Transfert de données hors du Maroc et cloud : ce que demande la CNDP

La réponse courte : dès que des données personnelles collectées au Maroc sont stockées, sauvegardées ou consultées à l’étranger, il y a transfert au sens de la loi 09-08. C’est le cas de la plupart des services cloud : messagerie, stockage de fichiers, CRM en ligne, outils de paie ou de support. Ce transfert n’est pas interdit, mais il est encadré : il doit viser un pays figurant sur la liste établie par la CNDP, ou relever de l’un des cas de l’article 44, dont l’autorisation expresse de la CNDP. Il se déclare avec le traitement, et il se prépare avant la migration, pas après.

Ce guide reprend le texte de la loi 09-08 (articles 15, 23, 43, 44 et 60, tels que publiés au Bulletin officiel), explique comment savoir où sont réellement vos données chez Microsoft et Google, et liste les mesures techniques qui rendent un transfert défendable. Il complète notre article de fond sur les obligations de la loi 09-08 et de la CNDP. Il ne remplace pas un conseil juridique : pour un cas complexe, un avocat ou le service compétent de la CNDP reste la référence.

Quand y a-t-il transfert de données hors du Maroc ?

La loi parle de transfert « vers un État étranger ». En pratique, il suffit que des données personnelles quittent le territoire, quel que soit le moyen : hébergement, réplication, sauvegarde ou simple accès à distance depuis l’étranger. Voici les situations que nous rencontrons le plus souvent dans les PME :

Situation	Données concernées	Transfert ?
Messagerie et fichiers sur Microsoft 365 ou Google Workspace	Salariés, clients, fournisseurs	Oui, si les centres de données sont hors du Maroc
CRM ou logiciel de ticketing en ligne	Clients et prospects	Oui, selon l’hébergement de l’éditeur
Sauvegarde externalisée vers un cloud étranger	Toutes les données sauvegardées	Oui
Logiciel de paie ou SIRH en SaaS	Salariés, données sociales	Oui, selon l’hébergement
Maison mère ou filiale à l’étranger qui consulte les fichiers	Selon les accès	Oui
Éditeur étranger qui se connecte à votre serveur pour le support	Données visibles pendant l’intervention	Oui, pendant l’accès
Outils d’IA générative utilisés avec des données de clients	Ce qui est copié dans l’outil	Oui, souvent sans que l’entreprise le sache
Serveurs et sauvegardes hébergés au Maroc, accès uniquement local	Toutes	Non

La dernière ligne de ce tableau est rarement la situation réelle. Un seul outil en ligne adopté par un service suffit à créer un transfert. C’est l’un des risques du shadow IT et de l’IA générative en entreprise : des données partent à l’étranger sans que personne ne l’ait décidé.

Ce que disent les articles 43 et 44 de la loi 09-08

L’article 43 pose le principe. Le responsable d’un traitement ne peut transférer des données personnelles vers un État étranger que si cet État assure un niveau de protection suffisant de la vie privée et des droits des personnes. Ce niveau s’apprécie notamment selon les dispositions en vigueur dans l’État destinataire, les mesures de sécurité qui y sont appliquées, les finalités et la durée du traitement, la nature, l’origine et la destination des données. La CNDP établit la liste des États qui répondent à ces critères.

L’article 44 prévoit les exceptions. Vers un État qui ne figure pas sur la liste, le transfert reste possible dans les cas suivants :

Cas prévu par l’article 44	Exemple d’usage	Adapté à un outil cloud durable ?
Consentement exprès de la personne	Client qui accepte explicitement un traitement à l’étranger	Rarement : difficile à recueillir et à prouver pour tous
Sauvegarde de la vie de la personne	Urgence médicale	Non
Préservation de l’intérêt public	Cas particuliers	Non
Constatation, exercice ou défense d’un droit en justice	Contentieux à l’étranger	Non
Exécution d’un contrat avec la personne, ou mesures précontractuelles à sa demande	Réservation d’un voyage à l’étranger pour un client	Ponctuellement
Contrat conclu dans l’intérêt de la personne avec un tiers	Prestation commandée pour un client	Ponctuellement
Entraide judiciaire internationale	Procédure judiciaire	Non
Prévention, diagnostic ou traitement d’affections médicales	Avis médical à l’étranger	Cas des établissements de santé
Accord bilatéral ou multilatéral auquel le Maroc est partie	Selon les accords	Selon les cas
Autorisation expresse et motivée de la CNDP	Traitement garanti par des clauses contractuelles ou des règles internes	Oui, c’est la voie habituelle

Pour une messagerie, un CRM ou une sauvegarde, c’est-à-dire des traitements permanents qui concernent beaucoup de personnes, deux voies sont réalistes : un pays destinataire figurant sur la liste de la CNDP, ou une autorisation de la CNDP appuyée sur des engagements contractuels solides du fournisseur.

La liste des pays : où la trouver

La liste des États assurant une protection suffisante est fixée par délibération de la CNDP (délibération n° 465-2013, modifiée par la délibération n° 236-2015). Nous ne la reproduisons pas ici : elle peut être modifiée par une nouvelle délibération, et c’est la version publiée sur le site de la CNDP qui fait foi. Le bon réflexe est de vérifier, pour chaque outil, le pays exact d’hébergement indiqué par le fournisseur, puis de le comparer à la liste en vigueur.

Attention à un piège fréquent : un fournisseur peut annoncer un hébergement « en Europe » sans préciser le pays, ou stocker certaines données (journaux, sauvegardes, données de support) ailleurs que les données principales. C’est le pays réel de chaque catégorie de données qui compte.

La démarche auprès de la CNDP, étape par étape

L’article 15 de la loi prévoit que la déclaration d’un traitement mentionne « les transferts de données envisagés à destination d’États étrangers ». Le transfert n’est donc pas une formalité isolée : il s’inscrit dans le dossier du traitement.

1. Inventorier les traitements et les outils. Pour chaque traitement (paie, CRM, messagerie, vidéosurveillance, dossiers patients), noter les outils utilisés et le pays d’hébergement de chacun.
2. Déclarer ou faire autoriser le traitement. La CNDP indique que l’autorisation de transfert n’est accordée que si le traitement sous-jacent a lui-même fait l’objet d’une déclaration ou d’une autorisation approuvée. Si ce n’est pas fait, c’est la première étape.
3. Qualifier le transfert. Pays de la liste, cas de l’article 44, ou besoin d’une autorisation de la CNDP.
4. Remplir la demande de transfert. La CNDP publie un formulaire dédié de demande de transfert de données à l’étranger (référencé F118 sur son site). Il demande notamment l’identification du responsable du traitement au Maroc, celle du destinataire à l’étranger et les références du récépissé du traitement.
5. Joindre les garanties. Contrat avec le fournisseur, clauses relatives à la protection des données, description des mesures de sécurité.
6. Attendre la réponse avant de basculer. Planifiez la migration en tenant compte du délai d’instruction indiqué par la CNDP, et conservez le récépissé ou l’autorisation dans le dossier de conformité.

Les formulaires et leurs versions évoluent : téléchargez toujours la version en cours sur cndp.ma au moment du dépôt.

Cloud : savoir où sont vraiment vos données

Une demande de transfert sérieuse repose sur une information exacte. Voici où la trouver chez les deux fournisseurs les plus utilisés par les PME marocaines, dont nous sommes partenaire Microsoft et partenaire Google Workspace.

Microsoft 365. Microsoft documente l’emplacement des données de chaque locataire dans le centre d’administration : Paramètres, Paramètres de l’organisation, Profil de l’organisation, Emplacement des données. Cette carte indique, service par service (Exchange, SharePoint, Teams…), la région où sont stockées les données. Microsoft précise que les données d’un client peuvent être réparties entre plusieurs centres de données ; c’est donc cette carte, pour votre locataire, qui fait référence. Des offres complémentaires de résidence des données existent pour certaines régions.

Google Workspace. La fonction « régions de données » permet à l’administrateur de choisir l’emplacement des données couvertes : États-Unis, Europe ou aucune préférence. Elle dépend de l’édition souscrite et ne couvre que certains services et types de données ; Google précise par exemple que les journaux et les contenus en cache n’en relèvent pas.

Point à vérifier	Microsoft 365	Google Workspace
Où voir la région actuelle	Carte « Emplacement des données » du centre d’administration	Console d’administration, règles de régions de données
Choix de la région	Fixé à la création du locataire, offres de résidence complémentaires	Politique de régions de données, selon l’édition
Données hors du périmètre	À lire dans la documentation de chaque service	Journaux, cache et données non listées
Document à joindre au dossier	Capture de la carte, conditions contractuelles de protection des données	Capture de la politique, conditions contractuelles de protection des données

Le choix de la région se fait idéalement au moment de la création de l’environnement. C’est pourquoi nous l’abordons dès le cadrage de nos projets de cloud Microsoft 365 et Azure au Maroc. Notre comparatif Microsoft 365 ou Google Workspace aide à choisir la plateforme elle-même.

L’alternative : garder certaines données au Maroc

Pour les traitements les plus sensibles (données de santé, données biométriques, dossiers RH détaillés), certaines entreprises préfèrent éviter le transfert : serveurs et sauvegardes hébergés dans un centre de données au Maroc, outils sur site, accès à distance via VPN. Nous détaillons cette option dans notre article sur l’hébergement de serveurs et de sauvegardes dans un datacenter au Maroc.

Ce choix a ses contraintes : maintenance des serveurs, sauvegarde hors site à prévoir, haute disponibilité à construire. Une architecture mixte est souvent la plus réaliste : collaboratif et messagerie dans le cloud, données sensibles hébergées localement. Pour la sauvegarde, vérifiez où est envoyée la copie hors site ; notre guide de la sauvegarde externalisée détaille les options.

Les mesures techniques qui rendent un transfert défendable

L’article 23 de la loi impose des mesures techniques et organisationnelles adaptées aux risques, et un contrat écrit avec tout sous-traitant. Pour un transfert, la CNDP regarde concrètement ce qui protège les données. Les mesures que nous mettons en place :

• Minimiser ce qui part. Ne pas synchroniser vers le cloud des dossiers qui n’en ont pas besoin, éviter de copier des pièces d’identité ou des données de santé dans des outils généralistes.
• Contrôler les accès. Authentification multifacteur pour tous les comptes, comptes d’administration séparés, accès conditionnel selon l’appareil. Notre guide de déploiement du MFA détaille l’ordre de mise en place.
• Chiffrer. Chiffrement des postes portables, des sauvegardes et des échanges ; pour les données les plus sensibles, chiffrement avec des clés maîtrisées par l’entreprise lorsque l’offre le permet.
• Tracer. Activer et conserver les journaux d’audit pour savoir qui a consulté ou exporté quoi.
• Encadrer les accès du support. Pour un éditeur étranger, accès sur demande, limité dans le temps et journalisé.
• Contractualiser. Clauses de sous-traitance (article 23) et de protection des données, localisation des données, sous-traitants ultérieurs, restitution et suppression en fin de contrat.

Ces mesures relèvent de la cybersécurité des entreprises au Maroc au sens large, et elles servent aussi aux obligations de la loi 05-20 sur la cybersécurité pour les organismes concernés.

Ce que prévoit la loi en cas de manquement

L’article 60 de la loi 09-08 punit quiconque effectue un transfert de données personnelles vers un État étranger en violation des articles 43 et 44 d’un emprisonnement de trois mois à un an et d’une amende de 20 000 à 200 000 DH, ou de l’une de ces deux peines seulement. Au-delà de la sanction pénale, un transfert non maîtrisé pose un problème très concret : en cas de fuite chez un fournisseur étranger, l’entreprise doit pouvoir montrer qu’elle savait où étaient ses données et comment elles étaient protégées.

Les erreurs les plus fréquentes

Erreur	Conséquence	Correction
Migrer vers le cloud puis s’occuper de la CNDP	Transfert déjà effectué sans base légale	Intégrer la démarche au planning de migration
Déclarer le traitement sans mentionner le transfert	Déclaration incomplète au regard de l’article 15	Mettre à jour la déclaration
Se fier à « hébergé en Europe »	Pays réel inconnu, données annexes ailleurs	Relever le pays de chaque catégorie de données
Compter sur le consentement des salariés	Consentement fragile, difficile à prouver	Pays de la liste ou autorisation de la CNDP
Oublier la sauvegarde et le support	Transfert non déclaré	Cartographier tous les flux, y compris techniques
Aucun contrat de sous-traitance	Obligation de l’article 23 non respectée	Annexe de protection des données signée

Checklist avant un projet cloud

• Lister les données personnelles qui iront dans le nouvel outil, et celles qui n’ont pas à y aller.
• Relever le pays d’hébergement de chaque catégorie de données, sauvegardes et journaux compris.
• Comparer à la liste de la CNDP en vigueur, ou identifier le cas de l’article 44 applicable.
• Vérifier que le traitement est déclaré ou autorisé, et que le transfert y figure.
• Déposer la demande de transfert si nécessaire, avec contrat et mesures de sécurité.
• Activer le MFA, le chiffrement et les journaux d’audit avant la mise en service.
• Conserver captures, contrats et récépissés dans un dossier de conformité, et le revoir à chaque nouvel outil.

Notre accompagnement

ALLSAFE SOLUTIONS aide les entreprises à préparer la partie technique de ces dossiers : inventaire des outils et des flux, relevé des régions d’hébergement, configuration de Microsoft 365 et Google Workspace, chiffrement, journaux et sauvegardes, rédaction des annexes techniques de sécurité. Pour la qualification juridique et le dépôt, nous travaillons avec le conseil de l’entreprise. Nous répondons sous 24 h ouvrées et intervenons sur site depuis Casablanca.

Vous préparez une migration cloud ou vous voulez savoir où sont vos données aujourd’hui ? Demandez votre audit initial offert : nous cartographions vos outils, vos flux de données hors du Maroc et les mesures à mettre en place.