Votre site est-il en règle
avec la loi 09-08 ?

Non, et c’est important de le dire. Il vérifie ce qui est visible publiquement sur votre site et le compare aux obligations de la loi 09-08 et aux lignes directrices de la CNDP. Il ne connaît ni vos traitements internes, ni vos contrats de sous-traitance, ni ce que vous avez réellement déclaré. C’est un diagnostic technique, pas un avis juridique.

C’est la loi marocaine relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 18 février 2009. Elle est appliquée par la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel. Elle impose de déclarer les traitements, d’informer les personnes, de recueillir leur consentement et de sécuriser les données.

Non, et la nuance est importante. Ce n’est pas le fait d’avoir un site qui déclenche l’obligation, c’est le fait de collecter des données personnelles. Un site strictement vitrine, sans formulaire, sans newsletter, sans espace client et sans outil de mesure d’audience ne traite aucune donnée personnelle : il n’a rien à déclarer. Dès qu’un formulaire de contact, une inscription, un panier ou même Google Analytics est présent, il y a traitement, et la déclaration préalable devient obligatoire. En pratique, la quasi-totalité des sites marocains sont concernés.

Parce qu’avoir les pages ne suffit pas : c’est leur contenu qui compte. Trois causes reviennent presque toujours. D’abord le numéro de récépissé CNDP, qui doit figurer sur le site et qui manque dans la grande majorité des cas. Ensuite les mentions de l’article 5 : beaucoup de politiques expliquent l’usage des cookies mais oublient les finalités, les destinataires, la durée de conservation ou l’adresse à laquelle exercer ses droits. Enfin les documents copiés sur un site français, qui citent le RGPD et la CNIL au lieu de la loi 09-08 et de la CNDP. L’outil vous dit lequel de ces points vous coûte des points.

Créez une page accessible depuis le pied de page de tout le site, à une adresse simple du type /mentions-legales/. Elle doit indiquer la raison sociale et la forme juridique de l’entreprise, l’adresse complète du siège au Maroc, le numéro ICE, le numéro de registre de commerce, un email et un téléphone de contact, le nom du responsable de la publication, ainsi que le nom et l’adresse de l’hébergeur. Évitez les modèles français : ils citent des textes et des identifiants qui n’existent pas en droit marocain.

Elle doit porter les mentions de l’article 5 : l’identité du responsable du traitement, les finalités précises de la collecte, les destinataires des données, le caractère obligatoire ou facultatif des réponses, les droits d’accès, de rectification et d’opposition, le service auprès duquel les exercer, la durée de conservation, et le numéro du récépissé délivré par la CNDP avec sa date. Ajoutez la liste des cookies et leur finalité, ainsi que la mention des transferts hors du Maroc si vous utilisez des outils étrangers. Une politique calquée sur le RGPD ne remplit pas ces conditions : elle parle de la CNIL, jamais de la CNDP.

Oui. Un nom, une adresse email et un message constituent des données à caractère personnel, et leur collecte est un traitement au sens de la loi. La déclaration préalable est due, et les mentions d’information doivent figurer au moment de la collecte, c’est-à-dire sous le formulaire lui-même.

La loi 09-08 prévoit des amendes qui vont de 10 000 à 600 000 dirhams selon l’infraction, et des peines d’emprisonnement de trois mois à quatre ans dans les cas les plus graves. Les amendes sont doublées pour les personnes morales. La CNDP peut aussi ordonner l’arrêt du traitement ou l’effacement des données collectées irrégulièrement.

La déclaration se dépose directement sur le portail de la CNDP. Pour un site vitrine avec formulaire de contact ou newsletter, une déclaration simplifiée suffit dans la plupart des cas. Une demande d’autorisation devient nécessaire si vous traitez des données sensibles, le numéro de carte nationale, ou si vous transférez les données vers un pays qui n’assure pas une protection suffisante.

La CNDP écrit qu’un site utilisant des cookies faisant appel à des données personnelles doit recueillir le consentement de l’internaute avant leur dépôt, et préciser leur finalité. Les cookies strictement nécessaires au fonctionnement du service échappent au consentement mais doivent être mentionnés. En pratique, dès que Google Analytics ou un pixel publicitaire est installé, le consentement est requis.

Parce qu’il détecte sur votre site des outils dont les serveurs sont hors du Maroc : Google Analytics, un pixel Meta, un chat en ligne. Chacun envoie des informations sur vos visiteurs vers l’étranger. L’article 43 encadre ces transferts et la CNDP doit les autoriser. Beaucoup de sites marocains les utilisent sans le savoir.

L’adresse vérifiée est enregistrée dans un journal technique, sans donnée personnelle, et votre adresse IP n’est jamais stockée en clair. Si vous débloquez le plan de mise en conformité, votre email me sert uniquement à vous répondre. Il n’est transmis à personne et vous n’êtes inscrit à aucune liste de diffusion.