Loi marocaine sur la protection des données 09-08 — Ce que les entreprises et les particuliers doivent savoir (Guide 2026)
.png)
Loi 09-08 (promulguée le 18 février 2009) est la principale loi marocaine sur la protection des données. Elle régit le traitement des données personnelles par toute organisation opérant au Maroc, ainsi que par les entités étrangères utilisant des systèmes de données marocains. L'objectif de la loi est de « garantir une protection efficace des personnes contre l'utilisation abusive des données qui pourrait porter atteinte à leur vie privée » et d'aligner les règles marocaines sur les normes internationales (notamment les lois européennes sur la protection de la vie privée). L'article 1 de la loi 09-08 définit les données personnelles comme toute information relative à une personne physique identifiée ou identifiable. La loi établit également la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel), l'autorité de protection des données du Maroc, chargée de superviser et de faire respecter la conformité.
La loi marocaine 09-08 sur la protection des données La CNDP et son décret d'application n° 2-09-165 du 21 mai 2009 (appelés ensemble Loi DP) constituent le fondement juridique de la protection de la vie privée et des données. Après la publication au Journal officiel en 2009, une période de transition de deux ans a pris fin en 2011, et la pleine application a commencé le 16 mars 2011. La loi est ancrée dans le principe de la protection de la vie privée en tant que droit fondamental. Il a été inspiré par la législation française sur les données et les directives de l'UE, visant à protéger les données personnelles des Marocains tout en facilitant les flux de données légitimes pour le commerce et le gouvernement.
La loi 09-08 s'applique largement à toutes les entités qui traitent des données personnelles relevant de la juridiction du Maroc. Cela inclut les organisations publiques et privées de toutes tailles, ainsi que les entreprises étrangères qui utilisent l'infrastructure marocaine pour traiter les données (sauf si le traitement ne concerne que le transit de courte durée). La loi couvre toutes les formes de traitement des données, automatisées ou manuelles, qui concernent des informations personnelles.
Les exceptions sont limitées : par exemple, l'utilisation de données à des fins purement personnelles ou domestiques et certaines activités liées à la sécurité nationale ou au journalisme ne peuvent pas entrer dans son champ d'application. Toute entreprise ou institution collectant des noms, des identifiants, des dossiers médicaux, des informations sur les employés, des données clients, etc., doit se conformer à la loi 09-08. Les décisions de la CNDP et les règles sectorielles (comme la loi n° 05-20 sur la cybersécurité) peuvent imposer des exigences supplémentaires, mais la loi marocaine 09-08 sur la protection des données CNDP elle-même reste la norme centrale en matière de respect de la vie privée.
La loi 09-08 consacre plusieurs principes de protection des données que les organisations doivent respecter chaque fois qu'elles traitent des données personnelles. L'esprit de ces principes est similaire à celui du RGPD de l'UE.
Chaque opération de traitement en vertu de la loi 09-08 doit avoir une base légale et un objectif commercial ou public légitime. Les organisations doivent clairement définir pourquoi chaque collecte ou utilisation de données est nécessaire, et elles ne doivent pas collecter plus d'informations que nécessaire. En appliquant le principe de minimisation des données, la législation marocaine contribue à réduire les risques liés à la confidentialité.
La législation marocaine met l'accent sur la transparence et le consentement. En règle générale, les responsables du traitement doivent obtenir le consentement préalable de la personne concernée avant de traiter des données personnelles. Le consentement doit être clair et éclairé ; les personnes doivent savoir pourquoi leurs données sont collectées, qui les utilisera et pendant combien de temps elles seront conservées. Les responsables du traitement doivent informer les personnes concernées dans un langage clair des activités de traitement (souvent par le biais de déclarations de confidentialité). Les organisations publient des politiques de confidentialité qui expliquent l'utilisation des données et mettent en œuvre des mécanismes de consentement (formulaires d'inscription, cases à cocher, etc.) pour satisfaire à l'exigence « juste et légale ». (La CNDP autorise rarement le traitement sans consentement, les entreprises doivent donc partir du principe selon lequel le consentement ou d'autres exceptions précises ne s'appliquent que dans des cas strictement spécifiés.
Les données personnelles en vertu de la loi 09-08 doivent être exactes, complètes et tenues à jour. Les personnes concernées ont le droit de demander des corrections si leurs informations sont erronées. Les organisations doivent mettre en œuvre des processus pour examiner et éliminer régulièrement les informations obsolètes. Les durées de conservation devraient être limitées à ce qui est nécessaire ; en effet, la CNDP impose aux responsables de traitement de spécifier des durées de conservation lors du dépôt des notifications. La conservation des données périmées ou non pertinentes constitue une violation de l'obligation légale de disposer de données « adéquates, pertinentes et non excessives ». Les entreprises doivent documenter leur calendrier de conservation dans le cadre de leur programme de conformité.
La loi marocaine 09-08 sur la protection des données CNDP impose explicitement aux responsables du traitement de mettre en œuvre « toutes les mesures techniques et organisationnelles visant à protéger les données personnelles » contre l'accès, l'altération, la divulgation ou la perte non autorisés. Cela inclut l'utilisation du cryptage, de mots de passe sécurisés, de pare-feux, de contrôles d'accès, de la formation du personnel, etc. Par exemple, lors de l'externalisation du traitement des données, le responsable du traitement doit choisir un sous-traitant offrant des garanties de sécurité suffisantes. Le niveau de sécurité requis doit correspondre à la sensibilité des données et aux dernières normes du secteur. Des audits de sécurité réguliers et des plans de réponse aux incidents font partie de ces mesures, garantissant que les données sont protégées contre les violations ou les utilisations abusives.
L'une des principales obligations propres au Maroc est l'autorisation préalable de certains traitements auprès de la CNDP. Avant de traiter des données personnelles, la plupart des responsables de traitement doivent déposer une déclaration auprès de la CNDP. Le traitement de données « sensibles » (telles que des informations sur la santé, des opinions politiques, des condamnations religieuses, des données génétiques ou des casiers judiciaires) nécessite une autorisation préalable.
En outre, toute modification de la finalité du traitement ou des transferts en dehors des pays équivalents de l'UE nécessite une autorisation. La déclaration/autorisation doit inclure des détails tels que les catégories de données, les finalités, la durée de conservation et les mesures de sécurité. Cela signifie que les entreprises doivent enregistrer leurs opérations de données auprès de la CNDP et obtenir une approbation si elles gèrent des catégories sensibles. (Le fait de ne pas notifier ou d'obtenir une approbation constitue une violation.)
La loi 09-08 accorde aux individus (« personnes concernées ») plusieurs droits pour contrôler leurs données personnelles. Ces droits sont similaires à ceux de l'UE, mais ils sont un peu plus restreints que ceux-ci. Il est essentiel que les responsables du traitement informent les personnes de ces droits et fournissent des mécanismes pour les exercer. En vertu de la loi, les personnes concernées ont au moins les droits suivants :
Les individus ont le droit d'être informés de la manière dont leurs données personnelles sont collectées et utilisées. Les responsables du traitement doivent fournir des avis ou des informations de confidentialité claires au moment de la collecte des données.
Les personnes peuvent demander à consulter les données personnelles qu'une organisation détient à leur sujet et à vérifier leur exactitude. Si les données sont incorrectes ou incomplètes, les personnes peuvent demander des corrections. En vertu de la loi 09-08, les responsables du traitement doivent répondre aux demandes d'accès/de rectification et autoriser les sujets à mettre à jour ou à retirer des informations (dans un délai raisonnable). Cela garantit que les données restent exactes et fiables.
Les personnes concernées ont le droit de s'opposer à certains types de traitement. Par exemple, vous pouvez refuser votre consentement ou vous désinscrire des communications de marketing direct. La loi autorise également les objections pour des motifs liés à la situation de la personne. Dans la pratique, les entreprises doivent honorer les demandes de désinscription pour les e-mails ou les appels promotionnels, et cesser le traitement s'il n'existe aucune raison impérieuse de passer outre à l'objection. Ce droit est souvent facilité par des liens de désinscription ou des formulaires de désinscription.
Les données révélant la race, l'origine ethnique, les opinions politiques, la religion, l'appartenance syndicale, la santé ou la génétique bénéficient d'une protection supplémentaire. Le traitement de ces catégories sensibles nécessite généralement un consentement explicite ou une justification légale spéciale. Les personnes doivent être spécifiquement informées et doivent donner leur consentement clair pour l'utilisation de données sensibles. Certaines données (comme les numéros d'identification nationaux, les dossiers médicaux) peuvent même nécessiter une autorisation du CNDP au-delà du consentement. La loi traite efficacement toute utilisation abusive de données sensibles comme une violation grave. Les organisations doivent donc les traiter avec le plus grand soin (sécurité renforcée, accès limité) et s'assurer que les procédures de conformité couvrent ces cas.
En vertu de la loi 09-08, l'exportation de données personnelles hors du Maroc est étroitement contrôlée. En principe, une autorisation préalable du CNDP est requise pour tout transfert de données personnelles vers un pays étranger. Les transferts ne sont autorisés que si le pays destinataire garantit un « niveau de protection adéquat » de la vie privée. La loi prévoit certaines exceptions (par exemple, si la personne concernée y consent, si le transfert est nécessaire pour un contrat, un intérêt vital, une obligation légale ou un intérêt légitime qui n'est pas dépassé par les droits de la personne concernée). Dans la pratique, le CNDP a interprété ces exceptions de manière restrictive : la solution la plus sûre est d'obtenir une autorisation officielle. Souvent, le CNDP accorde plus facilement son approbation aux pays figurant sur sa « liste blanche » de juridictions adéquates.
Pour les entreprises internationales et la délocalisation, cela implique des étapes supplémentaires. Par exemple, une entreprise marocaine qui envoie des données à un centre de données européen doit obtenir l'approbation du CNDP avant de le faire. De même, les entreprises internationales qui traitent des données marocaines sur des serveurs étrangers sont soumises à la loi et doivent veiller à la conformité. L'une des implications est que les contrats d'externalisation et de cloud nécessitent souvent des clauses spéciales (similaires aux clauses contractuelles types de l'UE) ou s'appuient sur des autorisations du CNDP. Les organisations devraient auditer tous les flux transfrontaliers et revoir les contrats des fournisseurs pour y inclure des clauses spécifiques au Maroc. Classification des données selon le RGPD peut aider à cet égard en identifiant les ensembles de données nécessitant des contrôles plus stricts. En résumé, tout transfert international de données doit être traité avec soin en vertu de la loi 09-08, nécessitant souvent l'approbation officielle du CNDP pour être légal.
La CNDP (Commission nationale de contrôle de la protection des données à caractère personnel) est la seule autorité de contrôle de la Loi 09-08. Son rôle consiste notamment à éduquer les organisations, à publier des directives, à vérifier la conformité et à enquêter sur les violations. La CNDP a le pouvoir d'infliger des sanctions ou de renvoyer des affaires aux procureurs si elle constate des violations.
Le CNDP a adopté une approche coopérative : il envoie généralement d'abord des lettres d'avertissement aux contrôleurs non conformes, les exhortant à résoudre les problèmes. Ce n'est que dans les cas graves ou répétés qu'il imposerait des amendes ou des poursuites judiciaires.
La loi 09-08 prévoit des sanctions importantes.
Le non-respect est passible d'amendes allant de 10 000 dirhams à 600 000 dirhams (environ 1 000 à 60 000 dollars américains) et/ou d'une peine d'emprisonnement de 3 mois à 4 ans. Les personnes morales (entreprises) s'exposent à une double amende à l'encontre de leurs représentants et peuvent également faire l'objet d'une saisie d'actifs ou même de la fermeture des établissements fautifs.
En réalité, en 2025, aucune amende importante n'avait encore été signalée. Le CNDP a mis l'accent sur l'éducation, préférant les avertissements aux sanctions. Mais cela peut changer à mesure que la capacité d'exécution augmente. Les entreprises ne doivent pas se reposer sur leurs lauriers : les risques de non-conformité incluent de lourdes amendes, des poursuites pénales contre les dirigeants et une atteinte à la réputation.
L'application de la Loi 09-08 s'est révélée difficile. Les litiges en matière de protection de la vie privée étant encore récents au Maroc, la plupart des mesures d'application ont pris la forme de contrôles de conformité et de conseils plutôt que de poursuites judiciaires. Jusqu'à présent, le CNDP a émis des avertissements à l'intention des hôtels, des universités, des sociétés pharmaceutiques et d'autres entités qui, selon elle, détiennent d'importants volumes de données. Ces avertissements indiquent les domaines nécessitant des améliorations (souvent des mesures de sécurité ou des notifications appropriées).
Pour se conformer à la Loi 09-08, les organisations doivent adopter une approche structurée similaire à la conformité au RGPD. Les principales étapes sont les suivantes :
La loi 09-08 s'aligne étroitement sur le RGPD sur plusieurs concepts fondamentaux :
Les organisations déjà familiarisées avec le RGPD trouveront de nombreuses exigences de la loi marocaine 09-08 sur la protection des données CNDP familières sur le plan conceptuel.
Les principales différences opérationnelles nécessitent une attention particulière :
Il vaut mieux ne pas traiter le respect de la loi 09-08 comme une simple formalité légale. C'est essentiel pour gérer les risques et renforcer la confiance. Du côté des risques, la non-conformité peut entraîner de lourdes sanctions, comme indiqué ci-dessus, et une interruption potentielle des activités. Par exemple, le fait de ne pas obtenir l'approbation du CNDP pour les transferts internationaux pourrait entraîner le « gel » effectif des données. Les violations de données ou les incidents de confidentialité en vertu de la loi 09-08 peuvent donner lieu à un examen réglementaire ou à des poursuites judiciaires. En outre, les violations de la vie privée peuvent nuire à la réputation d'une organisation et à la confiance des clients. Comprendre et suivre la Loi 09-08 permet d'éviter ces écueils.
Du côté des opportunités, une conformité rigoureuse peut être un atout commercial. Les clients, les partenaires et les investisseurs sont de plus en plus sensibles à la confidentialité des données. Démontrer que vous protégez les données personnelles conformément à la loi 09-08 (et au RGPD) peut constituer un avantage concurrentiel au Maroc et à l'international. Une conformité claire rationalise également les efforts de transformation numérique, car les cadres de gouvernance des données améliorent la qualité et l'efficacité des données. De plus, en s'alignant sur les normes mondiales (grâce à la protection des données), les entreprises marocaines peuvent plus facilement s'engager dans le commerce et les partenariats internationaux.
La loi marocaine sur la protection des données 09-08 établit des règles complètes sur la manière dont les données personnelles doivent être traitées. Les entreprises et les organismes publics opérant au Maroc ou avec celui-ci doivent comprendre sa portée, ses principes et ses obligations. Les étapes clés incluent la cartographie des flux de données, l'obtention de notifications ou d'autorisations du CNDP, la sécurisation appropriée des données et le respect des droits des personnes concernées. Bien que la loi 09-08 ressemble beaucoup au RGPD, elle comporte ses propres exigences (notamment en ce qui concerne le consentement et les dépôts CNDP). Les ignorer peut être coûteux, mais y remédier de manière proactive apporte les fruits de la confiance et de la sécurité juridique.
DPO Consulting services de conformité multiréglementaires aider les organisations à mettre en place des programmes de protection des données robustes qui répondent à la loi marocaine et aux normes internationales.
Contactez-nous pour en savoir plus !
Investir dans les efforts de conformité au RGPD peut peser lourdement sur les grandes entreprises ainsi que sur les petites et moyennes entreprises (PME). Le recours à une ressource ou à une assistance externe peut alléger la charge d'un audit interne pour l'ensemble des entreprises et alléger la pression sur les finances, les capacités technologiques et l'expertise de l'entreprise.
Les auditeurs externes et les partenaires experts tels que DPO Consulting sont bien placés pour aider les organisations à gérer efficacement la nature complexe des audits du RGPD. Ces professionnels formés agissent comme une extension de votre équipe, aidant à rationaliser les processus d'audit, à identifier les domaines à améliorer, à mettre en œuvre les changements nécessaires et à garantir la conformité au RGPD.
Confier le bon partenaire offre l'avantage de l'impartialité et du respect des normes du secteur et permet de débloquer une multitude de ressources telles que des informations spécifiques au secteur, ce qui se traduit par des évaluations impartiales et une conformité réussie. Travailler avec DPO Consulting se traduit par un gain de temps précieux et allège la charge de travail du personnel interne, tout en réduisant considérablement les coûts de l'entreprise.
RGPD et conformité
DPO et représentation externalisés
Formation et assistance
To give you 100% control over the design, together with Webflow project, you also get the Figma file. After the purchase, simply send us an email to and we will e happy to forward you the Figma file.
Yes, we know... it's easy to say it, but that's the fact. We did put a lot of thought into the template. Trend Trail was designed by an award-winning designer. Layouts you will find in our template are custom made to fit the industry after carefully made research.
We used our best practices to make sure your new website loads fast. All of the images are compressed to have as little size as possible. Whenever possible we used vector formats - the format made for the web.
Grained is optimized to offer a frictionless experience on every screen. No matter how you combine our sections, they will look good on desktop, tablet, and phone.
Both complex and simple animations are an inseparable element of modern website. We created our animations in a way that can be easily reused, even by Webflow beginners.
Our template is modular, meaning you can combine different sections as well as single elements, like buttons, images, etc. with each other without losing on consistency of the design. Long story short, different elements will always look good together.
On top of being modular, Grained was created using the best Webflow techniques, like: global Color Swatches, reusable classes, symbols and more.
Grained includes a blog, carrers and projects collections that are made on the powerful Webflow CMS. This will let you add new content extremely easily.
Grained Template comes with eCommerce set up, so you can start selling your services straight away.
To give you 100% control over the design, together with Webflow project, you also get the Figma file.
.png)
.svg)
_FR%20(1).png)
