Le principe : un DPO peut cumuler plusieurs fonctions… sous conditions
Le RGPD autorise les organismes à confier au délégué à la protection des données (DPO) des missions complémentaires à celles prévues par l’article 39. Ce cumul n’est possible que si :
-
ces tâches ne compromettent pas l’exercice de ses missions de DPO, notamment en termes de disponibilité ;
-
elles ne créent aucun conflit d’intérêts, c’est‑à‑dire aucune situation où le DPO perdrait son indépendance ou deviendrait « juge et partie ».
Un conflit apparaît lorsque les missions annexes du DPO influencent ou interfèrent avec sa capacité à contrôler la conformité des traitements.
Identifier un conflit d’intérêts : une analyse au cas par casLa CNIL recommande une analyse préalable avant toute désignation ou attribution de nouvelles missions. Plusieurs questions permettent d’évaluer le risque selon la situation du DPO.