La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié des recommandations visant à identifier et gérer les conflits d’intérêts pouvant survenir lorsque le délégué à la protection des données (DPO) exerce d’autres missions.

Le RGPD autorise un DPO à exercer d’autres missions que celles prévues à l’article 39, à condition que celles-ci ne créent pas de conflit d’intérêts. Un tel conflit apparaît si le DPO détermine les finalités et les moyens d’un traitement dans le cadre de ses autres fonctions, le plaçant en situation de "juge et partie". La CNIL recommande une analyse au cas par cas avant la désignation, en examinant notamment si le DPO occupe un poste d'encadrement supérieur, détient un pouvoir décisionnel sur les traitements, ou exerce un mandat de représentant du personnel. Pour un DPO externe, le risque peut provenir d'une représentation passée de l'organisme dans un litige ou d'une désignation par des entités aux intérêts opposés, comme un responsable de traitement et son sous-traitant.

Lorsqu’un conflit d’intérêts est identifié, l’organisme doit y mettre fin, soit en remplaçant le DPO, soit en lui retirant les missions conflictuelles, soit par des mesures de remédiation. Une solution consiste à organiser le déport du DPO sur le périmètre du conflit et à désigner un "DPO suppléant" non subordonné, qui bénéficiera des garanties des articles 37 à 39 du RGPD sans être déclaré à la CNIL. Pour un DPO externe personne morale, le conflit peut être géré en confiant les missions à des collaborateurs distincts. Toute solution doit être effective et documentée, en précisant la répartition des responsabilités.