Les entreprises marocaines traitent aujourd’hui des données personnelles à tous les niveaux : clients, collaborateurs, candidats, fournisseurs, visiteurs, utilisateurs de plateformes numériques ou encore partenaires.

À ces traitements traditionnels s’ajoutent désormais les solutions cloud, les logiciels SaaS, les échanges internationaux de données, les outils collaboratifs et, de plus en plus, les solutions d’intelligence artificielle.

Dans ce contexte, une question prend progressivement de l’importance :

Qui, dans l’organisation, est capable de suivre l’évolution de ces usages, d’identifier les risques et de faire le lien entre les exigences de protection des données et les transformations technologiques ?

C’est précisément sur ce terrain que le métier de DPO (Data Protection Officer) évolue.

Au Maroc, cette fonction doit être appréhendée dans le cadre de la loi n° 09-08, sous le contrôle de la CNDP. Cette réglementation constitue le socle marocain de la protection des données à caractère personnel et encadre notamment les conditions de traitement, les droits des personnes, la sécurité des données et les formalités applicables.

Mais au-delà des formalités, le métier de DPO est en train de changer de dimension.

Le DPO n’est plus seulement celui qui connaît les règles. Il devient progressivement celui qui aide l’organisation à comprendre comment les appliquer dans des environnements numériques de plus en plus complexes.

---

Table des matières

Le métier de DPO aujourd’hui

• Le DPO : une fonction qui a profondément évolué
• Au Maroc, le métier de DPO commence à émerger alors qu’il évolue déjà ailleurs
• Que fait réellement un DPO aujourd’hui ?
• Pourquoi le métier de DPO devient de plus en plus transversal

Le DPO face aux nouvelles technologies

• Le DPO face au cloud, aux SaaS et aux données internationales
• Le DPO et l’intelligence artificielle : vers un nouveau rôle ?
• De la Data Privacy à l’AI Governance : construire des ponts
• Le DPO de demain : un profil polyvalent
• Le DPO doit-il devenir expert en intelligence artificielle ?

Un métier qui évolue

• DPO : un métier qui peut aussi s’exporter
• Se former pour accompagner cette évolution
• DPO interne ou DPO externalisé : comment choisir ?
• Le DPO comme partenaire de la direction
• DPO au Maroc : un métier appelé à continuer d’évoluer

Questions fréquentes

• FAQ : DPO au Maroc
• Conclusion

---

Le DPO : une fonction qui a profondément évolué

Le métier de DPO s’est historiquement construit autour de la protection des données personnelles et de la conformité.

Cela implique notamment de comprendre les traitements réalisés par l’organisation, d’identifier les risques, d’accompagner les équipes, de sensibiliser les collaborateurs, de contribuer à la documentation et de suivre les relations avec les différents acteurs intervenant dans les traitements.

Dans le cadre du RGPD, la fonction de DPO est notamment associée à des missions d’information et de conseil, de contrôle du respect des règles applicables, d’accompagnement des analyses d’impact, de coopération avec l’autorité de contrôle et de point de contact avec celle-ci.

Le cadre marocain de la loi 09-08 présente quant à lui une logique juridique propre et ne doit pas être assimilé automatiquement au régime du RGPD.

Cette distinction est importante.

Au Maroc, le responsable du traitement reste au cœur des obligations prévues par la loi 09-08. Le DPO doit donc être compris comme une fonction de gouvernance, de conseil, de coordination et d’accompagnement de la conformité, lorsque cette fonction est mise en place dans l’organisation.

Et cette fonction devient progressivement plus transversale.

---

Au Maroc, le métier de DPO commence à émerger alors qu’il évolue déjà ailleurs

Il existe un paradoxe intéressant.

Le métier de DPO commence à peine à se structurer dans de nombreuses entreprises marocaines qu’il a déjà considérablement évolué dans les organisations les plus matures.

Pour certaines entreprises au Maroc, le DPO reste encore associé à la conformité réglementaire, aux formalités auprès de la CNDP, à la documentation et à la gestion des droits des personnes.

Cette première étape est nécessaire.

Mais elle ne constitue déjà plus l’horizon du métier.

À l’international, les professionnels de la protection des données sont progressivement confrontés à des problématiques beaucoup plus larges : gouvernance des données, cloud, sous-traitance, transferts internationaux, cybersécurité, gestion des risques, Data Governance et désormais intelligence artificielle.

Le marché marocain se trouve donc dans une situation particulière : il doit structurer une fonction dont les contours sont déjà en train d’évoluer ailleurs.

Cela représente un défi, mais également une opportunité.

Les entreprises marocaines qui commencent aujourd’hui à structurer leur fonction de protection des données peuvent directement intégrer cette évolution dans leur modèle de gouvernance, plutôt que de considérer le DPO uniquement comme une fonction administrative ou réglementaire.

Le professionnel marocain de la protection des données peut ainsi construire dès maintenant une trajectoire allant de la Data Privacy vers la gouvernance des données, la gestion des risques numériques et, progressivement, la gouvernance de l’intelligence artificielle.

C’est probablement l’une des évolutions majeures à anticiper dans les prochaines années.

---

Que fait réellement un DPO aujourd’hui ?

Le DPO est souvent présenté comme le spécialiste de la protection des données.

Cette définition est exacte, mais elle devient insuffisante pour comprendre la réalité du métier.

Le DPO ne travaille pas isolément. Dans une organisation, il devient progressivement un point de convergence entre plusieurs fonctions.

Le DPO : un point de convergence

Direction
↓
DPO
↓
Juridique · RH · IT · Cybersécurité · Métiers · Marketing · Data · Achats · Fournisseurs · Sous-traitants · IA

Un rôle transversal : comprendre, coordonner, questionner, alerter et conseiller.

Cette position lui permet d’avoir une vision plus globale des traitements et de leurs enjeux.

Son rôle consiste notamment à comprendre les traitements, identifier les enjeux, conseiller les équipes, alerter sur les risques et contribuer à la mise en place d’une gouvernance adaptée.

Il ne décide pas à la place des métiers.

Il n’est pas non plus le responsable opérationnel de tous les traitements.

Son apport réside précisément dans sa capacité à apporter un regard spécialisé sur les enjeux de protection des données.

Cette distinction est essentielle :

Le DPO accompagne la gouvernance ; il ne se substitue pas à la direction ou au responsable du traitement.

---

Pourquoi le métier de DPO devient de plus en plus transversal

Une entreprise ne traite plus ses données dans un environnement fermé.

Un simple parcours client peut aujourd’hui impliquer un CRM, une plateforme marketing, un outil de messagerie, une solution d’analyse, un hébergeur cloud et plusieurs prestataires externes.

Une procédure RH peut faire intervenir plusieurs applications SaaS.

Un projet commercial peut impliquer des transferts internationaux.

Un nouvel outil d’intelligence artificielle peut, selon son fonctionnement et son usage, introduire de nouveaux traitements ou de nouvelles problématiques de gouvernance.

Le DPO doit donc comprendre les interactions entre ces différents éléments.

Cela ne signifie pas qu’il doit devenir simultanément juriste, RSSI, architecte cloud, data scientist et expert en intelligence artificielle.

La polyvalence attendue du DPO est d’abord une polyvalence de compréhension et de coordination.

Il doit être capable de poser les bonnes questions :

Quelle donnée est utilisée ?

Pour quelle finalité ?

Par qui ?

Dans quel système ?

Avec quel fournisseur ?

Pendant combien de temps ?

Dans quel pays ?

Avec quelles mesures de sécurité ?

Pour quel nouvel usage ?

Et surtout :

Quelles conséquences pour les personnes concernées ?

Cette capacité à questionner devient particulièrement importante lorsque les technologies évoluent plus rapidement que les procédures internes.

---

Le DPO face au cloud, aux SaaS et aux données internationales

Le développement du cloud a profondément transformé la manière dont les entreprises utilisent leurs données.

Une entreprise marocaine peut utiliser des solutions dont les prestataires, infrastructures, sous-traitants ou flux de données sont répartis dans plusieurs juridictions.

Pour le DPO, cela signifie que l’analyse d’un traitement ne peut plus se limiter à l’application utilisée par le collaborateur.

Il faut comprendre l’écosystème qui se trouve derrière cette application : le fournisseur, les éventuels sous-traitants, les lieux d’hébergement, les flux de données et les garanties mises en place.

Cette problématique est particulièrement importante au Maroc.

Le DPO doit donc progressivement développer une véritable culture des flux de données.

C’est une évolution majeure du métier.

Cette dimension rejoint également les enjeux de RGPD et de conformité internationale, notamment pour les organisations marocaines travaillant avec des partenaires européens ou utilisant des prestataires internationaux.

Découvrir notre accompagnement en conformité RGPD

---

Le DPO et l’intelligence artificielle : vers un nouveau rôle ?

L’arrivée de l’intelligence artificielle ajoute une nouvelle couche de complexité.

Les entreprises utilisent désormais des outils capables de générer du texte, d’analyser des documents, de résumer des informations, d’automatiser certaines tâches ou d’assister les collaborateurs dans leur travail.

La question du DPO n’est pas simplement :

« Est-ce de l’IA ? »

La vraie question est plutôt :

« Quelles données sont utilisées, dans quel contexte, pour quelle finalité et avec quelles conséquences ? »

Prenons quelques situations simples.

Un collaborateur copie des informations personnelles dans un outil d’IA générative.

Une entreprise utilise un service d’IA fourni par un prestataire externe.

Un système analyse automatiquement des données concernant des clients ou des salariés.

Un nouvel outil utilise des données existantes pour produire des résultats ou recommandations.

Une solution d’IA est intégrée dans un processus métier existant.

Dans chacun de ces cas, plusieurs questions de gouvernance peuvent apparaître : protection des données, sécurité, transparence, responsabilités, fournisseurs, conservation, finalités, accès aux données et risques associés.

Le DPO n’a pas nécessairement vocation à devenir l’expert technique de l’algorithme.

En revanche, il doit être capable d’identifier quand un projet d’IA crée un enjeu de protection des données et quand il faut mobiliser d’autres expertises.

C’est là que son rôle devient particulièrement intéressant.

Pour approfondir les enjeux liés à la gouvernance de l’IA, découvrez également l’expertise et les formations DataConfo consacrées à l’intelligence artificielle.

---

De la Data Privacy à l’AI Governance : construire des ponts

La protection des données et la gouvernance de l’intelligence artificielle ne sont pas identiques.

Elles répondent à des problématiques différentes et reposent sur des cadres réglementaires et organisationnels distincts.

Mais elles peuvent se rencontrer.

Dès qu’un système d’IA utilise des données personnelles, la question de la protection des données peut devenir pertinente.

Le DPO peut alors contribuer à identifier les enjeux liés aux données utilisées, aux finalités, à la transparence, aux personnes concernées, aux fournisseurs, aux risques, à la sécurité et aux responsabilités.

Cela ouvre progressivement un nouvel espace professionnel.

Le DPO peut devenir l’un des points de connexion entre la Data Privacy et l’AI Governance.

Attention toutefois à ne pas tirer une conclusion excessive : cela ne signifie pas que le DPO devient automatiquement responsable de la gouvernance de l’IA.

Son rôle doit rester clairement défini.

Mais son expertise sur les données, les risques, la conformité et la gouvernance peut lui permettre de participer utilement aux dispositifs de gouvernance de l’IA.

---

Le DPO de demain : un profil polyvalent

Le DPO de demain n’a pas besoin de tout savoir.

Il doit en revanche savoir comprendre suffisamment de domaines différents pour identifier les interactions entre eux.

Sa culture professionnelle doit progressivement dépasser le seul cadre juridique.

Data Privacy

Maîtriser les principes de protection des données, les droits des personnes, les responsabilités, les risques et les mécanismes de conformité.

Pour structurer cette expertise, DataConfo accompagne également les organisations sur les enjeux de Data Privacy et de conformité à la Loi 09-08.

Gouvernance des données

Comprendre comment les données sont organisées, utilisées, partagées, conservées et contrôlées.

Cybersécurité

Comprendre les principales menaces, les mesures de sécurité et les conséquences potentielles d’un incident sur les données personnelles.

Cette culture doit également permettre au DPO de dialoguer avec les responsables de la sécurité de l’information lorsque les enjeux de protection des données et de cybersécurité se croisent.

Découvrez également notre expertise en sécurité de l’information et cybersécurité.

Technologies

Comprendre les environnements cloud, SaaS et les principales technologies utilisées pour traiter les données.

Gestion des risques

Savoir identifier, évaluer, prioriser et suivre les risques liés aux traitements.

Intelligence artificielle

Comprendre les principaux usages de l’IA et savoir identifier les situations dans lesquelles la protection des données ou la gouvernance de l’IA doivent être prises en compte.

Communication

Savoir traduire une problématique juridique ou technique en une décision compréhensible par une direction ou un responsable métier.

C’est cette combinaison qui donne au métier sa dimension stratégique.

---

Le DPO doit-il devenir expert en intelligence artificielle ?

Non.

Et cette distinction est importante.

Demander au DPO de devenir expert de tous les domaines technologiques serait irréaliste.

Le DPO doit plutôt développer une culture suffisante de l’IA pour comprendre ses enjeux et savoir quand solliciter les compétences appropriées.

Son rôle pourrait être comparé à celui d’un point de convergence.

Il doit pouvoir dialoguer avec le juridique, l’informatique, la sécurité, les métiers, les data scientists, les achats ou la direction.

Il doit savoir identifier les questions pertinentes.

Il doit savoir alerter.

Il doit savoir documenter.

Il doit savoir orienter.

Et surtout, il doit savoir expliquer les conséquences d’un choix technologique sur la gouvernance des données.

La valeur du DPO ne réside donc pas uniquement dans ce qu’il sait faire lui-même, mais aussi dans sa capacité à faire travailler les bonnes expertises ensemble.

---

DPO : un métier qui peut aussi s’exporter

Le métier de DPO présente une autre caractéristique intéressante : il peut, dans certaines configurations, donner lieu à des prestations de services destinées à des organisations situées au-delà du marché national.

La protection des données repose sur des problématiques qui dépassent largement un seul marché : gouvernance, cartographie des traitements, gestion des risques, accompagnement des projets numériques, relations avec les prestataires, politiques internes, sensibilisation ou encore gestion des droits des personnes.

Un professionnel qui maîtrise ces compétences et qui comprend plusieurs cadres réglementaires peut donc travailler avec des organisations situées dans différents pays, sous réserve de maîtriser le cadre juridique applicable à chaque mission.

Pour les professionnels marocains, cela ouvre une perspective intéressante.

Le DPO peut devenir un métier de services exportables, notamment grâce au développement du conseil à distance et des prestations intellectuelles internationales.

Un consultant marocain peut ainsi accompagner une organisation étrangère sur certains volets de sa gouvernance de la protection des données, lorsque son expertise et le cadre juridique applicable le permettent.

Cette dimension internationale peut être particulièrement pertinente pour les profils capables de travailler en français et en anglais et de comprendre les différences entre plusieurs cadres réglementaires.

Le métier ne se limite donc pas nécessairement à trouver un poste de DPO dans une entreprise marocaine.

Il peut également évoluer vers une activité de conseil, d’accompagnement, de formation et d’expertise destinée à plusieurs marchés.

Plus le professionnel développe une culture de gouvernance, de risque, de technologie et d’IA, plus son expertise peut devenir transférable d’une organisation à une autre.

---

Se former pour accompagner cette évolution

Cette évolution suppose naturellement de développer des compétences solides.

La maîtrise du cadre juridique constitue le socle, mais elle doit être complétée par une compréhension des traitements, des risques, des technologies, de la gouvernance et des enjeux opérationnels.

C’est dans cette logique que DataConfo Academy développe des parcours de formation et de certification destinés aux professionnels qui souhaitent renforcer leurs compétences dans les domaines de la protection des données, de la sécurité de l’information, de l’intelligence artificielle et de la gouvernance.

👉 Découvrir DataConfo Academy

L’objectif n’est pas uniquement d’acquérir des connaissances réglementaires.

Il s’agit également de comprendre comment transformer les exigences de protection des données en pratiques de gouvernance applicables dans l’entreprise.

Pour un professionnel souhaitant se positionner sur ce métier, la formation constitue donc une première étape pour construire une expertise solide et développer progressivement une approche plus transversale.

Pour approfondir spécifiquement le métier de DPO, découvrez également la formation certifiante Data Protection Officer de DataConfo Academy.

---

DPO interne ou DPO externalisé : comment choisir ?

Toutes les organisations n’ont pas les mêmes besoins ni les mêmes ressources.

Une grande entreprise peut disposer d’une équipe interne structurée autour de la protection des données.

Une PME peut avoir besoin d’une compétence spécialisée sans pour autant disposer des ressources nécessaires pour créer un poste à temps plein.

L’externalisation peut alors constituer une organisation pertinente lorsque le contexte le permet.

Le DPO externalisé peut apporter une expertise spécialisée, accompagner plusieurs fonctions de l’entreprise et intervenir selon un niveau de présence adapté aux besoins de l’organisation.

Mais externaliser ne signifie pas transférer la responsabilité de l’entreprise.

Le responsable du traitement conserve ses responsabilités.

L’externalisation d’une fonction ne signifie donc pas l’externalisation de la responsabilité juridique de l’organisation.

Au Maroc, l’organisation d’une fonction DPO doit être appréciée au regard du cadre applicable, de la taille de l’entreprise, de ses traitements, de ses risques et de ses besoins de gouvernance.

Pour une PME souhaitant structurer progressivement sa conformité à la loi 09-08, la fonction peut notamment servir de point de coordination entre la direction, les métiers et les prestataires.

DataConfo accompagne également les organisations qui souhaitent mettre en place ou renforcer une fonction de DPO externalisé, avec un accompagnement adapté à leur contexte et à leurs besoins.

👉 Découvrir le service DPO externalisé DataConfo

---

Le DPO comme partenaire de la direction

La véritable maturité d’une fonction DPO se mesure rarement au nombre de documents produits.

Elle se mesure plutôt à sa capacité à aider l’organisation à prendre de meilleures décisions.

Une direction peut avoir besoin de répondre à des questions très concrètes :

Peut-on utiliser cet outil SaaS ?

Peut-on transmettre ces données à ce prestataire ?

Peut-on conserver ces informations aussi longtemps ?

Que devons-nous faire avant de lancer ce nouveau traitement ?

Que se passe-t-il si les données sont hébergées à l’étranger ?

Quelles précautions prendre avant d’utiliser cet outil d’IA ?

Quels sont les principaux risques pour l’entreprise ?

Le DPO doit être capable de transformer ces questions en analyses et en recommandations compréhensibles.

C’est à ce moment qu’il devient réellement un partenaire de la direction.

La conformité cesse alors d’être uniquement une obligation à gérer et devient un outil d’aide à la décision.

---

DPO au Maroc : un métier appelé à continuer d’évoluer

Le métier de DPO n’est probablement pas en train de disparaître sous l’effet des nouvelles technologies.

C’est l’inverse.

Plus les entreprises utilisent de données, de plateformes, de services cloud et d’intelligence artificielle, plus elles ont besoin de comprendre comment ces technologies interagissent avec leurs enjeux de gouvernance.

Au Maroc, la loi 09-08 constitue le socle de la protection des données personnelles et la CNDP joue un rôle central dans son application.

Mais le métier de DPO ne doit pas être réduit à la seule réalisation des formalités.

Son évolution peut être résumée ainsi :

Conformité → Gouvernance → Gestion des risques → Transformation numérique → Gouvernance de l’IA

Cette trajectoire ne signifie pas que toutes les entreprises doivent appliquer exactement le même modèle.

Elle signifie plutôt que les compétences attendues du professionnel de la protection des données deviennent progressivement plus larges.

Le DPO de demain devra comprendre les données.

Comprendre les technologies.

Comprendre les risques.

Comprendre l’organisation.

Et surtout, comprendre les interactions entre ces différents domaines.

C’est cette capacité à faire le lien qui pourrait devenir l’une des principales valeurs ajoutées du métier.

---

FAQ : DPO au Maroc

Un DPO est-il obligatoire pour toutes les entreprises marocaines ?

Il ne faut pas transposer automatiquement au Maroc les règles du RGPD relatives à la désignation obligatoire d’un DPO.

La loi 09-08 et le cadre réglementaire marocain doivent être analysés directement pour déterminer les obligations applicables à une organisation et à ses traitements.

La fonction DPO peut néanmoins constituer un dispositif important de gouvernance et d’accompagnement de la conformité.

Quelle différence entre DPO et responsable du traitement ?

Le responsable du traitement est l’entité qui détermine les finalités et les moyens du traitement de données personnelles.

Le DPO, lorsqu’une telle fonction est mise en place, intervient principalement comme fonction de conseil, de contrôle, de coordination et d’accompagnement de la protection des données.

Les deux fonctions ne doivent donc pas être confondues.

Quelle différence entre DPO Loi 09-08 et DPO RGPD ?

Le terme DPO est utilisé dans les deux environnements, mais le cadre juridique n’est pas identique.

Le RGPD comporte notamment des dispositions détaillées concernant la désignation, le statut et les missions du DPO.

La loi marocaine 09-08 repose sur son propre dispositif juridique et institutionnel autour notamment du responsable du traitement et de la CNDP.

Il convient donc de distinguer les deux cadres plutôt que de considérer qu’un DPO RGPD et une fonction DPO au Maroc sont juridiquement interchangeables.

Une PME peut-elle avoir un DPO externalisé ?

Une PME peut organiser une fonction de protection des données adaptée à sa taille et à ses besoins, notamment en recourant à une expertise externe lorsque cela est pertinent.

Le choix doit cependant être défini avec précision : périmètre de mission, responsabilités, disponibilité, indépendance, accès aux informations et modalités de reporting.

Le DPO doit-il être expert en IA ?

Non.

Il doit surtout disposer d’une compréhension suffisante des technologies et des enjeux de l’intelligence artificielle pour identifier les problématiques pertinentes de protection des données et savoir mobiliser les expertises nécessaires.

Quelles compétences faut-il développer pour devenir DPO ?

Le professionnel doit naturellement maîtriser la protection des données et la réglementation applicable.

Mais les compétences complémentaires deviennent de plus en plus importantes : gestion des risques, gouvernance des données, cybersécurité, technologies cloud, gestion des fournisseurs, communication et compréhension des systèmes d’intelligence artificielle.

Le métier demande donc autant une capacité d’analyse qu’une capacité à dialoguer avec des profils très différents.

---

Conclusion — Le DPO de demain sera un acteur de gouvernance

Le métier de DPO est en constante évolution.

Au Maroc comme ailleurs, la protection des données ne peut plus être pensée indépendamment des transformations technologiques qui modifient la manière dont les organisations collectent, utilisent, partagent et analysent les données.

Le DPO ne doit pas nécessairement devenir expert de toutes ces technologies.

Son rôle peut être plus intéressant encore : comprendre les interactions, identifier les risques, poser les bonnes questions, coordonner les expertises, conseiller la direction et contribuer à une gouvernance cohérente des données.

C’est dans cette perspective que le rapprochement entre Data Privacy, Data Governance, Risk Management et AI Governance mérite d’être observé.

Le DPO de demain ne sera peut-être pas celui qui connaît toutes les réponses.

Ce sera celui qui sait où se trouve le risque, quelle question poser, quelle expertise mobiliser et comment transformer cette analyse en décision de gouvernance.

Pour les organisations qui souhaitent structurer cette fonction sans nécessairement créer immédiatement une ressource interne dédiée, DataConfo accompagne les entreprises dans la mise en place et le pilotage d’une fonction DPO externalisée, ainsi que dans leurs démarches de conformité à la loi 09-08.

Et pour les professionnels qui souhaitent se positionner sur ce métier en pleine évolution, DataConfo Academy propose également des formations dédiées au métier de DPO, à la protection des données et aux compétences complémentaires nécessaires pour accompagner les transformations numériques.

Former les professionnels et accompagner les entreprises : deux dimensions complémentaires d’un métier appelé à prendre une place croissante dans la gouvernance des organisations.