Loi 09-08 et CNDP : ce que les entreprises marocaines doivent mettre en place

La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel s’applique à toute entreprise marocaine qui traite des données de clients, de patients, de salariés ou de prospects. Autrement dit, à toutes. Elle a créé la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel), qui en contrôle l’application. Pour un dirigeant de PME, la difficulté n’est pas de comprendre le principe, mais de savoir ce qu’il faut faire concrètement lundi matin : quels fichiers déclarer, quelles protections installer, quelles clauses exiger de ses prestataires. Ce guide reprend les obligations qui ont une traduction directe en informatique, avec les articles de la loi correspondants.

Qui est concerné, et par quoi ?

La loi vise tout « traitement » de données personnelles : collecte, enregistrement, consultation, transmission, conservation. Un fichier Excel de prospects, la paie, le logiciel de gestion des patients, les badges d’accès, la vidéosurveillance, le CRM et la messagerie en font partie. Le responsable du traitement est l’entreprise qui décide de la finalité ; c’est elle qui porte les obligations, même si les données sont hébergées ou gérées par un prestataire.

Les principes de base figurent à l’article 3 : des données collectées pour des finalités déterminées et légitimes, adéquates et non excessives, exactes, et conservées pas plus longtemps que nécessaire. L’article 4 pose la règle du consentement de la personne, avec des exceptions (obligation légale, exécution d’un contrat, intérêt légitime notamment).

Étape 1 : inventorier, puis déclarer ou demander l’autorisation

Chaque traitement (fichier clients, paie, vidéosurveillance, données de santé) doit être déclaré à la CNDP, certains étant soumis à autorisation préalable. L’article 12 fixe la frontière :

Type de traitement	Formalité auprès de la CNDP	Exemples en entreprise
Cas général	Déclaration préalable	Fichier clients, CRM, paie, gestion RH, site web avec formulaire
Données sensibles (origine, opinions, religion, appartenance syndicale, santé, y compris génétique)	Autorisation préalable	Dossiers patients, données médicales des salariés
Utilisation de données pour une autre finalité que celle de la collecte	Autorisation préalable	Réutiliser un fichier clients pour un autre usage
Données sur les infractions ou condamnations	Autorisation préalable	Extraits de casier judiciaire à l’embauche
Données comportant le numéro de CIN	Autorisation préalable	Fichiers clients ou RH qui enregistrent la CIN
Interconnexion de fichiers aux finalités différentes	Autorisation préalable	Rapprochement de bases entre deux entités

Pour certains traitements de données de santé effectués par des professionnels soumis au secret, à des fins de soins ou de gestion des services de santé, l’article 22 prévoit une simple déclaration. Les formulaires de déclaration et de demande d’autorisation sont publiés sur le site de la CNDP.

La première étape est donc un inventaire : quelles données, où, pour quoi, pour combien de temps, et qui y accède. C’est un travail où l’informatique est indispensable, car elle seule voit où les données circulent réellement : partages de fichiers, boîtes mail, sauvegardes, postes portables, applications cloud. Un audit informatique produit une bonne partie de cette cartographie.

Étape 2 : sécuriser les données

L’article 23 impose des « mesures techniques et organisationnelles appropriées » pour protéger les données contre la destruction, la perte, l’altération, la diffusion ou l’accès non autorisé, notamment lorsque les données transitent sur un réseau. Le niveau attendu dépend de l’état de l’art, du coût et des risques liés à la nature des données. Concrètement :

• Contrôle des accès : comptes nominatifs, droits limités au besoin réel, MFA sur la messagerie et les accès distants.
• Postes et supports : chiffrement des portables et des disques externes, verrouillage automatique des sessions.
• Sauvegardes protégées : copies hors ligne ou immuables, restauration testée.
• Traçabilité : journalisation des accès aux données sensibles, conservation des journaux.
• Cycle de vie des comptes : suppression des comptes des anciens salariés le jour du départ.
• Réseau : pare-feu à jour, accès distants chiffrés, segmentation des équipements sensibles.

Pour les données sensibles et de santé, l’article 24 va plus loin et liste des contrôles précis : entrée dans les locaux, supports de données, saisie, utilisation, accès, transmission, transport, et la possibilité de vérifier a posteriori qui a introduit quelles données et quand. Les cliniques et cabinets médicaux sont directement concernés ; nous détaillons ce cas dans notre article sur la cybersécurité en clinique.

Étape 3 : encadrer les sous-traitants

Votre hébergeur, votre éditeur ERP, votre infogérant, votre prestataire de paie traitent vos données pour votre compte. L’article 23 impose de choisir un sous-traitant qui apporte des garanties suffisantes en matière de sécurité, et de l’encadrer par un contrat écrit qui précise qu’il n’agit que sur vos instructions et qu’il est tenu aux mêmes obligations de sécurité. Nos contrats d’infogérance incluent cette clause.

À vérifier dans chaque contrat : la localisation des données, les mesures de sécurité appliquées, la confidentialité du personnel, le recours éventuel à d’autres sous-traitants, la restitution et la suppression des données en fin de contrat.

Étape 4 : maîtriser les transferts hors du Maroc

Héberger des données chez un fournisseur cloud étranger constitue un transfert. L’article 43 ne l’autorise que vers un État qui assure un niveau de protection suffisant ; la CNDP établit la liste de ces États. Vers un autre pays, l’article 44 prévoit des dérogations limitées, parmi lesquelles le consentement exprès de la personne, l’exécution d’un contrat avec elle, ou une autorisation expresse et motivée de la CNDP, notamment sur la base de clauses contractuelles.

En pratique, cela concerne la messagerie et le stockage cloud, les CRM en ligne, les outils de support ou d’e-mailing. Le choix de la région d’hébergement (Europe ou Maroc) fait partie de nos recommandations lors des projets cloud Microsoft 365 et Azure, et il est plus simple à faire avant la migration qu’après.

Étape 5 : informer et répondre aux personnes

L’article 5 impose d’informer les personnes au moment de la collecte : identité du responsable, finalité, destinataires, caractère obligatoire ou facultatif des réponses, existence des droits d’accès et de rectification, et références du récépissé de déclaration ou de l’autorisation de la CNDP. Ces mentions doivent figurer sur les formulaires papier et web.

Les personnes disposent ensuite de trois droits principaux :

• Accès (article 7) : savoir si des données les concernant sont traitées et en obtenir la communication.
• Rectification (article 8) : mise à jour, rectification, effacement ou verrouillage des données non conformes, que le responsable doit effectuer sans frais dans un délai franc de dix jours.
• Opposition (article 9) : s’opposer au traitement pour des motifs légitimes, et sans frais à la prospection commerciale.

L’article 10 interdit par ailleurs la prospection par courrier électronique ou automate d’appel sans consentement préalable. Seule exception : la prospection par courrier électronique pour des produits ou services analogues, auprès d’un client dont les coordonnées ont été recueillies lors d’une vente ou d’une prestation, et qui peut s’y opposer simplement à chaque envoi. Côté IT, il faut une adresse dédiée aux demandes, une procédure pour retrouver toutes les données d’une personne (y compris dans la messagerie et les sauvegardes), et des durées de conservation appliquées réellement.

Les erreurs les plus fréquentes

Les mêmes écarts reviennent souvent :

Erreur	Pourquoi c’est un problème	Correction
Déclarer un fichier une fois, puis l’oublier	Les traitements évoluent (nouvel outil, nouvel usage) sans mise à jour	Revue régulière de l’inventaire, à chaque nouvel outil
Collecter la CIN « par habitude »	Déclenche une autorisation préalable, souvent sans nécessité	Ne collecter que le strict nécessaire
Comptes d’anciens salariés toujours actifs	Accès non autorisé possible aux données	Procédure de départ avec désactivation le jour même
Aucun contrat avec l’hébergeur ou l’éditeur	Obligation de l’article 23 non respectée	Clause de sous-traitance dans chaque contrat
Données copiées sur des clés USB ou messageries personnelles	Perte de contrôle, fuite possible	Chiffrement, partage via des outils gérés
Cloud choisi sans regarder la région	Transfert hors du Maroc non anticipé	Choisir la région avant la migration

Et le RGPD ?

Si vous traitez des données de résidents européens, clients ou partenaires, le RGPD s’applique en plus. Les mesures techniques sont largement les mêmes : contrôle des accès, chiffrement, sauvegardes, traçabilité, contrats de sous-traitance. Une entreprise qui a sérieusement mis en œuvre la loi 09-08 a déjà fait une grande partie du travail technique.

Checklist pour démarrer

• Lister tous les traitements de données personnelles, y compris la vidéosurveillance et les outils cloud.
• Identifier ceux qui relèvent de l’autorisation préalable (données sensibles, CIN, infractions, interconnexion).
• Déposer les déclarations et demandes d’autorisation manquantes auprès de la CNDP.
• Activer le MFA, chiffrer les portables, vérifier les sauvegardes et les journaux d’accès.
• Ajouter une clause de sous-traitance dans chaque contrat de prestataire qui touche vos données.
• Vérifier où sont hébergées vos données cloud.
• Mettre à jour les mentions d’information sur les formulaires et prévoir une procédure de réponse aux demandes.

Comment nous pouvons aider

Nous ne remplaçons pas un juriste pour les démarches auprès de la CNDP, mais nous prenons en charge la partie technique : inventaire des données dans le système d’information, mesures de sécurité, traçabilité et choix d’hébergement. Ces mesures sont intégrées dans notre offre cybersécurité. Pour faire le point sur votre situation, contactez-nous.