquels lui-même joue parfois un rôle opérationnel.
  
  Il ne pourra donc pas être nommé comme DPO suppléant sur ce périmètre.

L’organisme n’aura pas besoin de désigner le DPO suppléant auprès de la CNIL. Le seul point de contact de l’organisme pour la CNIL est le DPO désigné, aux coordonnées communiquées au moment de la désignation. Si la CNIL contacte l’organisme pour des traitements dans le périmètre du déport, l’organisme doit s’assurer que la personne remplissant effectivement les fonctions de DPO pour ces traitements (le DPO suppléant) en soit informée.

Distinguer les fonctions de DPO entre responsable de traitement et sous-traitant

En cas de désignation d’un même DPO externe (personne morale) par un responsable du traitement et son sous-traitant, une autre mesure de remédiation possible sera de confier l’exercice effectif des fonctions de DPO à des collaborateurs distincts au sein du « DPO personne morale », chacun de ces collaborateurs étant lié par une obligation de confidentialité ou un secret professionnel.

Là encore, il reviendra à chaque organisme désignant (le responsable de traitement et le sous-traitant) de s’assurer qu’il s’agit d’une solution effective au regard des circonstances : absence de lien de subordination, bénéfice effectif des garanties des articles 37 et 39, documentation de la situation, etc.