En bref
La loi n° 09-08 encadre la collecte et l'utilisation des données personnelles au Maroc et a institué la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Elle impose des obligations aux organismes qui traitent des données et reconnaît des droits aux personnes concernées.
À qui s'applique ce texte
Le texte s'applique aux entreprises, administrations, associations, professions libérales et à tout organisme qui collecte ou traite des données sur des personnes physiques au Maroc : fichiers clients, dossiers des salariés, vidéosurveillance, sites internet, applications mobiles ou prospection commerciale. Il protège toute personne dont les données sont traitées.
Les règles essentielles
- Les données doivent être collectées de manière loyale et licite, pour des finalités déterminées, et rester adéquates, pertinentes et non excessives.
- Le traitement repose en principe sur le consentement de la personne concernée, sauf exceptions prévues par la loi.
- La personne concernée dispose d'un droit d'information, d'accès, de rectification et d'opposition.
- Le responsable du traitement doit assurer la sécurité et la confidentialité des données, y compris lorsqu'il recourt à un sous-traitant.
- Les traitements font l'objet d'une déclaration préalable ou, pour certaines catégories sensibles, d'une autorisation préalable de la CNDP.
Délais et chiffres à retenir
- Les données ne doivent pas être conservées au-delà de la durée nécessaire à la finalité du traitement.
- Les données sensibles (origine, opinions, convictions religieuses, appartenance syndicale, santé) font l'objet d'un régime restrictif.
- Le transfert de données vers l'étranger n'est possible que vers un pays assurant un niveau de protection suffisant ou avec l'autorisation de la CNDP, sauf exceptions légales.
- Le non-respect des obligations expose à des sanctions administratives et pénales, notamment des amendes.
Ce que cela change concrètement
Une entreprise qui installe des caméras, gère un fichier clients ou utilise des outils hébergés à l'étranger doit vérifier ses formalités auprès de la CNDP et informer les personnes concernées. Les mentions d'information et les contrats avec les prestataires doivent être adaptés.
Un particulier peut demander à un organisme quelles données il détient sur lui, les faire rectifier, ou s'opposer à leur utilisation à des fins de prospection. En cas de difficulté, une plainte peut être adressée à la CNDP.
Réformes et actualité
La CNDP publie régulièrement des délibérations et des lignes directrices, notamment sur la vidéosurveillance, la prospection et les transferts internationaux. Le Maroc a adhéré à la Convention 108 du Conseil de l'Europe sur la protection des données, ce qui renforce l'alignement du cadre marocain sur les standards internationaux.
Quand consulter un avocat
Un accompagnement est utile pour réaliser un état des lieux des traitements, préparer les formalités auprès de la CNDP, rédiger les mentions d'information et les clauses contractuelles, ou réagir à une fuite de données. Un particulier peut également consulter s'il estime que ses données ont été utilisées sans droit.
Fiche d'information rédigée par le cabinet. Seul le texte publié au Bulletin officiel fait foi. Les informations publiées sur ce site sont générales et ne remplacent pas une consultation. Chaque situation appelle une analyse de ses faits et de ses pièces.