DPO de plusieurs entreprises : la ligne rouge du secret professionnel

Commençons par lever une inquiétude fréquente : il est parfaitement légal d'exercer comme DPO externalisé pour plusieurs organisations en même temps. L'article 37.6 du RGPD prévoit explicitement que le délégué peut « exercer ses fonctions sur la base d'un contrat de service », et l'article 37.3 admet même la désignation d'un DPO unique pour un groupe ou un ensemble d'organismes.

C'est d'ailleurs tout le modèle économique du DPO indépendant : mutualiser une expertise rare et coûteuse entre des PME, des associations ou des collectivités qui ne pourraient pas s'offrir un DPO interne à plein temps.

Le danger ne vient donc pas du nombre de clients. Il vient de ce que ce cumul fait peser sur deux obligations cardinales du DPO : le secret professionnel (article 38.5) et l'absence de conflit d'intérêts (article 38.6). C'est là que se situe la ligne rouge.

On imagine spontanément le conflit d'intérêts comme le fait d'accompagner deux concurrents directs. C'est une situation à risque, mais ce n'est pas la plus fréquente. Le RGPD vise un conflit plus subtil : le DPO ne doit pas occuper, au sein de l'organisation qu'il conseille, une fonction qui le conduirait à déterminer les finalités et les moyens d'un traitement.

Concrètement, vous êtes en conflit d'intérêts si :

• Vous êtes à la fois DPO et prestataire d'un autre service chez le même client : par exemple consultant qui a vendu et paramétré le CRM que vous êtes ensuite censé auditer en tant que DPO. Vous contrôleriez votre propre travail.
• Vous cumulez la fonction de DPO avec celle de direction informatique, RH ou marketing du client, fonctions qui décident des traitements.
• Vous accompagnez deux clients dont les intérêts s'opposent dans un même dossier (un sous-traitant et son donneur d'ordre en litige sur une fuite, par exemple).

La CNIL a déjà sanctionné des organisations pour des DPO en situation de conflit. Et si le client est sanctionné parce que vous l'avez placé dans cette position sans l'alerter, le reproche professionnel vous revient.

Le point délicat, c'est que le conflit d'intérêts n'est pas toujours visible au moment de la signature. Il peut naître en cours de mission : deux de vos clients, hier sans lien, deviennent partenaires puis adversaires dans un litige ; ou l'un rachète l'autre. Vous vous retrouvez alors DPO des deux côtés d'une même table. La bonne pratique est de prévoir contractuellement la marche à suivre dans ce cas (information immédiate, retrait d'un des mandats) plutôt que de découvrir le problème quand il est déjà constitué.

L'article 38.5 du RGPD impose au DPO d'être « soumis au secret professionnel ou à une obligation de confidentialité » dans l'exercice de ses missions. Pour un DPO mono-client, c'est simple. Pour un DPO qui jongle entre dix dossiers, le risque est la contamination involontaire.

Quelques exemples de fuites par capillarité, qui n'ont rien de malveillant mais qui exposent :

• Le copier-coller d'analyse. Vous réutilisez l'AIPD rédigée pour le client A chez le client B, et oubliez un nom de prestataire, un volume de données ou une vulnérabilité spécifique au client A. L'information confidentielle de A vient de fuiter chez B.
• L'exemple en réunion. Pour illustrer un point, vous citez « un autre client qui a eu exactement ce problème ». Même anonymisé, le secteur et la taille peuvent suffire à identifier.
• Le partage d'outils. Un même espace de stockage, une même messagerie mal cloisonnée, et des documents d'un client deviennent accessibles à un autre.

Le manquement allégué à la confidentialité des informations sensibles partagées par le responsable de traitement est l'un des risques majeurs du DPO mutualisé — et il est rarement intentionnel.

Exercer pour plusieurs clients en sécurité suppose une discipline d'organisation. Voici les garde-fous à mettre en place :

1. Cloisonnez physiquement les dossiers : un espace de stockage distinct et chiffré par client, jamais de fichier mutualisé.
2. Bannissez le copier-coller brut d'un livrable à l'autre : repartez d'un modèle vierge, jamais du document d'un autre client.
3. Tenez un registre de vos mandats pour détecter en amont les risques de conflit (concurrents, relations donneur d'ordre / sous-traitant).
4. Formalisez un engagement de confidentialité dans chaque contrat de mission, et déclarez vos autres mandats au client.
5. Refusez par écrit toute mission qui vous placerait en position décisionnaire sur un traitement que vous devez contrôler.
6. Anonymisez réellement vos exemples : pas de secteur + taille + région qui rendraient le client identifiable.
7. Sécurisez votre RC Pro en vérifiant qu'elle couvre explicitement l'atteinte à la confidentialité et le manquement au secret professionnel, et qu'elle prend en compte votre nombre réel de clients.

Un angle souvent négligé : en tant que DPO multi-clients, vous êtes vous-même un point de concentration de données sensibles. Vous détenez les registres, les cartographies de traitements, parfois les analyses de risques de plusieurs organisations. Votre poste de travail, votre messagerie et vos sauvegardes constituent une cible de valeur.

Une compromission de votre propre système — vol d'ordinateur, rançongiciel, hameçonnage — peut exposer simultanément les données de tous vos clients. Le préjudice se démultiplie, et chacun de vos clients peut alors invoquer un manquement à votre obligation de sécurité et de confidentialité.

Le paradoxe est piquant : vous êtes l'expert qui audite la sécurité des autres, mais votre propre poste de travail est souvent le maillon le moins surveillé. Quelques mesures élémentaires changent radicalement votre exposition : chiffrement intégral des disques, gestionnaire de mots de passe, double authentification sur la messagerie, sauvegardes hors ligne et cloisonnement des espaces clients. Ces réflexes, vous les recommandez à vos clients chaque semaine ; les appliquer à vous-même n'est pas seulement cohérent, c'est la première ligne de défense de tout votre portefeuille. Un DPO dont la propre négligence a causé la fuite serait dans une position particulièrement inconfortable face à la mise en cause d'un client.

C'est pourquoi votre protection ne se limite pas à la responsabilité de conseil. Sécuriser vos propres équipements et données plaide pour une couverture cyber en complément de la RC Pro, afin de financer la gestion d'une crise qui vous frapperait directement, vous et l'ensemble de votre portefeuille.

Le DPO externalisé multi-clients incarne le modèle vertueux du RGPD : rendre la conformité accessible aux structures qui n'ont pas les moyens d'un poste dédié. Cette force devient une faiblesse dès lors que la rigueur d'organisation faiblit.

Le secret professionnel et l'indépendance ne sont pas des principes abstraits : ce sont les deux obligations sur lesquelles un client mécontent, ou la CNIL lors d'un contrôle, viendra vous chercher. Les respecter au quotidien relève de l'hygiène professionnelle ; s'en couvrir relève de l'assurance.

Pour dimensionner une RC Pro à la hauteur de votre portefeuille de mandats, consultez la fiche DPO certifié CNIL et déclarez précisément le nombre et le secteur de vos clients : c'est ce qui conditionne la justesse de votre couverture.