Conformité à la Loi 09-08 et à la CNDP au Maroc : du diagnostic au dépôt

La Loi 09-08 encadre les traitements de données à caractère personnel entrant dans son champ d'application, notamment lorsque le responsable du traitement est établi au Maroc ou lorsque, dans les conditions prévues par l'article 2, des moyens de traitement sont situés sur le territoire marocain. La CNDP est l'autorité nationale chargée de veiller au respect de cette législation et reçoit les déclarations et demandes d'autorisation prévues par la loi. Nous préparons, documentons et déposons ; la CNDP instruit et décide dans le cadre de ses compétences.

1. Cadrage. Définition du périmètre : un traitement précis, un projet, ou l'ensemble de l'organisation. C'est ici que l'on choisit entre accompagnement ponctuel et accompagnement global.
2. Diagnostic des traitements. Recensement des traitements de données personnelles existants ou envisagés : qui collecte quoi, pour quelle finalité, sur quel fondement juridique et dans quelles conditions.
3. Cartographie et analyse. Cartographie détaillée, catégories de données, durées de conservation, destinataires, sous-traitants, transferts éventuels à l'étranger, et analyse de conformité au regard de la Loi 09-08 et des délibérations CNDP applicables.
4. Analyse d'impact (AIPD). Quand elle est nécessaire
   Pour les traitements à risque, nous évaluons les risques pour les personnes concernées et arrêtons les mesures qui les réduisent avant la mise en œuvre. L'analyse documente le dossier présenté à la CNDP, en particulier lorsque le traitement relève de l'autorisation préalable.
5. Plan d'action. Priorisation des chantiers documentaires, techniques et organisationnels à mener, avec estimation de charge et de calendrier.
6. Support à la mise en œuvre. Rédaction des politiques et procédures, sécurisation des traitements, mise en conformité technique et contractuelle, clauses de sous-traitance, mentions d'information, procédures d'exercice des droits.
7. Formalités CNDP. Selon le traitement
   Nous déterminons, traitement par traitement, le régime de formalité applicable auprès de la CNDP : déclaration préalable, autorisation préalable ou, le cas échéant, absence de formalité. L'autorisation préalable ne se limite pas aux seules données sensibles : elle peut notamment être requise dans les cas prévus par l'article 12 de la Loi 09-08, notamment pour certains traitements portant sur des données sensibles, des données relatives aux infractions et condamnations, utilisant le numéro de la CIN, poursuivant une finalité différente de celle de la collecte ou impliquant certaines interconnexions de fichiers. Pour les traitements soumis à notification par finalité, nous préparons et déposons le dossier correspondant, puis suivons la procédure jusqu'à l'obtention du récépissé ou de l'autorisation.
8. Maintien. Pour un accompagnement global : veille réglementaire, mise à jour de la cartographie, formation continue des équipes. Pour une mission ponctuelle : clôture du dossier, avec la possibilité d'évoluer vers un accompagnement global si de nouveaux besoins apparaissent.

• Rapport de diagnostic et cartographie des traitements
• Analyse de conformité au regard de la Loi 09-08 et des délibérations CNDP applicables
• Qualification du régime de formalité, traitement par traitement
• Plan d'action hiérarchisé, avec estimation de charge et calendrier
• Politique de protection des données personnelles et procédures associées
• Mentions d'information et supports de recueil du consentement
• Clauses de sous-traitance et encadrement contractuel des prestataires
• Procédure d'exercice des droits des personnes concernées
• Analyse d'impact, pour les traitements qui la justifient
• Dossiers de déclaration ou de demande d'autorisation déposés auprès de la CNDP
• Procédure de gestion des violations de données
• Plan de sensibilisation et supports de formation des équipes

DataConfo n'est pas la CNDP et ne délivre aucun récépissé ni aucune autorisation : nous préparons, documentons et déposons les dossiers, l'instruction et la décision appartiennent à l'autorité. Nous ne promettons donc jamais une issue, seulement un dossier solide et une procédure suivie. Nous ne vendons pas non plus de documentation générique, un registre recopié ne résiste pas à un contrôle et ne sert jamais l'organisation qui l'achète.

Une conformité ne tient pas sans compétences internes. Partenaire Autorisé PECB, DataConfo dispense des formations certifiantes, dont le parcours Data Protection Officer, en présentiel au Maroc et à distance à l'international. En savoir plus sur notre statut PECB.

La distinction ne dépend pas simplement de l'organisation : elle dépend du traitement et des conditions dans lesquelles il est réalisé. La déclaration préalable constitue le régime applicable aux traitements qui ne sont pas soumis à une autorisation préalable. L'autorisation préalable est notamment requise dans les cas prévus par l'article 12 de la Loi 09-08, notamment pour certains traitements portant sur des données sensibles, des données relatives aux infractions et condamnations, utilisant le numéro de la CIN, poursuivant une finalité différente de celle de la collecte ou impliquant certaines interconnexions de fichiers.

Non. La première étape consiste à identifier les traitements et à déterminer, pour chacun, le régime de formalité applicable. Certaines situations relèvent d'une déclaration, d'autres d'une autorisation préalable et certaines peuvent ne pas être soumises à une formalité préalable. Lorsque la procédure applicable prévoit une notification par finalité, les dossiers sont préparés en conséquence. La conformité ne se réduit donc pas à un dépôt unique couvrant toute l'organisation.

Pour les traitements à risque, nous évaluons les risques pour les personnes concernées et arrêtons les mesures qui les réduisent avant la mise en œuvre. L'analyse documente le dossier présenté à la CNDP, en particulier lorsque le traitement relève de l'autorisation préalable.

C'est un correspondant à la protection des données confié à un prestataire externe plutôt qu'à un poste interne dédié. Il peut notamment accompagner le pilotage de la conformité, les formalités auprès de la CNDP et les relations avec l'autorité, selon le périmètre contractuellement défini. En savoir plus sur l'offre.

Oui, mais le transfert est encadré par les articles 43 et 44 de la Loi 09-08. Il peut notamment être effectué vers un État offrant un niveau de protection suffisant au sens du dispositif marocain. Pour les autres destinations, il faut vérifier si le transfert relève de l'une des situations prévues par l'article 44, notamment certaines hypothèses liées au consentement exprès, à la sauvegarde de la vie, à l'intérêt public, à l'exécution d'un contrat, à un accord international ou à une autorisation expresse et motivée de la CNDP. La procédure applicable doit être vérifiée au cas par cas, notamment lorsque des solutions cloud ou des sous-traitants sont hébergés à l'étranger.

Si votre organisation n'a jamais structuré sa conformité ou traite des données de façon continue et diversifiée, l'accompagnement global évite de traiter les sujets un par un dans l'urgence. Si votre besoin est circonscrit, l'accompagnement ponctuel y répond sans engagement plus large. Un premier échange permet de trancher.

Une organisation qui dispose d'une cartographie à jour, de ses formalités CNDP lorsqu'elles sont requises et de procédures documentées aborde un contrôle avec une meilleure maîtrise de ses obligations et de ses éléments de preuve. Nous accompagnons nos clients dans la préparation et, si besoin, pendant le contrôle lui-même.