المحتويات
ما الذي يشمله القانون 09.08
يطبَّق القانون على كل معلومة تخص شخصاً ذاتياً معرَّفاً أو قابلاً للتعريف: الاسم، رقم الهاتف، البريد الإلكتروني، رقم الزبون، صور المراقبة بالكاميرات، سجل المشتريات. ويشمل كل «معالجة»، أي كل عملية تُجرى على هذه المعطيات: الجمع، التسجيل، الاطلاع، الإرسال، الحفظ أو الحذف.
يقوم النظام على طرفين أساسيين:
- المسؤول عن المعالجة: المؤسسة التي تحدد لماذا وكيف تُعالَج المعطيات. وعليه تقع الالتزامات.
- المعالج من الباطن: مقدّم الخدمة الذي يعالج المعطيات لحسابه (مزوّد الاستضافة، ناشر البرمجيات، مركز الاتصال). يجب أن يقدّم ضمانات كافية وأن يرتبط بعقد مكتوب.
تُستثنى من نطاق القانون بعض المعالجات، خاصة تلك التي تتم لأغراض شخصية أو منزلية حصراً، أو لأغراض الدفاع الوطني وأمن الدولة.
الالتزامات الستة الأساسية
- غاية محددة ومعطيات متناسبة (المادة 3). لا تُجمع إلا المعطيات الضرورية لهدف محدد، ولا تُحفظ إلا للمدة اللازمة.
- أساس قانوني (المادة 4). موافقة الشخص، أو إحدى الاستثناءات المنصوص عليها: التزام قانوني، تنفيذ عقد، حماية مصالح حيوية، مهمة للمصلحة العامة أو مصلحة مشروعة.
- إخبار الأشخاص (المادة 5). يجب إخبار الشخص عند الجمع بهوية المسؤول والغايات والمرسل إليهم وحقوقه.
- الإجراءات لدى اللجنة الوطنية (المادة 12). تصريح مسبق لأغلب المعالجات، وإذن مسبق للمعالجات الأكثر حساسية.
- الأمن والسرية (المادتان 23 و24). تدابير تقنية وتنظيمية ملائمة، وعقد مكتوب مع كل معالج من الباطن.
- تأطير النقل نحو الخارج (المادتان 43 و44). لا يجوز النقل إلا نحو دولة توفر حماية كافية، أو في الحالات الاستثنائية المنصوص عليها.
حقوق الأشخاص
- حق الولوج (المادة 7): معرفة ما إذا كانت معطياته تُعالَج والحصول على نسخة مفهومة منها.
- حق التصحيح (المادة 8): تصحيح المعطيات غير الدقيقة أو حذفها. ويتوفر المسؤول على أجل عشرة أيام لإجراء التصحيحات المطلوبة.
- حق التعرض (المادة 9): التعرض على المعالجة لأسباب مشروعة، ومجاناً على الاستقراء التجاري.
- الحماية من الاستقراء المباشر الآلي (المادة 10): يتطلب الاستقراء عبر آلات الاتصال أو الفاكس أو البريد الإلكتروني الموافقة المسبقة للشخص.
ما الذي تغيّر في السنوات الأخيرة
- المغرب طرف في الاتفاقية 108 لمجلس أوروبا منذ فاتح شتنبر 2019، مما يُدرج القانون 09.08 في إطار دولي.
- انتقلت اللجنة الوطنية إلى منطق المراقبة. في سنة 2025، وجّهت مراسلات إلى المقاولات غير الممتثلة، مع أجل لتسوية الوضعية حُدد في نهاية ماي، وذكّرت بالعقوبات المترتبة عن استمرار المخالفة.
- توجد مواكبة. يتيح برنامج «DATA-TIKA» التابع للجنة الوطنية مواكبة مؤسسات عمومية وخاصة في مسار امتثالها عبر اتفاقيات انخراط.
الامتثال مسألة ثقة لدى العملاء
العميل الذي يلاحظ أن معطياته تُعالَج بجدية يمنح ثقته بسهولة أكبر. وفي المقابل، فإن تسريب المعطيات أو الاستقراء غير المرغوب فيه يُلحق ضرراً دائماً بالعلاقة. لذلك فحماية المعطيات ليست مجرد التزام قانوني، بل هي جزء من تجربة العميل.
صفحات هذا المجال
- الامتثال للجنة الوطنية لحماية المعطيات: المنهجية في 8 مراحل
يمر الامتثال للقانون 09.08 عبر ثماني مراحل: جرد معالجات المعطيات، تحديد الإجراء المطلوب لكل منها، التحقق من غايتها وأساسها القانوني، إيداع التصريحات أو طلبات الإذن لدى اللجنة الوطنية، إخبار الأشخاص، تأمين المعطيات وتأطير المعالجين من الباطن، تسوية النقل نحو الخارج، ثم تنظيم الرد على طلبات ممارسة الحقوق.
4 دقائق للقراءة
- نقل المعطيات الشخصية نحو الخارج: قواعد اللجنة الوطنية
في المغرب، لا يُسمح بنقل المعطيات الشخصية نحو الخارج إلا إلى دولة واردة في لائحة الدول التي توفر حماية كافية (مداولة اللجنة الوطنية رقم 236-2015)، أو في إحدى الحالات الاستثنائية المنصوص عليها في المادة 44 من القانون 09.08. خارج هذه الحالات، يتطلب النقل إذناً من اللجنة الوطنية يُطلب بواسطة الاستمارة F118.
4 دقائق للقراءة
- الخصوصية منذ التصميم: المفهوم وتطبيقه في المغرب
تعني الخصوصية منذ التصميم (Privacy by Design) إدماج حماية المعطيات منذ مرحلة تصميم المنتج أو الموقع أو المسطرة، بدل إضافتها لاحقاً. صاغتها آن كافوكيان في سبعة مبادئ، وأصبحت التزاماً داخل الاتحاد الأوروبي بموجب المادة 25 من اللائحة العامة لحماية البيانات. لا يستعمل القانون 09.08 هذا المصطلح، لكن متطلباته المتعلقة بالتناسب والأمن تؤدي إلى المنهجية نفسها.
4 دقائق للقراءة
- غرامات وعقوبات القانون 09.08: الجدول الكامل
ينص القانون 09.08 على عقوبات زجرية تتراوح غراماتها بين 10.000 و300.000 درهم حسب المخالفة، مع عقوبات حبسية من ثلاثة أشهر إلى سنة بالنسبة لأغلب المخالفات. وتُضاعف الغرامات بالنسبة للأشخاص المعنويين (المادة 64) وفي حالة العود (المادة 65). كما يمكن للجنة الوطنية سحب الوصل أو الإذن.
4 دقائق للقراءة
- مندوب حماية المعطيات في المغرب: الدور والالتزامات
لا يفرض القانون 09.08 تعيين مندوب لحماية المعطيات (DPO). غير أن مقاولة مغربية قد تكون ملزمة بذلك بموجب اللائحة الأوروبية العامة لحماية البيانات إذا كانت تستهدف أشخاصاً داخل الاتحاد الأوروبي واستوفت شروط المادة 37. وفي جميع الحالات، يُعد تعيين مسؤول داخلي عن حماية المعطيات ممارسة جيدة، وقد طلبت اللجنة الوطنية سنة 2025 تعييناً واضحاً للمسؤولين داخل المؤسسات.
4 دقائق للقراءة
- القانون 09.08 مقابل اللائحة الأوروبية: مقارنة نقطة بنقطة
يشترك القانون 09.08 واللائحة الأوروبية العامة لحماية البيانات في المبادئ الأساسية نفسها (الغاية، التناسب، الأمن، حقوق الأشخاص)، لكنهما يختلفان بعمق في منطقهما. يقوم القانون المغربي على إجراءات مسبقة لدى اللجنة الوطنية وعلى عقوبات زجرية، بينما تقوم اللائحة الأوروبية على مسؤولية المؤسسات وتوثيقها الداخلي وعلى غرامات إدارية قد تصل إلى 4٪ من رقم المعاملات العالمي.
4 دقائق للقراءة
- المعطيات الصحية في المغرب: التزامات مؤسسات العلاج أمام اللجنة الوطنية
المعطيات المتعلقة بالصحة معطيات حساسة بمفهوم المادة 1 من القانون 09.08. والأصل أن معالجتها تخضع للإذن المسبق من اللجنة الوطنية. غير أن المادة 22 تكتفي بالتصريح عندما تكون المعالجة لأغراض الطب الوقائي أو التشخيص أو العلاج أو تدبير المصالح الصحية، ويقوم بها مهني ملزم بالسر المهني. وفي كل الأحوال، يجب على المصحات والعيادات والمختبرات والمنصات القيام بالإجراء المناسب، وإخبار المرضى، وتأمين الولوج إلى الملفات بصرامة.
4 دقائق للقراءة
- حماية المعطيات في الأبناك والتأمين بالمغرب
تعالج الأبناك وشركات التأمين من أكثر المعطيات حساسية: الهوية، المداخيل، العمليات، والصحة بالنسبة للتأمين. ويُطبَّق عليها القانون 09.08 بالكامل، إلى جانب السر المهني والتزامات معرفة العميل. ونقاط الانتباه هي المعطيات الصحية الخاضعة مبدئياً للإذن، والنقل نحو الحوسبة السحابية، والاستقراء التجاري، والقرارات الآلية، وتبادل المعطيات بين البنك وشركة التأمين.
4 دقائق للقراءة
أدلة حسب الوضعية
- 7 دقائق للقراءة
- 7 دقائق للقراءة
- 7 دقائق للقراءة
- 7 دقائق للقراءة
المجالات الأخرى
تجربة العملاء
تجربة العميل ونجاح العميل في المغربالقرار والتنفيذ
القرار والتنفيذ: كيف تتحوّل القرارات إلى ممارسة يوميةالبيانات والذكاء الاصطناعي
البيانات والذكاء الاصطناعي: حماية المعطيات وحوكمة الذكاء الاصطناعيالمخاطر والامتثال
المخاطر والامتثال: الحكامة وتدبير المخاطر في المغربالمسارات الرقمية
مسارات رقمية مصممة لتجعل عملاءك يتقدمون
اقرأ أيضاً
- 4 دقائق للقراءة
- 4 دقائق للقراءة
- 4 دقائق للقراءة
أسئلة متكررة
ما المقاولات المعنية بالقانون 09.08؟
كل مؤسسة، مهما كان حجمها، تعالج معطيات شخصية لأشخاص ذاتيين في المغرب: ملفات العملاء، ملفات المستخدمين، المراقبة بالكاميرات، استمارات الموقع الإلكتروني. ولا تُستثنى إلا بعض المعالجات، كتلك التي تتم لأغراض شخصية أو منزلية حصراً.
هل القانون 09.08 هو المقابل المغربي للائحة الأوروبية RGPD؟
يشترك مع اللائحة الأوروبية في عدة مبادئ (الغاية، التناسب، حقوق الأشخاص)، لكنه يقوم على إجراءات مسبقة لدى اللجنة الوطنية، ولا يفرض بشكل عام تعيين مندوب لحماية المعطيات ولا التبليغ عن الخروقات، كما أن عقوباته زجرية. اطلع على المقارنة المفصلة.
ما الذي تتعرض له مقاولة غير ممتثلة؟
غرامات تتراوح بين 10.000 و300.000 درهم حسب المخالفة، وعقوبات حبسية بالنسبة لأغلب المخالفات، وغرامات مضاعفة بالنسبة للأشخاص المعنويين. كما يمكن للجنة الوطنية سحب الوصل أو الإذن.
هذا الدليل ذو طابع إخباري ولا يشكّل استشارة قانونية.
المراجع (7)
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Dahir n° 1-09-15 du 18 février 2009). (نافذة جديدة)
- Décret n° 2-09-165 pris pour l'application de la loi n° 09-08. (نافذة جديدة)
- CNDP — Formalités : déclaration et autorisation préalables (cndp.ma). (نافذة جديدة)
- CNDP — Liste des infractions à la loi n° 09-08 et des sanctions prévues (cndp.ma, 2024).
- Conseil de l'Europe (2019). Le Maroc devient le 55e État partie à la Convention 108.
- Maroc24 (24 mai 2025). La CNDP intensifie ses contrôles et demande aux entreprises de se conformer avant fin mai.
- CNDP — Programme d'accompagnement DATA-TIKA (conventions d'adhésion publiées sur cndp.ma).