Conforme au RGPD, êtes-vous conforme à la loi 09-08 ?

Le RGPD s’applique-t-il au Maroc ?

Non, pas en tant que droit national. Le Règlement général sur la protection des données est un texte de l’Union européenne. Au Maroc, le texte applicable est la loi n° 09-08, complétée par son décret d’application n° 2-09-165, et son application est contrôlée par la CNDP.

La CNDP a pour objectif principal de veiller au respect des libertés et droits fondamentaux des personnes physiques à l’égard des traitements de données personnelles. Ses missions s’articulent autour de cinq axes : information et sensibilisation, conseil et proposition, protection, contrôle et investigation, veille juridique et technologique. C’est elle qui reçoit les déclarations de traitement, les demandes d’autorisation préalable et les demandes de transfert de données à l’étranger.

La confusion entre les deux textes est fréquente parce que le RGPD est beaucoup plus médiatisé, et parce qu’ils partagent la même philosophie : la personne garde la maîtrise de ses données, celui qui les traite s’en explique. Mais les obligations concrètes diffèrent, et se croire en règle au Maroc parce qu’on a « fait le RGPD » est une erreur courante, qui se découvre en général au pire moment : lors d’un contrôle ou d’un audit client.

Les trois cas où il vous concerne

Le RGPD a une portée extraterritoriale, définie par son article 3 : il suit les personnes qui se trouvent dans l’Union plutôt que les frontières. Il vise expressément les responsables de traitement et les sous-traitants non établis dans l’UE. Les critères d’application sont détaillés par les lignes directrices 3/2018 du Comité européen de la protection des données, adoptées dans leur version finale le 12 novembre 2019. Trois situations rendent le règlement applicable à une entreprise marocaine.

1. Vous offrez des biens ou services à des personnes dans l’UE

Un hôtel de Marrakech qui commercialise ses séjours auprès de clients français, un e-commerçant qui livre en Belgique, un éditeur qui distribue une application à un public européen : dès lors que l’offre vise des personnes se trouvant dans l’Union, le règlement s’applique aux données de ces personnes. Le texte précise que le critère joue « qu’un paiement soit exigé ou non » (considérants 23 et 24) : la gratuité du service ne protège de rien.

2. Vous suivez leur comportement au sein de l’Union

Analyse d’audience, ciblage publicitaire, profilage des visiteurs d’un site consulté depuis l’Europe : le suivi comportemental suffit à déclencher l’application du texte, dans la mesure où il s’agit du comportement de ces personnes au sein de l’Union.

3. Vous traitez des données pour un client européen

C’est le cas le plus fréquent au Maroc, et le plus structurant économiquement : centres d’appels de Casablanca, back-offices bancaires, prestataires informatiques, sociétés d’ingénierie travaillant pour un groupe européen. Le donneur d’ordre est responsable de traitement, le prestataire marocain est sous-traitant, et le contrat de sous-traitance lui transfère les obligations du règlement, que les audits fournisseurs viennent ensuite vérifier sur place.

Le Maroc et l’adéquation européenne

Être soumis au RGPD est une chose ; faire circuler des données entre l’Union et le Maroc en est une autre. Sur la base de l’article 45 du règlement, c’est la Commission européenne qui constate qu’un pays tiers offre un niveau de protection adéquat. L’effet d’une telle décision est puissant : les données peuvent alors circuler depuis l’UE, la Norvège, le Liechtenstein et l’Islande vers ce pays sans aucune garantie supplémentaire, comme s’il s’agissait d’une transmission intra-européenne.

Le Maroc ne figure pas sur la liste des pays reconnus adéquats, qui va d’Andorre à l’Uruguay en passant par le Japon, la Suisse et le Royaume-Uni. La conséquence est directe : tout flux de données de l’UE vers le Maroc doit être encadré par un outil juridique dédié, clauses contractuelles types adoptées par la Commission, règles d’entreprise contraignantes (BCR), ou dérogations de l’article 49 réservées à des situations particulières.

Ces encadrements se renégocient au rythme de la jurisprudence : l’arrêt « Schrems II » du 16 juillet 2020 a invalidé le Privacy Shield qui couvrait les flux vers les États-Unis, et il a fallu attendre le 10 juillet 2023 pour qu’une nouvelle décision d’adéquation américaine soit adoptée. Pour un sous-traitant marocain, cela se traduit très concrètement : le donneur d’ordre annexe les clauses contractuelles types au contrat, y décrit les mesures de sécurité, et vient les auditer, y compris le contrôle des accès au site.

Sortir des données du Maroc

La loi 09-08 raisonne en miroir : elle encadre les données qui quittent le Maroc. Le transfert de données personnelles à l’étranger n’est possible que vers un pays figurant sur la liste établie par la CNDP. Hors de cette liste, il faut le consentement exprès de la personne concernée ou l’un des cas limitativement énumérés par la loi (sauvegarde de la vie, intérêt public, exécution d’un contrat, entraide judiciaire, soins médicaux…), un accord international, ou une autorisation expresse de la CNDP fondée notamment sur des clauses contractuelles ou des règles internes d’entreprise.

En pratique, la demande d’autorisation suit un ordre précis :

1. le traitement sous-jacent doit déjà avoir été déclaré à la CNDP ou autorisé par elle, faute de quoi la demande de transfert ne peut pas aboutir (voir notre guide de la déclaration) ;
2. la demande de transfert se dépose via le formulaire F118 ;
3. la CNDP notifie son avis dans un délai de 2 mois, prorogeable une seule fois.

Loi 09-08 et RGPD : le comparatif

Les différences qui piègent

La déclaration reste obligatoire au Maroc

C’est le piège numéro un pour une entreprise qui a d’abord travaillé sa conformité RGPD. Le règlement européen a supprimé la déclaration préalable ; la loi 09-08 l’a gardée. Une filiale marocaine d’un groupe européen, parfaitement alignée sur les procédures du siège, peut ainsi n’avoir jamais rien déclaré à la CNDP. Et la sanction est en cascade : sans traitement déclaré, aucune autorisation de transfert ne peut être obtenue.

Le droit à l’effacement n’a pas d’équivalent

Une entreprise marocaine n’est pas tenue de supprimer une ligne de registre de sécurité parce qu’un visiteur le demande. Attention toutefois : si cette même entreprise est sous-traitante d’un client européen, le contrat peut lui imposer contractuellement ce que la loi marocaine n’exige pas.

Les bases légales ne se recouvrent pas

Le RGPD permet de fonder un traitement sur l’intérêt légitime, commode pour la sécurité d’un site. La loi 09-08 s’articule davantage autour du consentement et des cas prévus par la loi. Transposer mécaniquement un raisonnement européen fondé sur l’intérêt légitime peut donc laisser un traitement sans fondement solide au Maroc.

Se conformer aux deux

Pour une entreprise concernée par les deux régimes, la méthode qui fonctionne consiste à prendre l’exigence la plus stricte de chaque côté :

• déclarer à la CNDP, exigence marocaine, absente du RGPD ;
• documenter ses traitements en interne, exigence européenne, et bonne pratique au Maroc qui rend la déclaration beaucoup plus simple à remplir ;
• encadrer chaque flux transfrontalier : clauses contractuelles types côté européen, autorisation de la CNDP côté marocain ;
• fixer des durées de conservation et les appliquer réellement ;
• être capable d’extraire et de corriger les données d’une personne rapidement.

Sur le terrain, ce dernier point est celui qui distingue une conformité réelle d’une conformité de papier, et c’est celui qu’un cahier d’accueil rend impossible : voir le guide du registre des visiteurs. La façon dont entrer.ma applique ces exigences à l’accueil des visiteurs est détaillée sur la page conformité CNDP.