Faut-il un DPO à Monaco ?

La question que peu d'entreprises monégasques ont réellement tranchée

Depuis la loi n° 1.565 du 3 décembre 2024 — et son ordonnance souveraine d'application n° 11.327 du 10 juillet 2025 — la plupart des sociétés de la Principauté ont traité les points visibles. Politique de confidentialité : refaite. Bandeau cookies : remplacé. Registre des traitements : commencé, au moins.

La question du délégué à la protection des données, elle, est souvent repoussée, parce qu'elle paraît binaire et coûteuse : soit on recrute quelqu'un, soit on espère que personne ne posera la question. Ce raisonnement est doublement faux. Pour la majorité des PME monégasques, la désignation n'est pas obligatoire ; et là où elle l'est, la fonction n'impose pas un recrutement à temps plein.

Voici comment déterminer dans quel cas vous vous trouvez. Il s'agit d'une orientation, non d'un conseil juridique : le droit monégasque de la protection des données est récent, la pratique de l'APDP se construit encore, et tout cas limite mérite l'avis d'un avocat ou d'un spécialiste.

Quand la désignation est obligatoire

L'article 29 de la loi 1.565 rend la désignation d'un DPO obligatoire dans trois hypothèses.

Première : vous êtes une personne morale de droit public ou vous exercez une mission d'intérêt général. Sont visées les entités de droit public, les personnes privées investies d'une mission d'intérêt général et les concessionnaires de service public. Les juridictions agissant dans l'exercice de leur fonction juridictionnelle sont exclues.

Deuxième : votre activité de base implique un suivi régulier et systématique de personnes à grande échelle. Les mots qui comptent sont « activité de base ». Un suivi accessoire à ce que vous vendez n'a rien à voir avec un suivi qui est ce que vous vendez. Une plateforme dont le produit est le profilage comportemental est concernée ; un restaurant avec Google Analytics sur son site ne l'est pas.

Troisième : votre activité de base implique un traitement à grande échelle de données sensibles, ou de données relatives aux condamnations et infractions pénales. Données de santé, données biométriques, données révélant les convictions ou les origines : ce sont les déclencheurs habituels.

Si aucune des trois hypothèses ne correspond, la désignation est facultative. La majorité des commerces, restaurants, agences, professionnels de l'immobilier et de l'hôtellerie-restauration monégasques se situent dans ce cas — mais relisez attentivement les deux derniers critères avant de conclure : la « grande échelle » s'apprécie au volume, à la portée et à la durée du traitement, pas à l'effectif de la société.

Là où les entreprises se trompent

Trois erreurs reviennent constamment.

La première consiste à croire qu'une petite structure ne peut pas être concernée. L'échelle s'apprécie sur le traitement, pas sur la masse salariale. Une société de cinq personnes exploitant une application de bien-être avec les données de santé de dizaines de milliers d'utilisateurs réalise bien un traitement sensible à grande échelle.

La deuxième est l'inverse : penser que détenir des données sensibles impose mécaniquement un DPO. Les dossiers patients d'un cabinet, ou les arrêts maladie d'un employeur, sont des données sensibles — sans constituer pour autant l'activité de base à grande échelle visée par le texte.

La troisième tient à la structure de groupe. Beaucoup d'entreprises monégasques appartiennent à un ensemble international. Un DPO mutualisé entre entités est possible, à condition qu'il soit réellement joignable depuis chaque établissement. Ce qui ne fonctionne pas, c'est de désigner un contact à l'étranger que vos équipes monégasques n'ont jamais eu au téléphone et qui ignore ce que vous traitez.

Ce que recouvre réellement la fonction

La mission du DPO, telle que la loi la dessine, est consultative et de contrôle, non exécutive. Il informe et conseille l'organisme sur ses obligations, veille au respect des règles y compris par des audits internes, conseille sur les analyses d'impact lorsqu'il est sollicité, fait office de point de contact de l'APDP et coopère avec elle.

Trois contraintes pratiques en découlent. Le DPO doit disposer d'une expertise réelle en droit et en pratique de la protection des données, proportionnée à ce que vous traitez, et l'entretenir. Il doit pouvoir remonter ses constats sans être sanctionné pour ce qu'il trouve. Et il ne doit pas occuper une position générant un conflit d'intérêts — ce qui écarte normalement celui qui décide des finalités et des moyens du traitement. Dans une petite structure, le responsable informatique ou le responsable marketing est précisément le mauvais choix.

Le recours à un DPO externe est admis, et pour la plupart des organisations concernées à Monaco c'est la voie raisonnable : un spécialiste à temps partagé, réellement au fait du contexte monégasque, coûte une fraction d'un recrutement et connaîtra mieux la pratique actuelle de l'APDP qu'un cadre interne reconverti.

Sans obligation, le fond reste dû

Les obligations qui rendent un DPO utile s'appliquent que vous en désigniez un ou non. Le registre des traitements, la base légale de chaque activité, les mesures de sécurité, le circuit de notification des violations, les analyses d'impact pour les traitements à risque élevé : rien de tout cela ne dépend de la désignation.

La bonne question n'est donc pas « devons-nous désigner un DPO ? » mais « qui porte ce dossier, et dispose-t-il du temps et de l'autorité pour le tenir ? ». Nommer un responsable interne, même sans obligation légale, transforme la conformité en routine plutôt qu'en panique annuelle.

Gardez aussi l'horizon en tête : la loi ménage un délai échelonné pour réaliser les analyses d'impact exigées sur les traitements à risque élevé, l'échéance la plus lointaine se situant en décembre 2027. Cela paraît loin jusqu'au moment où l'on compte le nombre de traitements qu'une entreprise n'a jamais formellement documentés.

Un ordre de marche efficace

Commencez par le registre, pas par l'organigramme. Vous ne pouvez pas évaluer les critères de l'article 29 sans savoir ce que vous traitez réellement — et l'exercice fait presque toujours apparaître deux ou trois traitements oubliés, généralement dans les outils marketing, le recrutement ou la vidéosurveillance.

Appliquez ensuite les trois critères honnêtement, et consignez votre raisonnement dans les deux sens. Une analyse courte mais écrite concluant « non requis, parce que… » vaut infiniment mieux que le silence si l'APDP vous interroge un jour.

Corrigez ensuite les écarts que le registre a révélés. En pratique, ils se concentrent toujours aux mêmes endroits : le recueil du consentement sur le site et sa couche cookies et conformité APDP, les données clients logées dans votre emailing et votre CRM, les transferts hors du territoire dissimulés dans des SaaS ordinaires, et de plus en plus les outils d'IA adoptés par les équipes sans que personne n'ait évalué les données personnelles qui y entrent.

Ce n'est qu'ensuite que la question de la désignation se tranche. Si vous êtes concerné, communiquez le DPO désigné à l'APDP et rendez ses coordonnées accessibles comme l'exige le texte. Si vous ne l'êtes pas, inscrivez tout de même le sujet dans les objectifs de quelqu'un.

La position raisonnable fin 2026

Le régime monégasque est suffisamment proche des standards européens pour que les bonnes pratiques se transposent, et suffisamment distinct pour qu'appliquer littéralement la doctrine RGPD soit une erreur : Monaco n'est pas un État membre de l'Union européenne, et c'est bien la loi 1.565, sous le contrôle de l'APDP, qui s'applique ici. Les sanctions prévues sont lourdes, mais la pression répressive n'est pas le meilleur argument. Sur un marché aussi restreint, les données clients relèvent de la réputation, et une violation mal gérée circule plus vite à Monaco qu'ailleurs.

Pour y voir clair sur votre site, vos parcours de consentement, votre CRM et vos outils de mesure avant de trancher la question du DPO, contactez-nous.