Intelligence artificielle

Le délégué à la protection des données, dans une entreprise de douze personnes

La question ne vient presque jamais de l’autorité. Elle vient d’un client, dans un appel d’offres, avec une case à cocher et une date.

Publié le 13 août 2026 — Algeria Agency

Une société de services de douze personnes à Alger remplit un dossier pour un donneur d’ordre étranger. Une ligne demande le nom et les coordonnées du délégué à la protection des données. Le gérant regarde son équipe : un comptable, deux commerciaux, six techniciens, une assistante, un responsable informatique à mi-temps. Personne n’a ce titre et personne ne sait s’il faut l’avoir.

La réponse ne dépend pas du nombre de salariés, et c’est la première chose que presque tout le monde se trompe. Elle dépend de ce que l’entreprise fait des données — ce qui la rend beaucoup plus facile à trancher pour une entreprise qui a écrit son registre, et impossible pour une entreprise qui ne l’a pas. Un projet d’intelligence artificielle rend la question urgente parce qu’il ajoute un traitement, pas parce qu’il change la règle.

Cet article donne les critères, ce que le rôle occupe réellement dans une semaine, qui peut le tenir et qui ne peut pas. Il ne dit pas si vous devez en désigner un : le cadre complet est ailleurs, votre cas se tranche avec un juriste, et la section 1 explique pourquoi nous nous arrêtons là.

La question arrive par un client, pas par l’autorité

Dans ce que nous voyons, l’immense majorité des entreprises qui se posent la question ne se la posent pas parce qu’elles ont été contrôlées. Elles se la posent parce qu’un donneur d’ordre, un partenaire étranger ou un appel d’offres a demandé un nom.

Cela change la nature du problème. Une exigence contractuelle a une date, un formulaire et une conséquence immédiate — le dossier passe ou il ne passe pas — là où une obligation légale a une échéance floue et un risque abstrait. C’est aussi pourquoi les entreprises qui traitent ce sujet tôt sont rarement celles qui craignent une amende.

La deuxième conséquence est moins agréable : la case à cocher pousse à désigner quelqu’un pour avoir un nom à écrire, ce qui est exactement la façon de rendre le rôle inutile. Un délégué désigné la veille du dépôt d’un dossier, qui n’a jamais vu le registre et n’a aucune décharge de son travail habituel, est un nom sur un formulaire.

La bonne réaction est de traiter la demande du client comme une échéance et la désignation comme une décision séparée. La première se règle en une semaine ; la seconde décide de la façon dont l’entreprise tiendra ses obligations pendant des années.

Ce que la loi demande, et à qui

La loi 18-07 du 10 juin 2018, modifiée et complétée par la loi 25-11 du 24 juillet 2025, rend la désignation d’un délégué à la protection des données obligatoire dans des cas définis. La formulation qui compte est que l’obligation ne s’apprécie pas à l’aune de la taille de l’entreprise : elle dépend de la nature, du volume et de la sensibilité des traitements menés.

Trois situations sont visées. Les administrations et organismes publics. Les organismes dont l’activité principale implique un suivi régulier et à grande échelle de personnes. Et ceux qui traitent des données sensibles — santé, biométrie, données judiciaires, opinions.

La conséquence pratique est qu’une entreprise de douze personnes peut être concernée et qu’une entreprise de deux cents peut ne pas l’être. Un cabinet médical de six personnes traite des données de santé ; une société de négoce de trois cents personnes qui ne détient que des coordonnées de fournisseurs est dans une situation différente. Le critère est le traitement, pas l’organigramme.

Ce qui précède décrit l’état d’une réglementation au 21 août 2026 et ne remplace pas l’avis d’un avocat. Nous ne dirons pas si votre entreprise doit désigner un délégué, et un prestataire informatique qui tranche cette question pour vous rassurer rend un service dont il n’a pas à répondre. Ce que nous établissons est la liste de vos traitements, et c’est elle qui rend la question répondable.

Les trois critères, appliqués à douze personnes

Reprenons la société de services du début et lisons les critères sur son registre plutôt que sur son effectif. Ses traitements : paie, recrutement, fichier clients, tickets de support, vidéosurveillance de l’entrepôt, liste de diffusion, et depuis six mois un assistant branché sur la messagerie.

Suivi régulier et à grande échelle : la vidéosurveillance et l’assistant y ressemblent le plus, et la question n’est ni le nombre de caméras ni le nombre de messages mais la régularité et la systématicité de l’observation. C’est le critère le plus difficile à lire seul, et c’est celui sur lequel un avis vaut ce qu’il coûte.

Données sensibles : le dossier de recrutement contient parfois un certificat médical, la vidéosurveillance produit des images de personnes identifiables, et les tickets de support contiennent tout ce qu’un client a bien voulu écrire. Une entreprise découvre régulièrement qu’elle en traite sans l’avoir décidé, et cette découverte se fait en lisant le registre plutôt qu’en y réfléchissant.

Le point à retenir est que ces trois lectures se font en une heure quand le registre existe, et sont impossibles sans lui. Les six colonnes, remplies sur un cas réel sont un autre sujet et c’est le préalable de celui-ci : la question du délégué se répond depuis le registre, pas depuis une intuition sur la taille de l’entreprise.

Une semaine ordinaire de délégué

Le titre laisse imaginer un poste. Dans une entreprise de cette taille, c’est une fonction qui occupe quelques heures par semaine, et il est plus utile de décrire ces heures que le titre.

Cinq tâches reviennent. Tenir le registre à jour quand un outil change ou qu’un traitement démarre — le plus souvent une ligne, parfois rien. Répondre aux demandes des personnes concernées : accès, rectification, suppression. Instruire un incident quand il y en a un. Vérifier les points qui s’effritent seuls : les accès d’un salarié parti, les journaux qui se sont éteints, la durée de conservation que personne n’applique — la même érosion que celle qui finit par arrêter une entreprise, regardée sous l’angle des données plutôt que sous celui des pannes.

La cinquième est celle qui fait la différence et qui n’apparaît sur aucune fiche de poste : être consulté avant qu’un projet démarre. Un délégué qui découvre un nouvel outil le jour de sa mise en service passe son temps à rattraper ; un délégué prévenu trois semaines avant écrit deux paragraphes et le projet part droit.

Le volume dépend du registre et il se prévoit à peu près : une entreprise avec douze traitements stables et un projet par an occupe quelques heures par mois, une entreprise qui change d’outil tous les trimestres beaucoup plus. Ce que nous ne publions pas est un nombre d’heures type, parce qu’il dépend entièrement de la longueur de votre registre et qu’un chiffre moyen ne décrirait personne.

Qui peut le tenir en interne

La compétence de départ n’est pas juridique et elle n’est pas informatique : c’est la capacité à décrire ce que l’entreprise fait, à demander des comptes sans se faire éconduire, et à écrire. Dans les entreprises de cette taille, cela désigne souvent la personne qui tient l’administratif, la qualité ou les ressources humaines.

Ce qu’il faut ajouter est une formation et un accès. La formation existe et elle est courte ; l’accès est la partie que les entreprises oublient — un délégué qui doit demander la permission pour ouvrir un écran ou lire un contrat n’exercera pas.

Il faut aussi du temps réellement dégagé, écrit quelque part. « En plus de son travail » signifie que la fonction cède devant n’importe quelle urgence, et le registre est exactement le genre de chose qui cède sans que personne le remarque pendant huit mois.

Le dernier point est la durée. Une désignation qui change tous les six mois annule le bénéfice de la fonction, parce que la valeur du rôle est cumulative : le délégué utile est celui qui sait, en février, ce qu’il a vu en novembre.

Qui ne peut pas : le responsable informatique

C’est la désignation qui vient naturellement à l’esprit et c’est la plus problématique. Le responsable informatique est celui qui met en place les traitements, choisit les outils et configure les accès. Lui confier le contrôle de ces choix revient à lui demander d’auditer son propre travail.

Le conflit n’est pas théorique et il se voit sur un cas simple : un délégué doit pouvoir dire qu’un projet ne peut pas démarrer en l’état. Quand ce projet est le sien, la phrase ne sera pas prononcée — non par malhonnêteté, mais parce que personne ne s’arrête soi-même avec la même facilité.

Il existe une nuance qui compte dans une petite structure : le responsable informatique est souvent la personne qui sait le mieux où sont les données, et il est indispensable au travail du délégué. La bonne configuration est qu’il soit la première source d’information du délégué, pas le délégué.

Le même raisonnement vaut pour un prestataire extérieur qui a construit le système, et il s’applique à nous. C’est la raison pour laquelle nous ne prenons pas ce rôle chez nos clients, et la section 11 y revient.

Le gérant, et le conflit qu’on ne voit pas

La deuxième désignation instinctive est le gérant ou le dirigeant, au motif qu’il a l’autorité pour faire appliquer. L’autorité est réelle et c’est précisément ce qui pose problème : le dirigeant est celui qui décide des finalités des traitements, c’est-à-dire celui dont les décisions doivent être examinées.

Le conflit est moins visible que dans le cas informatique parce qu’il ne porte pas sur la technique. Il porte sur les arbitrages commerciaux : garder un fichier prospects plus longtemps, exploiter une base pour une campagne, accepter une clause déséquilibrée pour signer un contrat. Ce sont exactement les décisions qu’un délégué doit pouvoir discuter.

Dans une très petite structure, il arrive qu’il n’y ait pas d’autre choix, et il vaut mieux le dire que le maquiller. Une entreprise de quatre personnes où le gérant tient la fonction est dans une situation imparfaite qu’elle peut documenter honnêtement ; une entreprise de douze personnes qui fait le même choix par facilité s’est privée du seul contre-pouvoir que le dispositif prévoit.

Le test simple est de se demander qui, dans l’entreprise, peut dire non au gérant sans que cela devienne un incident. Si la réponse est personne, la désignation interne ne produira pas ce qu’on en attend, et la voie externe mérite d’être regardée.

Le délégué externe : ce qu’il coûte en accès

La loi permet de confier la fonction à quelqu’un d’extérieur, et c’est souvent la solution la plus réaliste pour une entreprise de cette taille. L’indépendance est acquise par construction et la compétence s’achète.

Ce qui s’achète moins bien est la connaissance de l’entreprise, et c’est là que la plupart des désignations externes échouent. Un délégué extérieur qui ne voit personne pendant onze mois et produit un rapport en décembre décrit une entreprise qu’il ne connaît pas. Le coût réel de cette formule n’est pas ce qu’elle se facture, c’est l’accès qu’il faut lui ouvrir.

Trois choses le rendent efficace, et elles vous coûtent du temps plutôt que de l’argent : une personne interne qui lui répond, un rendez-vous régulier même court, et la règle qu’il est prévenu avant qu’un projet démarre. Sans la troisième, il est un auditeur ; avec elle, il est ce que la fonction prévoit.

Nous ne publions pas de fourchette de prix pour cette prestation, et pas seulement parce que ce n’est pas la nôtre : elle dépend du nombre de traitements, du secteur et de la fréquence des changements, et un montant écrit ici serait lu comme un tarif par des entreprises dont aucune ne se ressemble.

La désignation, et ce qu’elle engage

Une désignation est un acte écrit, pas une mention orale en réunion. Elle nomme la personne, décrit sa mission, précise à qui elle rend compte et ce à quoi elle a accès. Ce document est court — une page suffit — et il est ce qui distingue une fonction d’une intention.

Le délégué devient ensuite le point de contact avec l’autorité. C’est lui qui prépare les déclarations et les demandes d’autorisation, qui instruit une notification de violation, qui répond aux demandes d’information et qui accompagne un contrôle sur pièces ou sur place — les quatre pièces qu’un contrôle demande sont ce qu’il doit pouvoir produire sans réunion préalable.

Ses coordonnées circulent, et c’est voulu : une personne concernée qui veut exercer un droit doit savoir à qui écrire. Prévoyez une adresse fonctionnelle plutôt qu’une adresse personnelle, pour que le départ de la personne ne coupe pas le canal.

Enfin, la désignation ne transfère pas la responsabilité. Elle reste celle de l’entreprise en tant que responsable de traitement, et le délégué n’est pas une assurance : il est celui qui rend l’entreprise capable de répondre. Une désignation faite pour déplacer un risque est une désignation qui ne déplace rien.

L’indépendance en pratique, et le jour où il dit non

L’indépendance ne se décrète pas dans le document de désignation, elle se vérifie à trois signes. Le délégué rend compte au niveau le plus élevé plutôt qu’à un chef de service. Il ne reçoit pas d’instruction sur la façon d’exercer sa mission. Et il ne peut pas être sanctionné pour l’avoir exercée.

Le troisième signe est celui qui se teste, et il se teste une seule fois : le jour où le délégué dit qu’un projet ne peut pas partir en l’état. Ce qui se passe ce jour-là détermine tout le reste, parce que l’entreprise apprend en une réunion si la fonction est réelle.

La bonne façon de traverser ce moment est de séparer l’avis de la décision. Le délégué dit ce qui manque et pourquoi ; la direction décide, y compris de passer outre, et cette décision est écrite. Une direction qui assume un risque documenté est dans une position beaucoup plus solide qu’une direction à qui personne n’a jamais rien signalé.

Le mauvais scénario ne ressemble pas à un conflit, il ressemble au silence. Un délégué à qui on n’a pas donné tort mais qu’on cesse de prévenir a été neutralisé sans qu’aucune décision ait été prise, et cela se repère à une seule chose : la date de la dernière fois où il a été consulté avant un projet.

Le test de la personne désignée

Voici l’exercice, et il se fait avant de désigner qui que ce soit. Prenez la personne que vous envisagez, seule, sans préparation, et demandez-lui de citer tous les endroits de l’entreprise où se trouvent des données de personnes. Laissez-la aller au bout sans corriger.

Notez la liste. Puis comparez-la à ce que vous obtiendriez en posant la même question à trois personnes de trois métiers différents — c’est le même exercice qu’un registre demande, et il coûte une demi-heure.

Ce que vous mesurez n’est pas la culture juridique de la personne, qui s’acquiert, mais deux choses qui ne s’acquièrent pas vite : sa connaissance transversale de l’entreprise, et sa capacité à dire « je ne sais pas » plutôt qu’à compléter. La seconde est la plus importante des deux dans cette fonction.

Si la liste s’arrête aux logiciels, la personne voit l’entreprise par l’informatique. Si elle inclut le cahier de l’accueil, le groupe de messagerie des livreurs et le tableur du commercial, vous avez trouvé votre délégué, quel que soit son intitulé de poste actuel.

Ce que nous faisons, et ce que nous refusons

Nous établissons le registre avec vos équipes, ce qui est le préalable à toute lecture des critères, et nous formons la personne que vous désignez : ce qu’elle doit tenir, ce qu’elle doit vérifier, dans quel ordre, et à quel rythme. Nous préparons aussi le document de désignation et la liste de ce à quoi il faut lui ouvrir l’accès, parce que c’est la partie que les entreprises oublient et qui décide de tout.

Nous répondons à ses questions techniques ensuite, et c’est la position juste : elle a besoin de savoir où sont les données et comment un flux fonctionne, et c’est ce que nous savons faire. Un délégué bien équipé pose des questions précises et nous coûte peu de temps.

Nous ne sommes pas votre délégué, et le refus est structurel plutôt que commercial. La fonction suppose de pouvoir contredire celui qui a construit le système, et quand ce système vient de nous, nous serions à la fois le contrôlé et le contrôleur. Un prestataire qui accepte les deux rôles vend le second en annulant le premier.

Et nous ne vous dirons pas si vous êtes soumis à l’obligation. C’est une lecture de texte appliquée à votre situation, elle se fait avec un avocat et avec le registre sous les yeux, et une réponse rassurante donnée par un prestataire informatique n’engage personne le jour où elle est discutée.

Questions fréquentes

Une entreprise de douze personnes doit-elle désigner un délégué ?

Cela ne se décide pas au nombre de salariés. L’obligation dépend de la nature, du volume et de la sensibilité des traitements — les administrations, les organismes dont l’activité principale implique un suivi régulier et à grande échelle de personnes, et ceux qui traitent des données sensibles. Lire ces trois critères sur votre registre prend une heure ; les appliquer à votre cas est le travail d’un avocat.

Notre responsable informatique peut-il tenir le rôle ?

C’est la désignation la plus fréquente et la plus fragile : il met en place les traitements, choisit les outils et configure les accès, donc contrôler ces choix revient à auditer son propre travail. La bonne configuration est qu’il soit la première source d’information du délégué plutôt que le délégué, ce qui préserve sa valeur réelle dans le dispositif.

Peut-on désigner quelqu’un d’extérieur ?

Oui, et c’est souvent la solution la plus réaliste à cette taille : l’indépendance est acquise et la compétence s’achète. Ce qui décide de son efficacité n’est pas son tarif mais l’accès que vous lui ouvrez — une personne interne qui lui répond, un rendez-vous régulier, et la règle qu’il est prévenu avant qu’un projet démarre.

Combien d’heures par semaine cela représente-t-il ?

Nous ne publions pas de moyenne, parce qu’elle dépend entièrement de la longueur de votre registre et de la fréquence de vos changements d’outils. Ce qui est prévisible est la forme : quelques heures par mois pour une entreprise dont les traitements sont stables, nettement plus l’année où trois projets démarrent. Le poste ne s’estime honnêtement qu’une fois le registre écrit.

Que se passe-t-il si le délégué s’oppose à un projet ?

Il donne un avis, la direction décide, et la décision s’écrit — y compris quand elle passe outre. Une direction qui assume un risque documenté est en bien meilleure position qu’une direction à qui rien n’a jamais été signalé. Ce qui n’est pas tenable est le troisième scénario, où l’on cesse simplement de le prévenir.

La désignation nous protège-t-elle en cas de problème ?

Non : la responsabilité du traitement reste celle de l’entreprise, et le délégué n’est pas une assurance. Ce qu’il apporte est la capacité de répondre — un registre à jour, une procédure d’incident, un interlocuteur qui connaît le dossier. Une désignation faite pour déplacer un risque ne déplace rien et se voit immédiatement.

Où nous intervenons

La personne à qui vous pensez a cité une liste. Ce qui compte n’est pas sa longueur mais si elle contient le cahier de l’accueil et le groupe de messagerie, ou seulement des logiciels.

L’inventaire se fait métier par métier chez vous : sans lui, les trois critères ne se lisent sur rien.
Nous mettons votre candidat en état d’exercer — la routine, les points qui s’effritent, la cadence.
Nous écrivons l’acte et, à côté, ce qu’il faut lui ouvrir pour que la fonction existe autrement que sur le papier.

Nous refusons d’endosser le rôle — notre propre position l’interdit — et la question de savoir si l’obligation vous vise appartient à un avocat, pas à nous.

Voir la page Conformité données personnelles Nous écrire

À voir aussi

Parlons de votre projet

Un audit gratuit, sans engagement : nous regardons votre présence en ligne et nous vous disons ce qui coince.

Demander l’audit gratuit Nous écrire