Sommaire
Le barème officiel
Le tableau ci-dessous reprend la liste des infractions et sanctions publiée par la CNDP.
| Article | Infraction | Emprisonnement | Amende (DH) |
|---|---|---|---|
| 52 | Traitement sans déclaration ou autorisation, ou poursuivi après retrait | — | 10 000 à 100 000 |
| 53 | Refus des droits d'accès, de rectification ou d'opposition | — | 20 000 à 200 000 |
| 54 | Collecte déloyale ou traitement à d'autres fins que celles déclarées | 3 mois à 1 an | 20 000 à 200 000 |
| 55 | Conservation au-delà de la durée prévue | 3 mois à 1 an | 20 000 à 200 000 |
| 56 | Traitement sans consentement lorsque celui-ci est requis | 3 mois à 1 an | 20 000 à 200 000 |
| 57 | Traitement de données sensibles sans consentement exprès | 3 mois à 1 an | 50 000 à 300 000 |
| 58 | Absence des mesures de sécurité requises | 3 mois à 1 an | 20 000 à 200 000 |
| 59 | Traitement malgré une opposition légitime, ou prospection non autorisée | 3 mois à 1 an | 20 000 à 200 000 |
| 60 | Transfert illégal de données vers l'étranger | 3 mois à 1 an | 20 000 à 200 000 |
| 61 | Détournement ou divulgation non autorisée de données | 3 mois à 1 an | 20 000 à 200 000 |
| 62 | Entrave à l'action de la CNDP | 3 à 6 mois | 10 000 à 50 000 |
| 63 | Refus d'appliquer les décisions de la CNDP | 3 mois à 1 an | 10 000 à 100 000 |
Pour la plupart des infractions, la loi prévoit l'emprisonnement « et/ou » l'amende : le juge peut prononcer l'une des deux peines ou les deux.
Les circonstances aggravantes
- Personnes morales (article 64). Les amendes sont doublées. Des peines complémentaires peuvent s'ajouter, comme la confiscation partielle des biens ou la fermeture de l'établissement.
- Récidive (article 65). Les peines sont doublées en cas de nouvelle infraction dans l'année suivant une condamnation définitive.
- Mesures complémentaires. En cas de détournement de données, le tribunal peut ordonner la saisie du matériel et l'effacement des données.
Pour une entreprise, le traitement de données sensibles sans consentement peut donc atteindre 600 000 DH d'amende, soit le double du plafond de 300 000 DH.
Qui sanctionne ?
Les peines d'amende et d'emprisonnement sont prononcées par les juridictions. La CNDP dispose de son côté de pouvoirs d'enquête, peut adresser des mises en demeure, retirer un récépissé de déclaration ou une autorisation (article 51), et transmettre des dossiers au parquet.
Un contrôle qui s'intensifie
En 2025, la CNDP a adressé des courriers aux entreprises non conformes, leur demandant de régulariser leur situation avant fin mai : déclaration des traitements, désignation claire des responsables en interne et obtention des autorisations requises. Ces courriers rappelaient les sanctions encourues en cas de manquement persistant.
Au-delà de l'amende
Le montant de l'amende n'est souvent pas le coût principal. Une procédure publique, une fuite de données médiatisée ou la perte d'un client institutionnel qui exige des garanties de conformité pèsent généralement plus lourd. La meilleure protection reste une mise en conformité documentée.
À lire aussi
- 6 min de lecture
- 5 min de lecture
- 5 min de lecture
Questions fréquentes
Quelle est l'amende maximale prévue par la loi 09-08 ?
Le plafond est de 300 000 DH, pour le traitement de données sensibles sans consentement exprès. Pour une personne morale, l'amende est doublée, soit jusqu'à 600 000 DH, et elle peut encore doubler en cas de récidive.
Un dirigeant peut-il être emprisonné pour une infraction à la loi 09-08 ?
La loi prévoit des peines d'emprisonnement de trois mois à un an pour la plupart des infractions, et de trois à six mois pour l'entrave à l'action de la CNDP. Elles sont prononcées par un tribunal, seules ou avec une amende.
La CNDP peut-elle infliger directement une amende ?
Les amendes pénales sont prononcées par les juridictions. La CNDP peut enquêter, mettre en demeure, retirer un récépissé ou une autorisation et transmettre le dossier au parquet.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (3)
- CNDP — Liste des infractions à la loi n° 09-08 et des sanctions prévues (cndp.ma, 2024).
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Dahir n° 1-09-15 du 18 février 2009). (nouvel onglet)
- Maroc24 (24 mai 2025). La CNDP intensifie ses contrôles et demande aux entreprises de se conformer avant fin mai.