Déclaration CNDP : formulaires, délais et procédure
Tout traitement de données personnelles doit être déclaré à la CNDP avant sa mise en œuvre. Le récépissé est délivré sous 24 heures, mais la Commission dispose de 8 jours pour requalifier votre déclaration en autorisation préalable.
En bref
Déclarer un traitement à la CNDP consiste à décrire, avant sa mise en œuvre, sa finalité, les données collectées, leurs destinataires et leur durée de conservation. Le formulaire dépend du cas : F211 pour une déclaration normale, F214 pour une déclaration simplifiée, F112 ou F113 lorsqu’une autorisation préalable est exigée. Le récépissé est délivré sous 24 heures.
Avertissement
Cette page synthétise les procédures publiées par la CNDP à la date indiquée. Les formulaires et les modalités évoluent : reportez-vous toujours à la page Procédures de notification de la Commission avant de déposer, et faites-vous accompagner pour un traitement sensible.
Déclaration ou autorisation ?
C’est la première question, et elle change la nature de la démarche. La loi 09-08 pose un principe simple : tous les traitements doivent être déclarés, sauf ceux qui sont exclus du champ d’application de la loi, ceux qui en sont dispensés, et ceux qui relèvent de l’autorisation préalable.
| Régime | Quand il s’applique | Ce que ça implique |
|---|---|---|
| Déclaration préalable | Traitements courants : fichier clients, gestion du personnel, registre de visiteurs sans donnée sensible | Dépôt d’un dossier descriptif. Récépissé sous 24 heures. |
| Déclaration simplifiée | Traitement conforme à une décision ou une délibération déjà adoptée par la CNDP | Formulaire allégé, renvoyant au texte de référence |
| Autorisation préalable | Données sensibles, numéro de CIN, infractions, détournement de finalité, interconnexion de fichiers | Instruction par la Commission. Mise en œuvre suspendue à la réponse. |
| Dispense | Traitements exclus ou dispensés par la loi | Aucune formalité, mais les autres obligations demeurent |
Les six déclencheurs d’autorisation
La CNDP énumère les cas où une simple déclaration ne suffit pas. Les connaître évite de déposer le mauvais dossier et de perdre plusieurs semaines.
- Les données sensibles : origine raciale ou ethnique, opinion politique, conviction religieuse ou philosophique, appartenance syndicale, données de santé y compris génétiques.
- L’utilisation des données à d’autres fins que celles pour lesquelles elles ont été collectées.
- Les données génétiques, sauf lorsqu’elles sont mises en œuvre par du personnel de santé à des fins médicales.
- Les données portant sur des infractions, condamnations ou mesures de sûreté, sauf pour les auxiliaires de justice.
- Les données comportant le numéro de la carte d’identité nationale de la personne concernée.
- L’interconnexion de fichiers poursuivant des finalités principales différentes.
Le cinquième point piège les registres d’accueil
Relever le numéro de CIN des visiteurs fait basculer le registre d’accueil du régime de la déclaration vers celui de l’autorisation préalable. Beaucoup d’entreprises marocaines demandent la CIN par habitude, sans savoir qu’elles s’imposent ainsi la formalité la plus lourde pour une donnée dont elles n’ont presque jamais besoin. Voir le guide registre des visiteurs.
À noter une exemption expresse : la loi dispense d’autorisation les traitements mis en œuvre par une association ou un groupement à but non lucratif à caractère religieux, philosophique, politique, syndical, culturel ou sportif.
Quel formulaire, et quelles pièces
| Situation | Formulaire | Où le trouver |
|---|---|---|
| Déclaration normale préalable | F211 | Formulaires de déclaration |
| Déclaration simplifiée (traitement conforme à une décision) | F214 | Formulaires de déclaration |
| Demande d’autorisation normale | F112 | Autorisation préalable |
| Demande d’autorisation simplifiée | F113 | Autorisation préalable |
La pièce systématiquement exigée est le document autorisant le signataire à engager la personne morale. C’est le motif de rejet le plus banal : un dossier techniquement parfait déposé par quelqu’un qui n’a pas qualité pour engager la société.
Un transfert de données vers l’étranger relève d’une démarche distincte, décrite sur la page Demande de transfert à l’étranger. C’est un point à vérifier si votre logiciel héberge les données hors du Maroc.
Les délais réels
Les délais publiés par la CNDP sont courts, mais il faut lire les trois ensemble pour comprendre le calendrier réel d’un projet.
| Étape | Délai | Ce que ça signifie en pratique |
|---|---|---|
| Délivrance du récépissé de déclaration | 24 heures | La pièce que l’on vous demandera lors d’un appel d’offres ou d’un audit client |
| Requalification éventuelle en autorisation préalable | 8 jours | La CNDP peut décider que le traitement présente des dangers manifestes et exiger la procédure lourde |
| Dossier incomplet | Les délais repartent de zéro | Ils ne courent qu’à compter de la fourniture des pièces demandées |
Ce que le délai de 8 jours implique
Obtenir un récépissé en 24 heures ne clôt pas le sujet. Tant que les 8 jours ne sont pas écoulés, la Commission peut requalifier le traitement. Pour un déploiement dont la date est contractuelle, prévoyez cette fenêtre plutôt que de la découvrir.
La cartographie préalable
L’erreur classique consiste à ouvrir le formulaire en premier. Une déclaration n’est que la mise au propre d’un inventaire. Pour chaque fichier détenu, il faut pouvoir répondre à six questions :
- À quoi sert ce fichier ? Une finalité, en une phrase.
- Quelles données exactement ? Champ par champ, zones de commentaire libre comprises.
- D’où viennent-elles ? Saisie par la personne, par un salarié, ou import.
- Qui y a accès ? Par fonction, pas par nom.
- Combien de temps sont-elles conservées ? Selon quelle règle.
- Sont-elles transmises à un tiers ? Prestataire, hébergeur, maison mère.
La zone de commentaire libre
C’est le champ qui fait dérailler le plus de dossiers. Une case « observations » laissée libre à la réception finit toujours par contenir une information de santé ou une remarque sur une personne. Le traitement bascule alors dans le régime de l’autorisation préalable sans que personne ne l’ait décidé.
Un exemple de déclaration
Pour un registre de visiteurs sans donnée sensible, une déclaration bien faite tient en quelques lignes. L’exemple est volontairement resserré : la minimisation est un principe de la loi, pas une posture.
| Rubrique | Contenu |
|---|---|
| Finalité | Sécurité des personnes et des biens, traçabilité des accès au site |
| Personnes concernées | Visiteurs, prestataires et livreurs se présentant à l’accueil |
| Données collectées | Nom, prénom, société d’appartenance, personne visitée, horodatage d’entrée et de sortie |
| Destinataires | Personnel d’accueil, responsable sécurité, direction du site |
| Durée de conservation | Durée justifiée par la finalité de sécurité, fixée par écrit |
| Sous-traitant | Éditeur du logiciel, avec son pays d’hébergement |
| Mesures de sécurité | Accès par identifiant nominatif, cloisonnement par entreprise, journal des consultations |
| Formulaire | F211, déclaration normale préalable |
Le cas de la vidéosurveillance
Les caméras de l’accueil constituent un traitement distinct du registre, avec sa propre finalité et sa propre durée de conservation. Beaucoup d’entreprises déclarent l’un et oublient l’autre.
La CNDP a adopté une délibération dédiée : la délibération n° 350-2013 du 31 mai 2013, portant sur les conditions de mise en place d’un système de vidéosurveillance dans les lieux de travail et les lieux privés communs. Elle change la formalité applicable :
- Si votre dispositif entre dans le cadre de la délibération, la déclaration simplifiée F214 suffit.
- S’il en sort, il faut une demande d’autorisation préalable F112.
Dans les deux cas, deux pièces sont attendues :
- une copie du pictogramme informant de la présence du dispositif, conforme à la mention type de la CNDP ;
- le cas échéant, une copie du contrat de sous-traitance comportant des clauses de confidentialité.
Après la déclaration
Une déclaration décrit un traitement à un instant donné. Dès que le traitement change, elle doit être mise à jour. Trois événements l’imposent :
- l’ajout d’un champ, par exemple une photo du visiteur ;
- le changement de finalité, ou l’ajout d’une finalité secondaire ;
- le changement de sous-traitant ou de pays d’hébergement.
En parallèle, l’entreprise doit pouvoir honorer les demandes des personnes concernées, dont la CNDP rappelle la teneur sur sa page Vos droits. Concrètement : extraire en quelques minutes l’historique d’un visiteur qui en fait la demande, et corriger une donnée inexacte. Un cahier papier rend ces deux opérations pratiquement impossibles.
Sachez enfin qu’une personne qui s’estime lésée peut déposer une plainte directement auprès de la Commission. C’est souvent par ce canal qu’un manquement remonte, plutôt que par un contrôle spontané.
Les erreurs les plus fréquentes
Croire que le prestataire déclare à votre place
L’éditeur d’un logiciel est sous-traitant. Il déclare ses propres traitements, pas les vôtres. L’entreprise qui collecte reste responsable de traitement.
Déposer une déclaration alors qu’il fallait une autorisation
Le cas le plus courant est celui du numéro de CIN, relevé par habitude. Le dossier est recevable en apparence, et la requalification tombe dans les 8 jours.
Déclarer une finalité trop large
« Gestion de l’entreprise » ne veut rien dire et n’autorise rien. Une finalité doit être assez précise pour qu’on puisse juger si une donnée y est nécessaire.
Oublier la vidéosurveillance
Traitement distinct, formalité distincte, pièces distinctes.
Faire signer le dossier par une personne sans pouvoir
Le document attestant du pouvoir de signature est exigé. Sans lui, le dossier est incomplet et les délais ne courent pas.
Ne pas informer les personnes
La déclaration ne dispense pas de l’information. Une mention doit être visible à l’accueil et présentée au visiteur au moment de la saisie. Un modèle de mention est fourni avec notre modèle de registre.
Sources
Questions fréquentes
Quel formulaire utiliser pour déclarer un traitement à la CNDP ?
La CNDP distingue quatre formulaires. Pour une déclaration : F211 pour la déclaration normale préalable, F214 pour la déclaration simplifiée lorsque le traitement relève d'une décision ou d'une délibération existante. Pour une autorisation préalable : F112 en version normale et F113 en version simplifiée. Le choix dépend de la nature des données traitées, pas de la taille de l'entreprise.
Combien de temps la CNDP met-elle à répondre ?
La CNDP délivre le récépissé de déclaration dans un délai de 24 heures. Elle dispose ensuite de 8 jours pour notifier au déclarant sa décision de soumettre le traitement au régime de l'autorisation préalable, si elle estime qu'il présente des dangers manifestes pour la vie privée. Si le dossier est incomplet, ces délais ne courent qu'à partir de la fourniture des pièces manquantes.
Collecter le numéro de CIN nécessite-t-il une autorisation ?
Oui. La CNDP range les traitements comportant le numéro de la carte d'identité nationale parmi ceux soumis à autorisation préalable, au même titre que les données sensibles. Un registre de visiteurs qui relève la CIN ne relève donc plus de la simple déclaration : il exige une demande d'autorisation, dont l'instruction est plus longue.
La déclaration CNDP est-elle payante ?
La formalité elle-même n'est pas facturée par la CNDP. Le coût éventuel provient de l'accompagnement juridique que l'entreprise choisit de solliciter pour cartographier ses traitements et rédiger ses mentions d'information.
Faut-il une déclaration par fichier ou une seule pour toute l’entreprise ?
Une déclaration porte sur un traitement, c'est-à-dire un ensemble d'opérations poursuivant une finalité déterminée. Une entreprise qui gère un fichier clients, un fichier du personnel, une vidéosurveillance et un registre de visiteurs poursuit quatre finalités distinctes, donc quatre traitements à déclarer.
Un logiciel SaaS dispense-t-il l’entreprise de déclarer ?
Non. L'éditeur agit comme sous-traitant, mais l'entreprise qui collecte les données reste responsable de traitement. Elle doit déclarer son propre traitement, identifier l'éditeur comme sous-traitant et mentionner le lieu d'hébergement des données.