Mentions légales d’un site web au Maroc : ce qui est obligatoire (et ce qui protège vraiment)

Un site web au Maroc doit afficher, au minimum, des mentions légales qui identifient son éditeur (nom ou raison sociale, forme juridique, adresse, numéros de registre de commerce et ICE pour une entreprise, moyen de contact), le nom de son hébergeur, une politique de confidentialité dès qu’il collecte la moindre donnée personnelle (formulaire, newsletter, compte client, outil de mesure d’audience), des conditions générales de vente s’il vend quelque chose, et une information sur les cookies et traceurs qu’il dépose. Ces obligations ne sortent pas d’un texte unique : certaines viennent de la loi n° 09-08 sur les données personnelles, d’autres de la loi n° 31-08 sur la protection du consommateur, d’autres encore du droit des sociétés ; et à côté de ce qui est obligatoire, il existe des mentions qui ne le sont pas mais qui te protègent réellement le jour où un client conteste.

Une précision honnête avant de commencer : je ne suis pas juriste. Ce guide est un point de départ de développeur, écrit à partir des sites que je livre et des problèmes que je vois chez mes clients, pas un avis juridique. Pour une activité réglementée, un litige en cours ou un cas particulier, consulte un avocat ou un conseil. Là où je ne suis pas certain d’un délai ou d’une sanction, je te le dis et je te renvoie vers la source officielle plutôt que d’inventer un chiffre.

Je suis Ayoub Fattami, développeur web freelance à Marrakech. La page « mentions légales » est celle que je vois le plus souvent bâclée, copiée d’un site français ou tout simplement absente. Ce n’est pas une question de mauvaise volonté : personne ne sait vraiment ce qu’il faut y mettre. Ce guide reprend tout dans l’ordre, du socle obligatoire aux cas particuliers, avec un tableau récapitulatif et une checklist à cocher avant la mise en ligne.

Que doit afficher au minimum un site web au Maroc ?

Au minimum, un site marocain doit permettre à n’importe quel visiteur de savoir qui est derrière, comment le joindre, chez qui le site est hébergé, et ce qu’il advient des données qu’il laisse. Si le site vend, il doit en plus afficher les conditions de la vente avant que le client ne paie. Tout le reste découle de ces quatre familles.

Voici le socle, dans l’ordre où je le construis sur chaque site :

1. L’identité de l’éditeur : nom et prénom pour un particulier ou un auto-entrepreneur, raison sociale et forme juridique pour une société, adresse physique au Maroc, numéro de téléphone ou adresse email, identifiants d’entreprise quand ils existent (registre de commerce, ICE, identifiant fiscal).
2. Le responsable de publication : la personne physique qui répond du contenu, souvent le gérant ou le fondateur.
3. L’hébergeur : nom de la société, adresse, et un moyen de contact. Si ton site est chez un hébergeur étranger, indique-le tel quel.
4. La politique de confidentialité : obligatoire dès que le site collecte une donnée personnelle, c’est-à-dire dans presque tous les cas (un formulaire de contact suffit).
5. Les conditions générales de vente : obligatoires si tu vends un produit ou un service en ligne, y compris avec paiement à la livraison.
6. L’information sur les cookies et traceurs : nécessaire si tu utilises un outil de mesure d’audience, un pixel publicitaire ou un module tiers qui suit les visiteurs.

La nuance qui compte : ces points ne pèsent pas tous le même poids. L’identité de l’éditeur et l’information sur les données personnelles sont des obligations légales. Le responsable de publication, la mention de copyright ou des conditions générales d’utilisation détaillées sur un site vitrine relèvent plutôt de la bonne pratique : personne ne te sanctionnera pour leur absence, mais elles sont exactement ce qui te protège quand un contenu est copié ou qu’un visiteur se plaint.

Mentions légales, politique de confidentialité, CGV, cookies : de quoi parle-t-on exactement ?

Ces quatre termes sont souvent mélangés, et cette confusion explique une bonne partie des pages mal faites. Chacun répond à une question différente, et chacun a sa place.

Les mentions légales sont la carte d’identité du site : qui l’édite, qui l’héberge, comment joindre le responsable. C’est une page courte, factuelle, sans clause ni condition. Elle répond à la question « à qui ai-je affaire ? ».

La politique de confidentialité (ou politique de protection des données) explique quelles données personnelles le site collecte, pourquoi, pendant combien de temps, qui y a accès, et comment la personne concernée peut exercer ses droits. Elle répond à la question « que faites-vous de mes informations ? ». Au Maroc, c’est dans ce document que tu satisfais au devoir d’information prévu par la loi 09-08.

Les conditions générales de vente (CGV) encadrent la relation commerciale entre le vendeur et l’acheteur : prix, commande, paiement, livraison, retours, garanties, litiges. Les conditions générales d’utilisation (CGU) encadrent l’usage d’un service en ligne qui n’est pas forcément une vente : une plateforme, un espace membre, un forum. Un site vitrine n’a besoin ni de l’un ni de l’autre ; une boutique a besoin de CGV ; une plateforme a souvent besoin des deux.

Les cookies sont de petits fichiers déposés par le site dans le navigateur du visiteur pour le reconnaître d’une page à l’autre ou d’une visite à l’autre. Les traceurs désignent, plus largement, tout mécanisme qui suit un visiteur : cookies, pixels, empreinte du navigateur. Certains sont indispensables au fonctionnement (panier, session), d’autres servent à mesurer l’audience ou à cibler de la publicité, et c’est cette deuxième catégorie qui pose la question du consentement.

Qui édite le site, et ce que chaque statut doit indiquer

L’éditeur du site est la personne physique ou morale qui décide de son contenu et le publie. C’est elle qui répond de ce qui s’y trouve, et c’est son identité qui doit figurer dans les mentions légales. Ce que tu dois indiquer dépend de ton statut, et c’est là que la plupart des pages copiées se trompent.

Le particulier

Un blog personnel, un portfolio, un site de passionné : l’éditeur est une personne physique. Indique ton nom et prénom, un moyen de contact (une adresse email dédiée suffit, tu n’es pas obligé de publier ton adresse personnelle si tu es à l’aise avec une boîte postale ou un simple email) et l’hébergeur. Rien de plus n’est exigé, mais la politique de confidentialité redevient nécessaire dès que tu ajoutes un formulaire ou un outil de mesure.

L’auto-entrepreneur

Le statut d’auto-entrepreneur, créé par la loi n° 114-13, donne une existence légale à une activité individuelle. Indique ton nom et prénom, la mention de ce statut, ton numéro d’inscription au registre national de l’auto-entrepreneur, ton ICE (attribué à l’auto-entrepreneur comme à toute entreprise), une adresse professionnelle et un contact. Beaucoup de freelances marocains oublient l’ICE, alors que c’est précisément l’identifiant qu’un client professionnel cherche pour te régler et te déclarer.

La société (SARL, SARL AU, SA, SAS)

Indique la raison sociale exacte telle qu’elle figure au registre de commerce, la forme juridique, le capital social en dirhams, l’adresse du siège social, le numéro de registre de commerce avec la ville du tribunal, l’ICE, l’identifiant fiscal et, si tu veux être complet, le numéro de taxe professionnelle. Ajoute le nom du gérant ou du représentant légal comme responsable de publication. Ces informations sont déjà sur tes factures et tes en-têtes de courrier : les mentions légales ne font que les reprendre.

L’association, la coopérative, la profession réglementée

Une association indique son nom, son récépissé de déclaration, son siège et son président. Une coopérative suit une logique proche de la société. Une profession réglementée (médecin, avocat, architecte, pharmacien) ajoute l’ordre ou l’organisme de rattachement et le numéro d’inscription ; ces professions ont souvent des règles propres sur la publicité et la présentation en ligne, et c’est le cas typique où je demande au client de faire valider la page par son ordre avant la mise en ligne.

L’hébergeur et le nom de domaine

L’hébergeur est la société qui stocke les fichiers du site et le rend accessible. Indique son nom, son adresse et un contact, même si c’est une société étrangère. Si ton domaine est en .ma, il relève de l’ANRT, l’autorité créée par la loi n° 24-96 relative à la poste et aux télécommunications, qui administre cette extension ; tu n’as rien à afficher à ce sujet, mais les informations d’enregistrement du domaine doivent être exactes et correspondre à l’éditeur, ce qui compte le jour où tu dois prouver que le domaine t’appartient.

Un dernier point pratique : le nom de la personne ou de l’agence qui a conçu le site n’a rien d’obligatoire. Beaucoup de développeurs l’ajoutent pour se faire connaître, et je le fais aussi quand le client est d’accord, mais c’est une courtoisie, pas une mention légale.

Données personnelles : ce que la loi 09-08 et la CNDP attendent d’un site web

La loi n° 09-08, le texte marocain qui protège les personnes physiques face au traitement de leurs données à caractère personnel, s’applique à tout site qui collecte ou traite des informations permettant d’identifier une personne. L’autorité chargée de la faire respecter est la CNDP (Commission nationale de contrôle de la protection des données personnelles). Concrètement, dès que ton site reçoit un nom, une adresse email ou un numéro de téléphone, tu es « responsable du traitement » au sens de cette loi, avec des obligations précises.

Qu’est-ce qu’une donnée personnelle ?

Une donnée personnelle est toute information qui permet d’identifier une personne physique, directement ou indirectement : nom, prénom, email, téléphone, adresse postale, numéro de carte d’identité, photo, mais aussi une adresse IP ou un identifiant de cookie qui permet de suivre quelqu’un. Certaines données sont dites sensibles (santé, opinions, origine, données biométriques) et sont soumises à un régime plus strict.

Quand un site collecte-t-il des données personnelles ?

Presque toujours, et souvent sans que son propriétaire s’en rende compte. Les cas que je rencontre sur chaque projet :

• Un formulaire de contact ou de devis : nom, email, téléphone, parfois le contenu d’un message qui décrit une situation personnelle.
• Une newsletter : adresse email, éventuellement le prénom, plus l’historique d’ouverture si l’outil le suit.
• Un compte client ou une commande : identité, adresse de livraison, téléphone, historique d’achats.
• Un outil de mesure d’audience (Google Analytics ou équivalent) : adresse IP, identifiant de visiteur, pages consultées.
• Un pixel publicitaire (Meta, Google Ads) : suivi du visiteur à des fins de ciblage.
• Un module de commentaires, un chat, une prise de rendez-vous : chacun a sa propre collecte.

Un site vitrine sans aucun de ces éléments, avec un simple numéro de téléphone affiché en clair, ne collecte à peu près rien. C’est rare, mais ça existe, et c’est le seul cas où la politique de confidentialité devient facultative.

Les formalités auprès de la CNDP

La loi 09-08 soumet les traitements de données personnelles à des formalités préalables devant la CNDP : déclaration pour les traitements courants (gestion des contacts, clients, prospects, newsletter), une demande d’autorisation pour les traitements portant sur des données sensibles ou pour certains cas particuliers, dont, à ma connaissance, le transfert de données vers l’étranger. Un site hébergé hors du Maroc, ou qui envoie ses données à un outil dont les serveurs sont à l’étranger, entre en principe dans cette dernière situation.

Je ne vais pas te décrire la procédure pas à pas : les formulaires, les catégories et les conditions évoluent, et la seule source fiable est le portail de la CNDP, qui détaille les démarches et met les documents à disposition. Ce que je peux te dire, c’est que le contenu de ta politique de confidentialité et le contenu de ta déclaration sont les mêmes informations présentées différemment : finalité, catégories de données, destinataires, durée de conservation, mesures de sécurité. Préparer l’une prépare l’autre.

Les droits des personnes

La loi 09-08 reconnaît aux personnes dont tu traites les données un droit d’information (savoir que tu collectes, quoi et pourquoi), un droit d’accès (obtenir ce que tu détiens sur elles), un droit de rectification (corriger une erreur) et un droit d’opposition (refuser le traitement, notamment à des fins de prospection). Ton site doit indiquer comment exercer ces droits : une adresse email dédiée suffit, à condition que quelqu’un la lise et réponde.

Elle impose aussi une obligation de sécurité : mettre les données à l’abri d’un accès non autorisé, d’une perte ou d’une altération. C’est le lien direct avec la maintenance technique, et c’est pour ça que je traite ce sujet dans mon guide sur la réaction à un site WordPress piraté : un site non mis à jour qui fuit son fichier clients ne se défend pas bien sur ce terrain.

Le cas typique que je traite : un centre de formation à Marrakech avait mis en ligne un formulaire de préinscription demandant nom, téléphone, numéro de carte d’identité et niveau d’études. Les réponses partaient dans une feuille de calcul partagée avec toute l’équipe, sans mot de passe, sans politique de confidentialité sur le site, sans que personne n’ait jamais entendu parler de la CNDP. Rien de malveillant, juste une absence totale de cadre. Nous avons supprimé le champ carte d’identité (inutile à ce stade), restreint l’accès à la feuille, rédigé une politique courte liée sous le formulaire, et le client a préparé sa déclaration à partir de cette politique.

Politique de confidentialité : ce qu’elle doit contenir

Une politique de confidentialité conforme à l’esprit de la loi 09-08 dit, en langage clair, qui collecte les données, lesquelles, pourquoi, pendant combien de temps, avec qui elles sont partagées, où elles sont stockées, et comment exercer ses droits. Elle n’a pas besoin d’être longue ; elle a besoin d’être vraie. Une politique de dix pages qui décrit des traitements que ton site ne fait pas est pire qu’une politique d’une page exacte.

Voici la structure que j’utilise sur les sites que je livre. Ce n’est pas un texte juridique complet, c’est un plan à remplir avec tes informations réelles :

1. Identité du responsable du traitement : la même que dans les mentions légales, avec une adresse email pour les questions relatives aux données.
2. Données collectées : liste précise, formulaire par formulaire. « Nom, email et message via le formulaire de contact ; email via l’inscription à la newsletter ; adresse IP et pages consultées via l’outil de mesure d’audience. »
3. Finalités : pourquoi chaque donnée est collectée. Répondre à une demande, envoyer la newsletter, traiter une commande, améliorer le site.
4. Base de la collecte : consentement (case cochée pour la newsletter), exécution d’un contrat (commande), intérêt légitime (réponse à une demande de contact).
5. Destinataires : qui voit les données en interne, et quels prestataires y ont accès (hébergeur, outil d’emailing, passerelle de paiement, transporteur).
6. Transferts hors du Maroc : si un prestataire stocke les données à l’étranger, dis-le, et mentionne que ce transfert fait l’objet des formalités prévues par la loi 09-08.
7. Durée de conservation : une durée par catégorie, formulée honnêtement (« le temps de traiter la demande puis une période d’archivage raisonnable », « jusqu’à désinscription » pour la newsletter, « la durée légale de conservation des documents comptables » pour les factures).
8. Sécurité : les mesures en place, sans détail technique exploitable : chiffrement HTTPS, accès restreint, mises à jour régulières, sauvegardes.
9. Droits des personnes : accès, rectification, opposition, et la manière de les exercer, avec un délai de réponse que tu es capable de tenir.
10. Cookies et traceurs : renvoi vers la section dédiée ou une page à part.
11. Renvoi vers la loi 09-08 et vers la CNDP : une phrase indiquant que le traitement est régi par cette loi et que les formalités ont été accomplies ou sont en cours.
12. Date de mise à jour : visible en haut ou en bas, et modifiée à chaque changement réel.

Un conseil de développeur : rédige d’abord la liste des formulaires et des outils installés sur le site, puis la politique. Quand on fait l’inverse, la politique décrit un site imaginaire.

Cookies et traceurs : faut-il un bandeau de consentement au Maroc ?

Pour un site marocain qui s’adresse à des visiteurs marocains et qui utilise seulement un outil de mesure d’audience, une information claire et un bandeau simple constituent la pratique prudente ; un bandeau de consentement qui bloque les traceurs tant que le visiteur n’a pas accepté devient nécessaire dès que tu vises l’Europe ou que tu déposes des traceurs publicitaires. Voici comment je raisonne, en te précisant ce qui est certain et ce qui relève de la prudence.

Ce qui est certain : la loi 09-08 s’applique à toute donnée qui identifie une personne, et un identifiant de cookie ou une adresse IP en est une. Un site qui suit ses visiteurs traite donc des données personnelles, avec l’obligation d’en informer les personnes et de leur permettre de s’y opposer. Ce qui relève de la prudence : à ma connaissance, la loi marocaine ne détaille pas la forme que doit prendre cette information pour les cookies, contrairement au cadre européen qui exige un consentement préalable pour tout traceur non indispensable. Si la CNDP publie des recommandations sur ce point, elles priment sur ce que j’écris ici ; vérifie sur son site.

Dans la pratique, je distingue trois niveaux :

• Aucun traceur non essentiel (pas de mesure d’audience, pas de pixel) : aucun bandeau nécessaire. Une ligne dans la politique de confidentialité expliquant que le site n’utilise que des cookies techniques suffit. C’est le cas de nombreux sites vitrines, et c’est souvent le meilleur choix.
• Mesure d’audience seule, public marocain : un bandeau d’information avec un lien vers la politique et un moyen de refuser, ou mieux, un outil de mesure configuré sans cookie et sans conservation de l’adresse IP complète, ce qui réduit fortement la question.
• Traceurs publicitaires, ou public européen : un bandeau de consentement réel, qui n’active les traceurs qu’après acceptation, propose un refus aussi facile que l’acceptation, et mémorise le choix. C’est ce qu’exige le RGPD et sa directive associée sur les communications électroniques, et c’est ce que Google demande lui-même, via son mode de consentement, pour ses outils publicitaires en Europe.

Ce que je déconseille : le bandeau qui affiche « en poursuivant votre navigation, vous acceptez les cookies » alors que les traceurs sont déjà chargés. Il ne protège de rien, il agace le visiteur, et il donne l’illusion d’une conformité qui n’existe pas.

Boutique en ligne : CGV, prix en dirhams et loi 31-08

Une boutique en ligne marocaine doit afficher des conditions générales de vente que le client accepte avant de payer, des prix en dirhams toutes taxes comprises, des informations claires sur la livraison et les retours, et un moyen de contact réel. C’est la loi n° 31-08 édictant des mesures de protection du consommateur qui encadre la vente à distance, et elle impose une information précontractuelle précise. La loi n° 53-05 relative à l’échange électronique de données juridiques donne, de son côté, une valeur à l’accord conclu en ligne et à la signature électronique, ce qui rend l’acceptation des CGV par un clic opposable si elle est bien construite.

Ce que les CGV doivent couvrir

• L’identité et l’adresse du vendeur, avec les identifiants d’entreprise et un téléphone joignable.
• Les caractéristiques essentielles des produits ou services, et la manière dont une commande est passée puis confirmée.
• Le prix en dirhams, toutes taxes comprises, avec les frais de livraison indiqués séparément avant la validation. Un prix affiché hors taxe à un consommateur, ou dans une autre devise sans conversion, est une source de litige immédiate.
• Les modalités de paiement : carte bancaire via une passerelle agréée, virement, paiement à la livraison. Pour le paiement à la livraison, précise ce qui se passe en cas de refus du colis, qui supporte les frais de retour, et si un acompte est demandé.
• La livraison : zones couvertes, délais indicatifs, transporteur, que faire si le colis arrive abîmé.
• Le droit de rétractation : la loi 31-08 prévoit, pour la vente à distance, un délai pendant lequel le consommateur peut renvoyer le produit sans justification, avec des exceptions (produits personnalisés, périssables, par exemple). Je ne te donne pas le nombre de jours de mémoire : reprends-le dans le texte de loi ou fais-le confirmer, et écris-le tel quel dans tes CGV.
• Les garanties et le service après-vente : garantie légale contre les défauts, garantie commerciale éventuelle, à qui s’adresser.
• La facturation : chaque vente donne lieu à une facture conforme aux règles fiscales marocaines, avec la TVA quand tu y es assujetti. Ce n’est pas une clause des CGV mais une obligation qui va avec ; ton comptable est la bonne personne pour en fixer le format.
• Le traitement des réclamations et des litiges : une adresse, un délai de réponse, et le tribunal compétent.

Le cas de la vente sans paiement en ligne

Beaucoup de boutiques marocaines fonctionnent uniquement au paiement à la livraison, parfois via une commande par WhatsApp. Ce n’est pas une raison pour se passer de CGV : la vente est bien conclue à distance, la loi 31-08 s’applique de la même manière, et c’est même dans ce modèle que les litiges sont les plus fréquents (colis refusés, produit qui ne correspond pas, frais de retour).

Une boutique de vêtements à Marrakech m’a contacté après une série de disputes avec des clientes qui refusaient les colis à la livraison. Le site ne disait nulle part qui payait les frais de retour, ni dans quel délai un échange était possible. Chaque cas se réglait au téléphone, à l’usure. Une page de CGV claire, un rappel des conditions de retour sur la fiche produit et une case à cocher avant la commande ont réglé la majorité des situations : le client savait à quoi il s’engageait, et le vendeur avait un texte à montrer.

Si tu es au stade de la création de ta boutique, mon guide complet de la boutique en ligne au Maroc couvre le reste du parcours : statut, plateforme, paiement, logistique. Ici, je me concentre sur les pages qui te protègent.

Un point d’honnêteté au passage. Si tu es arrivé ici parce que ton site est déjà en ligne, qu’il collecte des données ou encaisse des commandes, et que tu réalises qu’il n’a ni politique ni CGV, ne remets pas ça au mois prochain : ce sont les pages les plus rapides à produire de tout un projet, et les plus coûteuses à ne pas avoir. Sur chaque site WordPress que je crée pour mes clients au Maroc, je livre ces pages en place, liées depuis le pied de page et depuis chaque formulaire, avec une structure que le client n’a plus qu’à faire valider. Si tu veux repartir sur une base propre, c’est l’endroit où commencer.

Propriété intellectuelle : textes, photos, logo et droit à l’image

Tout ce qui est publié sur ton site (textes, photos, vidéos, logo, illustrations) appartient à quelqu’un, et ce quelqu’un n’est pas forcément toi. Les mentions légales servent aussi à dire qui détient ces droits et ce que les visiteurs peuvent ou ne peuvent pas en faire. Au Maroc, le droit d’auteur relève de la loi n° 2-00 relative aux droits d’auteur et droits voisins, et les marques (dont ton logo, s’il est déposé) de la loi n° 17-97 relative à la protection de la propriété industrielle, gérée par l’OMPIC.

Ce que tu publies doit t’appartenir ou être autorisé

• Les textes rédigés par toi ou par un prestataire pour ton compte : vérifie que ton contrat avec le rédacteur ou l’agence prévoit la cession des droits, sinon, juridiquement, le texte reste au rédacteur.
• Les photos : une photo trouvée sur Google n’est pas libre. Utilise tes propres photos, des photos sous licence achetée, ou des banques d’images dont la licence autorise l’usage commercial, et garde une trace de la licence.
• Le logo et la charte : demande au graphiste une cession écrite des droits d’exploitation. Le dépôt de la marque auprès de l’OMPIC est une étape distincte, facultative mais précieuse.
• Les thèmes, extensions et polices : un thème WordPress premium obtenu sur un site de partage gratuit est une contrefaçon, en plus d’être le vecteur d’infection le plus courant que je nettoie.

Le droit à l’image des clients et de l’équipe

Publier la photo d’une personne reconnaissable (un client dans ton restaurant, un salarié sur la page équipe, un enfant dans une école) demande son accord, de préférence écrit, et celui des parents pour un mineur. Un témoignage avec nom et photo demande la même précaution. Je vois régulièrement des pages « équipe » avec des collaborateurs partis depuis longtemps qui n’ont jamais donné leur accord pour rester en ligne : prévois de retirer la photo quand la personne quitte l’entreprise.

La mention de copyright

Une ligne en pied de page (« © [année] [raison sociale]. Tous droits réservés. ») n’est pas obligatoire et ne crée pas le droit d’auteur, qui existe dès la création. Mais elle rappelle aux visiteurs que les contenus sont protégés, et une clause dans les mentions légales précisant que toute reproduction sans autorisation est interdite te donne un texte à citer le jour où un concurrent copie tes fiches produits.

Faut-il des mentions légales en arabe ?

Rien de ce que j’ai pu vérifier n’impose, pour un site web, une langue précise pour les mentions légales ; mais une version arabe des pages juridiques est une précaution que je recommande dès que la clientèle est marocaine et grand public. L’arabe est langue officielle, une partie de tes clients est plus à l’aise avec, et un consentement ou des conditions acceptées dans une langue que la personne ne lit pas se défendent mal.

Ce que je fais concrètement :

• Site professionnel B2B en français (cabinet, agence, industrie) : mentions légales et politique en français, avec au minimum un résumé en arabe si le site a une version arabe.
• Site grand public ou boutique : mentions, politique et CGV dans chaque langue du site. Si le site est en français et en arabe, les pages juridiques le sont aussi. Une traduction juridique mérite une relecture par quelqu’un qui maîtrise le vocabulaire, pas un outil automatique.
• Site multilingue avec de l’anglais : la version anglaise des pages juridiques est utile pour les visiteurs étrangers, mais c’est la version en langue officielle ou en français qui fait foi ; dis-le dans le texte.

Pour la CNDP, la déclaration et les échanges se font dans les langues administratives, ce qui n’a pas d’incidence sur ton site. Si tu veux un avis ferme sur l’obligation linguistique dans ton secteur, c’est une question pour un conseil, pas pour un développeur.

Et depuis la France, la Belgique, la Suisse ou le Canada : le RGPD pour un site marocain

Un site marocain qui vend à des personnes situées dans l’Union européenne, ou qui suit leur comportement en ligne, relève du RGPD en plus de la loi 09-08. Ce n’est pas une question de nationalité de l’entreprise ni de lieu d’hébergement : le RGPD vise expressément les organismes hors Union qui offrent des biens ou services à des personnes dans l’Union ou qui les suivent. Un riad qui prend des réservations de vacanciers français, un artisan qui livre en Belgique, un freelance qui prospecte des clients suisses (la Suisse a sa propre loi, proche dans l’esprit) entrent dans ce cadre.

Ce que cela change, dans les grandes lignes :

• Une base légale pour chaque traitement (consentement, contrat, obligation légale, intérêt légitime), nommée dans la politique.
• Un consentement réel pour les cookies non essentiels : bandeau qui bloque avant accord, refus aussi simple que l’acceptation, choix mémorisé et modifiable.
• Des droits plus étendus : en plus de l’accès, de la rectification et de l’opposition, le droit à l’effacement, à la limitation et à la portabilité, avec un délai de réponse encadré.
• Une politique de confidentialité plus détaillée : durées de conservation précises, transferts hors Union (le Maroc n’est pas reconnu comme offrant une protection adéquate, ce qui suppose des garanties contractuelles avec tes prestataires), coordonnées d’un représentant dans l’Union dans certains cas.
• La notification des violations : en cas de fuite de données, l’autorité compétente doit être informée sous soixante-douze heures, et les personnes concernées si le risque est élevé.

La Belgique et la France appliquent le RGPD avec leurs autorités respectives ; la Suisse a sa loi fédérale sur la protection des données, révisée récemment, aux principes voisins ; le Canada a sa loi fédérale et, au Québec, une loi provinciale renforcée ces dernières années. Je ne vais pas te détailler chacune : retiens que si ton chiffre d’affaires vient en partie de l’étranger, ta politique doit couvrir ces publics, et qu’un conseil habitué à l’export vaut l’investissement. Ce qui ne change pas : la loi 09-08 continue de s’appliquer à tes clients marocains, et les formalités CNDP restent dues.

Où placer ces pages, comment les relier, et les erreurs que je corrige le plus

Les pages juridiques se placent dans le pied de page de chaque page du site, et la politique de confidentialité se relie en plus depuis chaque endroit où une donnée est collectée : sous le formulaire de contact, à côté de la case d’inscription à la newsletter, sur la page de commande. Une page qui existe mais qu’on ne trouve pas ne remplit pas l’obligation d’information.

L’emplacement et le maillage

• Pied de page : liens « Mentions légales », « Politique de confidentialité », « CGV » (boutique), « Cookies » si tu as une page dédiée. Textes explicites, pas d’icône seule.
• Formulaires : une phrase sous le bouton d’envoi (« Les informations saisies servent uniquement à répondre à votre demande. Voir la politique de confidentialité. ») avec le lien. Pour la newsletter, une case non cochée par défaut.
• Commande : une case « J’ai lu et j’accepte les conditions générales de vente » obligatoire avant le paiement, avec le lien vers les CGV, et la conservation de la date d’acceptation dans la commande.
• Bandeau cookies : un lien vers la politique ou la page cookies directement dans le bandeau.
• Accessibilité technique : ces pages doivent être indexables, en texte réel (pas une image, pas un PDF seul), lisibles sur mobile.

Sur WordPress, ce sont des pages classiques ajoutées au menu du pied de page ; sur une boutique, la case d’acceptation des CGV se règle dans la configuration de la commande. Rien de technique, mais à faire avant la mise en ligne et pas après. Ce point complète la section « accessibilité, mentions légales et confiance » de mon guide sur la création d’un site web professionnel, qui traite le sujet plus brièvement.

Les erreurs typiques

La page copiée d’un site français. SIRET, RCS de Paris, capital en euros, « conformément à la loi Informatique et Libertés », « déclaré à la CNIL ». Un riad de la médina m’a demandé de reprendre un site livré par un prestataire précédent : les mentions légales citaient une SAS française, un SIRET, un hébergeur à Roubaix, et les CGV parlaient d’euros alors que la boutique vendait en dirhams. Le propriétaire n’avait jamais lu la page. Un client attentif, un partenaire, un contrôle : n’importe qui aurait vu que la page n’était pas la sienne.

Les mentions vides ou en texte de remplissage. « Raison sociale : [à compléter] », toujours en ligne un an après. Elle vient des thèmes et des générateurs, et personne ne repasse dessus.

La politique jamais mise à jour. Le site ajoute un chat, un pixel, une newsletter, et la politique décrit toujours le formulaire de contact de la première version.

Le formulaire qui demande trop. Numéro de carte d’identité, date de naissance, situation familiale pour une simple demande de devis. Chaque champ inutile est une donnée en trop à protéger. Collecte le minimum.

L’adresse email des droits que personne ne lit. La politique promet une réponse, l’adresse renvoie vers une boîte abandonnée.

Les CGV qui contredisent le site. Les CGV annoncent un délai de livraison, la fiche produit un autre ; les CGV excluent les retours, la page d’accueil promet « satisfait ou remboursé ». En cas de litige, c’est la promesse la plus favorable au client qui pèse.

Le bandeau décoratif. Un bandeau cookies qui ne bloque rien, ou qui n’offre pas de refus, sur un site qui vise l’Europe.

Tableau récapitulatif : obligation, qui est concerné, où l’afficher, risque si absent

Obligation ou bonne pratique	Qui est concerné	Où l’afficher	Risque si absent
Identité de l’éditeur (nom ou raison sociale, forme, adresse, RC, ICE, contact)	Tout site, avec des mentions adaptées au statut	Page mentions légales, lien en pied de page	Manquement aux règles d’identification des entreprises, perte de confiance immédiate, impossibilité pour un client de te joindre officiellement
Responsable de publication	Tout site (bonne pratique forte)	Mentions légales	Flou sur qui répond du contenu en cas de réclamation
Hébergeur (nom, adresse, contact)	Tout site	Mentions légales	Mentions incomplètes, difficulté pour un tiers à signaler un contenu
Politique de confidentialité	Tout site qui collecte une donnée personnelle (formulaire, newsletter, compte, mesure d’audience)	Page dédiée, liée en pied de page et sous chaque formulaire	Manquement à l’obligation d’information de la loi 09-08, traitement sans base claire, exposition en cas de plainte ou de contrôle CNDP
Formalités CNDP (déclaration ou autorisation)	Tout responsable d’un traitement de données personnelles	Hors site : démarche auprès de la CNDP, mention de son accomplissement dans la politique	Traitement non déclaré ; la loi prévoit des sanctions, renseigne-toi auprès de la CNDP
Information et gestion des cookies	Tout site avec mesure d’audience ou traceurs tiers	Section de la politique ou page dédiée, bandeau selon le cas	Traitement de données de navigation sans information ; non-conformité RGPD si public européen
CGV (prix en dirhams TTC, livraison, paiement, retours, rétractation, garanties, litiges)	Toute boutique ou vente de service en ligne, y compris au paiement à la livraison	Page dédiée, case d’acceptation avant la commande	Manquement à l’information précontractuelle de la loi 31-08, aucun texte à opposer en cas de litige, litiges répétés sur les retours
CGU	Plateformes, espaces membres, services en ligne	Page dédiée, acceptation à l’inscription	Aucune règle d’usage opposable à un utilisateur abusif
Facturation conforme, TVA	Toute vente	Hors site : documents comptables	Manquement fiscal, à traiter avec un comptable
Mentions de propriété intellectuelle et droit à l’image	Tout site (bonne pratique)	Mentions légales, autorisations conservées hors ligne	Difficulté à faire retirer une copie, réclamation d’une personne photographiée
Version arabe des pages juridiques	Sites grand public à clientèle marocaine (prudence)	Mêmes emplacements, dans chaque langue du site	Consentement ou conditions contestables si la personne ne lit pas la langue
Conformité RGPD	Sites qui vendent ou s’adressent à des personnes dans l’Union européenne	Politique enrichie, bandeau de consentement réel	Exposition aux autorités européennes, blocage par des partenaires ou clients exigeants

Checklist finale avant la mise en ligne

Coche chaque ligne avant de publier, et refais le tour à chaque ajout d’outil ou de formulaire.

Mentions légales

• Nom ou raison sociale exacte, forme juridique, adresse au Maroc.
• Registre de commerce (avec la ville), ICE, identifiant fiscal pour une société ; numéro d’auto-entrepreneur et ICE pour un auto-entrepreneur.
• Téléphone ou email de contact qui fonctionne.
• Responsable de publication nommé.
• Hébergeur avec nom, adresse et contact.
• Mention de propriété intellectuelle et de copyright.
• Aucune trace de SIRET, RCS, CNIL, euros ou texte « à compléter ».

Données personnelles

• Inventaire écrit de tous les formulaires, outils et modules qui collectent des données.
• Politique de confidentialité rédigée à partir de cet inventaire, avec les douze points de la structure ci-dessus.
• Renvoi vers la loi 09-08 et vers la CNDP, date de mise à jour visible.
• Formalités CNDP identifiées, préparées ou effectuées.
• Adresse email pour l’exercice des droits, lue par quelqu’un.
• Lien vers la politique sous chaque formulaire ; case newsletter non cochée par défaut.
• Champs superflus supprimés des formulaires.

Cookies et traceurs

• Liste des traceurs réellement déposés (vérifiée dans le navigateur, pas de mémoire).
• Information dans la politique ; bandeau adapté au public (information, ou consentement bloquant si Europe ou publicité).

Boutique

• CGV complètes : identité, produits, prix en dirhams TTC, frais de livraison, paiement (dont paiement à la livraison), livraison, rétractation avec le délai vérifié dans la loi 31-08, garanties, réclamations, litiges.
• Case d’acceptation obligatoire avant la commande, date d’acceptation conservée.
• Cohérence entre CGV, fiches produits et promesses de la page d’accueil.
• Facturation et TVA validées avec le comptable.

Contenus

• Droits sur les textes, photos, logo, thème et extensions vérifiés ou acquis.
• Autorisations écrites pour les personnes reconnaissables.
• Version arabe des pages juridiques si le site a une version arabe.

International

• Si vente ou prospection en Europe : politique enrichie, bandeau de consentement réel, prestataires encadrés, conseil consulté.

Ce que tu dois faire maintenant

Commence par l’inventaire : liste chaque formulaire, chaque outil, chaque module de ton site qui reçoit une information sur un visiteur. Rédige ensuite les mentions légales à partir de tes documents officiels, puis la politique de confidentialité à partir de l’inventaire, puis les CGV si tu vends. Relie tout depuis le pied de page et les formulaires, et note la date. Enfin, va sur le site de la CNDP pour identifier la formalité qui correspond à tes traitements.

Les cinq points à retenir :

• Quatre pages couvrent l’essentiel : mentions légales, politique de confidentialité, CGV si tu vends, information sur les cookies.
• Plusieurs lois se combinent : 09-08 pour les données, 31-08 pour la vente au consommateur, 53-05 pour l’accord électronique, le droit des sociétés pour l’identité de l’éditeur.
• Un formulaire suffit pour être responsable d’un traitement au sens de la loi 09-08 : politique obligatoire, formalité CNDP à prévoir.
• Ne copie jamais une page française ; rédige à partir de tes documents réels et mets à jour à chaque changement.
• Le RGPD s’ajoute si tu vends ou prospectes en Europe ; il ne remplace pas la loi marocaine.

Et si ce guide t’a montré que ton site actuel est loin du compte, ou si tu préfères qu’un développeur mette tout ça en place proprement pendant que tu te concentres sur ton activité, écris-moi pour faire le point sur la conformité de ton site : tu m’envoies l’URL, je te dis ce qui manque et ce que ça implique, sans engagement.