Promulguée en 2009, la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel est longtemps restée, pour beaucoup d'entreprises, une formalité lointaine. Ce n'est plus le cas : la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) contrôle davantage, et les usages ont changé — caméras partout, fichiers clients dans le cloud, assistants IA qui reçoivent des documents internes.
Ce guide résume ce que la loi impose concrètement à une entreprise, en s'appuyant sur le texte officiel et les délibérations publiées par la CNDP. À notre connaissance, aucun texte de remplacement n'a été adopté à ce jour : la loi 09-08 reste la référence.
À qui s'applique la loi 09-08 ?
À toute entreprise, quelle que soit sa taille, qui collecte, enregistre, conserve, utilise ou transmet des informations permettant d'identifier une personne physique. Un fichier clients, une base de prospects, les dossiers du personnel, les CV reçus, les images d'une caméra de surveillance ou les numéros de téléphone d'un groupe WhatsApp professionnel sont des traitements de données personnelles.
Les principes à respecter
- Une finalité déterminée : on collecte pour un objectif précis et on n'utilise pas les données pour autre chose.
- Des données adaptées : seulement ce qui est nécessaire à cet objectif, exact et à jour.
- Une durée de conservation limitée, fixée à l'avance.
- Le consentement de la personne (article 4), sauf exceptions prévues par la loi : obligation légale, exécution d'un contrat avec la personne, sauvegarde de ses intérêts vitaux, mission d'intérêt public ou intérêt légitime du responsable dans certaines conditions.
- L'information (article 5) : au moment de la collecte, la personne doit savoir qui collecte, pourquoi, à qui les données sont transmises et comment exercer ses droits.
- La sécurité (article 23) : des mesures techniques et organisationnelles contre la perte, l'altération ou l'accès non autorisé.
Les droits des personnes
- Droit d'accès (article 7) : savoir si l'on traite ses données, lesquelles, pourquoi et pour qui, gratuitement.
- Droit de rectification (article 8) : faire corriger ou effacer des données inexactes ; le responsable doit le faire sans frais, dans un délai de dix jours.
- Droit d'opposition (article 9) : s'opposer au traitement pour des motifs légitimes, et sans frais à toute prospection commerciale.
- Prospection (article 10) : la prospection par e-mail, SMS, automate d'appel ou moyen équivalent est interdite sans le consentement préalable de la personne.
Refuser ces droits est puni de 20 000 à 200 000 DH d'amende par infraction (article 53).
Déclaration ou autorisation : que faut-il demander à la CNDP ?
L'article 12 distingue deux régimes. Un récépissé ou une autorisation de la CNDP est nécessaire avant de commencer le traitement.
L'autorisation préalable est exigée pour les traitements qui portent sur :
- les données sensibles (origines raciales ou ethniques, opinions politiques, religieuses ou philosophiques, appartenance syndicale, santé) ;
- l'utilisation de données à d'autres fins que celles de la collecte ;
- les données génétiques, les infractions et condamnations ;
- le numéro de la carte nationale d'identité — un point souvent ignoré par les entreprises qui photocopient la CIN de leurs clients ;
- l'interconnexion de fichiers dont les finalités principales sont différentes.
La déclaration préalable s'applique dans tous les autres cas : gestion des clients, du personnel, des fournisseurs, vidéosurveillance de sécurité, etc.
La CNDP publie une procédure de notification (mise à jour en juillet 2025) qui indique, traitement par traitement, le formulaire à utiliser et les pièces à joindre : mention d'information, documents de collecte du consentement, contrat de sous-traitance avec clauses de confidentialité, pouvoir du signataire. Les traitements déclarés apparaissent dans le registre national de la CNDP, consultable en ligne.
Le cas de la vidéosurveillance
Les images de caméras permettent d'identifier des personnes : ce sont des données personnelles. La délibération n° 350-2013 de la CNDP fixe les règles pour les lieux de travail et les lieux privés communs :
- Finalité : la sécurité des biens et des personnes.
- Emplacement : entrées et sorties, voies de circulation, entrepôts, parkings, coffres, salles techniques. Jamais pour surveiller un ou plusieurs employés, ni dans les lieux de culte, les locaux syndicaux, les toilettes, les salles de réunion ou les zones de pause.
- Conservation : trois mois au maximum.
- Information : une affiche ou un pictogramme à l'entrée, indiquant le responsable, la présence de la vidéosurveillance, sa finalité, le contact pour exercer ses droits et le numéro du récépissé de déclaration CNDP.
- Formalité : une déclaration préalable, accompagnée d'un engagement de respecter ces conditions.
- Recoupement avec d'autres fichiers : relier les images à un autre fichier dont la finalité est différente demande une autorisation distincte de la CNDP.
Si vous ajoutez de l'intelligence artificielle à vos caméras, ces règles restent les mêmes : l'analyse doit servir la sécurité, respecter les zones interdites et la durée de conservation. Nous détaillons le choix d'une installation dans notre guide sur les caméras de surveillance au Maroc.
Transférer des données à l'étranger
Héberger un fichier clients sur un serveur hors du Maroc, ou le confier à un service en ligne étranger, est un transfert. L'article 43 ne l'autorise que vers un État qui assure un niveau de protection suffisant ; la CNDP en publie la liste (délibération n° 236-2015) : pays de l'Union européenne, Royaume-Uni, Suisse, Norvège, Islande, Liechtenstein et Canada. Les États-Unis n'y figurent pas. Même vers un pays de la liste, le transfert doit être notifié à la CNDP.
Vers un autre pays, l'article 44 prévoit des exceptions, notamment le consentement exprès de la personne ou une autorisation de la CNDP, qui propose un formulaire dédié. C'est exactement la question posée par les assistants IA grand public : nous la détaillons dans notre article sur ChatGPT, Claude et Gemini au Maroc.
Les sanctions prévues par la loi
| Infraction | Article | Sanction |
|---|---|---|
| Traitement sans la déclaration ou l'autorisation exigée | 52 | 10 000 à 100 000 DH |
| Refus des droits d'accès, de rectification ou d'opposition | 53 | 20 000 à 200 000 DH par infraction |
| Collecte déloyale ou utilisation pour une autre finalité | 54 | 3 mois à 1 an et/ou 20 000 à 200 000 DH |
| Conservation au-delà de la durée prévue | 55 | 3 mois à 1 an et/ou 20 000 à 200 000 DH |
| Données sensibles sans consentement exprès | 57 | 3 mois à 1 an et/ou 50 000 à 300 000 DH |
| Transfert à l'étranger hors articles 43 et 44 | 60 | 3 mois à 1 an et/ou 20 000 à 200 000 DH |
| Négligence qui permet un usage abusif ou une divulgation | 61 | 3 mois à 1 an et/ou 20 000 à 200 000 DH |
La checklist en 10 points
- Lister vos traitements : clients, prospects, personnel, candidats, fournisseurs, vidéosurveillance, site web.
- Pour chacun, écrire la finalité, les données collectées et leur durée de conservation.
- Repérer ceux qui exigent une autorisation : données sensibles, numéro de CIN, interconnexion, nouvelle finalité.
- Déposer les déclarations et demandes d'autorisation, et conserver les récépissés.
- Rédiger les mentions d'information : formulaires, site, affiches, contrats de travail.
- Vérifier le consentement pour la prospection par e-mail, SMS ou WhatsApp.
- Prévoir une procédure pour répondre aux demandes d'accès et de rectification sous dix jours.
- Contrôler où sont hébergées vos données et vos outils, et traiter les transferts hors du Maroc.
- Signer des contrats de sous-traitance avec clauses de confidentialité avec vos prestataires.
- Mettre en conformité la vidéosurveillance : emplacements, pictogramme, durée de trois mois.
Pour la dimension intelligence artificielle, notre analyse loi 09-08 et souveraineté de l'IA complète ce guide.
Questions fréquentes
La loi 09-08 s'applique-t-elle aux petites entreprises ?
Oui. Elle ne prévoit pas de seuil de taille : dès qu'une entreprise traite des données personnelles (clients, salariés, images de caméras), elle est concernée.
Faut-il déclarer une caméra de surveillance à la CNDP ?
Oui. La vidéosurveillance d'un lieu de travail ou d'un lieu privé commun doit faire l'objet d'une déclaration préalable, et le numéro du récépissé doit figurer sur le pictogramme affiché à l'entrée. Les images ne doivent pas être conservées plus de trois mois.
Peut-on photocopier la carte d'identité d'un client ?
Le traitement de données comportant le numéro de la carte nationale d'identité est soumis à une autorisation préalable de la CNDP (article 12), sauf disposition législative particulière. Avant d'en faire une pratique, vérifiez votre situation.
Qu'est-ce que le registre de la CNDP ?
C'est le registre national public des traitements déclarés ou autorisés. Il permet de vérifier qu'une entreprise a bien notifié ses traitements, par exemple sa vidéosurveillance.
Quelles sont les sanctions en cas de non-respect ?
Elles vont de 10 000 à 100 000 DH pour un traitement non déclaré, jusqu'à 50 000 à 300 000 DH et un an d'emprisonnement pour le traitement de données sensibles sans consentement exprès.
Sources
- CNDP — loi n° 09-08 (Bulletin officiel n° 5714 du 5 mars 2009)
- CNDP — délibération n° 350-2013 du 31 mai 2013 sur la vidéosurveillance
- CNDP — délibération n° 236-2015, liste des États à protection suffisante
- CNDP — procédure de notification des traitements (juillet 2025)
- CNDP — formulaire de demande de transfert à l'étranger
- CNDP — registre national des traitements
Publié le 9 novembre 2026 · Auteur : Ali Abdel Aziz, fondateur de 4YA. Ce guide est une information générale, pas un conseil juridique : pour votre situation, rapprochez-vous de votre conseil ou de la CNDP.