RGPD au Maroc : ce que toute entreprise doit savoir pour être réellement conforme
La protection des données personnelles est devenue un enjeu juridique et stratégique majeur pour les entreprises opérant au Maroc. Le RGPD au Maroc soulève des questions essentielles pour les dirigeants, juristes et investisseurs : qu’est-ce que le RGPD, à qui s’applique-t-il, est-il applicable au Maroc, suis-je concerné et surtout, suis-je juridiquement couvert si je respecte déjà le RGPD ?
Cet article apporte des réponses claires, opérationnelles et juridiquement exactes.
C’est quoi le RGPD ?
Le Règlement Général sur la Protection des Données (RGPD) est un règlement européen entré en application le 25 mai 2018. Il encadre la collecte, l’utilisation, la conservation et la sécurité des données à caractère personnel.
Ses objectifs sont :
- renforcer les droits des personnes concernées,
- responsabiliser les organisations qui traitent des données.
Il repose sur des principes fondamentaux : licéité, transparence, finalité déterminée, minimisation des données, sécurité, durée de conservation limitée et responsabilité démontrable (accountability).
À qui s’applique le RGPD ?
Les implications du RGPD au Maroc
Le RGPD s’applique :
- aux entreprises établies dans l’Union européenne,
- mais aussi aux entreprises situées hors de l’UE lorsqu’elles :
- offrent des biens ou services à des personnes se trouvant dans l’UE,
- ou suivent leur comportement (cookies, tracking, analyse d’usage).
Une entreprise marocaine peut donc être soumise au RGPD sans être établie en Europe.
Le RGPD est-il applicable au Maroc ?
Oui, le RGPD peut s’appliquer au Maroc, mais uniquement dans le cadre de son application extraterritoriale.
En revanche, le RGPD ne remplace pas le droit marocain.
Dès qu’un traitement de données est mis en œuvre sur le territoire marocain, la loi marocaine n°09-08 s’applique obligatoirement, sous le contrôle de la CNDP.
Existe-t-il des autorités de contrôle en matière de protection des données ?
Oui. La protection des données personnelles est encadrée par des autorités de contrôle indépendantes, chargées de veiller au respect des textes applicables et d’accompagner les organisations dans leur mise en conformité.
Au niveau européen, l’autorité de référence est la CNIL, qui supervise l’application du RGPD en France et participe, avec les autres autorités européennes, à une gouvernance coordonnée de la protection des données au sein de l’Union européenne. (Au Maroc, l’autorité compétente est la CNDP. )
Suis-je concerné en tant qu’entreprise au Maroc ?
Vous êtes concerné si vous êtes :
- une entreprise marocaine travaillant avec l’Europe,
- une startup ou plateforme digitale,
- un site e-commerce,
- une société IT, BPO ou centre d’appels,
- une filiale ou succursale d’un groupe international,
- un prestataire traitant des données de résidents européens.
La taille de l’entreprise importe peu : ce sont la nature des traitements et la cible des données qui comptent.
Comment savoir si je suis soumis au RGPD ?
Vous êtes soumis au RGPD si :
- vous traitez des données de personnes situées dans l’UE,
- vous ciblez des clients européens,
- vous analysez le comportement d’utilisateurs européens.
Mais attention : être soumis au RGPD ne signifie pas être conforme au droit marocain.
Existe-t-il une loi équivalente au Maroc ?
Oui. Le Maroc dispose de la loi n°09-08 relative à la protection des données à caractère personnel.
Elle impose notamment :
- la déclaration ou l’autorisation de certains traitements,
- l’encadrement des transferts de données vers l’étranger,
- le respect des droits des personnes,
- la mise en place de mesures de sécurité adaptées.
RGPD et loi 09-08 : quelles différences essentielles ?
- Le RGPD repose sur une logique d’accountability et de démonstration continue de la conformité.
- La loi 09-08 repose davantage sur une logique déclarative et d’autorisation préalable auprès de la CNDP.
Les deux textes sont complémentaires, mais non substituables.
Je suis une entreprise européenne ou multinationale installée au Maroc, conforme au RGPD : suis-je couvert ?
Non.
C’est une confusion fréquente.
Être conforme au RGPD ne vous exonère jamais de la conformité à la loi 09-08 dès lors que vous êtes établi ou opérez au Maroc.
Les obligations sont cumulatives.
Quelles sont les pénalités en cas de non-conformité au RGPD ?
Le RGPD prévoit des sanctions administratives importantes, prononcées par les autorités européennes de protection des données, dont la CNIL.
Les amendes peuvent atteindre :
- 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial,
- ou 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial,
selon la gravité des manquements (article 83 du RGPD).
Rappel des sanctions prévues par la loi 09-08 au Maroc
En complément, la loi marocaine n°09-08 prévoit :
- des amendes pénales pouvant aller de 10 000 à 300 000 dirhams,
- et, pour certaines infractions, des peines d’emprisonnement pouvant aller de 3 mois à 1 an.
Une entreprise opérant entre l’Europe et le Maroc peut donc être exposée à des risques juridiques cumulés.
Comment être conforme de manière efficace ?
Une conformité sérieuse repose sur :
- un audit des traitements,
- une cartographie des données,
- une analyse des risques,
- des procédures claires,
- un encadrement contractuel des sous-traitants,
- une gouvernance cohérente RGPD / loi 09-08.
Existe-t-il des formations sur le RGPD et la loi 09-08 ?
Oui. La formation est un levier essentiel pour une conformité durable et opérationnelle.
Dans ce cadre, DataConfo propose des formations spécialisées en protection des données, notamment :
- Formation RGPD – Foundation,
- Formation DPO (Data Protection Officer),
- Certification DPO,
destinées aux dirigeants, juristes, responsables conformité, IT et consultants, et adaptées au contexte marocain tout en s’alignant sur les standards européens.
Conclusion
Le RGPD au Maroc est une réalité juridique pour de nombreuses entreprises. Toutefois, la conformité au RGPD ne remplace jamais la conformité à la loi marocaine 09-08.
Une approche structurée, intégrée et anticipée est aujourd’hui un facteur clé de sécurité juridique, de crédibilité et de confiance, tant vis-à-vis des autorités que des partenaires internationaux.
Contactez DataConfo pour un diagnostic, un accompagnement ou une formation adaptée à votre activité au Maroc.