Loi 09-08 : ce que doivent savoir les entreprises marocaines
La loi n° 09-08 est le texte qui encadre le traitement des données à caractère personnel au Maroc. Toute entreprise qui détient un fichier de clients, de salariés ou de visiteurs y est soumise, et doit le déclarer à la CNDP.
En bref
La loi n° 09-08 est la loi marocaine sur la protection des données personnelles. Elle oblige toute entreprise qui détient un fichier de personnes, clients, salariés, visiteurs, à déclarer ce traitement à la CNDP, à n’en collecter que le strict nécessaire, et à permettre aux personnes concernées d’accéder à leurs données et de les faire corriger.
Avertissement
Ce guide est une synthèse de vulgarisation destinée aux responsables d’entreprise. Il ne constitue pas un avis juridique. Le texte de référence est publié par la Commission : loi 09-08 sur le site de la CNDP, complété par le décret n° 2-09-165 pris pour son application.
Ce que dit la loi 09-08
La loi n° 09-08 est relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Elle pose un principe simple : les données d’une personne appartiennent à cette personne, et celui qui les traite le fait sous conditions.
Le texte institue également la CNDP, la Commission Nationale de contrôle de la protection des Données à caractère Personnel, chargée de veiller à son application. C’est auprès d’elle que les entreprises déclarent leurs traitements, et c’est elle qui instruit les plaintes des personnes qui s’estiment lésées.
Le Maroc a ainsi été l’un des premiers pays de la région à se doter d’un cadre complet, bien avant l’entrée en vigueur du RGPD européen. Les deux textes partagent la même philosophie, avec des différences réelles que nous détaillons dans notre comparatif RGPD / loi 09-08.
Qui est concerné
Beaucoup plus d’entreprises que ce que l’on imagine. Dès lors qu’une organisation détient un fichier permettant d’identifier des personnes physiques, elle est responsable de traitement. Cela vise :
- les fichiers clients et prospects, y compris un simple tableur commercial ;
- les dossiers du personnel, la paie, les candidatures reçues ;
- la vidéosurveillance et le contrôle d’accès par badge ;
- les registres de visiteurs, qu’ils soient tenus sur un cahier ou dans un logiciel ;
- les données de géolocalisation des véhicules de service.
La taille de l’entreprise n’entre pas en ligne de compte. Une société de dix salariés qui tient un cahier d’accueil à sa réception traite des données personnelles au sens de la loi.
Ce qu’est une donnée personnelle
Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable. Le nom en est l’exemple évident, mais la définition est plus large : un numéro de téléphone, une plaque d’immatriculation, une photo ou un numéro de CIN identifient tout aussi sûrement.
La loi distingue trois catégories, qui n’obéissent pas aux mêmes règles :
| Catégorie | Exemples | Formalité requise |
|---|---|---|
| Données ordinaires | Nom, prénom, téléphone, e-mail, adresse, horaires de visite | Déclaration préalable à la CNDP |
| Données sensibles | Origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, santé, vie sexuelle | Autorisation préalable de la CNDP |
| Infractions et condamnations | Antécédents judiciaires, mesures de sûreté | Traitement strictement encadré |
Le piège des données sensibles
Une entreprise qui filme ses locaux et conserve des images de santé apparente, ou qui note dans un commentaire libre qu’un visiteur est « en fauteuil », bascule sans s’en rendre compte dans le régime des données sensibles. C’est la première raison pour laquelle les champs de commentaire libre sont à proscrire dans un registre d’accueil.
Un point mérite d’être isolé, car il surprend presque tout le monde : la CNDP range le numéro de la carte d’identité nationale parmi les traitements soumis à autorisation préalable, aux côtés des données sensibles. Relever la CIN des visiteurs ne relève donc pas de la simple déclaration. C’est la raison la plus concrète de ne pas la demander par réflexe.
Les cinq principes à respecter
Toute la loi tient dans une poignée de principes, dont le respect suffit à écarter l’essentiel du risque.
1. Finalité déterminée
Les données ne sont collectées que pour un objectif précis, annoncé à l’avance. Un registre d’accueil sert à la sécurité du site : il ne peut pas alimenter une campagne commerciale.
2. Minimisation
On ne demande que ce dont on a réellement besoin. Si le nom, l’entreprise et l’heure d’arrivée suffisent à assurer la sécurité, exiger un numéro de CIN devient difficile à justifier.
3. Durée limitée
Les données ne sont pas conservées indéfiniment sans raison. La loi admet toutefois une conservation longue lorsque le traitement poursuit une finalité de sécurité : c’est le cas d’un registre d’entrées et de sorties.
4. Sécurité et confidentialité
Le responsable de traitement doit empêcher que les données soient consultées par des tiers. Un cahier d’accueil ouvert sur un comptoir, où chaque visiteur lit les coordonnées du précédent, viole ce principe de la manière la plus visible qui soit.
5. Transparence
Les personnes doivent savoir que leurs données sont collectées, par qui, pour quoi, et comment les faire corriger. En pratique, cela se traduit par une mention d’information affichée à l’accueil ou présentée sur l’écran d’enregistrement.
La déclaration à la CNDP
C’est la formalité que la plupart des entreprises marocaines ignorent. Avant de mettre en œuvre un traitement de données personnelles, le responsable doit le déclarer à la CNDP. La déclaration décrit la finalité, les catégories de données, les destinataires et la durée de conservation.
Deux chiffres à retenir, publiés par la Commission : le récépissé est délivré sous 24 heures, mais la CNDP dispose ensuite de 8 jours pour requalifier le traitement en autorisation préalable si elle estime qu’il présente des dangers manifestes pour la vie privée. Un projet dont la date de mise en service est contractuelle doit intégrer cette fenêtre.
Les formulaires portent des références précises : F211 pour une déclaration normale, F214 pour une déclaration simplifiée, F112 et F113 pour les demandes d’autorisation. La pièce systématiquement exigée est le document autorisant le signataire à engager la personne morale.
La Commission publie elle-même la liste des cas qui exigent une autorisation, dans les mêmes termes que la loi.
La procédure pas à pas, les six cas qui déclenchent une autorisation et le traitement particulier de la vidéosurveillance sont détaillés dans notre guide de la déclaration CNDP.
Les droits des personnes
Toute personne dont les données sont traitées dispose de droits que le responsable de traitement doit être en mesure d’honorer.
| Droit | Ce qu’il permet | En pratique |
|---|---|---|
| Droit à l’information | Savoir que ses données sont collectées, par qui et pour quoi | Mention affichée à l’accueil ou sur l’écran d’enregistrement |
| Droit d’accès | Obtenir communication des données la concernant | L’entreprise doit pouvoir extraire l’historique d’une personne |
| Droit de rectification | Faire corriger une donnée inexacte | Délai de réponse court, prévoir une procédure interne |
| Droit d’opposition | S’opposer au traitement pour motif légitime | Ne s’applique pas quand le traitement répond à une obligation de sécurité |
Une différence notable avec le RGPD
Le « droit à l’effacement » que le RGPD européen consacre n’a pas d’équivalent direct dans la loi 09-08. Une entreprise marocaine n’est donc pas tenue de supprimer un registre de sécurité à la demande d’un visiteur, mais elle reste tenue de ne pas le conserver au-delà de ce que la finalité justifie.
Les sanctions encourues
La loi 09-08 prévoit des sanctions administratives et pénales. Elles visent notamment le traitement sans déclaration ou sans autorisation, l’entrave à l’action de la CNDP, le détournement de finalité et le défaut de sécurisation des données.
Au-delà de l’amende, le risque réel pour une entreprise est ailleurs : la publicité d’une plainte, la perte d’un appel d’offres où la conformité est exigée, ou l’impossibilité de contractualiser avec un donneur d’ordre européen soumis au RGPD.
Le cas du registre des visiteurs
C’est l’angle mort le plus fréquent. Le cahier d’accueil posé sur le comptoir de la réception est un traitement de données personnelles à part entière, et il cumule souvent trois manquements :
- Il n’est pas déclaré. Personne ne pense à déclarer un cahier papier.
- Il est consultable par tous. Le visiteur suivant lit le nom, l’entreprise et le numéro de téléphone du précédent, une divulgation à un tiers non autorisé.
- Il collecte trop. Numéro de CIN, immatriculation, motif détaillé de la visite : autant de données rarement nécessaires à la finalité annoncée.
Passer à un registre numérique ne règle pas la conformité par magie, mais il rend possible ce que le papier interdit : chaque visiteur ne voit que sa propre saisie, l’accès aux données est limité aux personnes habilitées, la durée de conservation est paramétrée, et l’extraction des données d’une personne devient l’affaire de quelques secondes en cas de demande d’accès.
Nous détaillons les obligations propres à ce document dans le guide registre des visiteurs, et un modèle de registre conforme est téléchargeable gratuitement.
Sources
Les délibérations de la Commission, qui précisent l’application de la loi à des situations courantes comme la vidéosurveillance au travail, sont publiées sur la page Délibérations de la CNDP.
Questions fréquentes
C'est quoi la loi 09/08 ?
La loi n° 09-08 est la loi marocaine relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Promulguée en 2009, elle impose à toute entité qui traite des données personnelles de déclarer ses traitements à la CNDP, de n'en collecter que le nécessaire et de garantir aux personnes concernées un droit d'accès et de rectification.
Que dit la loi 09-08 du CNDP ?
La loi 09-08 crée la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) et lui confie le contrôle de son application. La CNDP reçoit les déclarations de traitement, délivre les autorisations pour les traitements sensibles, instruit les plaintes et peut saisir le procureur en cas de manquement.
Quels sont les 3 types de données personnelles ?
On distingue les données personnelles ordinaires (nom, adresse, téléphone, e-mail), les données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, santé, vie sexuelle) qui exigent une autorisation préalable de la CNDP, et les données relatives aux infractions et condamnations, dont le traitement est strictement encadré.
La déclaration CNDP est-elle obligatoire ?
Oui. Tout responsable de traitement doit déclarer ses traitements de données personnelles à la CNDP avant leur mise en œuvre. Les traitements portant sur des données sensibles nécessitent une autorisation préalable, plus contraignante qu'une simple déclaration.
Un registre de visiteurs est-il soumis à la loi 09-08 ?
Oui. Un registre de visiteurs contient des noms, souvent un numéro de téléphone ou de CIN, des horaires d'entrée et de sortie : ce sont des données à caractère personnel. Le traitement doit être déclaré à la CNDP, limité à la finalité de sécurité, et les visiteurs doivent être informés de la collecte.