Voici les réponses aux interrogations les plus fréquentes sur les données personnelles au
Maroc, les démarches légales applicables, les droits des parties et les recours devant les juridictions
compétentes.
Qu'est-ce qu'une donnée à caractère personnel selon la loi marocaine ?
Selon la loi marocaine, une donnée à caractère personnel est toute information,
de quelque nature qu'elle soit et indépendamment de son support, concernant une personne physique
identifiée ou identifiable (nom, prénom, numéro de CIN, adresse IP, numéro de téléphone, photo, empreinte
digitale).
Quelle est la loi qui protège les données personnelles au Maroc ?
Au Maroc, la protection de la vie privée et des données personnelles est
encadrée par la loi n° 09-08, promulguée en 2009. Cette législation stricte impose aux entreprises et aux
administrations publiques des règles rigoureuses lors de la collecte, du stockage et du traitement des
informations relatives aux citoyens.
Qui est l'autorité qui protège les données personnelles au Maroc ?
L'autorité de contrôle officielle est la CNDP (Commission Nationale de Contrôle
de la Protection des Données à Caractère Personnel). Créée par la loi 09-08, elle a pour mission de
vérifier que les traitements de données sont licites, de recevoir les plaintes des citoyens, et de
sanctionner les entreprises contrevenantes.
Quelles sont les différentes catégories de données personnelles ?
On distingue généralement les données d'identification classiques (nom,
contact), les données de connexion (adresse IP, cookies), les données financières, et surtout les "données
sensibles". Ces dernières concernent l'origine raciale, les opinions politiques, les convictions
religieuses, l'appartenance syndicale, ou la santé, et font l'objet d'une protection renforcée.
Le RGPD (Règlement Européen) s'applique-t-il aux entreprises au Maroc ?
Oui, le RGPD s'applique aux entreprises marocaines en vertu de son principe
d'extraterritorialité, dès lors que l'entreprise marocaine propose des biens ou services à des personnes
résidant dans l'Union Européenne, ou qu'elle effectue un suivi du comportement d'internautes européens
(profilage, ciblage publicitaire).
Quelles sont les obligations d'une entreprise marocaine vis-à-vis de la
CNDP ?
Avant toute collecte (ex: création d'un fichier client, installation de
vidéosurveillance, recrutement), l'entreprise doit obligatoirement effectuer une notification préalable ou
demander une autorisation auprès de la CNDP. Elle doit aussi informer les personnes concernées et
sécuriser physiquement et informatiquement les bases de données.
Qu'est-ce que le droit à l'oubli et existe-t-il dans la loi 09-08 ?
Le droit à l'oubli permet à une personne de demander la suppression de données
la concernant (équivalent de l'article 17 du RGPD). La loi 09-08 marocaine prévoit un "droit d'effacement"
ou de rectification, permettant à toute personne d'exiger la suppression de données inexactes,
incomplètes, ou dont le traitement est illicite.
Que risque une entreprise en cas de non-respect de la loi 09-08 ?
Les sanctions sont lourdes. L'absence de déclaration à la CNDP, le traitement
illicite ou le non-respect du refus d'une personne peuvent entraîner des amendes allant de 10 000 à 300
000 MAD, la confiscation du matériel informatique, et des peines d'emprisonnement pour les dirigeants de
l'entreprise (de 3 mois à 2 ans).
Quels sont les principes fondamentaux de la protection des données ?
Les grands principes incluent : la finalité (collecter pour un but précis), la
proportionnalité (ne collecter que ce qui est strictement nécessaire), l'exactitude des données, la durée
de conservation limitée, le consentement préalable de la personne, et la sécurité/confidentialité des
systèmes de stockage.
Comment déclarer un fichier client ou une vidéosurveillance à la CNDP ?
La démarche s'effectue via le portail en ligne de la CNDP. Il faut remplir un
formulaire détaillant la nature des données collectées, l'objectif du traitement, la durée de
conservation, et les mesures de sécurité. Un avocat spécialisé rédige généralement ces déclarations pour
éviter tout rejet ou qualification pénale erronée.
Que faire en cas de violation ou de fuite de données personnelles au Maroc
?
Contrairement au RGPD, la loi 09-08 n'impose pas explicitement de délai de 72h
pour notifier la CNDP, mais il est juridiquement indispensable d'agir vite : bloquer la faille de
sécurité, documenter l'incident par huissier, et consulter un avocat pour gérer la communication avec la
CNDP et minimiser le risque de poursuites civiles des victimes.
Comment un avocat spécialisé peut-il aider mon entreprise à se conformer ?
L'avocat réalise un audit juridique complet de vos flux de données, rédige les
clauses de confidentialité de vos contrats de travail, prépare les mentions légales et politiques de
cookies de votre site e-commerce, et se charge de toutes les démarches administratives complexes
d'autorisation auprès de la CNDP.
Quelles sont les obligations de confidentialité et de sécurité des
sous-traitants ?
Si vous confiez des données à un prestataire (hébergeur cloud, agence marketing,
comptable), ce sous-traitant est tenu par la loi d'assurer la sécurité absolue de ces données. Un contrat
juridique strict doit impérativement lier le responsable de traitement à son sous-traitant pour définir
les responsabilités en cas de faille.
Les données de santé ont-elles un statut particulier au Maroc ?
Oui, les données médicales, génétiques ou relatives à l'état de santé font
partie de la catégorie des "données sensibles". Leur traitement est formellement interdit en principe,
sauf exceptions strictes prévues par la loi (ex: recherche médicale, médecine du travail) et nécessite
toujours une "autorisation préalable" spécifique de la CNDP.
Qu'est-ce qu'un transfert de données à l'étranger et comment le légaliser ?
Si votre entreprise héberge ses données sur des serveurs situés hors du Maroc
(ex: serveurs cloud en Europe ou aux USA), il s'agit d'un transfert de données à l'étranger. La loi 09-08
stipule que ce transfert n'est légal que si le pays de destination assure un niveau de protection
suffisant, ce qui nécessite une autorisation expresse de la CNDP.
