Votre entreprise possède un site web, utilise un CRM ou propose une application à ses clients ? Elle traite probablement des données personnelles.
Au Maroc, la loi 09-08 encadre ces traitements et prévoit, selon les situations, des formalités auprès de la Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP).
En bref : ce ne sont pas simplement les entreprises qui doivent « s’inscrire à la CNDP », mais les traitements de données personnelles qui doivent être examinés. Le régime applicable peut être une déclaration préalable, une autorisation préalable ou, dans certains cas, une dispense ou une exclusion.
1. Quelles entreprises sont concernées ?
La taille de l’entreprise n’est pas, à elle seule, le critère déterminant.
Une TPE, une startup, une agence digitale ou une grande entreprise peut être concernée lorsqu’elle réalise des traitements entrant dans le champ d’application de la loi 09-08.
Quelques situations courantes :
- Un site vitrine qui recueille des noms, e-mails et numéros de téléphone via un formulaire.
- Une boutique e-commerce qui traite les coordonnées de ses clients et l’historique de leurs commandes.
- Une application qui permet la création de comptes utilisateurs.
- Un SaaS qui héberge ou utilise des informations relatives à des personnes.
- Une entreprise qui utilise un CRM pour gérer ses prospects et clients.
Ces exemples ne signifient pas que tous les traitements relèvent nécessairement de la même formalité. Il faut examiner leur finalité, les données utilisées et leurs conditions de mise en œuvre.
2. Déclaration ou autorisation CNDP : quelle différence ?
La déclaration préalable
La déclaration constitue le régime de principe pour les traitements soumis à notification qui ne relèvent pas d’une autre procédure.
La CNDP met notamment à disposition des formulaires de déclaration normale et simplifiée, selon le traitement et les dispositifs applicables.
L’autorisation préalable
Certains traitements exigent une autorisation plutôt qu’une simple déclaration.
La CNDP cite notamment des situations concernant les données sensibles, les données comportant le numéro de la carte nationale d’identité ou certaines interconnexions de fichiers.
Exemple : une application qui demande et conserve les numéros de CIN de ses utilisateurs doit faire l’objet d’une analyse spécifique du régime d’autorisation applicable.
Les dispenses et exclusions
Tous les traitements ne sont pas nécessairement soumis à une déclaration. La loi prévoit des exclusions de son champ d’application et des situations particulières de dispense.
La qualification doit donc précéder le choix du formulaire.
Lien officiel — Consulter les différents régimes et formulaires sur le site officiel de la CNDP
3. Votre site web utilise plusieurs outils : que faut-il examiner ?
Prenons l’exemple d’une entreprise qui possède un site commercial. Le site comprend :
- Un formulaire de demande de devis.
- Google Analytics pour mesurer l’audience.
- Meta Pixel pour suivre certaines actions publicitaires.
- Un CRM pour gérer les prospects.
- Une plateforme d’emailing pour envoyer des newsletters.
Il serait insuffisant de considérer cet ensemble uniquement comme « un site web avec un formulaire ».
Il faut comprendre les opérations réellement effectuées : quelles informations sont collectées, dans quel objectif, qui y accède, avec quels prestataires et vers quelles destinations elles peuvent circuler.
Cette analyse permet de distinguer les traitements, de déterminer les obligations applicables et d’identifier les éventuelles questions liées aux transferts de données vers l’étranger.
4. Comment préparer une démarche auprès de la CNDP ?
Avant de remplir un formulaire, une entreprise gagne à procéder dans cet ordre.
Étape 1 — Identifier ses traitements
Recenser les principales utilisations des données personnelles : gestion des clients, comptes utilisateurs, prospection, recrutement ou autres fonctions de la solution.
Étape 2 — Comprendre les flux de données
Identifier les données collectées, les finalités, les prestataires impliqués, les modalités de conservation et les éventuels flux internationaux.
Étape 3 — Déterminer le régime juridique
Vérifier si chaque traitement relève d’une déclaration, d’une autorisation, d’une dispense ou d’un autre régime particulier.
Étape 4 — Préparer les documents et effectuer les démarches
Rassembler les éléments nécessaires, choisir les formulaires adaptés et constituer les dossiers applicables.
Étape 5 — Mettre en œuvre les autres obligations
Une formalité CNDP ne remplace pas les exigences relatives à l’information des personnes, à la sécurité, aux droits des utilisateurs et aux autres règles applicables.
La notification est une composante de la conformité, pas une garantie générale que toute la solution est conforme.
Pour découvrir comment Datalex conduit cette analyse, consultez notre accompagnement.
5. Trois erreurs fréquentes à éviter
« Notre entreprise est petite, donc nous ne sommes pas concernés. »
Une entreprise de petite taille peut parfaitement traiter des données personnelles soumises à la loi 09-08.
« Nous avons une politique de confidentialité, donc tout est réglé. »
La politique de confidentialité informe les utilisateurs, mais elle ne remplace ni l’analyse des traitements ni les formalités éventuellement nécessaires.
« Notre prestataire cloud s’occupe de tout. »
Le recours à un prestataire technique ne dispense pas l’entreprise de déterminer ses propres responsabilités et de vérifier les implications du traitement, notamment en cas de transferts à l’étranger.
6. Où trouver les formulaires officiels ?
La CNDP publie sur son site les informations relatives aux régimes de notification et aux documents nécessaires.
Ressources officielles (source : CNDP, cndp.ma) :
- Notifier un traitement à la CNDP
- Déclarations préalables et formulaires
- Demandes d'autorisation préalable
- Transferts de données à l'étranger
- Lignes directrices relatives à la conformité des sites web
7. Besoin d’identifier les démarches adaptées à votre solution ?
Datalex accompagne les entreprises marocaines dans l’analyse juridique de leurs sites web, applications, SaaS et plateformes.
Notre intervention part du fonctionnement réel de votre solution : données collectées, fonctionnalités, outils marketing, intégrations techniques et prestataires.
Nous identifions ensuite les obligations applicables, préparons les documents et démarches CNDP nécessaires et accompagnons les équipes dans la mise en œuvre des corrections. En savoir plus sur Datalex et son fondateur.
Cet article présente des informations générales. Le régime juridique d’un traitement dépend de ses caractéristiques concrètes. Datalex est indépendant de la CNDP.