RGPD et entreprise marocaine : quand il s’applique et que faire si vous travaillez avec l’Europe

La réponse courte : le RGPD ne s’applique pas à une entreprise marocaine simplement parce qu’elle détient des données de citoyens européens. Il s’applique directement dans trois cas : elle a un établissement dans l’Union européenne, elle propose des biens ou des services à des personnes qui s’y trouvent, ou elle suit leur comportement dans l’Union. Si vous êtes prestataire d’un client européen, vous y êtes surtout tenu par contrat. Et dans tous les cas, la loi marocaine 09-08 continue de s’appliquer : l’un ne remplace pas l’autre.

Ce guide s’appuie sur le texte du RGPD, les lignes directrices 3/2018 du Comité européen de la protection des données (EDPB), les publications de la Commission européenne sur l’adéquation et les clauses contractuelles types, et le texte de la loi 09-08. Il vous aide à situer votre entreprise et à préparer la partie technique. Il ne remplace pas un conseil juridique : pour qualifier un cas précis, un avocat ou un délégué à la protection des données reste la référence.

Dans quelle situation êtes-vous ?

L’article 3 du RGPD vise des activités de traitement, pas des entreprises dans leur ensemble. Une même société peut donc être soumise au RGPD pour une activité et pas pour une autre. Voici les cas les plus courants :

Votre situation	Exemple	RGPD applicable ?	Ce que cela implique
Établissement dans l’UE	Filiale ou succursale en France	Oui, article 3.1, pour les activités de cet établissement	Conformité complète
Offre visant des personnes dans l’UE	Boutique en ligne livrant en Europe, voyages vendus à une clientèle européenne	Oui, article 3.2 a	Conformité complète et représentant
Suivi du comportement dans l’UE	Publicité ciblée, cookies de suivi, géolocalisation à des fins commerciales	Oui, article 3.2 b	Conformité complète et représentant
Prestataire d’un responsable établi dans l’UE	Support, paie, développement, centre de contact	Pas du seul fait de cette prestation	Contrat de l’article 28 et clauses de transfert
Prestataire d’un responsable hors UE qui cible l’Europe	Prospection de clients européens pour une société non européenne	Oui, article 3.2, selon l’EDPB	Obligations du sous-traitant et représentant
Salariés en mission en Europe	Remboursement de frais de déplacement	Non, au titre de l’offre de services selon l’EDPB	Loi 09-08
Client européen résidant au Maroc, activité locale	Banque ou clinique qui n’a aucune offre vers l’Europe	Non, sans offre ni suivi visant l’UE	Loi 09-08

Ce dernier cas corrige une idée répandue. L’EDPB précise que traiter dans un pays tiers les données de citoyens ou de résidents européens ne déclenche pas le RGPD si le traitement n’est lié ni à une offre dirigée vers des personnes dans l’Union, ni au suivi de leur comportement dans l’Union. Ce qui compte, c’est où se trouve la personne au moment de l’offre ou du suivi, et non sa nationalité.

Comment savoir si vous « ciblez » l’Europe

Avoir un site consultable depuis Paris ou Madrid ne suffit pas. Le considérant 23 du RGPD écarte la simple accessibilité du site, une adresse e-mail ou l’usage d’une langue couramment employée dans le pays de l’entreprise. À notre lecture, le français seul, d’usage courant au Maroc, ne prouve donc pas un ciblage.

En revanche, l’EDPB liste des indices qui, combinés, montrent l’intention de s’adresser à l’Union :

• un ou plusieurs pays de l’Union cités à propos de l’offre ;
• une livraison proposée dans des pays de l’Union ;
• un paiement en euros, ou une langue qui n’est pas celle généralement utilisée dans votre pays ;
• des campagnes publicitaires ou un référencement payant visant un public européen ;
• un nom de domaine en .fr, .de ou .eu, ou un numéro de téléphone dédié pour joindre l’entreprise depuis l’Union ;
• la mise en avant d’une clientèle européenne, avec des avis ou des références.

Faites le test sur vos pages et vos campagnes : si plusieurs de ces éléments sont présents, considérez que le RGPD s’applique à cette activité et faites valider l’analyse par votre conseil.

Si le RGPD s’applique directement à vous

Obligation	Article	Ce que cela veut dire concrètement
Base légale et information	5, 6, 12 à 14	Justifier chaque traitement, politique de confidentialité à jour
Droits des personnes	15 à 22	Procédure pour répondre aux demandes d’accès, d’effacement, d’opposition
Représentant dans l’Union	27	Mandat écrit à un représentant établi dans un État membre concerné
Registre des traitements	30	Exemption sous 250 salariés très limitée : elle tombe si le traitement n’est pas occasionnel
Contrats de sous-traitance	28	Clauses obligatoires avec chaque prestataire et éditeur cloud
Sécurité	32	Mesures adaptées au risque, testées régulièrement
Violations de données	33 et 34	Autorité prévenue si possible sous 72 heures, personnes informées si le risque est élevé
Analyse d’impact et délégué	35, 37 à 39	Selon la nature et l’ampleur des traitements
Transferts	44 à 49	Encadrer les envois vers des pays sans décision d’adéquation

Deux points sont souvent oubliés. Sans établissement dans l’Union, vous ne bénéficiez pas du « guichet unique » : vous pouvez avoir affaire à l’autorité de chaque pays concerné. Et désigner un représentant n’écarte pas votre propre responsabilité.

Une réforme est en discussion : la proposition « Digital Omnibus » de la Commission, présentée en novembre 2025 (procédure 2025/0360(COD)), envisage notamment de relever le seuil de notification des violations et de porter le délai à 96 heures. À notre dernière vérification, ce texte n’était pas adopté : le délai de 72 heures reste celui à appliquer. Contrôlez son état avant de modifier vos procédures.

Si vous êtes prestataire d’un client européen

C’est le cas le plus fréquent au Maroc : centre de contact, développement, comptabilité, paie, support informatique. L’EDPB précise que le responsable européen doit vous lier par un contrat couvrant toutes les exigences de l’article 28.3, et qu’il peut vous imposer contractuellement les obligations que le RGPD fait peser sur les sous-traitants. Le sous-traitant situé hors de l’Union devient ainsi indirectement soumis à ces obligations.

Le contrat doit notamment prévoir que vous :

• ne traitez les données que sur instruction documentée du client, y compris pour les transferts ;
• engagez vos équipes à la confidentialité et appliquez les mesures de sécurité de l’article 32 ;
• ne recourez à un sous-traitant ultérieur qu’avec son autorisation écrite, et restez responsable de celui-ci ;
• l’aidez à répondre aux demandes des personnes et à gérer les violations, que vous lui signalez sans délai injustifié ;
• supprimez ou restituez les données en fin de contrat, selon son choix ;
• fournissez les preuves de conformité et acceptez les audits.

Vérifiez que chaque engagement est tenable avant de signer. Une clause d’audit ou un engagement de notification que vos équipes ne savent pas honorer est un risque réel. Notre article sur les clauses essentielles d’un contrat d’infogérance aide à relire ce type d’engagement côté informatique.

Clauses contractuelles types : ce qu’il faut savoir

Le Maroc ne figure pas sur la liste des pays reconnus par une décision d’adéquation de la Commission européenne (liste consultée en novembre 2026). Pour vous confier des données, un client européen s’appuie donc en général sur les clauses contractuelles types (CCT) de la décision d’exécution 2021/914, utilisables sans autorisation préalable d’une autorité. La Commission les organise en quatre modules :

Module	Flux de données	Exemple
1	Responsable vers responsable	Agence européenne qui transmet des réservations à un hôtel au Maroc
2	Responsable vers sous-traitant	Société européenne qui confie sa paie à un prestataire marocain
3	Sous-traitant vers sous-traitant ultérieur	Prestataire européen qui délègue une partie du travail au Maroc
4	Sous-traitant vers responsable	Société marocaine cliente d’un cloud luxembourgeois qui récupère ses données, exemple donné par la Commission

Quelques règles pratiques tirées des questions-réponses de la Commission :

• Le texte ne se négocie pas. On choisit les modules et options, on remplit les annexes et on signe l’annexe I. Modifier le fond fait perdre le bénéfice de l’outil.
• Les modules 2 et 3 intègrent les exigences de l’article 28. Il n’est pas nécessaire d’y ajouter un second contrat de sous-traitance pour ce transfert.
• Les annexes demandent du travail technique. Description des transferts et mesures de sécurité : décrivez ce qui existe réellement, pas un idéal.
• Une analyse du droit local est attendue. Depuis l’arrêt Schrems II, le client évalue le cadre du pays destinataire et les éventuelles demandes d’accès d’autorités. Préparez les informations qui vous concernent, avec votre conseil.
• Une limite importante. Ces CCT ne sont pas prévues pour un destinataire dont le traitement est lui-même directement soumis au RGPD. Si vous êtes dans ce cas, demandez à votre conseil quel instrument utiliser.

La loi 09-08 continue de s’appliquer

Se conformer au RGPD ne dispense pas de la loi marocaine, et inversement. L’article 2 de la loi 09-08 couvre le responsable établi au Maroc, mais aussi le responsable non établi qui recourt à des moyens situés au Maroc, hors simple transit. Dans ce second cas, il doit notifier à la CNDP l’identité d’un représentant installé au Maroc. Ce point mérite d’être examiné avec votre client et votre conseil si vous traitez ses données ici. Le contrat de sous-traitance est aussi exigé par l’article 23.

Lorsque vous êtes vous-même responsable du traitement, vos envois vers l’étranger, Europe comprise, relèvent des articles 43 et 44 : notre guide sur le transfert de données hors du Maroc détaille la démarche. Les déclarations et autorisations sont expliquées dans notre article sur les obligations de la loi 09-08 et de la CNDP.

Sujet	RGPD	Loi 09-08
Portée	Établissement dans l’UE, ou offre et suivi visant des personnes dans l’UE	Responsable établi au Maroc, ou moyens situés au Maroc
Formalité principale	Registre et responsabilité de l’entreprise	Déclaration ou autorisation préalable auprès de la CNDP
Notification des violations	Prévue aux articles 33 et 34	Pas d’obligation équivalente dans le texte de la loi
Sanctions	Amendes administratives, article 83	Sanctions notamment pénales

Une réforme de la loi 09-08 est évoquée publiquement, sans texte adopté que nous ayons pu identifier. Surveillez les publications de la CNDP.

Le socle technique commun

L’article 32 du RGPD et l’article 23 de la loi 09-08 demandent des mesures adaptées au risque. La bonne nouvelle : les mêmes mesures servent aux deux textes et alimentent les annexes des CCT. Elles relèvent de la cybersécurité des entreprises au Maroc au sens large :

Exigence du client ou du texte	Mesure concrète
Accès limités et traçables	MFA pour tous les comptes, comptes d’administration séparés, journaux d’accès
Confidentialité	Chiffrement des postes portables et des sauvegardes, séparation des données par client
Disponibilité et restauration	Sauvegardes protégées, tests de restauration documentés
Tests réguliers	Audit de sécurité et test d’intrusion à périmètre défini
Gestion des violations	Plan de réponse à incident avec contacts et modèle de notification
Maîtrise du cloud	Région d’hébergement relevée pour chaque outil, en particulier sur Microsoft 365 et Azure

Si vos clients demandent des garanties répétées, une démarche structurée évite de répondre à chaque questionnaire depuis zéro. Notre guide ISO 27001 pour les PME au Maroc explique par où commencer.

Le plan d’action, dans l’ordre

1. Lister vos activités liées à l’Europe. Clients, prospects, salariés, sites web, campagnes, prestations pour des sociétés européennes.
2. Qualifier chaque activité. Établissement, ciblage, suivi, sous-traitance, ou hors champ. Faites valider cette analyse.
3. Cartographier les données et les outils. Quelles données, où hébergées, qui y accède, quels sous-traitants ultérieurs.
4. Mettre les contrats à niveau. Article 28, CCT et annexes, contrats avec vos propres prestataires.
5. Combler les écarts de sécurité. Commencez par les accès, le chiffrement, la sauvegarde et la journalisation.
6. Préparer la gestion des violations. Qui décide, qui prévient le client, avec quelles informations.
7. Vérifier votre situation côté CNDP. Déclarations, autorisations, transferts.
8. Constituer un dossier de preuves. Registre, contrats, captures de configuration, comptes rendus de tests, à tenir à jour.

Les erreurs les plus fréquentes

Erreur	Conséquence	Correction
Croire que le RGPD s’applique dès qu’un Européen figure dans un fichier	Efforts mal ciblés	Raisonner par activité, avec l’article 3
Croire qu’être hors de l’UE protège de tout	Boutique en ligne visant l’Europe sans représentant ni registre	Tester les indices de ciblage
Signer les annexes des CCT sans vérifier	Engagements de sécurité non tenus	Faire relire les annexes par l’équipe technique
Oublier ses propres sous-traitants	Cloud ou support non déclaré au client	Lister et faire autoriser les sous-traitants ultérieurs
Ignorer la loi 09-08 après avoir signé les CCT	Situation irrégulière au Maroc	Traiter les deux cadres ensemble

Notre accompagnement

ALLSAFE SOLUTIONS prépare la partie technique de ces dossiers : inventaire des outils et des flux, réponse aux questionnaires de sécurité de vos clients, rédaction factuelle des annexes de mesures, MFA, chiffrement, sauvegardes, journaux et plan de réponse à incident. Pour la qualification juridique et les démarches, nous travaillons avec le conseil de l’entreprise. Nous répondons sous 24 h ouvrées et intervenons sur site depuis Casablanca.

Un client européen vous demande des garanties, ou vous ouvrez un marché en Europe ? Demandez votre audit initial offert : nous faisons le point sur vos flux de données, vos mesures en place et les écarts à combler.