Les cas où le RGPD impose un DPO
L’article 37 du RGPD rend la désignation obligatoire dans trois situations :
- Le traitement est effectué par une autorité ou un organisme public
- Les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes (profilage, géolocalisation, suivi en ligne…)
- Les activités de base consistent à traiter à grande échelle des données sensibles ou relatives aux condamnations
Et pour une entreprise marocaine ?
Une entreprise marocaine est soumise au RGPD lorsqu’elle cible des personnes situées dans l’Union européenne ou suit leur comportement. Un centre d’appels, un éditeur SaaS ou une plateforme de santé qui travaille pour des clients européens doit donc vérifier ces critères. Une entreprise qui travaille uniquement au Maroc relève de la loi 09-08, qui n’impose pas de DPO.
Quand en désigner un sans y être obligé
- Un client européen l’exige dans son contrat ou son questionnaire fournisseur
- Vous traitez des données sensibles, de nombreux salariés ou des clients en volume
- Personne en interne n’a le temps ni la compétence pour suivre les obligations CNDP
- Vous préparez une levée de fonds, une acquisition ou un audit client
Pour aller plus loin
Questions fréquentes
Une PME marocaine doit-elle avoir un DPO ?
Pas au titre de la loi 09-08. Elle peut y être tenue au titre du RGPD selon son activité, ou choisir d’en désigner un pour des raisons commerciales.
Faut-il déclarer son DPO ?
Au titre du RGPD, ses coordonnées sont communiquées à l’autorité de contrôle compétente et publiées. La loi 09-08 ne prévoit pas cette formalité.
Qui peut être DPO ?
Un salarié sans conflit d’intérêts ou un prestataire externe disposant de l’expertise nécessaire.
DPO externalisé
Un DPO qui maintient votre registre, conseille vos équipes, gère les demandes et les incidents et rend compte à la direction. Périmètre étendu sur devis.
Voir l’offre · dès 4 900 MAD/mois ↗ Appel gratuit de 30 min ↗