Le 10 août 2026, la CNIL a publié une fiche qui va obliger beaucoup d'organisations à rouvrir un dossier qu'elles pensaient clos. Le sujet : les conflits d'intérêts liés à la fonction de délégué à la protection des données. Rien de spectaculaire en apparence. Sauf que la situation visée est partout. Un cumul très répandu Dans un grand nombre de structures, la même personne porte la casquette de DPO et celle de RSSI, de directeur des ressources humaines, de directeur juridique ou de dirigeant. Sur le papier, l'organisation semblait logique et économique. La même personne connaît les systèmes, les équipes, les traitements. Pratique. Le RGPD n'interdit pas ce cumul. L'article 38 autorise expressément le DPO à exercer d'autres missions. À une condition : que ces missions ne le placent pas en situation de conflit d'intérêts. C'est tout l'enjeu de la fiche. Juge et partie Un conflit d'intérêts naît quand une personne se retrouve à évaluer ses propres décisions. Si le DPO fixe lui-même la finalité d'un traitement, choisit ses moyens, décide d'une durée de conservation ou tranche la réponse à une demande d'accès, il contrôle sa propre action. Il devient juge et partie. Impossible de garantir son indépendance dans ces conditions. Ce que la CNIL apporte, c'est une méthode. Le titre sur l'organigramme ne décide de rien. Ce qui compte, c'est qui fixe réellement les finalités et les moyens. Si le DPO est aussi RSSI, détermine-t-il la durée de conservation des journaux de connexion ? Propose-t-il les mesures de sécurité ? Décide-t-il en cas de demande d'accès aux données des collaborateurs ? Ces questions, posées cas par cas, révèlent le vrai pouvoir de décision. Pas le titre. Le pouvoir. La charge pèse sur l'organisme Voilà le point le plus mal compris. La vérification n'incombe pas au délégué lui-même, mais à l'organisme qui le désigne. Quand un conflit est caractérisé, c'est à cet organisme d'y mettre fin, par des mesures réelles et non de façade. Découvrir un conflit n'oblige ni à maintenir une désignation fictive ni à se séparer du salarié. Les solutions existent. Retirer certaines attributions au DPO, isoler les périmètres problématiques, ou nommer un DPO suppléant qui prend le relais sur les dossiers où le titulaire est en conflit. On conserve une compétence, on rétablit l'indépendance. Le bon réflexe de rentrée tient en une phrase. Cartographier les décisions réellement prises par votre délégué. Pas son intitulé de poste, ses décisions concrètes.
