La loi 09-08 sur la protection des données personnelles au Maroc : obligations, rôle de la CNDP et sanctions
La loi n° 09-08, promulguée par le dahir n° 1-09-15 du 18 février 2009, encadre le traitement des données à caractère personnel au Maroc. Elle s'applique à tout traitement automatisé ou non, et place la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) au centre du dispositif de contrôle et de sanction.
Les définitions clés
L'article premier de la loi définit les notions centrales :
- le « consentement de la personne concernée » : *« toute manifestation de volonté, libre, spécifique et informée, par laquelle la personne concernée accepte que les données à caractère personnel la concernant fassent l'objet d'un traitement »* ;
- la « cession ou communication » : *« toute divulgation ou information d'une donnée portée à la connaissance d'une personne autre que la personne concernée »* ;
- l'« interconnexion de données » : une forme de traitement qui consiste à établir un rapport entre les données de plusieurs fichiers.
Le même article précise que la CNDP, instituée à l'article 27, est considérée comme destinataire des données. Elle a été officiellement mise en place par la Décision n° 3.62.10 du Premier Ministre du 31 août 2010.
Les obligations des responsables de traitement
Le droit à l'information lors de la collecte
L'article 5 impose une information préalable : *« Toute personne sollicitée directement, en vue d'une collecte de ses données personnelles, doit être préalablement informée de manière expresse, précise et non équivoque par le responsable du traitement ou son représentant »*, sauf si elle en a déjà eu connaissance. Cette information porte notamment sur la finalité du traitement, le caractère obligatoire ou facultatif des réponses, les destinataires et les droits de la personne concernée.
La déclaration préalable et l'autorisation
L'article 13 prévoit que le traitement doit faire l'objet d'une déclaration préalable auprès de la CNDP, qui comporte *« l'engagement que le traitement sera effectué conformément aux dispositions de la présente loi »*. Cette déclaration permet à la Commission d'exercer ses compétences de contrôle et d'assurer la publicité du traitement.
L'article 12 (cité en article lié) précise que certains traitements requièrent une autorisation préalable, notamment ceux portant sur les données sensibles.
L'article 20 permet à la CNDP de soumettre un traitement déclaré au régime d'autorisation si elle estime qu'il présente *« des dangers manifestes pour le respect et la protection de la vie privée et des libertés et droits fondamentaux des personnes »*. Sa décision motivée est notifiée au déclarant dans les huit jours suivant le dépôt.
Les modalités de saisine de la CNDP
L'article 24 du décret d'application fixe les voies de saisine : lettre recommandée, remise au secrétariat contre reçu, ou voie électronique avec accusé de réception. Il fixe également les délais de la CNDP :
- vingt-quatre heures pour délivrer le récépissé de déclaration ;
- deux mois pour notifier son avis ou accorder l'autorisation ;
- huit jours pour décider de soumettre un traitement au régime d'autorisation.
L'article 26 du décret précise que la CNDP délivre le récépissé lorsque la déclaration satisfait aux prescriptions de la loi, et peut le faire par voie électronique.
Le droit de rectification
L'article 40 du décret d'application organise le droit de rectification : la personne concernée peut s'adresser directement au responsable du traitement ou à la CNDP. Le texte de la loi précise que le responsable doit procéder aux rectifications *« sans frais pour le demandeur et ce, dans un délai franc de dix jours »*. En cas de refus ou de non-réponse, la personne peut saisir la CNDP, qui charge l'un de ses membres d'investiguer.
Les transferts vers l'étranger
L'article 46 du décret d'application énumère les informations requises pour une demande de transfert vers un pays offrant un niveau de protection suffisant : identité des parties, description du fichier, catégories de données, personnes concernées, but du traitement, mode et fréquence des transferts, date du premier transfert.
L'article 48 du même décret impose, lorsque le transfert requiert une autorisation expresse, de préciser *« les mesures ou le dispositif destinés à garantir un niveau de protection suffisant de la vie privée ainsi que des libertés et droits fondamentaux des personnes »*.
Le rôle de la CNDP
La CNDP exerce plusieurs missions :
- Autorité de contrôle : elle reçoit les déclarations, instruit les demandes d'autorisation et de transfert, et tient le registre national de la protection des données.
- Autorité de régulation : elle adopte des délibérations, comme la Délibération n° D-113-2020 du 22 mai 2020 régissant le traitement des données dans le cadre de la gestion des courriers.
- Autorité de recours : elle intervient en cas de refus ou de non-réponse à une demande de rectification.
- Autorité de sanction : elle peut retirer une déclaration ou une autorisation en cas d'atteinte à la sûreté, à l'ordre public ou aux bonnes mœurs, comme le prévoit l'article 52 du décret d'application.
La CNDP s'inscrit dans un cadre international : elle est adossée à la Convention 108 du Conseil de l'Europe et à son Protocole additionnel, ainsi qu'au RGPD européen et à la Convention de Malabo, comme l'indique son site institutionnel.
Les sanctions
La loi prévoit des sanctions pénales, dont les montants et durées sont fixés par les articles suivants :
- Article 58 : est puni d'un emprisonnement de trois mois à un an et d'une amende de 20.000 à 200.000 DH, ou de l'une de ces deux peines seulement, *« quiconque aura procédé ou fait procéder à un traitement de données à caractère personnel sans mettre en œuvre les mesures visant à préserver la sécurité des données prévues aux articles 23 et 24 »*. Ces articles imposent des mesures techniques et organisationnelles de sécurité, notamment pour les données sensibles ou relatives à la santé.
- Article 62 : est puni d'un emprisonnement de trois à six mois et d'une amende de 10.000 à 50.000 DH, ou de l'une de ces deux peines seulement, quiconque entrave l'exercice des missions de contrôle de la CNDP, refuse de recevoir les contrôleurs, refuse d'envoyer les documents ou informations demandés, ou refuse de transmettre les documents prévus par la loi.
Ces deux articles sont les seuls dont les montants ont pu être vérifiés dans les sources consultées. D'autres infractions sont prévues par la loi (traitement sans déclaration, non-respect des droits de la personne, transfert non autorisé), mais leurs peines exactes doivent être vérifiées dans le texte intégral.
La mise en œuvre concrète
La loi 09-08 est appliquée dans de nombreux secteurs :
- L'administration des douanes : la circulaire n° 6741/311 relative à l'opération Marhaba 2026 précise que les données collectées sont traitées *« en conformité avec la loi 09-08 »*, en vertu d'une autorisation de la CNDP n° A-PO-315/2019 du 3 août 2022.
- Le secteur des assurances : l'instruction P.IN. 03/25 de l'ACAPS du 25 avril 2025 impose aux sociétés mutuelles de retraite de satisfaire aux exigences de la loi 09-08, et rappelle que les autorisations de la CNDP sont requises pour la collecte des numéros de CNIE ou pour l'exploitation des données à d'autres fins.
- La statistique publique : le rapport qualité du RGPH 2024 du HCP confirme que les données sont protégées sous le contrôle de la CNDP, en cohérence avec la loi 05-20 sur la cybersécurité.
Les perspectives d'évolution
Le CESE, dans son avis sur l'intelligence artificielle, recommande de *« réviser la loi 09-08 relative à la protection des données personnelles afin qu'elle intègre valablement les exigences des données utilisées et générées par l'IA, tout en garantissant sa conformité avec les normes internationales »*.
Synthèse opérationnelle
Pour un responsable de traitement, les obligations essentielles sont :
- Informer les personnes concernées de manière expresse, précise et non équivoque (article 5).
- Déclarer les traitements auprès de la CNDP, ou demander une autorisation préalable pour les données sensibles (articles 12 et 13).
- Garantir les droits d'accès, de rectification et d'opposition (délai franc de dix jours pour la rectification).
- Sécuriser les traitements (articles 23 et 24), sous peine des sanctions de l'article 58.
- Obtenir une autorisation de la CNDP pour tout transfert de données vers l'étranger (articles 46 et 48 du décret d'application).
- Ne pas entraver les contrôles de la CNDP, sous peine des sanctions de l'article 62.
L'autorité compétente est la CNDP, qui peut être saisie par les personnes concernées et dispose de pouvoirs de contrôle et de sanction.
Sources
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (dahir n° 1-09-15 du 18 février 2009)
- Décret n° 2-09-165 du 21 mai 2009 pris pour l'application de la loi n° 09-08
- Délibération CNDP n° D-113-2020 du 22 mai 2020
- Circulaire douane n° 6741/311 — Opération Marhaba 2026
- Instruction ACAPS P.IN. 03/25 du 25 avril 2025
- Rapport qualité RGPH 2024 — HCP
- Avis du CESE sur l'intelligence artificielle (novembre 2024)
Voulez-vous que je détaille l'un de ces points, par exemple les conditions de l'autorisation préalable pour les données sensibles ou les modalités pratiques de déclaration auprès de la CNDP ?
_⚠️ Ces informations sont fournies à titre indicatif et ne constituent pas un conseil juridique. Pour votre situation précise, consultez le texte officiel ou un professionnel du droit._