La Loi 09-08 encadre la protection des données personnelles au Maroc. Les entreprises soumises à la loi n° 09-08 respectent les formalités applicables, les droits des personnes et les obligations de sécurité.
Qu’est-ce que la CNDP ?
La Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) est l’autorité marocaine chargée de veiller au respect de la Loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Créée en 2009, elle est composée de 7 membres nommés par Sa Majesté le Roi.
La CNDP a pour missions principales :
- Recevoir les déclarations et les demandes d’autorisation préalables au traitement de données personnelles
- Informer les personnes de leurs droits et les responsables de traitement de leurs obligations
- Mener des investigations et des contrôles sur place
- Prononcer des sanctions en cas de manquement
Champ d’application de la Loi 09-08
La Loi 09-08 s’applique au traitement des données à caractère personnel, automatisé en tout ou partie, ainsi qu’au traitement non automatisé de données contenues ou appelées à figurer dans des fichiers manuels.
Qu’est-ce qu’une donnée à caractère personnel ?
Une donnée à caractère personnel est une information relative à une personne physique identifiée ou identifiable. Il peut s’agir des informations suivantes : nom, prénom, adresse, numéro de CIN, adresse email, numéro de téléphone, données de géolocalisation, adresse IP.
Qu’est-ce qu’une donnée sensible ?
Les données sensibles bénéficient d’une protection renforcée. Il s’agit des données qui révèlent :
- L’origine raciale ou ethnique
- Les opinions politiques, les convictions religieuses ou philosophiques
- L’appartenance syndicale
- La santé, y compris les données génétiques
La loi n° 09-08 soumet les traitements sensibles à autorisation, sous réserve de ses dérogations, notamment médicales et associatives.
Obligations des entreprises
Finalité et proportionnalité
Les données personnelles doivent être :
- Collectées pour des finalités déterminées, explicites et légitimes
- Adéquates, pertinentes et non excessives au regard des finalités
- Exactes et mises à jour
- Conservées pendant une durée n’excédant pas celle nécessaire aux finalités du traitement
Consentement
Le traitement des données personnelles ne peut être effectué que si la personne concernée a exprimé son consentement de manière indubitable, sauf exceptions prévues par la loi (exécution d’un contrat, obligation légale, sauvegarde de la vie, mission d’intérêt public).
Sécurité des données
Le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé.
Déclaration et autorisation préalables
Avant de traiter des données personnelles, l’entreprise détermine la formalité applicable :
La déclaration concerne les traitements ne relevant ni d’une autorisation ni d’une dispense prévues par la loi n° 09-08.
L’autorisation préalable de la CNDP concerne notamment les traitements suivants, sous réserve des dérogations légales :
- L’autorisation des traitements sensibles reste soumise aux dérogations des articles 12 et 22 de la loi n° 09-08.
- Le traitement de données relatives à la CIN
- L’interconnexion de fichiers ayant des finalités principales différentes
- Les transferts à l’étranger, selon les dérogations et autorisations prévues aux articles 43 et 44 de la loi n° 09-08
Droits des personnes concernées
La Loi 09-08 consacre plusieurs droits fondamentaux au profit des personnes dont les données sont traitées :
Droit à l’information
Toute personne dont les données sont collectées doit être informée de : l’identité du responsable du traitement, la finalité du traitement, les destinataires des données, l’existence d’un droit d’accès et de rectification.
Droit d’accès
Toute personne peut obtenir du responsable du traitement la confirmation que des données la concernant font ou ne font pas l’objet d’un traitement, ainsi que la communication des données qui la concernent.
Droit de rectification
La rectification ou l’effacement vise les données traitées en violation de la loi n° 09-08, notamment incomplètes ou inexactes.
Droit d’opposition
L’opposition pour motif légitime cède devant une obligation légale ou une dérogation expresse de l’acte autorisant le traitement. Elle peut également s’opposer, sans frais, à l’utilisation de ses données à des fins de prospection commerciale.
Transfert de données à l’étranger
Les transferts relèvent des articles 43 et 44 de la loi n° 09-08, y compris leurs dérogations et autorisations sur garanties.
En pratique, ces règles concernent particulièrement pour les filiales de groupes internationaux et les entreprises utilisant des services cloud hébergés à l’étranger.
Sanctions prévues par la Loi 09-08
Sanctions administratives
Les pouvoirs de la CNDP comprennent les mesures suivantes :
- La CNDP peut ordonner des corrections et interdire un traitement, dans le respect de la loi n° 09-08.
- Le retrait prévu à l’article 51 de la loi n° 09-08 vise les atteintes à l’ordre public ou aux bonnes mœurs.
Sanctions pécuniaires
Des amendes sont prévues pour les infractions à la loi, dont le montant varie selon la gravité du manquement.
Sanctions pénales
Les articles 52 et 53 prévoient des amendes ; d’autres infractions peuvent aussi entraîner l’emprisonnement selon la loi n° 09-08.
- Le traitement de données personnelles sans déclaration ni autorisation
- Le détournement de la finalité du traitement
- Le transfert illicite de données vers l’étranger
- L’entrave à l’exercice des droits des personnes concernées
Comment se mettre en conformité ?
Pour mettre votre entreprise en conformité avec la Loi 09-08, la démarche comprend les étapes suivantes :
- Cartographier l’ensemble des traitements de données personnelles de votre entreprise
- Évaluer la conformité de chaque traitement au regard de la loi
- Effectuer les déclarations et demandes d’autorisation nécessaires
- Mettre en place les mentions d’information, procédures de consentement et mesures de sécurité
- Former vos équipes aux obligations de protection des données
- Maintenir la conformité dans le temps (veille réglementaire, mises à jour)
Questions fréquentes
La CNDP est-elle l'équivalent de la CNIL en France ?
Oui, la CNDP joue un rôle similaire à la CNIL française ou au contrôleur européen de la protection des données. Elle est l'autorité indépendante chargée de veiller au respect de la législation marocaine sur la protection des données personnelles.
Mon entreprise doit-elle obligatoirement déclarer ses traitements ?
Les traitements soumis à la loi n° 09-08 relèvent des formalités préalables applicables, sous réserve des exceptions légales.
La Loi 09-08 s'applique-t-elle aux entreprises étrangères ?
La loi n° 09-08 vise les responsables établis au Maroc et certains responsables étrangers utilisant des moyens au Maroc, hors simple transit.
À LIRE ÉGALEMENT
- Loi 09-08 — texte intégral et analyse
- Déclarations et autorisations CNDP : guide pratique
- Transfert international de données personnelles au Maroc
- Sanctions CNDP : risques pénaux et amendes
- Loi 09-08 et entreprises étrangères au Maroc
- Assistance compliance CNDP
- Création d'entreprise au Maroc
- Expert-comptable à Casablanca
- Conseil en droit fiscal
