La CNDP Pas à Pas : Déclarer ou Demander une Autorisation

Étape 1 : recenser les traitements#

Listez chaque usage de données personnelles dans l'organisation. Les traitements les plus courants sont :

• la gestion du personnel et de la paie ;
• la gestion des clients et des prospects (CRM, facturation, service client) ;
• la vidéosurveillance des locaux ;
• les formulaires et outils de mesure du site web ;
• le contrôle d'accès aux bâtiments ;
• les échanges clients sur WhatsApp ou par e-mail.

Pour chaque traitement, notez sa finalité, les catégories de données, les personnes concernées, les destinataires, la durée de conservation et les prestataires impliqués. Ce recensement n'est pas un formulaire imposé par la loi, mais sans lui aucune des étapes suivantes n'est fiable.

Étape 2 : qualifier la formalité de chaque traitement#

La loi prévoit deux régimes :

• La déclaration préalable, pour la plupart des traitements. Le récépissé délivré par la CNDP permet de mettre le traitement en œuvre.
• L'autorisation préalable, pour les traitements les plus sensibles. Selon la CNDP, sont notamment concernés : les données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, santé, y compris les données génétiques), l'utilisation de données à d'autres fins que celles de la collecte initiale, les données relatives aux infractions et condamnations, certains traitements utilisant le numéro de la carte nationale d'identité, et l'interconnexion de fichiers poursuivant des finalités différentes.

En cas de doute sur la qualification d'un traitement, la référence reste la page « Formalités » de la CNDP.

Vérifier s'il existe un modèle#

Depuis le 28/11/2025, la CNDP publie des délibérations qui servent de modèles pour des traitements courants. D-939 (cookies) et D-940 (newsletters) : déclaration simplifiée ; D-941 (suivi des patients), D-942 (vidéosurveillance en santé) et D-943 (contrôle d'accès) : autorisation.

Un modèle ne dispense pas de vérifier : le traitement doit y correspondre exactement. Pour les cookies et les newsletters, voir notre guide dédié.

Étape 3 : vérifier finalité, base légale et proportionnalité#

Pour chaque traitement, posez trois questions :

• Pourquoi ces données sont-elles collectées ? La finalité doit être précise.
• Sur quelle base ? Le consentement, ou une exception de l'article 4 (contrat, obligation légale, intérêt légitime…).
• Sont-elles toutes nécessaires ? Supprimez les champs de formulaire qui ne servent à rien et fixez une durée de conservation.

Étape 4 : déposer les formalités auprès de la CNDP#

Déposez les déclarations et demandes d'autorisation à l'aide des formulaires mis à disposition par la CNDP. Conservez les récépissés et les autorisations obtenues : ce sont vos premières preuves de conformité en cas de contrôle.

Étape 5 : informer les personnes#

L'article 5 impose d'informer chaque personne au moment de la collecte : identité du responsable, finalités, destinataires, caractère obligatoire ou non des réponses, et droits dont elle dispose. En pratique :

• une mention d'information sous chaque formulaire du site ;
• une politique de confidentialité accessible ;
• une clause dans les contrats de travail et les contrats clients ;
• un panneau visible informant les personnes filmées de l'existence de la vidéosurveillance et de leurs droits.

Étape 6 : sécuriser les données et encadrer les sous-traitants#

Les articles 23 et 24 imposent des mesures techniques et organisationnelles adaptées : gestion des accès, mots de passe robustes, sauvegardes, journalisation, sensibilisation du personnel. Chaque prestataire qui traite des données pour votre compte doit être lié par un contrat écrit qui l'oblige à respecter vos instructions et à sécuriser les données.

Étape 7 : régulariser les transferts à l'étranger#

Un logiciel en ligne hébergé hors du Maroc, une maison mère qui reçoit les données RH, un outil d'e-mailing étranger : tous impliquent un transfert. Vérifiez si le pays destinataire figure sur la liste de la CNDP ou si une exception s'applique. À défaut, une autorisation est nécessaire (formulaire F118). Voir notre guide des transferts de données à l'étranger.

Étape 8 : organiser les demandes de droits#

Désignez une adresse de contact, une personne responsable et une procédure interne pour traiter les demandes d'accès, de rectification et d'opposition. Pour la rectification, la loi fixe un délai de dix jours.

Et ensuite#

La conformité n'est pas un projet ponctuel. Tout nouveau traitement (nouvelle application, nouveau prestataire, nouvelle campagne marketing) doit repasser par ces étapes avant sa mise en œuvre. Voir aussi les sanctions prévues par la loi 09-08.

Checklist#

• Recensement des traitements réalisé et tenu à jour.
• Finalité de chaque traitement écrite en une phrase.
• Données minimisées.
• Destinataires et transferts identifiés.
• Mesures de sécurité décrites.
• Durée de conservation fixée.
• Formalité (déclaration ou autorisation) identifiée et déposée pour chaque traitement.
• Mentions d'information présentes sur tous les points de collecte.
• Contrats signés avec tous les sous-traitants.
• Transferts à l'étranger identifiés et régularisés.
• Procédure de réponse aux demandes de droits en place.

Au Maroc#

Les formalités se déposent en ligne, sur cndp.ma. Conservez chaque récépissé ou autorisation : ce sont vos premières preuves de conformité.

Ce que dit le texte#

Loi 09-08 : art. 12 (formalités : déclaration ou autorisation selon le traitement), art. 4 (consentement), art. 5 (information), art. 43–44 (transferts).

Erreurs fréquentes#

• Déclarer après le lancement.
• Déclarer un traitement trop large.
• Oublier les sous-traitants.