RCM
Cadre principal du RGPD
DPO · DÉFINITION ET MISSIONSQui est le DPO ?
Qui est le DPO ?
Définition, rôle et missions.
Le DPO, ou délégué à la protection des données, conseille l’organisation, contrôle le respect des règles applicables et coopère avec l’autorité de contrôle. Il ne prend pas les décisions à la place du responsable du traitement et ne garantit jamais une conformité absolue.
Un DPO est un référent indépendant chargé d’informer, de conseiller et de contrôler la manière dont une organisation protège les données personnelles. Ses missions sont précisées par les articles 37 à 39 du RGPD. Le DPO peut être salarié ou intervenir dans le cadre d’un contrat de services.
Indépendance requise
Le DPO conseille
Les cinq missions essentielles du DPO
Informer et conseiller
Expliquer les obligations aux dirigeants, responsables métiers et équipes qui conçoivent ou utilisent les traitements.
Contrôler la conformité
Examiner les pratiques, la documentation et l’exécution du plan de contrôle sans se substituer aux équipes opérationnelles.
Conseiller sur les AIPD
Aider à déterminer si une analyse d’impact est nécessaire, commenter sa méthode et suivre les mesures décidées.
Coopérer avec l’autorité
Agir comme point de contact de la CNIL ou de l’autorité compétente et faciliter l’accès aux informations utiles.
Être accessible aux personnes
Permettre aux personnes concernées de poser une question relative au traitement de leurs données et à leurs droits.
Quand la désignation d’un DPO est-elle obligatoire ?
Organismes publics
La désignation est en principe obligatoire pour les autorités et organismes publics, hors juridictions agissant dans leur fonction juridictionnelle.
Suivi régulier à grande échelle
Elle peut être obligatoire lorsque les activités de base exigent un suivi régulier et systématique des personnes à grande échelle.
Données sensibles à grande échelle
Elle peut également s’imposer lorsque les activités de base portent à grande échelle sur des catégories particulières de données ou sur des condamnations et infractions.
DPO interne ou DPO externalisé
DPO interne
Il connaît profondément l’organisation mais doit disposer de temps, de moyens, d’un accès direct à la direction et ne pas être placé en conflit d’intérêts.
DPO externalisé
Il intervient par contrat de services. Le périmètre, les délais, les interlocuteurs, les volumes et les conditions d’indépendance doivent être définis clairement.
Même niveau d’exigence
Le choix du modèle ne change ni les missions légales ni la responsabilité de l’entreprise concernant ses traitements.
Et au Maroc ? Le DPO face à la loi 09-08 et à la CNDP
Deux cadres distincts
La loi 09-08 n’organise pas la fonction de DPO de la même manière que les articles 37 à 39 du RGPD. Elle impose en revanche des formalités préalables auprès de la CNDP, des règles de sécurité et le respect des droits des personnes.
Quand le RGPD s’applique
Une entreprise marocaine peut relever du RGPD lorsqu’elle cible ou suit des personnes situées dans l’Union européenne. Les critères de désignation d’un DPO de l’article 37 doivent alors être analysés.
Prestataires de clients européens
Centres d’appels, ESN et éditeurs SaaS reçoivent des questionnaires et des contrats article 28. Un point de contact protection des données identifié facilite ces revues et la preuve des engagements.
Un pilote pour les formalités
Même sans obligation de désignation, un DPO ou un référent coordonne le registre, les déclarations et autorisations CNDP, les transferts à l’étranger et la réponse aux incidents.
MISE EN PRATIQUE
Passer de la checklist à une décision documentée
Comment déterminer si la désignation est obligatoire
L’analyse ne dépend pas seulement de la taille de l’entreprise. Il faut identifier les activités de base, la nature du suivi réalisé, le nombre de personnes concernées, la durée et la portée géographique du traitement. Un volume limité peut néanmoins présenter un risque élevé lorsque le suivi est intrusif, continu ou porte sur des données sensibles.
La conclusion doit être conservée avec les faits et critères examinés. Si aucun DPO n’est obligatoire, l’organisation peut désigner volontairement un DPO, mais elle doit alors respecter les exigences du RGPD concernant sa fonction. Une autre option consiste à nommer un référent vie privée dont le titre et les responsabilités ne créent pas de confusion avec un DPO officiellement désigné.
Indépendance, moyens et conflits d’intérêts
Le DPO doit pouvoir accéder aux informations, aux responsables de traitement et à la direction suffisamment tôt. Son budget, son temps et ses outils doivent correspondre au périmètre confié. L’indépendance ne signifie pas qu’il travaille seul : les métiers, la sécurité, les RH, le marketing et la direction restent propriétaires de leurs actions et fournissent les preuves nécessaires.
Un conflit d’intérêts apparaît notamment lorsqu’une personne détermine elle-même les finalités et moyens des traitements qu’elle devrait ensuite contrôler. Le titre de poste ne suffit pas pour conclure : il faut examiner les décisions réellement prises. Pour un DPO externalisé, le contrat doit aussi traiter les autres missions du prestataire, la confidentialité, la continuité et les mécanismes d’escalade.
Ce qu’un dispositif DPO doit produire
Un dispositif utile transforme les questions juridiques en décisions traçables. Il peut inclure un plan annuel, un registre tenu à jour, des avis sur les projets, un suivi des AIPD, un canal pour les droits, une procédure d’incident, une revue des fournisseurs et un reporting destiné à la direction. Les livrables précis dépendent toutefois du périmètre contractuel et du niveau de risque.
Le DPO ne signe pas automatiquement les décisions au nom de l’entreprise, n’exécute pas tous les contrôles techniques et ne remplace pas un avocat lorsque la consultation juridique est réservée. Avant de comparer des offres, demandez le temps réellement disponible, les délais de réponse, les volumes inclus, l’identité du référent, les exclusions et la manière dont les dépassements seront approuvés.
FAQ
Questions fréquentes
Une entreprise marocaine doit-elle désigner un DPO ?+
La loi 09-08 ne prévoit pas de mécanisme identique à l’article 37 du RGPD. En revanche, si le RGPD s’applique à ses activités, l’entreprise doit vérifier les critères de désignation ; un référent reste utile pour piloter les formalités CNDP.
Que veut dire DPO ?+
DPO signifie Data Protection Officer, traduit en français par délégué à la protection des données.
Le DPO rend-il l’entreprise conforme ?+
Non. Il conseille, contrôle et alerte. L’entreprise reste responsable de ses décisions, moyens et traitements.
Une PME doit-elle obligatoirement avoir un DPO ?+
Pas systématiquement. Il faut analyser les critères de l’article 37 du RGPD et les éventuelles obligations sectorielles.
Le DPO peut-il être un prestataire externe ?+
Oui. Le RGPD autorise l’exercice de la fonction sur la base d’un contrat de services.
Le DPO peut-il être sanctionné à la place de l’entreprise ?+
La responsabilité du respect du RGPD appartient au responsable du traitement ou au sous-traitant selon leurs obligations respectives.
Ce guide fournit un cadre général et ne remplace pas l’analyse de votre situation ni un conseil juridique réservé.
RCM
Besoin d’un DPO externalisé ?
Définissons le périmètre, le temps disponible et les responsabilités avant toute proposition.