Sommaire
Deux textes, deux époques
La loi 09-08 date de 2009. Le RGPD a été adopté en 2016 et s'applique depuis le 25 mai 2018. Entre les deux, la logique a changé : on est passé d'un contrôle en amont, par formalités, à une responsabilisation des organisations, qui doivent prouver elles-mêmes leur conformité.
Le comparatif
| Point | Loi 09-08 (Maroc) | RGPD (Union européenne) |
|---|---|---|
| Autorité | CNDP | Une autorité par État membre, coordonnées au niveau européen |
| Logique | Formalités préalables (déclaration, autorisation) | Responsabilisation et documentation interne |
| Registre des traitements | Non imposé en tant que tel | Obligatoire (article 30), sauf exceptions |
| DPO | Pas d'obligation générale | Obligatoire dans certains cas (article 37) |
| Analyse d'impact | Pas d'obligation générale | Obligatoire pour les traitements à risque élevé (article 35) |
| Notification des violations | Pas de régime général | À l'autorité sous 72 heures (article 33), aux personnes si risque élevé (article 34) |
| Droits des personnes | Information, accès, rectification, opposition | Les mêmes, plus l'effacement, la limitation, la portabilité et l'encadrement des décisions automatisées |
| Transferts | Liste de pays adéquats, exceptions, autorisation CNDP | Décisions d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes |
| Sanctions | Pénales : jusqu'à 300 000 DH, doublées pour les personnes morales, emprisonnement possible | Administratives : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial |
| Portée | Traitements effectués au Maroc | Également les organisations hors UE qui ciblent ou suivent des personnes dans l'UE |
Ce que les deux textes ont en commun
- Une finalité déterminée et légitime pour chaque traitement.
- Des données adéquates, pertinentes et limitées à ce qui est nécessaire.
- Une durée de conservation limitée.
- Une base légale : consentement ou autre fondement prévu par le texte.
- Des mesures de sécurité adaptées et un encadrement des sous-traitants.
- Un régime renforcé pour les données sensibles.
Quand une entreprise marocaine doit appliquer les deux
Une entreprise établie au Maroc est soumise au RGPD si elle offre des biens ou services à des personnes situées dans l'Union européenne, ou si elle suit leur comportement. C'est fréquent pour les centres d'appels et BPO, l'e-commerce qui livre en Europe, le tourisme et les éditeurs de logiciels. Elle doit alors respecter les deux textes à la fois : formalités CNDP pour les traitements réalisés au Maroc, et exigences du RGPD pour les personnes situées dans l'UE.
Dans ce cas, le plus simple est d'aligner l'organisation sur le plus exigeant des deux sur chaque point : registre des traitements, procédure de notification des violations, analyses d'impact, sans oublier les formalités propres à la CNDP.
Le cadre international du Maroc
Le Maroc est partie à la Convention 108 du Conseil de l'Europe, entrée en vigueur à son égard le 1er septembre 2019, ainsi qu'à son protocole additionnel sur les autorités de contrôle et les flux transfrontières. Cela rapproche le cadre marocain des standards européens, sans en faire un équivalent du RGPD.
À lire aussi
- 5 min de lecture
- 4 min de lecture
- 6 min de lecture
Questions fréquentes
Une entreprise conforme au RGPD est-elle automatiquement conforme à la loi 09-08 ?
Non. Le RGPD ne prévoit pas de formalités préalables, alors que la loi 09-08 impose des déclarations et des autorisations auprès de la CNDP. Une entreprise conforme au RGPD a une bonne base, mais doit encore accomplir ces formalités.
Une entreprise marocaine peut-elle être sanctionnée au titre du RGPD ?
Oui, si elle entre dans le champ du RGPD parce qu'elle cible ou suit des personnes situées dans l'Union européenne. Les autorités européennes peuvent alors prononcer des sanctions, et ses clients européens peuvent exiger des garanties contractuelles.
La loi 09-08 impose-t-elle de notifier les fuites de données ?
La loi 09-08 ne prévoit pas de régime général de notification comparable à celui du RGPD. Une réaction rapide et documentée reste indispensable, et des obligations de déclaration d'incidents peuvent découler d'autres textes, comme la loi n° 05-20 sur la cybersécurité pour les entités concernées.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (5)
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Dahir n° 1-09-15 du 18 février 2009). (nouvel onglet)
- Règlement (UE) 2016/679 du 27 avril 2016 (Règlement général sur la protection des données, RGPD). (nouvel onglet)
- Conseil de l'Europe (2019). Le Maroc devient le 55e État partie à la Convention 108.
- CNDP — Délibération n° 236-2015 fixant la liste des États assurant une protection adéquate.
- CNDP — Liste des infractions à la loi n° 09-08 et des sanctions prévues (cndp.ma, 2024).