達文西個資即時快報

盤點全球最新焦點

文章整理：林舒涵律師

審閱：孔德澔律師

▶ 監理動態 ◀

• 法國 CNIL 發布 DPO 利益衝突指引：嚴禁「球員兼裁判」，落實兼職評估與實質迴避機制
  • 法國國家資訊自由委員會（Commission nationale de l'informatique et des libertés, CNIL於2026年8月10日發布DPO（資料保護長）利益衝突指引。說明組織如果讓DPO同時兼任其他職務，應如何判斷是否產生利益衝突，以及發生衝突後可採取哪些補救措施GDPR並不禁止DPO 任其他工作，但前提是其他職務不能妨礙 DPO 執行GDPR第39條所定職責，也不能影響其獨立性。
    • ​​​​​​​1. 如何判斷DPO是否有利益衝突
      • ​​​​​​​CNIL 強調，判斷核心在於：DPO在其他職務中，是否具有決定個人資料處理「目的或手段」的權力。高階管理職，例如總經理、人資主管等，通常較容易與 DPO 職務不相容；但即使不是高階主管，只要其職務實際上可以決定資料如何蒐集、使用、保存或採取何種安全措施，也可能構成利益衝突。DPO不應同時扮演「決策者」及「監督決策是否合法的人」，也就是不能既當「球員」又當「裁判」。
      • 例如，若DPO同時擔任資訊安全長（CISO），就應進一步確認他是否有權決定連線紀錄的保存期間、資訊安全措施，或員工資料存取請求的處理方式；若具有這些實質決策權，就可能與DPO的獨立監督職能發生衝突。此外，如果DPO同時擔任員工代表、工會職務，或參與倫理、職業操守等委員會，而必須就涉及個資處理的措施進行表決或表態，也可能產生利益衝突。不過，CNIL認為仍應依個案具體判斷，建議組織在任命DPO或新增其兼任職務前，就先進行利益衝突評估。
    • 2. 外部DPO及共同DPO也可能產生利益衝突
      • ​​​​​​​利益衝突並不限於內部DPO。若外部DPO是律師或律師事務所成員，曾經代表該組織處理與個資保護有關的訴訟或爭議，也應評估其代理角色是否與DPO的獨立監督職能發生衝突。
      • 此外，如果同一名DPO同時受不同組織委任，而這些組織之間存在相反或衝突的利益，例如一方是資料控管者、另一方是資料處理者，或者彼此是資料來源與接收者，也可能產生利益衝突，因此不能只因法律允許「共同指定DPO」就認為當然沒有問題。
    • 3. 發現利益衝突後，組織有義務排除
      • ​​​​​​​CNIL明確指出，一旦發現DPO的職務與其他兼任職務之間存在利益衝突，指定 DPO的組織負有消除利益衝突的義務。原則上可以採取三類措施：
        • ​​​​​​​更換 DPO；
        • 撤除造成利益衝突的其他兼任職務；
        • 採取其他足以有效排除利益衝突的措施，例如讓 DPO 就特定事項迴避，改由「代理 DPO（deputy/substitute DPO）」負責該部分的 DPO 職務。
      • 其中，採取「迴避＋代理 DPO」制度時，不能只是形式上的安排。例如僅讓另一人簽名或副署，但真正的決策權仍由原DPO掌握，並不足以排除利益衝突。組織應記錄利益衝突風險及採取迴避措施的理由，清楚劃分DPO與代理DPO的權責範圍，確保所有個資處理活動都有DPO監督，並讓代理 DPO 同樣享有GDPR第37至39條所保障的獨立性與資源。代理DPO在處理衝突事項時，也不能受原DPO 的上下從屬關係控制。
      • CNIL舉例，如果保險公司的DPO同時負責反詐欺業務，並有權決定反詐欺個資處理的目的及方式，則DPO就應迴避該領域的監督。但不能直接指定隸屬於該DPO 管理的反詐欺分析師擔任代理DPO，因為該分析師無法獨立監督自己的主管所作成的資料處理決策。
    • 4. 同一外部DPO同時服務控管者及處理者時
      • ​​​​​​​如果同一個外部 DPO法人同時接受「資料控管者」及其「資料處理者」委任，也不一定必然違反 GDPR，但可以考慮讓該 DPO 法人內部的不同員工分別負責兩個組織的 DPO 工作，並確保彼此不存在從屬關係、各自受到保密義務或職業秘密拘束，而且確實享有 GDPR所要求的獨立性。組織仍必須將相關安排及利益衝突評估留下紀錄，而不能只是形式上把工作分給不同人。
      • 整體而言，這份指引的核心可以摘要為：DPO可以兼職，但不能監督自己所作的個資處理決策。 組織不能只看DPO的職稱，而應實際檢視其兼任職務是否具有決定資料處理目的、方式或其他實質決策權；一旦產生衝突，也不能僅以形式上的迴避處理，而必須建立真正具有獨立性的替代監督機制。CNIL並特別強調，利益衝突的判斷沒有固定職務清單，而應依各組織的實際權責配置逐案判斷。

▶ 新聞動態 ◀

• 本週無重大新聞動態

▶ 裁罰動態 ◀

• 本週無重大裁罰動態

參考來源：https://www.cnil.fr/fr/dpo-identifier-gerer-conflits-interets