Transfert de Données Personnelles à l'Étranger : les Règles de la CNDP

Qu'est-ce qu'un transfert à l'étranger ?#

Il y a transfert dès que des données personnelles collectées au Maroc sont communiquées, rendues accessibles ou hébergées hors du territoire. Les situations les plus fréquentes :

• un CRM, un logiciel de paie ou un outil de support client hébergé à l'étranger ;
• un service d'e-mailing ou de messagerie dont les serveurs sont hors du Maroc ;
• une maison mère ou une filiale étrangère qui reçoit des données du personnel ou des clients ;
• un prestataire étranger qui accède aux données à distance, par exemple pour la maintenance.

Le principe : un pays offrant une protection adéquate#

L'article 43 de la loi 09-08 limite les transferts aux États qui assurent un niveau de protection suffisant. La CNDP a publié la liste de ces États dans sa délibération n° 236-2015. Si le pays destinataire y figure, le transfert est possible, sous réserve que le traitement d'origine ait lui-même été déclaré ou autorisé.

Les exceptions de l'article 44#

Un transfert vers un pays non inscrit sur la liste reste possible dans les cas suivants :

• la personne concernée a expressément consenti au transfert ;
• le transfert est nécessaire à la sauvegarde de sa vie ;
• il est nécessaire à la préservation de l'intérêt public ;
• il est nécessaire à la constatation, l'exercice ou la défense d'un droit en justice ;
• il est nécessaire à l'exécution d'un contrat conclu avec la personne, ou conclu dans son intérêt avec un tiers ;
• il relève de la coopération judiciaire internationale ;
• il est nécessaire au diagnostic, à la prévention ou au traitement médical ;
• il découle d'un accord international auquel le Maroc est partie.

L'autorisation de la CNDP et le formulaire F118#

Si aucun de ces cas ne s'applique, le transfert peut être autorisé par la CNDP lorsque des garanties suffisantes sont apportées, par exemple par des clauses contractuelles ou des règles internes d'entreprise. La demande se fait avec le formulaire F118.

Deux points pratiques :

• L'autorisation de transfert n'est accordée que si le traitement d'origine a déjà été déclaré ou autorisé. Un transfert ne régularise jamais un traitement qui ne l'est pas.
• La CNDP rend son avis dans un délai de deux mois, prorogeable une fois. Ce délai ne court qu'à partir du moment où le dossier est complet.

Choisir le bon mécanisme#

Ce tableau indique des pistes de réflexion, pas une qualification juridique définitive de votre situation.

Ce que risque un transfert irrégulier#

Selon la liste officielle des infractions publiée par la CNDP, un transfert contraire aux articles 43 et 44 est puni d'un emprisonnement de trois mois à un an et/ou d'une amende de 20 000 à 200 000 DH. Pour une personne morale, l'amende est doublée. Voir le détail des sanctions.

Un cas à part : les systèmes d'importance vitale#

Pour les entités et infrastructures d'importance vitale (grandes banques, opérateurs télécoms, certaines infrastructures publiques), la loi n° 05-20 sur la cybersécurité et ses textes d'application ajoutent des exigences d'hébergement sur le territoire national pour les systèmes et données sensibles. Ces règles s'ajoutent à la loi 09-08, elles ne la remplacent pas.