Loi 09-08 : le Guide Complet de la Protection des Données au Maroc

Ce que couvre la loi 09-08#

La loi s'applique à toute information concernant une personne physique identifiée ou identifiable : nom, numéro de téléphone, adresse e-mail, numéro de client, image de vidéosurveillance, historique d'achat. Elle vise tout « traitement », c'est-à-dire toute opération sur ces données : collecte, enregistrement, consultation, transmission, conservation ou suppression.

Deux acteurs sont au centre du dispositif :

• Le responsable du traitement : l'organisation qui décide pourquoi et comment les données sont traitées. C'est lui qui porte les obligations.
• Le sous-traitant : le prestataire qui traite les données pour son compte (hébergeur, éditeur de logiciel, centre d'appels). Il doit présenter des garanties suffisantes et être lié par un contrat écrit.

Certains traitements sont exclus du champ de la loi, notamment ceux effectués pour un usage exclusivement personnel ou domestique, ou pour la défense nationale et la sécurité de l'État.

Les six obligations essentielles#

1. Une finalité déterminée et des données proportionnées (article 3). On ne collecte que ce qui est nécessaire à un objectif précis, et on ne conserve les données que le temps utile.
2. Une base légale (article 4). Le consentement de la personne, ou l'une des exceptions prévues : obligation légale, exécution d'un contrat, sauvegarde d'intérêts vitaux, mission d'intérêt public ou intérêt légitime.
3. L'information des personnes (article 5). Identité du responsable, finalités, destinataires et droits doivent être communiqués au moment de la collecte.
4. Les formalités auprès de la CNDP (article 12). Une déclaration préalable pour la plupart des traitements, une autorisation préalable pour les plus sensibles.
5. La sécurité et la confidentialité (articles 23 et 24). Mesures techniques et organisationnelles adaptées, et contrat écrit avec chaque sous-traitant.
6. L'encadrement des transferts à l'étranger (articles 43 et 44). Un transfert n'est possible que vers un pays offrant une protection adéquate, ou dans les cas d'exception prévus.

Les droits des personnes#

• Droit d'accès (article 7) : savoir si ses données sont traitées et en obtenir une copie intelligible.
• Droit de rectification (article 8) : faire corriger ou effacer des données inexactes. Le responsable dispose de dix jours pour procéder aux corrections demandées.
• Droit d'opposition (article 9) : s'opposer au traitement pour des motifs légitimes, et sans frais à la prospection commerciale.
• Protection contre la prospection automatisée (article 10) : la prospection par automate d'appel, fax ou e-mail exige le consentement préalable de la personne.

Ce qui a changé ces dernières années#

• Le Maroc est partie à la Convention 108 du Conseil de l'Europe depuis le 1er septembre 2019, ce qui ancre la loi 09-08 dans un cadre international.
• Un accompagnement existe. Le programme DATA-TIKA de la CNDP permet à des organisations publiques et privées d'être accompagnées dans leur mise en conformité par voie de convention.

La conformité, un sujet de confiance client#

Un client qui constate que ses données sont traitées avec rigueur accorde plus facilement sa confiance. À l'inverse, une fuite de données ou un démarchage non sollicité abîme durablement la relation. La protection des données n'est donc pas seulement une obligation juridique : c'est une composante de l'expérience client.

Checklist#

• Inventaire des traitements.
• Formalités CNDP.
• Mentions d'information.
• Procédure de réponse aux demandes d'accès.
• Liste des transferts (outils en ligne, SaaS).
• Durées de conservation.

Au Maroc#

• 28/11/2025 : délibérations D-939 à D-943. D-939 (cookies) et D-940 (newsletters) : déclaration simplifiée ; D-941 (suivi des patients), D-942 (vidéosurveillance en santé) et D-943 (contrôle d'accès) : autorisation. Voir la CNDP pas à pas.
• Élections et IA : Communiqué CNDP « Les dix impératifs… » (août 2026), citant l'art. 447-2 du Code pénal et les arts. 39, 51 et 53 de la loi organique 53-25.

Ce que dit le texte#

Loi 09-08 : art. 3, art. 4 (consentement), art. 5 (information), art. 10 (prospection directe), art. 12 (formalités : déclaration ou autorisation selon le traitement), art. 21 (données sensibles), art. 43–44 (transferts).

Un outil hébergé hors du Maroc implique un transfert (arts. 43–44) : vérifier si le pays figure sur la liste CNDP ; à défaut, exception légale ou autorisation. Voir les transferts à l'étranger.

Erreurs fréquentes#

• Se croire exempté parce qu'on est petit.
• Oublier les transferts implicites (outils en ligne hébergés à l'étranger).
• Copier une politique RGPD.