Déclaration ou autorisation CNDP, droits des personnes, transferts hors Maroc, articulation avec le RGPD, sanctions : le mode d’emploi concret de la loi 09-08.
Lundi, l’intégrateur du nouveau SIRH réclame le numéro de récépissé CNDP à inscrire dans la mention d’information du portail salarié. Personne ne l’a. La base clients a migré vers un CRM hébergé aux États-Unis, et la seule déclaration retrouvée date d’un jeu-concours de 2014. Scène courante, qui devient un problème le jour où un salarié licencié saisit la CNDP ou qu’un client européen exige une annexe RGPD. Voici ce que la loi 09-08 impose réellement, et dans quel ordre s’y mettre.
La loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel a été promulguée par le dahir n° 1-09-15 du 18 février 2009 (Bulletin officiel n° 5714 du 5 mars 2009) ; son décret d’application n° 2-09-165 date du 21 mai 2009. Elle s’applique au responsable établi au Maroc et à celui qui, établi ailleurs, utilise des moyens situés sur le territoire ; ce dernier notifie à la CNDP un représentant au Maroc (article 2).
La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), instituée par l’article 27, compte sept membres nommés par le Roi pour cinq ans. Elle instruit déclarations et autorisations, fixe la liste des pays à protection suffisante, autorise les transferts et reçoit les plaintes. L’article 30 lui donne des pouvoirs d’enquête, l’accès aux locaux, et celui d’ordonner le verrouillage ou l’effacement de données et d’interdire un traitement.
L’article 12 pose la règle. Une autorisation préalable de la CNDP est exigée dans six cas : les données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, santé et génétique), l’utilisation de données à d’autres fins que celles de la collecte, les données génétiques hors usage médical, les données relatives aux infractions et condamnations, les données comportant le numéro de la carte d’identité nationale, et l’interconnexion de fichiers aux finalités différentes. Tout le reste relève de la déclaration préalable. Le numéro de CIN figurant dans presque tous les dossiers RH, la part des traitements soumis à simple déclaration est plus réduite qu’on ne l’imagine.
La déclaration reprend les éléments de l’article 15 et se dépose par finalité ou ensemble de finalités liées (article 14). La CNDP délivre un récépissé dans les 24 heures suivant le dépôt, et le traitement peut démarrer à sa réception (article 19) ; elle a huit jours pour soumettre un traitement déclaré au régime d’autorisation si elle y voit un danger manifeste (article 20). Pour une autorisation, son site annonce un délai de deux mois, prorogeable une fois, à compter d’un dossier complet.
Pour les traitements courants, des délibérations fixent des modèles de déclaration type : gestion des clients (n° 32-2015), vente en ligne (n° 508-AU-2014), vidéosurveillance au travail (n° 350-2013), gestion des courriers (D-113-2020) et, depuis novembre 2025, cookies (D-939-2025) et newsletters (D-940-2025). Les formulaires F-214 (déclaration), F-112 et F-113 (autorisation) se téléchargent sur cndp.ma.
Le chapitre II confère quatre droits. L’information lors de la collecte (article 5) : identité du responsable, finalités, destinataires, caractère obligatoire ou facultatif des réponses, droits d’accès et de rectification. L’accès (article 7) : confirmation qu’un traitement existe et communication des données. La rectification (article 8) : sans frais, dans un délai franc de dix jours, faute de quoi la personne peut saisir la CNDP. L’opposition (article 9) : pour motifs légitimes, et sans condition ni frais en matière de prospection.
L’article 10 vise le marketing : la prospection par automate d’appel, télécopieur ou courrier électronique est interdite sans consentement préalable, sauf envers des clients existants, pour des produits analogues, avec un moyen simple et gratuit de refuser à chaque message. L’article 11 interdit qu’une décision à effets juridiques repose sur le seul fondement d’un traitement automatisé d’évaluation de la personnalité (scoring, tri automatisé des candidatures).
L’article 43 interdit le transfert vers un État qui n’assure pas un niveau de protection suffisant et charge la CNDP d’en établir la liste. Celle-ci résulte de la délibération n° 465-2013, modifiée par la délibération n° 236-2015 du 18 décembre 2015. Elle compte trente-deux États : vingt-six des vingt-sept membres actuels de l’Union européenne (la Croatie n’y figure pas), le Royaume-Uni, l’Islande, le Liechtenstein, la Norvège, la Suisse et le Canada. Les États-Unis en sont absents. Vérifiez la version en vigueur sur cndp.ma avant tout dépôt.
Vers un pays hors liste, l’article 44 ouvre quatre voies : le consentement exprès de la personne ; une nécessité limitativement énumérée, dont l’exécution d’un contrat avec l’intéressé ; un accord international liant le Maroc ; ou une autorisation motivée de la CNDP fondée sur des clauses contractuelles ou des règles internes d’entreprise. La demande se dépose sur le formulaire F-118 et suppose que le traitement sous-jacent ait déjà été déclaré ou autorisé.
Héberger la paie, le CRM ou la messagerie chez un prestataire dont les serveurs sont hors du Maroc est un transfert ; un accès de support depuis l’étranger en est un aussi. Même vers un pays de la liste, la délibération de 2015 rappelle que le transfert doit être notifié à la CNDP, et l’article 15 impose de le mentionner dans la déclaration. D’où trois réflexes : une région d’hébergement dans un pays de la liste, la liste des sous-traitants ultérieurs du fournisseur avec leurs pays, la base du transfert documentée avant la signature.
Un centre de relation client servant des abonnés français ou un éditeur SaaS vendant à des PME espagnoles relève des deux régimes. Le RGPD s’applique directement (article 3) à l’entreprise établie hors de l’Union qui offre des biens ou services à des personnes s’y trouvant ou suit leur comportement ; l’article 27 impose alors un représentant dans l’Union, sauf traitement occasionnel et sans risque. Le sous-traitant d’un client européen est en outre tenu par le contrat de l’article 28. Le Maroc étant absent de la liste d’adéquation de la Commission européenne, les données venues de l’Union reposent sur des garanties appropriées, en pratique les clauses contractuelles types de la Commission (décision 2021/914).
La loi 09-08 exige des formalités préalables, un numéro de récépissé sur les supports et une autorisation CNDP pour certains transferts ; le RGPD n’en demande aucune. Le RGPD impose un registre des traitements (article 30), la notification des violations sous 72 heures (article 33), une analyse d’impact pour les traitements à risque (article 35) et parfois un délégué à la protection des données (article 37) ; la loi 09-08 ne prévoit aucun de ces outils, la CNDP encourageant toutefois les analyses d’impact (délibération D-188-2020).
Le chapitre VII prévoit des sanctions pénales. Fichier mis en œuvre sans la déclaration ou l’autorisation exigée : amende de 10 000 à 100 000 dirhams (article 52). Refus des droits d’accès, de rectification ou d’opposition : 20 000 à 200 000 dirhams par infraction (article 53). Détournement de finalité, conservation excessive, traitement sans base légale, défaut de sécurité (articles 23 et 24) ou transfert irrégulier à l’étranger : trois mois à un an d’emprisonnement et 20 000 à 200 000 dirhams, ou l’une de ces deux peines (articles 54 à 56 et 58 à 60). Données sensibles traitées sans consentement exprès : 50 000 à 300 000 dirhams (article 57).
L’article 61 vise le responsable, le sous-traitant et toute personne chargée du traitement qui, même par négligence, facilite un usage abusif ou communique des données à des tiers non habilités. L’article 64 double les amendes pour les personnes morales, sans préjudice des peines visant leurs dirigeants, et permet la fermeture de l’établissement ; la récidive double encore (article 65). La CNDP peut par ailleurs retirer un récépissé ou une autorisation (article 51) et ordonner le verrouillage ou l’effacement de données (article 30).
Le président de la CNDP a cité l’actualisation de la loi 09-08 parmi les chantiers de la Commission dans un entretien de janvier 2025 relayé par la veille juridique du Secrétariat général du gouvernement, et la doctrine attend un texte rapproché du RGPD : responsabilisation, analyses d’impact, registre, sanctions administratives. À notre connaissance, aucun projet de loi en ce sens n’avait été publié par le Secrétariat général du gouvernement à la date de rédaction ; le texte de 2009 reste le droit applicable.
La directive NIS2 ne s’applique pas au Maroc. Elle rend pourtant vos clients européens comptables de votre niveau de sécurité. Analyse du périmètre réel, de l’articulation avec la loi 09-08 et des chantiers à ouvrir en premier.
Lire l'articleLoi 09-08, loi 05-20, directive Bank Al-Maghrib : ce que les textes imposent, les critères qui départagent les offres et une méthode pour décider par lot.
Lire l'articlePourquoi une PME marocaine vise ISO/IEC 27001, le contenu de l’édition 2022, les étapes dans l’ordre, des durées réalistes et les erreurs qui coûtent un audit.
Lire l'articleDécrivez votre contexte en quelques lignes. Nous revenons vers vous sous un jour ouvré avec une première lecture et les questions qui comptent.
