La ley 09-08: qué protege y a quién se aplica
La ley n.º 09-08 relativa a la protección de las personas físicas respecto al tratamiento de datos de carácter personal se publicó en el Boletín Oficial de Marruecos n.º 5714 de 7 de rabii I de 1430 (5 de marzo de 2009). Se aplica a todo tratamiento de datos personales efectuado en Marruecos, sea cual sea el soporte. Su artículo 1 define el dato personal como toda información, de cualquier naturaleza que sea e independientemente de su soporte, incluidos el sonido y la imagen, relativa a una persona física identificada o identificable. Consecuencia directa: una dirección de correo electrónico recogida mediante un formulario de contacto es un dato personal. El titular del sitio, ya sea la empresa cliente o la agencia que lo administra por cuenta de esta, es un responsable del tratamiento en el sentido de esta ley. La ubicación geográfica del servidor determina después si se produce una transferencia internacional — y si se requiere la autorización de la CNDP.
Datos personales: lo que un sitio web recoge sin darse siempre cuenta
- Direcciones de correo electrónico — todo formulario de contacto, de registro o de presupuesto recoge al menos una.
- Nombres y apellidos — presentes en los formularios de registro, las áreas de cliente y las solicitudes de presupuesto.
- Números de teléfono — frecuentes en los sitios de servicios, de comercio o de despachos profesionales.
- Direcciones IP — registradas en los registros del servidor (logs) de cualquier alojamiento web.
- Cookies de identificación — una cookie que vincula una sesión con un usuario identificable constituye un dato personal.
- Datos de facturación — nombre, dirección, datos bancarios parciales en los sitios de comercio electrónico.
- Mensajes de formulario — el contenido de un formulario de contacto enviado por correo electrónico sigue siendo un dato personal archivado.
Artículos 43 y 44: lo que exige la ley, según el país de destino
Este es el núcleo del asunto para cualquier agencia que aloje sitios fuera de Marruecos. El artículo 43 de la ley 09-08 sienta el principio: un responsable del tratamiento solo puede transferir datos personales a un Estado extranjero si ese Estado garantiza un nivel de protección suficiente de la vida privada y de las libertades y derechos fundamentales. La CNDP evalúa ese nivel teniendo en cuenta las disposiciones legales aplicables en el Estado destinatario, las medidas de seguridad vigentes y las características del tratamiento (naturaleza, duración, finalidades). El artículo 44 enumera excepciones — consentimiento explícito, necesidad contractual, interés vital, acuerdo internacional — pero no eximen de toda formalidad en todos los casos. En la práctica, un sitio marroquí cuyos datos acaban en un servidor europeo o estadounidense está sujeto a esta exigencia: el alojamiento físico de los datos en el extranjero constituye una transferencia en el sentido de la ley.
Declaración previa frente a autorización previa: no confundir ambas
Desplace la tabla
| Criterio | Declaración previa | Autorización previa |
|---|---|---|
| Formularios correspondientes | F211 o F214 | F112 o F113 (+ F118 para la transferencia) |
| Plazo de tramitación | Acuse de recibo en 24 horas | Decisión en 2 meses (prorrogable una vez) |
| Tipos de datos cubiertos | Datos personales estándar | Datos sensibles, NIN, interconexiones — y la transferencia a un país no incluido en la lista, salvo excepción del artículo 44 |
| Transferencia al extranjero | No aplicable a la transferencia en sí | Obligatoria para un país no incluido en la lista, salvo excepción del artículo 44 |
| Silencio de la CNDP | No procede (declaración autoejecutiva) | Equivale a autorización al vencer el plazo (art. 28 del decreto n.º 2-09-165) — la transferencia espera la decisión o ese vencimiento |
Procedimiento en dos etapas: declarar el tratamiento y luego autorizar la transferencia
El cumplimiento se organiza en dos tiempos distintos que la CNDP impone en este orden. La autorización de transferencia solo puede concederse si el tratamiento subyacente ha sido a su vez declarado o autorizado. Esta secuencia es la principal fuente de omisión en las agencias: algunas conocen la declaración del tratamiento pero ignoran que el formulario F118 — específico de la transferencia al extranjero — es un trámite aparte. La CNDP dispone después de dos meses para emitir su dictamen, prorrogables una vez. Un expediente incompleto interrumpe ese plazo hasta que se completa. Esta secuencia rige para todo país de destino: el formulario F211 remite al formulario específico en cuanto se marca la casilla «transferencia al extranjero». La lista del artículo 43 cambia el contenido de la solicitud, no su existencia: hacia Francia o Alemania, ambas incluidas en la lista, no hay que invocar ninguna excepción; hacia un país ausente de la lista — Estados Unidos es el caso más frecuente —, hay que invocar una excepción del artículo 44 u obtener la autorización expresa de la CNDP, sin lo cual la transferencia es ilícita.
Las etapas del procedimiento CNDP para un alojamiento fuera de Marruecos
Identificar y cartografiar los tratamientos
Enumerar todos los tratamientos de datos personales realizados por cuenta de los clientes: formularios, áreas de cliente, boletines, registros del servidor. Para cada tratamiento, documentar la finalidad, las categorías de datos, el plazo de conservación y los destinatarios — incluido el proveedor de alojamiento extranjero.
Presentar la declaración del tratamiento (F211 o F214)
Presentar la declaración previa del tratamiento ante la CNDP a través de la plataforma en línea disponible en cndp.ma. El acuse de recibo se emite en 24 horas. Si el tratamiento implica datos sensibles (salud, opiniones políticas, afiliación sindical), procede en su lugar un formulario de autorización previa (F112 o F113).
Presentar la solicitud de transferencia (F118)
Esta etapa rige para todo país de destino, Finlandia, Alemania y Francia incluidas: la lista del artículo 43 solo exime de invocar una excepción. Una vez declarado o autorizado el tratamiento, presentar por separado el formulario F118 disponible en cndp.ma. Adjuntar el documento que habilita al firmante, las referencias del acuse de recibo o de la autorización del tratamiento y, en su caso, las cláusulas contractuales acordadas con el proveedor de alojamiento extranjero.
Esperar la decisión de la CNDP (plazo: hasta 2 meses)
La CNDP instruye la solicitud y notifica su dictamen en un plazo de dos meses desde la recepción de un expediente completo. Ese plazo puede prorrogarse una vez. Una transferencia sujeta a autorización no se produce antes de la decisión; si la CNDP no se pronuncia en esos plazos, la autorización se considera concedida (artículo 28 del decreto n.º 2-09-165). Un expediente incompleto suspende el plazo — la CNDP avisa al responsable del tratamiento, y el plazo solo corre desde la entrega de los documentos solicitados.
Conservar el número de autorización e incorporarlo al aviso legal
Cuando se ha concedido una autorización, su número debe figurar en el aviso legal y en la política de privacidad del sitio. Todo cambio de proveedor de alojamiento que implique una transferencia hacia un nuevo Estado exige una actualización del expediente ante la CNDP.
La lista de la CNDP nombra 32 Estados — y no es «la Unión Europea»
La CNDP no juzga caso por caso: publica una lista. La deliberación n.º 236-2015 del 18 de diciembre de 2015, dictada en aplicación del artículo 43, nombra 32 Estados — entre ellos Alemania, Finlandia, Francia y los Países Bajos, pero también Canadá, Islandia, Liechtenstein, Noruega, el Reino Unido y Suiza, que no son miembros de la Unión Europea. Croacia, en cambio, no figura pese a ser Estado miembro: la lista original es de septiembre de 2013, dos meses después de su adhesión, y no se ha actualizado desde 2015. «Está en Europa, luego vale» es por tanto falso en ambos sentidos — lea el nombre del país en la deliberación, no su bandera. Estados Unidos no está en ella, y ningún acuerdo del tipo Data Privacy Framework la sustituye: esos marcos son europeos y no vinculan a la CNDP.
La objeción frecuente: mis clientes no tienen datos sensibles
Es la objeción que las agencias plantean con más frecuencia — y se apoya en una confusión entre datos sensibles y datos personales. La ley 09-08 distingue dos categorías. Los datos sensibles (salud, origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical) se someten a un régimen aún más estricto. Pero los datos personales ordinarios — un nombre, una dirección de correo electrónico, un número de teléfono — bastan para activar las obligaciones de la ley, entre ellas la notificación de la transferencia internacional. Un formulario de contacto que solo pide el nombre y el correo electrónico del visitante basta para crear un tratamiento en el sentido de la ley 09-08. El tamaño del sitio o el volumen de datos no cambia la obligación: la ley no prevé ningún umbral.
Sanciones previstas en caso de transferencia no autorizada
La ley 09-08 prevé sanciones penales aplicables a los responsables del tratamiento que no respeten sus disposiciones. El artículo 60 contempla específicamente la transferencia ilícita de datos personales al extranjero: expone a su autor a una pena de prisión de tres meses a un año y a una multa cuyo importe fija ese mismo artículo (texto de la ley 09-08) — o a una de estas dos penas. Para las personas jurídicas, las multas se duplican. A estas sanciones penales se suman los riesgos reputacionales: la CNDP puede publicar sus decisiones, y un control documentado pesa sobre la relación de la agencia con sus clientes. En enero de 2023, la CNDP hizo público el caso de un proveedor de servicios de visados que no le había notificado una transferencia regular de datos al extranjero, y recordó que esa falta de notificación constituye en sí una infracción: la obligación es objeto de un control activo.
Lo que la agencia debe integrar en su oferta de servicio
El cumplimiento ante la CNDP no es un trámite que el cliente gestione solo. Cuando una agencia elige el proveedor de alojamiento, configura el servidor y se encarga de los formularios del sitio, se sitúa como responsable del tratamiento o como encargado del tratamiento según los contratos firmados. En ambos casos le incumben obligaciones. Integrar un acompañamiento CNDP en los servicios de puesta en línea — auditoría de los tratamientos, presentación de las declaraciones, aviso legal conforme — diferencia a la agencia y elimina una deuda jurídica que el cliente no sospecha. Es además un argumento comercial: el cliente no tiene que navegar solo por un procedimiento administrativo ante una autoridad que no conoce.
Comprobar antes de migrar un sitio a un nuevo proveedor de alojamiento
Todo cambio de proveedor de alojamiento que implique un cambio de país de alojamiento reabre la cuestión de la transferencia. Si un sitio estaba alojado en Marruecos y migra a servidores en Finlandia o Alemania, la transferencia debe notificarse con el formulario F118 — sin excepción que invocar ni autorización expresa, al figurar ambos países en la lista. Hacia un país ausente de la lista, el F118 debe además invocar una excepción del artículo 44 o solicitar la autorización de la CNDP, antes de cualquier envío. Una migración entre dos proveedores de un mismo país incluido en la lista cambia el destinatario de los datos: el cambio se comunica a la CNDP en un plazo de 8 días hábiles (artículo 49 del decreto), y sigue siendo recomendable actualizar los contratos de encargo del tratamiento. Nuestros servidores están en Finlandia y Alemania — dos países de la lista, un hecho que merece documentarse en el expediente CNDP de sus clientes desde la puesta en línea.
Checklist de cumplimiento: puntos a controlar antes de la puesta en línea
- Inventario de los tratamientos — lista completa de los formularios, cookies, áreas de cliente y registros del servidor que puedan contener datos personales.
- Declaración del tratamiento presentada — formulario F211 o F214 enviado en la plataforma de la CNDP y acuse de recibo obtenido (plazo: 24 horas).
- País de destino verificado en la deliberación n.º 236-2015 — el formulario F118 debe presentarse por separado en todos los casos, con sus documentos justificativos; si el país no figura en ella, la solicitud invoca una excepción del artículo 44 o pide una autorización expresa.
- Respuesta de la CNDP al F118 — una transferencia sujeta a autorización solo comienza tras la decisión o al vencer el plazo (hasta 2 meses, prorrogable una vez).
- Aviso legal actualizado — número de autorización si procede, identidad del responsable del tratamiento, derechos de las personas afectadas, datos de contacto de la CNDP.
- Contrato de encargo del tratamiento firmado con el proveedor de alojamiento — debe describir las medidas de seguridad y las condiciones de tratamiento de los datos.
- Procedimiento de actualización documentado — en caso de cambio de proveedor de alojamiento, de país o de incorporación de nuevos tratamientos, se activa una actualización del expediente CNDP.
