DPO à Maurice : un salarié certifié pour le 1er janvier 2027

21 juillet 2026 · 4 min de lecture · SOVALYX Technologies

Un règlement pris en juin 2026 impose à tout responsable de traitement mauricien de désigner un délégué à la protection des données choisi parmi ses salariés, et titulaire d'une certification délivrée ou approuvée par le Data Protection Office. L'obligation entre en vigueur le 1^er janvier 2027. Il n'y a ni seuil d'effectif, ni période de tolérance.

Ce que le texte prévoit

Les Data Protection (Designation, Tasks and Position of Data Protection Officers) Regulations 2026, publiées sous le Government Notice n° 117 de 2026, ont été prises par le ministre le 17 juin 2026 après consultation du Data Protection Commissioner, en vertu de l'article 55 du Data Protection Act. Elles entrent en vigueur le 1^er janvier 2027.

La disposition centrale est l'article 3(1) : tout responsable de traitement doit désigner un délégué à la protection des données parmi les membres de son personnel. C'est la formulation elle-même qui exclut l'externalisation du rôle — le texte ne comporte pas d'interdiction expresse de recourir à un prestataire, mais un DPO qui n'est pas salarié de l'organisation ne satisfait pas la condition. Le recours à un conseil externe en appui reste possible ; il ne dispense pas de la désignation interne.

Deux précisions souvent omises méritent d'être posées. D'abord, l'obligation vise tout responsable de traitement : ni la taille de l'entreprise ni le volume de données ne déclenchent ou n'écartent l'obligation. La taille intervient uniquement à l'article 3(2), pour déterminer combien de délégués désigner, au regard de la structure, de l'échelle, de la complexité et de la sensibilité des traitements. Ensuite, l'article 3 vise les responsables de traitement, non les sous-traitants.

La certification est le vrai point dur

L'article 5 énumère les qualifications requises : une connaissance experte du droit mauricien de la protection des données, une capacité avérée à exercer les missions, une compréhension du secteur d'activité, et une preuve de certification. Sur ce dernier point, le texte est précis et restrictif : la certification doit être délivrée soit par le Data Protection Office lui-même, à l'issue de sa formation et contre paiement des frais qu'il fixe, soit par un organisme de formation dûment enregistré et accrédité, approuvé par l'Office pour son expertise en droit de la protection des données.

Autrement dit, aucune certification internationale n'est nommée dans le texte, et aucune reconnaissance automatique des titres existants n'est prévue. Une personne déjà titulaire d'une certification reconnue à l'étranger ne peut pas présumer qu'elle satisfait l'exigence. C'est un goulot d'étranglement prévisible : le nombre de places de formation sera nécessairement limité, et toutes les organisations du pays sont concernées par la même échéance. Attendre l'automne 2026 pour s'en occuper est un pari.

Ce que le règlement sanctionne — et ce qu'il ne sanctionne pas

L'article 9 prévoit une amende n'excédant pas 100 000 roupies et une peine d'emprisonnement n'excédant pas cinq ans, mais uniquement pour la violation de deux obligations précises : la notification de la désignation dans le délai prévu, et la publication des coordonnées du délégué.

Le point mérite d'être compris correctement plutôt que dramatisé : ne désigner aucun délégué, ou en désigner un qui ne remplit pas les conditions de qualification, ne relève pas de cet article. Cela ne signifie pas que c'est sans conséquence — le manquement se rattache alors au régime général de sanctions du Data Protection Act — mais l'exposition n'est pas celle qui circule parfois. De la même manière, aucune période de grâce n'est prévue par le texte : les mentions d'un « moratoire de six mois » relèvent d'une lecture erronée du délai entre l'adoption et l'entrée en vigueur.

Ce que cela change dans les faits

Pour beaucoup d'organisations mauriciennes, ce règlement transforme une fonction jusqu'ici informelle en poste identifié, qualifié et publié. Cela suppose une décision d'organisation avant d'être une décision de conformité : qui, dans l'entreprise, a la disponibilité, l'autorité et l'appétence pour ce rôle, et à quel rattachement hiérarchique ?

Le choix mérite d'être fait avec soin, car le délégué devra pouvoir contredire des projets. Le désigner sous l'autorité directe de celui qui décide des traitements crée un conflit structurel. Et une fois nommé, il ne pourra tenir son rôle sans matière : un registre des traitements à jour, une cartographie des données et des flux, et une visibilité sur les hébergements et transferts hors du territoire. C'est ce travail technique qui prend des mois, bien plus que la nomination elle-même.

Le calendrier à tenir

• Confirmer votre qualité : êtes-vous responsable de traitement ? Si oui, l'obligation s'applique quelle que soit votre taille.
• Choisir la personne maintenant : disponibilité, autorité, absence de conflit avec ses autres fonctions.
• Vérifier le rattachement hiérarchique pour qu'elle puisse s'opposer à un projet.
• Se renseigner sur les sessions de certification du Data Protection Office ou d'un organisme accrédité, et réserver tôt.
• Évaluer si un seul délégué suffit au regard de votre structure et de la sensibilité de vos traitements.
• Mettre le registre des traitements à jour — c'est la matière première du poste.
• Recenser les hébergements et transferts hors de Maurice et leur base juridique.
• Préparer la notification de la désignation et la publication des coordonnées : ce sont les deux points expressément sanctionnés.
• Ne pas viser le 1^er janvier 2027 mais l'automne 2026, et faire évaluer l'écart si le registre n'existe pas encore.

🧰 L'outil qui va avec : DPO à Maurice : votre rétroplanning jusqu'au 1er janvier 2027 — gratuit · 2 minutes.

Relu et optimisé par IA.