Sommaire
Deux lois, un même dossier
La loi 43-05 sur la lutte contre le blanchiment impose d'identifier le client, ses représentants et son bénéficiaire effectif, de vérifier ces informations sur des documents fiables et de les conserver dix ans. La loi 09-08 du 18 février 2009 encadre tout traitement de données personnelles. Les deux s'appliquent en même temps au même fichier. Elles ne se contredisent pas : la première dit ce qu'il faut collecter, la seconde dit comment le faire.
La lecture qui suit est la nôtre. Aucun texte unique de la CNDP ne l'énonce, mais elle découle de l'articulation des deux lois.
| Question | Loi 43-05 | Loi 09-08 |
|---|---|---|
| Pourquoi collecter ? | Vigilance à l'égard de la clientèle (art. 4) | Obligation légale comme base du traitement (art. 4) |
| Quoi collecter ? | Identité, pouvoirs, bénéficiaire effectif, objet de la relation, origine des fonds | Données adéquates, pertinentes et non excessives (art. 3) |
| Que dire au client ? | Rien sur une éventuelle déclaration de soupçon (art. 29) | Responsable, finalité, destinataires, droits (art. 5) |
| Combien de temps ? | Dix ans (art. 7) | Durée nécessaire à la finalité (art. 3) |
| Quelle formalité ? | Aucune | Autorisation préalable pour le numéro de CIN (art. 12) |
| Quelle sécurité ? | Conservation des pièces | Mesures techniques et organisationnelles, contrat avec les sous-traitants (art. 23 et 24) |
La base légale : l'obligation, pas le consentement
L'article 4 de la loi 09-08 fait du consentement la règle, avec des exceptions. L'une d'elles est le respect d'une obligation légale. Les données exigées par la loi 43-05 reposent sur cette exception : demander au client de « consentir » à la vérification de son identité n'a pas de sens, puisqu'il ne peut pas refuser sans que la relation s'arrête.
En revanche, le consentement redevient nécessaire pour ce qui sort de cette obligation, par exemple l'envoi d'une lettre d'information par courriel. Ne mélangez pas les deux dans une seule case à cocher.
Le numéro de CIN : une autorisation préalable
La CNDP indique que le traitement portant sur le numéro de la carte nationale d'identité relève de l'autorisation préalable prévue à l'article 12 de la loi 09-08. Une simple déclaration ne suffit pas. Un cabinet qui saisit ce numéro dans son logiciel de gestion ou son tableau de suivi doit déposer la demande avant de commencer le traitement. La méthode de mise en conformité CNDP détaille la démarche.
Traiter des données sans la formalité requise est puni d'une amende de 10 000 à 100 000 DH (article 52). La collecte déloyale ou frauduleuse expose à des peines plus lourdes (article 54). Voir le barème des sanctions CNDP.
Informer le client
L'article 5 impose d'indiquer, au moment de la collecte :
- l'identité du cabinet responsable du traitement ;
- la finalité : respect des obligations de la loi 43-05 et gestion du dossier ;
- les destinataires, y compris les autorités habilitées par la loi ;
- les droits d'accès, de rectification et d'opposition, et la manière de les exercer.
La mention peut figurer dans le formulaire d'entrée en relation et dans la lettre de mission, en français et en arabe. Elle explique le cadre général, sans jamais évoquer une déclaration de soupçon, ce que l'article 29 de la loi 43-05 interdit.
Collecter ce que la loi exige, pas plus
| Donnée | Utile au titre de la loi 43-05 ? | Remarque |
|---|---|---|
| Nom, prénom, date de naissance, adresse | Oui | Identification du client |
| Numéro de CIN ou de passeport | Oui, pour la vérification | Autorisation CNDP pour le numéro de CIN |
| Pouvoirs du représentant | Oui | Statuts, procuration |
| Bénéficiaire effectif | Oui | Pour les personnes morales et constructions juridiques, et pour tout client personne physique qui agit pour le compte d'un tiers |
| Origine des fonds | Oui, selon l'opération | Plus détaillée en vigilance renforcée |
| Profession | Souvent | Utile pour apprécier la cohérence des opérations |
| Situation familiale complète, photo, données de santé | Non, en règle générale | À ne pas demander sans raison précise |
Le bon réflexe : pour chaque champ du formulaire, pouvoir citer l'obligation qu'il sert. Un champ sans justification se supprime.
Les copies de pièces d'identité
Nous n'avons identifié aucune délibération de la CNDP portant spécifiquement sur les photocopies de la CIN. La délibération n° 478-2013, parfois citée à ce sujet, porte en réalité sur la biométrie pour le contrôle d'accès.
Le texte le plus proche est la délibération n° 479-AU-2013 du 1er novembre 2013, modèle d'autorisation pour la gestion des comptes clients des banques. Elle inclut les pièces d'identité parmi les données pouvant être collectées, cite la loi 43-05, désigne l'UTRF (devenue ANRF) comme destinataire et limite la conservation à la durée nécessaire, sauf durée plus longue imposée par la loi. Elle montre comment la CNDP lit la connaissance client.
Pour un cabinet, une pratique proportionnée consiste à :
- conserver la copie seulement pour les dossiers dans le champ de la loi 43-05, comme preuve de la vérification ;
- ne pas photocopier la CIN pour un simple rendez-vous ou un dossier hors champ ;
- stocker la copie dans un espace à accès restreint, jamais dans une messagerie personnelle ;
- noter la date et l'auteur de la vérification.
Conserver dix ans, puis supprimer
L'article 7 de la loi 43-05 fixe la conservation à dix ans : à compter de la fin de la relation pour l'identification, à compter de l'opération pour les pièces d'opérations. C'est la durée nécessaire au sens de l'article 3 de la loi 09-08. À l'échéance, les données sont supprimées ou anonymisées. Un calendrier de purge, tenu dans le registre des traitements, évite de garder indéfiniment des archives que plus aucune loi ne justifie.
Sécurité et accès
L'article 23 impose des mesures de sécurité techniques et organisationnelles ; l'article 24 exige un contrat écrit et des garanties de sécurité avec chaque sous-traitant, éditeur de logiciel ou hébergeur compris. Concrètement : des habilitations par rôle, une journalisation des accès aux dossiers sensibles, un chiffrement des documents stockés et une procédure en cas de fuite. Si vos outils sont hébergés hors du Maroc, vérifiez aussi les règles de transfert de données à l'étranger.
Checklist
- Chaque champ du formulaire KYC est relié à une obligation de la loi 43-05.
- La demande d'autorisation CNDP couvrant le numéro de CIN est déposée.
- La mention d'information figure dans le formulaire et la lettre de mission.
- Les copies de pièces sont stockées dans un espace sécurisé et tracé.
- Le calendrier de purge à dix ans est défini.
- Les contrats avec les prestataires contiennent les clauses de sécurité.
À lire aussi
- 7 min de lecture
- 6 min de lecture
- 7 min de lecture
- 7 min de lecture
Questions fréquentes
Faut-il le consentement du client pour collecter ses données KYC ?
Non, pour les données exigées par la loi 43-05. L'article 4 de la loi 09-08 admet le traitement sans consentement lorsqu'il est nécessaire au respect d'une obligation légale. Le client doit en revanche être informé, et toute donnée collectée au-delà de cette obligation doit reposer sur une autre base.
Le traitement du numéro de CIN nécessite-t-il une autorisation de la CNDP ?
Oui. Le traitement portant sur le numéro de la carte nationale d'identité relève de l'autorisation préalable de la CNDP au titre de l'article 12 de la loi 09-08. Un cabinet qui enregistre ce numéro dans son fichier clients doit donc obtenir cette autorisation avant de commencer.
Peut-on garder une photocopie de la CIN du client ?
Aucune délibération de la CNDP sur les copies de CIN n'a été identifiée. La loi 43-05 impose de vérifier l'identité sur des documents fiables et de conserver les éléments d'identification. Approche proportionnée : conserver la copie lorsqu'elle prouve la vérification, dans un espace sécurisé, et ne pas la demander hors du champ de la loi 43-05.
Combien de temps conserver les données KYC ?
Dix ans après la fin de la relation pour les documents d'identification, et après l'opération pour les pièces d'opérations (loi 43-05, article 7). Selon notre lecture, cette durée justifie la conservation au regard de la proportionnalité (loi 09-08, article 3), sans texte unique de la CNDP. Ensuite, les données sont supprimées ou anonymisées.
La délibération 478-2013 s'applique-t-elle aux copies de CIN ?
Non. La délibération n° 478-2013 du 1er novembre 2013 porte sur les conditions d'utilisation des dispositifs biométriques pour le contrôle d'accès. Elle ne traite pas des photocopies de pièces d'identité.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (5)
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Dahir n° 1-09-15 du 18 février 2009). (nouvel onglet)
- CNDP. Notifier une demande d'autorisation préalable. (nouvel onglet)
- CNDP. Délibération n° 479-AU-2013 du 1er novembre 2013, modèle d'autorisation pour la gestion des comptes clients des banques. (nouvel onglet)
- CNDP. Délibération n° 478-2013 du 1er novembre 2013 relative aux dispositifs biométriques de contrôle d'accès. (nouvel onglet)
- Office des Changes. Loi n° 43-05 relative à la lutte contre le blanchiment de capitaux, version actualisée et consolidée. (nouvel onglet)