La loi 09-08 : ce qu'elle protège et à qui elle s'applique
La loi n° 09-08 relative à la protection des personnes physiques à l'égard des traitements des données à caractère personnel a été publiée au Bulletin officiel du Maroc n° 5714 du 7 rabii I 1430 (5 mars 2009). Elle s'applique à tout traitement de données personnelles effectué au Maroc, quel que soit le support. Son article 1 définit la donnée personnelle comme toute information, de quelque nature qu'elle soit et indépendamment de son support, y compris le son et l'image, concernant une personne physique identifiée ou identifiable. Conséquence directe : une adresse e-mail collectée via un formulaire de contact est une donnée personnelle. L'exploitant du site, qu'il soit l'entreprise cliente ou l'agence qui l'administre pour son compte, est un responsable de traitement au sens de cette loi. L'hébergement géographique du serveur détermine ensuite si un transfert international a lieu — et si l'autorisation de la CNDP est requise.
Données personnelles : ce qu'un site web collecte sans toujours le réaliser
- Adresses e-mail — tout formulaire de contact, d'inscription ou de devis en collecte au minimum une.
- Noms et prénoms — présents dans les formulaires d'inscription, les espaces client et les demandes de devis.
- Numéros de téléphone — fréquents sur les sites de services, de commerce ou de cabinet professionnel.
- Adresses IP — enregistrées dans les journaux serveur (logs) de tout hébergement web.
- Cookies d'identification — un cookie qui relie une session à un utilisateur identifiable constitue une donnée personnelle.
- Données de facturation — nom, adresse, coordonnées bancaires partielles sur les sites e-commerce.
- Messages de formulaire — le contenu d'un formulaire de contact transmis par e-mail reste une donnée personnelle archivée.
Articles 43 et 44 : ce que la loi exige, selon le pays d'accueil
C'est le cœur du sujet pour toute agence qui héberge des sites en dehors du Maroc. L'article 43 de la loi 09-08 pose le principe : un responsable de traitement ne peut transférer des données personnelles vers un État étranger que si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux. La CNDP évalue ce niveau en tenant compte des dispositions légales applicables dans l'État destinataire, des mesures de sécurité en vigueur et des caractéristiques du traitement (nature, durée, finalités). L'article 44 liste des dérogations — consentement explicite, nécessité contractuelle, intérêt vital, accord international — mais elles ne dispensent pas de toute formalité dans tous les cas. En pratique, un site marocain dont les données aboutissent sur un serveur européen ou américain est concerné par cette exigence : l'hébergement physique des données à l'étranger constitue un transfert au sens de la loi.
Déclaration préalable vs autorisation préalable : ne pas confondre les deux
Faites défiler le tableau
| Critère | Déclaration préalable | Autorisation préalable |
|---|---|---|
| Formulaires concernés | F211 ou F214 | F112 ou F113 (+ F118 pour le transfert) |
| Délai de traitement | Récépissé sous 24 heures | Décision sous 2 mois (prorogeable une fois) |
| Types de données visés | Données personnelles standard | Données sensibles, NIN, interconnexions — et le transfert vers un pays non listé, hors dérogation de l'article 44 |
| Transfert vers l'étranger | Non applicable au transfert lui-même | Requise pour un pays non listé, sauf dérogation de l'article 44 |
| Silence de la CNDP | Sans objet (déclaration auto-exécutoire) | Vaut autorisation à l'expiration du délai (art. 28 du décret n° 2-09-165) — le transfert attend la décision ou cette échéance |
Procédure en deux étapes : déclarer le traitement, puis autoriser le transfert
La conformité s'organise en deux temps distincts que la CNDP impose dans cet ordre. L'autorisation de transfert ne peut être accordée que si le traitement sous-jacent a lui-même été déclaré ou autorisé. Cette séquence est la principale source d'omission dans les agences : certaines connaissent la déclaration du traitement mais ignorent que le formulaire F118 — spécifique au transfert à l'étranger — est une démarche séparée. La CNDP dispose ensuite de deux mois pour rendre son avis, prorogeables une fois. Un dossier incomplet interrompt ce délai jusqu'à sa complétude. Cette séquence vaut pour tout pays d'accueil : le formulaire F211 renvoie au formulaire dédié dès que la case « transfert à l'étranger » est cochée. La liste de l'article 43 change le contenu de la demande, pas son existence : vers la France ou l'Allemagne, toutes deux listées, aucune dérogation n'est à invoquer ; vers un pays absent de la liste — les États-Unis en sont le cas le plus fréquent —, il faut invoquer une dérogation de l'article 44 ou obtenir l'autorisation expresse de la CNDP, faute de quoi le transfert est illicite.
Les étapes de la procédure CNDP pour un hébergement hors Maroc
Identifier et cartographier les traitements
Lister tous les traitements de données personnelles opérés pour le compte des clients : formulaires, espaces client, newsletters, logs serveur. Pour chaque traitement, documenter la finalité, les catégories de données, la durée de conservation et les destinataires — dont le prestataire d'hébergement étranger.
Déposer la déclaration du traitement (F211 ou F214)
Soumettre la déclaration préalable du traitement auprès de la CNDP via la plateforme en ligne disponible sur cndp.ma. Le récépissé est émis sous 24 heures. Si le traitement implique des données sensibles (santé, opinions politiques, appartenance syndicale), c'est un formulaire d'autorisation préalable (F112 ou F113) qui s'impose à la place.
Déposer la demande de transfert (F118)
Cette étape vaut pour tout pays d'accueil, Finlande, Allemagne et France comprises : la liste de l'article 43 dispense seulement d'invoquer une dérogation. Une fois le traitement déclaré ou autorisé, soumettre séparément le formulaire F118 disponible sur cndp.ma. Y joindre le document habilitant le signataire, les références du récépissé ou de l'autorisation du traitement et, le cas échéant, les clauses contractuelles conclues avec l'hébergeur étranger.
Attendre la décision de la CNDP (délai : jusqu'à 2 mois)
La CNDP instruit la demande et notifie son avis dans un délai de deux mois à compter de la réception d'un dossier complet. Ce délai peut être prorogé une fois. Un transfert soumis à autorisation n'a pas lieu avant la décision ; faute de réponse dans ces délais, l'autorisation est réputée accordée (article 28 du décret n° 2-09-165). Un dossier incomplet suspend le délai — la CNDP en prévient le responsable du traitement, et le délai ne court qu'à réception des pièces demandées.
Conserver le numéro d'autorisation et l'intégrer dans les mentions légales
Lorsqu'une autorisation a été délivrée, son numéro doit figurer dans les mentions légales et la politique de confidentialité du site. Tout changement de prestataire d'hébergement impliquant un transfert vers un nouvel État requiert une mise à jour du dossier auprès de la CNDP.
La liste de la CNDP nomme 32 États — et ce n'est pas « l'Union européenne »
La CNDP ne juge pas au cas par cas : elle publie une liste. La délibération n° 236-2015 du 18 décembre 2015, prise en application de l'article 43, nomme 32 États — dont l'Allemagne, la Finlande, la France et les Pays-Bas, mais aussi le Canada, l'Islande, le Liechtenstein, la Norvège, le Royaume-Uni et la Suisse, qui ne sont pas membres de l'Union européenne. La Croatie, à l'inverse, n'y figure pas bien qu'État membre : la liste d'origine date de septembre 2013, deux mois après son adhésion, et n'a pas été actualisée depuis 2015. « C'est en Europe, donc c'est bon » est donc faux dans les deux sens — lisez le nom du pays dans la délibération, pas son drapeau. Les États-Unis n'y sont pas, et aucun accord de type Data Privacy Framework ne s'y substitue : ces cadres sont européens et n'engagent pas la CNDP.
L'objection fréquente : mes clients n'ont pas de données sensibles
C'est l'objection que les agences formulent le plus souvent — et elle repose sur une confusion entre données sensibles et données personnelles. La loi 09-08 distingue deux catégories. Les données sensibles (santé, origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale) relèvent d'un régime encore plus strict. Mais les données personnelles ordinaires — un nom, une adresse e-mail, un numéro de téléphone — suffisent à déclencher les obligations de la loi, dont la notification du transfert international. Un formulaire de contact qui ne demande que le prénom et l'e-mail du visiteur suffit à créer un traitement au sens de la loi 09-08. La taille du site ou le volume de données ne change pas l'obligation : la loi ne prévoit pas de seuil.
Sanctions prévues en cas de transfert non autorisé
La loi 09-08 prévoit des sanctions pénales applicables aux responsables de traitement qui ne respectent pas ses dispositions. L'article 60 vise spécifiquement le transfert illicite de données personnelles à l'étranger : il expose son auteur à une peine d'emprisonnement de trois mois à un an et à une amende dont ce même article fixe le montant (texte de la loi 09-08) — ou l'une de ces deux peines. Pour les personnes morales, les amendes sont doublées. À ces sanctions pénales s'ajoutent les risques réputationnels : la CNDP peut publier ses décisions, et un contrôle documenté pèse sur la relation de l'agence avec ses clients. En janvier 2023, la CNDP a rendu public le cas d'un prestataire de visas qui ne lui avait pas notifié un transfert régulier de données vers l'étranger, en rappelant que cette absence de notification constitue en soi une infraction : l'obligation fait l'objet d'un contrôle actif.
Ce que l'agence doit intégrer dans son offre de service
La conformité CNDP n'est pas une formalité que le client gère seul. Lorsqu'une agence choisit l'hébergeur, configure le serveur et prend en main les formulaires du site, elle est en position de responsable de traitement ou de sous-traitant selon les contrats signés. Dans les deux cas, des obligations lui incombent. Intégrer un accompagnement CNDP dans les prestations de mise en ligne — audit des traitements, dépôt des déclarations, mentions légales conformes — différencie l'agence et supprime une dette juridique que le client ne soupçonne pas. C'est aussi un argument commercial : le client n'a pas à naviguer seul dans une procédure administrative auprès d'une autorité qu'il ne connaît pas.
Vérifier avant de migrer un site vers un nouvel hébergeur
Tout changement de prestataire d'hébergement impliquant un changement de pays d'hébergement rouvre la question du transfert. Si un site était hébergé au Maroc et migre vers des serveurs en Finlande ou en Allemagne, le transfert est à notifier par le formulaire F118 — sans dérogation à invoquer ni autorisation expresse, ces deux pays étant listés. Vers un pays absent de la liste, le F118 doit en outre invoquer une dérogation de l'article 44 ou solliciter l'autorisation de la CNDP, et avant tout envoi. Une migration entre deux prestataires d'un même pays listé change le destinataire des données : la modification se signale à la CNDP dans les 8 jours ouvrables (article 49 du décret), et la mise à jour des contrats de sous-traitance reste recommandée. Nos serveurs sont en Finlande et en Allemagne — deux pays de la liste, un fait à documenter dans le dossier CNDP de vos clients dès la mise en ligne.
Checklist de conformité : points à contrôler avant mise en ligne
- Inventaire des traitements — liste complète des formulaires, cookies, espaces client et journaux serveur susceptibles de contenir des données personnelles.
- Déclaration du traitement déposée — formulaire F211 ou F214 soumis sur la plateforme CNDP et récépissé obtenu (délai : 24 heures).
- Pays d'accueil vérifié dans la délibération n° 236-2015 — le formulaire F118 est à déposer séparément dans tous les cas, avec ses pièces justificatives ; si le pays n'y figure pas, la demande invoque une dérogation de l'article 44 ou sollicite une autorisation expresse.
- Réponse de la CNDP au F118 — un transfert soumis à autorisation ne commence qu'après la décision ou l'expiration du délai (jusqu'à 2 mois, prorogeable une fois).
- Mentions légales mises à jour — numéro d'autorisation le cas échéant, identité du responsable de traitement, droits des personnes concernées, coordonnées CNDP.
- Contrat de sous-traitance signé avec l'hébergeur — il doit décrire les mesures de sécurité et les conditions de traitement des données.
- Procédure de mise à jour documentée — en cas de changement d'hébergeur, de pays ou d'ajout de nouveaux traitements, une mise à jour du dossier CNDP est déclenchée.
