Loi 09-08 et RGPD : comparaison et guide pour les entreprises européennes au Maroc

Vous êtes une entreprise européenne avec une filiale, un prestataire ou des clients au Maroc ? Deux cadres juridiques peuvent s’appliquer en même temps à vos traitements de données personnelles : le RGPD, règlement européen, et la loi marocaine n° 09-08, contrôlée par la CNDP. Ils poursuivent des objectifs proches, mais reposent sur des logiques différentes : le RGPD sur la responsabilité de l’entreprise (accountability), la loi 09-08 sur des formalités préalables auprès de la CNDP. Être conforme à l’un ne garantit pas d’être conforme à l’autre.

En bref

• La loi 09-08 s’applique aux traitements d’un responsable établi au Maroc, mais aussi à ceux d’un responsable étranger qui recourt à des moyens situés au Maroc (article 2).
• Elle impose des formalités préalables auprès de la CNDP (déclaration ou autorisation), là où le RGPD repose sur un registre interne.
• Elle ne prévoit ni obligation de désigner un DPO, ni notification des violations de données, ni droit à la portabilité.
• Les transferts doivent être encadrés dans les deux sens : de l’Union européenne vers le Maroc (RGPD) et du Maroc vers l’étranger (loi 09-08).
• Une démarche de conformité commune aux deux textes est généralement la plus efficace.

Loi 09-08 et RGPD : le tableau comparatif

	Loi 09-08 (Maroc)	RGPD (Union européenne)
Texte	Loi n° 09-08 promulguée par le dahir n° 1-09-15 du 18 février 2009, et décret n° 2-09-165 du 21 mai 2009	Règlement (UE) 2016/679, applicable depuis le 25 mai 2018
Autorité de contrôle	CNDP (Commission nationale de contrôle de la protection des données à caractère personnel)	L’autorité de chaque État membre (la CNIL en France)
Champ territorial	Responsable établi au Maroc, ou responsable non établi au Maroc qui recourt à des moyens situés au Maroc ; dans ce cas, il doit notifier à la CNDP un représentant installé au Maroc (article 2)	Établissement dans l’Union européenne, ou offre de biens et de services à des personnes situées dans l’Union, ou suivi de leur comportement (article 3)
Logique de conformité	Formalités préalables auprès de la CNDP : déclaration, ou autorisation pour certains traitements (article 12)	Responsabilité de l’entreprise (accountability) : registre des traitements, sans déclaration préalable générale
Base du traitement	Consentement indubitable de la personne, sauf exceptions prévues par la loi : obligation légale, contrat, intérêt vital, mission d’intérêt public, intérêt légitime (article 4)	Six bases légales, dont le consentement, le contrat, l’obligation légale et l’intérêt légitime (article 6)
Droits des personnes	Information, accès, rectification (qui couvre l’actualisation, la rectification, l’effacement et le verrouillage) et opposition (articles 5, 7, 8 et 9)	Information, accès, rectification, effacement, limitation, portabilité, opposition (articles 12 à 22)
Portabilité des données	Non prévue	Prévue (article 20)
DPO	Pas d’obligation de désignation	Obligatoire dans certains cas (article 37)
Violation de données	Pas d’obligation de notification prévue par la loi	Notification à l’autorité dans les 72 heures et, en cas de risque élevé, aux personnes concernées (articles 33 et 34)
Transferts hors du pays	Vers un État assurant un niveau de protection suffisant, ou dans les cas dérogatoires de l’article 44 ; formalités auprès de la CNDP (articles 43 et 44)	Décision d’adéquation, garanties appropriées (par exemple les clauses contractuelles types) ou dérogations (chapitre V)
Sanctions	Sanctions pénales : amendes de 10 000 à 300 000 DH et, pour certaines infractions, jusqu’à un an d’emprisonnement ; amendes doublées pour les personnes morales et en cas de récidive (articles 52 à 66)	Amendes administratives jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83)

Votre entreprise européenne opère au Maroc : quelles règles s’appliquent ?

Vous avez une filiale ou un établissement au Maroc

Les traitements de votre filiale marocaine relèvent de la loi 09-08 : elle doit accomplir ses formalités auprès de la CNDP. Le RGPD peut également s’appliquer aux traitements effectués dans le cadre des activités de votre établissement européen. Les flux de données entre la maison mère et la filiale sont des transferts internationaux à encadrer dans les deux sens.

Vous confiez une activité à un prestataire au Maroc

Centre de relation client, développement informatique, traitement administratif : lorsque des données de personnes situées dans l’Union européenne sont traitées au Maroc, il s’agit d’un transfert hors de l’Union au sens du RGPD. Il doit reposer sur des garanties appropriées, généralement les clauses contractuelles types de la Commission européenne. Le traitement effectué au Maroc doit aussi être analysé au regard de la loi 09-08, qui s’applique notamment lorsqu’un responsable recourt à des moyens situés sur le territoire marocain.

Vous vendez à des clients au Maroc sans y être établi

La situation doit être analysée au cas par cas : selon les moyens utilisés pour le traitement, la loi 09-08 peut s’appliquer, avec l’obligation de notifier un représentant installé au Maroc. Le RGPD continue de s’appliquer à vos traitements réalisés dans le cadre de votre établissement européen.

Les 7 points de vigilance pour une entreprise européenne au Maroc

1. Ne pas considérer que la conformité RGPD suffit. Un registre RGPD ne remplace pas les déclarations et autorisations auprès de la CNDP.
2. Identifier les traitements soumis à autorisation préalable : données sensibles, données génétiques, infractions et condamnations, numéro de la carte d’identité nationale, interconnexions de fichiers (article 12).
3. Notifier un représentant au Maroc lorsque vous n’y êtes pas établi mais y recourez à des moyens de traitement (article 2).
4. Encadrer les transferts dans les deux sens : de l’Union européenne vers le Maroc selon le RGPD, et du Maroc vers l’étranger selon les articles 43 et 44 de la loi 09-08, avec les formalités correspondantes auprès de la CNDP.
5. Aligner l’information des personnes sur les exigences des deux textes, avec des mentions adaptées à chaque public.
6. Vérifier vos pratiques de prospection électronique : la loi 09-08 exige en principe le consentement préalable du destinataire, avec une exception pour les clients et des produits ou services analogues (article 10).
7. Encadrer vos sous-traitants par des contrats qui couvrent la confidentialité, la sécurité et les transferts.

Comment construire une conformité commune RGPD et loi 09-08

1. Une cartographie unique de vos traitements, de vos flux et de vos prestataires, au Maroc et en Europe.
2. Un registre unique, enrichi des formalités CNDP (déclaration, autorisation, transferts) pour chaque traitement concerné.
3. Des règles alignées sur le texte le plus exigeant pour l’information, la base légale, les durées de conservation et la sécurité.
4. Des procédures communes pour les droits des personnes et les incidents, en intégrant les obligations propres à chaque texte, comme la notification sous 72 heures prévue par le RGPD.
5. Une gouvernance durable, que peut structurer une norme comme l’ISO/IEC 27701 : voir notre article ISO/IEC 27701:2025, loi 09-08 et RGPD.

Pour le cas inverse, celui d’une entreprise marocaine concernée par le RGPD, lisez notre guide RGPD au Maroc : quand s’applique-t-il ?

Questions fréquentes

Sources officielles

• Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (CNDP)
• Décret n° 2-09-165 du 21 mai 2009 (CNDP)
• Règlement (UE) 2016/679 (RGPD) (EUR-Lex)
• La CNIL et le RGPD (CNIL)

Besoin d’aligner votre conformité au Maroc et en Europe ?

DataConfo accompagne les entreprises européennes et marocaines dans une conformité commune RGPD et loi 09-08 : cartographie, formalités CNDP, transferts et gouvernance. Découvrez notre accompagnement RGPD au Maroc et à l’international et notre accompagnement à la conformité loi 09-08.