DPO externalisé ou avocat : éviter le conflit d'intérêts
DPO externalisé ou avocat : éviter le conflit d'intérêts
La fiche CNIL du 10 août 2026 vise expressément le DPO externalisé, avocat compris, et le DPO mutualisé. Les cas de conflit d'intérêts et les remèdes admis pour sécuriser votre désignation.
Beaucoup de startups confient la fonction de délégué à la protection des données à un prestataire externe, souvent un avocat ou un cabinet spécialisé. La formule séduit par sa souplesse, son coût maîtrisé et l'expertise immédiate qu'elle apporte. La CNIL a publié le 10 août 2026 une fiche pratique consacrée aux conflits d'intérêts du DPO, qui vise expressément le délégué externalisé. Une désignation mal calibrée fragilise l'ensemble de la documentation de conformité qu'elle est censée porter.
L'essentiel en 30 secondes. Un DPO en situation de conflit d'intérêts expose l'entreprise à une remise en cause de sa désignation, par la CNIL comme par un grand compte en due diligence. La fiche du 10 août 2026 cible deux configurations fréquentes : l'avocat DPO ayant représenté l'organisme dans un litige relatif aux données, et le DPO mutualisé entre responsable de traitement et sous-traitant. Des remèdes existent, du déport vers un suppléant à la séparation des équipes, à condition d'être documentés et effectifs.
Ce que la CNIL vient de préciser
La fiche pose un principe simple : le DPO ne peut cumuler sa fonction avec des missions susceptibles de nuire à son rôle ou de compromettre son indépendance. La CNIL recommande une analyse avant toute désignation, puis à chaque attribution de nouvelles missions au délégué en place.
Quatre questions structurent ce diagnostic. Le délégué exerce-t-il d'autres fonctions ou missions ? Dispose-t-il d'un pouvoir de décision sur les finalités et les moyens des traitements ? A-t-il pris position sur des projets impliquant des données personnelles ? Se trouve-t-il dans un lien de subordination problématique ? Une réponse positive appelle une mesure corrective, pas nécessairement un renoncement.
Ce cadre concernait jusqu'ici surtout les cumuls internes, comme le RSSI décisionnaire ou le représentant du personnel. Il s'étend désormais explicitement aux prestataires externes, ce qui constitue l'apport le plus notable de cette fiche.
L'avocat DPO : des garanties réelles, une vigilance nouvelle
L'avocat présente des atouts spécifiques pour la fonction : secret professionnel, indépendance statutaire, assurance de responsabilité civile professionnelle. Le règlement intérieur national de la profession autorise expressément cet exercice.
La fiche identifie toutefois une limite précise. L'avocat qui a représenté l'organisme dans un contentieux relatif à la protection des données ne peut ensuite en devenir le DPO. Il a défendu une position, il ne peut plus la contrôler avec l'impartialité attendue. Le conflit s'étend au cabinet dont les intérêts s'opposent à ceux de l'organisme, par exemple lorsqu'il conseille un sous-traitant, un co-responsable ou un tiers impliqué dans les mêmes traitements.
Pour un dirigeant, la conséquence est concrète : séquencer les rôles. Le conseil qui structure votre conformité, l'avocat qui vous défend devant la CNIL et le DPO qui contrôle vos traitements ne peuvent pas toujours être la même personne. Cette répartition se décide en amont, dans la lettre de mission.
Le DPO mutualisé : attention aux intérêts opposés
Le délégué mutualisé, partagé entre plusieurs structures, est courant chez les startups qui recourent à un prestataire. La fiche pointe le risque d'une désignation simultanée par des organismes aux intérêts opposés : un responsable de traitement et son sous-traitant, ou la source et le destinataire d'un même flux de données.
Avant de signer, demandez à votre prestataire la cartographie de ses désignations. S'il est déjà DPO de votre hébergeur, de votre éditeur SaaS ou d'un partenaire avec qui vous partagez des données, la question du conflit se pose. Le point mérite une clause dédiée dans le contrat de prestation.
Les remèdes admis par la CNIL
Un conflit identifié n'impose pas toujours de changer de délégué. La fiche décrit trois voies : le remplacement du DPO, le retrait des missions conflictuelles, ou des mesures adaptées au contexte.
La principale innovation est le déport vers un DPO suppléant. Une personne présentant des garanties équivalentes, formée, dotée de moyens et non subordonnée au DPO titulaire, exerce la fonction sur le périmètre du conflit. Le dispositif doit être documenté et effectif, sans formalité de notification à la CNIL. Pour un DPO externe personne morale, la CNIL admet aussi la répartition entre collaborateurs distincts, tenus à la confidentialité ou au secret professionnel, notamment quand le prestataire intervient à la fois pour un responsable et son sous-traitant.
Dans tous les cas, la documentation du risque et des mesures prises fait la différence entre un dispositif solide et une façade.
Un enjeu de croissance plus que de sanction
Les questionnaires de conformité des grands comptes et les due diligences d'investisseurs examinent la gouvernance des données, et la qualité de la désignation du DPO en fait partie. Une désignation attaquable affaiblit chaque analyse produite par le délégué, y compris celles qui sécurisent vos contrats. À l'inverse, une analyse de conflit d'intérêts documentée selon la grille CNIL constitue une pièce d'audit immédiatement valorisable.
Le sujet se traite en quelques réunions : revue des fonctions du délégué, vérification des mandats du prestataire, mise à jour de la lettre de mission et conservation de l'analyse.
Vous souhaitez auditer votre désignation de DPO, sécuriser une mutualisation ou structurer un déport conforme à la doctrine CNIL ? Contactez le cabinet pour un diagnostic rapide de votre dispositif.
Sources
- Protéger ses créations
- Sécuriser ses données
- Contractualiser son activité
.png){kind=small}