La loi marocaine 09-08 encadre le traitement des données personnelles, qu’il s’agisse des coordonnées de vos clients, des dossiers de vos salariés ou des informations recueillies par votre site web. Si votre activité au Maroc collecte ou utilise des données permettant d’identifier une personne, vous devez respecter les règles de la loi 09-08 et accomplir les formalités applicables auprès de la CNDP.
Pour votre PME, votre activité indépendante ou votre agence, comprendre ces règles vous aide à informer les personnes, sécuriser leurs données et organiser vos traitements. Voyons les droits concernés, vos obligations et le rôle de la CNDP pour vérifier vos pratiques.
Points clés
- Repérez les données personnelles que vous collectez et utilisez.
- Informez les personnes et respectez leurs droits.
- Vérifiez les formalités et les contrôles de la CNDP.
Champ d’application et droits des personnes concernées
La loi n° 09-08 s’applique aux traitements de données personnelles réalisés au Maroc, sur support numérique ou papier. Elle fixe aussi des règles concrètes pour recueillir les données, limiter leur usage et répondre aux demandes des personnes concernées.
Données personnelles et traitements soumis à la loi
Une donnée personnelle désigne toute information qui identifie une personne physique, directement ou indirectement. Un nom, un numéro de téléphone, une adresse IP, une photo ou un identifiant client entrent dans ce champ lorsqu’ils permettent de reconnaître une personne.
Le traitement comprend les opérations effectuées sur ces données : collecte via un formulaire, enregistrement dans un fichier client, consultation, transmission à un prestataire, modification ou suppression. Votre PME, votre activité indépendante ou votre agence est concernée dès qu’elle traite des données de clients, de prospects, de salariés ou de fournisseurs personnes physiques.
La loi couvre les traitements automatisés et les fichiers structurés sur support papier. Si vous confiez la gestion de la paie, de l’hébergement ou des campagnes marketing à un prestataire, encadrez aussi son accès aux données et vérifiez les formalités applicables auprès de la CNDP.
Principes de licéité, de finalité et de proportionnalité
Vous devez disposer d’une base légitime pour traiter les données, par exemple l’exécution d’un contrat, une obligation légale ou le consentement de la personne, selon le contexte. Respectez aussi les formalités prévues par la loi, notamment la déclaration préalable ou l’autorisation de la CNDP lorsque le traitement l’exige.
Définissez une finalité précise avant de collecter les informations. Des données recueillies pour livrer une commande ne doivent pas servir automatiquement à envoyer des offres commerciales sans base valable pour cet usage.
Limitez la collecte aux informations nécessaires. Pour créer un compte de livraison, demandez les coordonnées utiles à la livraison et à la communication avec le client, pas des renseignements sans lien avec ce service.
Fixez aussi une durée de conservation adaptée à la finalité, puis supprimez ou archivez les données selon les obligations applicables.
Droits à l’information, à l’accès, à la rectification et à l’opposition
Au moment de la collecte, vous devez informer la personne de l’identité du responsable du traitement, des finalités, des destinataires, des réponses obligatoires ou facultatives et de ses droits. Indiquez aussi les formalités accomplies auprès de la CNDP lorsque la loi le prévoit.
La personne peut vous demander si vous détenez des données à son sujet et en obtenir communication dans les conditions prévues par la loi. Prévoyez un canal de demande identifiable, vérifiez l’identité du demandeur et répondez dans les délais légaux.
Elle peut demander la rectification de données inexactes ou incomplètes. Elle peut également s’opposer, pour des motifs légitimes, au traitement de ses données, sous réserve des exceptions prévues par la loi.
Pour la prospection directe, elle dispose d’un droit d’opposition. Mettez en place une procédure simple pour enregistrer sa demande et cesser les envois concernés.
Obligations des organismes et contrôle de la CNDP
Avant de collecter des données personnelles, déterminez la formalité applicable auprès de la CNDP et informez les personnes concernées. Sécurisez aussi les données, encadrez vos prestataires et respectez des conditions précises pour tout transfert à l’étranger.
Déclarations et autorisations préalables selon les traitements
Pour un traitement soumis au régime ordinaire, déposez une déclaration préalable auprès de la CNDP avant sa mise en œuvre. Décrivez les finalités, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité.
Vous devez aussi informer les personnes de l’usage de leurs données et de leurs droits, notamment l’accès, la rectification et l’opposition.
Certains traitements exigent une autorisation préalable, notamment ceux portant sur des données sensibles, le numéro de la carte nationale d’identité, ou reliant des fichiers ayant des finalités différentes. Des règles particulières s’appliquent aussi à certains usages, comme la vidéosurveillance.
Vérifiez la procédure correspondant à votre activité sur le site de la CNDP, puis conservez le récépissé ou la décision. Le dépôt d’une demande ne vaut pas autorisation.
Mesures de sécurité, confidentialité et sous-traitance
Limitez l’accès aux données aux personnes qui en ont besoin et prenez des mesures adaptées aux risques. Pour une PME ou une agence, cela comprend notamment des comptes individuels, des mots de passe robustes, des sauvegardes protégées, des mises à jour régulières et une procédure de gestion des incidents.
Fixez aussi une durée de conservation et supprimez les données lorsque leur conservation n’est plus justifiée.
Si vous confiez un traitement à un prestataire, formalisez ses obligations par écrit : consignes de traitement, confidentialité, sécurité, accès et restitution ou suppression des données à la fin du contrat. Faire appel à un hébergeur ou à un outil de gestion de clientèle ne vous dispense pas de vos obligations.
Vérifiez où le prestataire stocke les données et s’il les transfère hors du Maroc.
Conditions de transfert des données à l’étranger
Un transfert de données personnelles vers l’étranger est soumis à la loi 09-08 et aux procédures de la CNDP. Avant d’utiliser un service hébergé hors du Maroc ou de communiquer des fichiers à un partenaire étranger, identifiez les données transférées, le pays destinataire, la finalité et les personnes qui y auront accès.
La CNDP évalue notamment le niveau de protection assuré dans le pays de destination. Lorsque ce niveau est jugé insuffisant, le transfert peut nécessiter une autorisation et des garanties appropriées.
La loi prévoit des exceptions dans certaines situations, par exemple avec le consentement exprès de la personne concernée ou lorsque le transfert est nécessaire à l’exécution d’un contrat. Vérifiez la procédure applicable avant le transfert et documentez votre décision.
Contrôles, plaintes et sanctions en cas de manquement
La CNDP peut contrôler les traitements et vérifier vos déclarations, autorisations et mesures de sécurité. Préparez des documents à jour : registre des traitements, notices d’information, contrats avec les sous-traitants, durées de conservation et justificatifs des formalités.
Répondez aux demandes de la Commission et facilitez les vérifications prévues par la loi.
Une personne peut saisir la CNDP si elle estime que vous avez utilisé ses données en violation de ses droits. Prévoyez donc un canal pour recevoir et traiter les demandes d’accès, de rectification ou d’opposition.
En cas de manquement, la CNDP peut notamment adresser un avertissement ou une mise en demeure, ordonner la suspension d’un traitement ou saisir les autorités compétentes. La loi 09-08 prévoit aussi des sanctions pénales, dont la nature dépend de l’infraction.
Frequently Asked Questions
La loi 09-08 encadre la collecte et l’utilisation des données personnelles au Maroc, sous le contrôle de la CNDP. Elle accorde des droits aux personnes et impose aux organismes des formalités et des mesures de sécurité.
Que prévoit la loi 09-08 sur la protection des données personnelles au Maroc ?
La loi n° 09-08, promulguée par le dahir n° 1-09-15 du 18 février 2009, encadre le traitement des données personnelles par les organismes publics et privés. Elle fixe les conditions de collecte et d’utilisation des données, les droits des personnes concernées et les obligations des responsables de traitement.
Si vous gérez des données de clients, de salariés ou de prospects, définissez une finalité précise, limitez les données collectées à ce besoin et informez les personnes concernées.
Où télécharger le texte officiel de la loi 09-08 en PDF, en français ou en arabe ?
Vous pouvez rechercher le texte officiel dans le Bulletin officiel du Royaume du Maroc, sur le portail du Secrétariat général du gouvernement. La CNDP publie aussi des ressources et des textes de référence sur son site.
Recherchez la loi n° 09-08 et son dahir de promulgation, puis vérifiez la langue et la date de publication du document téléchargé. Pour une démarche de conformité, consultez également les décisions et formulaires actuels de la CNDP.
Quels sont les droits des personnes sur leurs données personnelles selon la loi 09-08 ?
Une personne peut vous demander si vous traitez ses données et obtenir des informations sur ce traitement. Elle dispose aussi d’un droit d’accès et, sous les conditions prévues par la loi, d’un droit de rectification ou de suppression des données inexactes ou traitées illicitement.
Fournissez-lui un moyen de contact pour exercer ses droits et traitez sa demande selon les règles applicables. Si vous collectez des données par formulaire, indiquez clairement l’identité de votre organisme, la finalité du traitement et les destinataires concernés.
Quelles obligations la loi 09-08 impose-t-elle aux entreprises et aux organismes publics ?
Vous devez déterminer une finalité légitime, informer les personnes et ne collecter que les données nécessaires. Protégez aussi les données contre l’accès non autorisé, la perte ou la divulgation, et encadrez leur conservation.
Avant de commencer certains traitements, accomplissez les formalités requises auprès de la CNDP, par déclaration ou demande d’autorisation selon le cas. Des règles spécifiques s’appliquent notamment aux données sensibles, aux numéros de carte nationale d’identité et aux transferts de données à l’étranger.
Quel est le rôle de la CNDP dans l’application de la loi 09-08 ?
La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) veille à l’application de la loi. Elle reçoit les déclarations et demandes d’autorisation, informe le public et contrôle les traitements de données.
Si vous préparez un traitement, consultez les démarches et modèles publiés par la CNDP pour déterminer la formalité nécessaire. Vous pouvez également la saisir pour obtenir des informations ou signaler une situation liée à la protection des données.
Quelles sanctions sont prévues en cas de non-respect de la loi 09-08 ?
La loi prévoit des sanctions pénales, notamment des amendes et, pour certaines infractions, des peines d’emprisonnement. Leur sévérité dépend des faits : absence de formalité requise, traitement illicite de données ou non-respect des droits des personnes.
Pour limiter les risques, documentez vos traitements, vérifiez les formalités applicables auprès de la CNDP et contrôlez l’accès aux données. Si vous avez un doute sur une obligation précise, demandez conseil à un professionnel du droit marocain.