Le Délégué à la Protection des Données au Maroc : Rôle et Obligations

Ce que prévoit la loi marocaine#

La loi 09-08 ne contient pas d'obligation générale de désigner un DPO. Les obligations pèsent sur le responsable du traitement, c'est-à-dire l'organisation elle-même et ses dirigeants.

En pratique, une organisation qui n'a personne en charge du sujet peine à tenir ses formalités à jour, à répondre aux demandes de droits dans les délais, ou à réagir en cas de contrôle. Lors de sa campagne de 2025, la CNDP a d'ailleurs demandé aux entreprises une désignation claire des responsables en interne.

Quand le RGPD s'applique à une entreprise marocaine#

Le RGPD s'applique au-delà de l'Union européenne lorsqu'une organisation :

• offre des biens ou des services à des personnes situées dans l'Union européenne (site en ligne ciblant ces clients, vente à distance) ;
• ou suit le comportement de ces personnes (profilage, suivi publicitaire).

C'est souvent le cas des centres d'appels et BPO qui traitent les données de clients européens, des plateformes e-commerce qui livrent en Europe, ou des acteurs du tourisme. Dans ce cas, l'article 37 du RGPD impose un DPO si les activités de base consistent en un suivi régulier et systématique à grande échelle, ou en un traitement à grande échelle de données sensibles. L'article 27 impose aussi, sauf exceptions, de désigner un représentant dans l'Union.

Les missions d'un DPO#

En s'inspirant du RGPD, le rôle comprend quatre missions :

1. Informer et conseiller la direction et les équipes sur leurs obligations.
2. Contrôler le respect des règles internes et de la loi.
3. Coopérer avec l'autorité de contrôle, et lui servir de point de contact.
4. Être l'interlocuteur des personnes qui exercent leurs droits.

Le bon profil#

Un DPO efficace réunit des compétences juridiques, techniques et organisationnelles. Il doit aussi être indépendant : il ne peut pas contrôler des décisions qu'il prend lui-même. Les lignes directrices européennes considèrent ainsi qu'un directeur général, un directeur informatique ou un directeur marketing se trouve généralement en situation de conflit d'intérêts.

DPO interne ou externe ?#

Recommandation pour une entreprise marocaine#

• Sans exposition au RGPD : désignez au minimum un référent interne, avec un temps dédié, une lettre de mission et un accès direct à la direction.
• Avec exposition au RGPD : vérifiez si les critères de l'article 37 s'appliquent. En cas de doute, la désignation volontaire d'un DPO reste la position la plus sûre.