RGPD au Maroc : ce que toute entreprise doit savoir pour être réellement conforme
Le RGPD (Règlement général sur la protection des données) est souvent considéré comme une réglementation européenne qui ne concernerait que les entreprises établies dans l’Union européenne. En réalité, certaines entreprises marocaines peuvent également être concernées par ses dispositions.
Une entreprise opérant au Maroc peut ainsi être soumise au RGPD en raison de ses activités avec des personnes situées dans l’Union européenne, tout en restant soumise aux exigences de la loi marocaine n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
La question n’est donc pas simplement de savoir si une entreprise marocaine doit « appliquer le RGPD ». Il faut déterminer quels cadres juridiques lui sont applicables, quels traitements sont concernés et quelles obligations doivent être mises en œuvre.
En bref
- Une entreprise marocaine peut être concernée par le RGPD, notamment si elle vend à des personnes situées dans l’Union européenne, analyse leur comportement, agit comme sous-traitant d’une entreprise européenne ou appartient à un groupe international.
- Un site simplement accessible depuis l’Europe ne suffit pas à rendre le RGPD applicable.
- Le RGPD ne remplace pas la loi 09-08 : les deux cadres peuvent se cumuler.
- Être conforme au RGPD ne dispense pas des formalités auprès de la CNDP (déclaration, autorisation, transferts à l’étranger).
- Une démarche commune RGPD et loi 09-08 est généralement la plus efficace.
Sommaire
- Qu’est-ce que le RGPD ?
- Le RGPD s’applique-t-il aux entreprises marocaines ?
- Dans quels cas une entreprise au Maroc est-elle concernée ?
- RGPD et loi 09-08 : deux cadres juridiques distincts
- Déclaration, autorisation et transferts à l’étranger au Maroc
- Une entreprise conforme au RGPD est-elle automatiquement conforme au Maroc ?
- Quelles sont les sanctions ?
- Comment mettre son entreprise en conformité ?
- Comment DataConfo peut vous accompagner ?
- Se former au RGPD et à la protection des données avec DataConfo Academy
- FAQ : RGPD et protection des données au Maroc
- Conclusion
1. Qu’est-ce que le RGPD ?
Le Règlement général sur la protection des données (RGPD) est le règlement européen relatif à la protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel.
Il encadre notamment :
- la collecte et l’utilisation des données personnelles ;
- les conditions de licéité des traitements ;
- l’information des personnes concernées ;
- leurs droits ;
- la sécurité des données ;
- les relations entre responsables de traitement et sous-traitants ;
- la conservation des données ;
- les analyses d’impact relatives à la protection des données ;
- les transferts de données vers des pays situés en dehors de l’Espace économique européen ;
- ainsi que les responsabilités des organismes qui déterminent les finalités et les moyens des traitements.
Le RGPD repose également sur un principe de responsabilisation (accountability) : l’organisation doit être capable de démontrer qu’elle respecte les exigences qui lui sont applicables.
2. Le RGPD s’applique-t-il aux entreprises marocaines ?
Oui, dans certaines situations.
Le fait qu’une entreprise soit établie au Maroc ne suffit pas à l’exclure du champ d’application du RGPD.
L’article 3 du RGPD prévoit notamment son application à des organismes qui ne sont pas établis dans l’Union européenne lorsque leurs traitements sont liés :
- à l’offre de biens ou de services à des personnes qui se trouvent dans l’Union européenne ;
- ou au suivi du comportement de personnes se trouvant dans l’Union européenne, lorsque ce comportement a lieu dans l’Union.
Il faut donc examiner concrètement l’activité de l’entreprise et les traitements qu’elle réalise.
Pour vérifier directement les informations officielles relatives au RGPD, vous pouvez consulter la documentation de la CNIL – Règlement général sur la protection des données.
Attention : un site accessible en Europe ne suffit pas
Une entreprise marocaine ne devient pas automatiquement soumise au RGPD simplement parce que son site Internet est accessible depuis la France, l’Espagne ou un autre pays européen.
L’accessibilité du site ne suffit pas, à elle seule, à démontrer une offre de biens ou de services ciblant des personnes dans l’Union européenne.
Il faut rechercher des éléments permettant d’établir une véritable intention de cibler ce marché.
3. Dans quels cas une entreprise au Maroc est-elle concernée ?
Plusieurs situations peuvent conduire une entreprise marocaine à entrer dans le champ du RGPD.
3.1. Une entreprise marocaine vend à des clients dans l’Union européenne
Une entreprise installée au Maroc qui commercialise intentionnellement des produits ou services auprès de personnes situées dans l’Union européenne peut être concernée par l’article 3 du RGPD.
Cela peut notamment concerner :
- le commerce électronique ;
- les plateformes numériques ;
- les services professionnels ;
- les services touristiques ;
- certaines formations en ligne ;
- certaines applications et solutions SaaS.
3.2. Une entreprise analyse le comportement de personnes dans l’Union européenne
Le RGPD peut également s’appliquer lorsqu’une organisation située hors de l’Union européenne réalise un suivi du comportement de personnes qui se trouvent dans l’Union.
Cela peut notamment concerner certaines activités de :
- profilage ;
- analyse comportementale ;
- suivi en ligne ;
- personnalisation des services ou contenus.
3.3. Une entreprise marocaine agit comme sous-traitant
Une entreprise marocaine peut également intervenir comme sous-traitant pour le compte d’une organisation soumise au RGPD.
Il faut alors analyser concrètement le traitement réalisé, le rôle de chaque partie et le lien entre ce traitement et les activités relevant du RGPD.
3.4. Une filiale marocaine appartient à un groupe international
L’appartenance à un groupe international peut également créer des flux de données, des obligations contractuelles et des exigences de gouvernance particulières.
Cependant, il ne faut pas conclure que tous les traitements réalisés au Maroc sont automatiquement soumis au RGPD simplement parce que la société appartient à un groupe européen.
La qualification doit être réalisée traitement par traitement.
4. RGPD et loi 09-08 : deux cadres juridiques distincts
Au Maroc, la protection des données personnelles repose notamment sur la loi n° 09-08. Pour une comparaison point par point, consultez notre tableau comparatif loi 09-08 et RGPD.
Cette loi a été promulguée par le Dahir n° 1-09-15 du 18 février 2009. Elle encadre les traitements de données à caractère personnel et prévoit notamment des obligations relatives à la finalité, à la proportionnalité, à la qualité des données, à la sécurité et aux droits des personnes.
Vous pouvez consulter directement le texte officiel de la loi sur le site de la CNDP – Loi n° 09-08.
Le RGPD et la loi 09-08 présentent certaines similitudes, mais ils constituent deux cadres juridiques distincts.
Les deux réglementations peuvent se cumuler
Une entreprise marocaine qui entre dans le champ du RGPD et qui réalise parallèlement des traitements soumis à la loi 09-08 doit analyser les exigences des deux cadres.
Il ne faut donc pas raisonner ainsi :
« Nous sommes conformes au RGPD, donc nous sommes automatiquement conformes au Maroc. »
La bonne approche consiste à identifier les obligations applicables dans chaque juridiction et à mettre en place un dispositif permettant de satisfaire aux exigences cumulatives lorsqu’elles s’appliquent.
Une différence importante : les formalités CNDP
La loi 09-08 prévoit un régime de déclaration préalable et, pour certains traitements, un régime d’autorisation préalable.
La CNDP rappelle notamment les obligations relatives à la finalité, à la proportionnalité et à la qualité des données.
Cette logique de formalités auprès de l’autorité de contrôle distingue notamment le cadre marocain du RGPD, qui ne repose pas sur une obligation générale de déclaration préalable de chaque traitement à l’autorité de contrôle.
5. Déclaration, autorisation et transferts à l’étranger au Maroc
Pour une entreprise opérant au Maroc, la conformité ne se limite pas à la rédaction d’une politique de confidentialité.
Il faut déterminer, traitement par traitement, les obligations et formalités applicables.
5.1. La déclaration préalable
La CNDP prévoit notamment des formalités de déclaration préalable pour les traitements qui ne relèvent pas d’une exemption ou du régime de l’autorisation préalable.
La déclaration permet notamment de communiquer à la CNDP les caractéristiques du traitement concerné.
5.2. L’autorisation préalable
Certains traitements relèvent d’un régime d’autorisation préalable.
Il peut notamment s’agir de traitements portant sur certaines catégories particulières de données ou présentant certaines caractéristiques prévues par la loi 09-08.
Il est donc important de ne pas appliquer mécaniquement la même procédure à tous les traitements.
5.3. Les transferts de données à l’étranger
Le transfert de données personnelles depuis le Maroc vers un autre pays constitue également un point majeur de conformité.
La CNDP prévoit une procédure spécifique pour les transferts à l’étranger.
Une entreprise utilisant un logiciel SaaS, un hébergeur, une plateforme marketing, un CRM ou un autre prestataire situé hors du Maroc doit donc analyser les flux de données concernés.
Il faut notamment identifier :
- les données transférées ;
- la finalité du transfert ;
- le destinataire ;
- le pays de destination ;
- le rôle du fournisseur ;
- les garanties contractuelles ;
- et les formalités CNDP applicables.
Pour les informations officielles sur les formalités et les transferts, consultez directement la CNDP – Formalités relatives à la protection des données.
Exemple concret
Une entreprise marocaine utilise une solution SaaS dont les données sont hébergées ou accessibles depuis l’étranger.
Elle devra notamment se demander :
- Quelles données personnelles sont concernées ?
- Pour quelles finalités sont-elles traitées ?
- Dans quel pays sont-elles hébergées ou accessibles ?
- Qui est le fournisseur ?
- Le fournisseur agit-il comme sous-traitant ?
- Quel contrat encadre le traitement ?
- Quelles garanties sont prévues ?
- Quelles formalités CNDP sont nécessaires ?
Le simple fait qu’un fournisseur soit international ne suffit donc pas à établir la conformité du transfert.
6. Une entreprise conforme au RGPD est-elle automatiquement conforme au Maroc ?
Non.
Une démarche RGPD constitue souvent une excellente base de travail, mais elle ne permet pas à elle seule de conclure à la conformité à la loi 09-08.
Une organisation ayant déjà structuré son programme RGPD peut toutefois réutiliser de nombreux éléments :
- cartographie des traitements ;
- registre des traitements ;
- procédures relatives aux droits ;
- contrats avec les sous-traitants ;
- mesures de sécurité ;
- politique de conservation ;
- analyse des risques ;
- gouvernance ;
- documentation interne.
L’objectif sera alors de réaliser une analyse des écarts entre les exigences applicables au titre du RGPD et celles de la loi 09-08.
Une approche intégrée est généralement plus efficace
Plutôt que de créer deux systèmes indépendants, une organisation internationale peut construire un socle commun de gouvernance et identifier ensuite :
- les exigences communes ;
- les exigences spécifiques au Maroc ;
- les exigences spécifiques au RGPD ;
- les formalités CNDP ;
- les obligations relatives aux transferts ;
- les adaptations contractuelles nécessaires.
C’est précisément dans cette logique que DataConfo intervient : relier cadre juridique, gouvernance, procédures et système de management, plutôt que produire uniquement des documents isolés.
7. Quelles sont les sanctions ?
7.1. Sanctions prévues par le RGPD
Le RGPD prévoit, selon la nature du manquement, des amendes administratives pouvant atteindre :
- 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, pour certaines catégories de violations ;
- 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, pour les violations les plus graves visées par le règlement.
Le montant effectivement retenu dépend notamment de la nature, de la gravité et des circonstances du manquement.
7.2. Sanctions prévues par la loi 09-08
La loi marocaine prévoit différents niveaux de sanctions selon l’infraction.
Il est donc incorrect de présenter une seule fourchette comme si elle s’appliquait à toutes les violations.
La CNDP publie notamment une présentation des infractions et sanctions prévues par la loi 09-08.
Les sanctions peuvent concerner notamment :
- l’absence de déclaration ou d’autorisation requise ;
- le non-respect de certains droits ;
- certains traitements illicites ;
- l’absence de mesures de sécurité ;
- certains transferts illicites à l’étranger ;
- l’obstruction aux missions de la CNDP ;
- le non-respect de certaines décisions de la Commission.
La conformité doit donc être abordée comme un dispositif de prévention et de maîtrise des risques, et non uniquement comme une réponse aux sanctions.
8. Comment mettre son entreprise en conformité ?
La conformité ne devrait pas commencer par la rédaction d’une politique de confidentialité.
Elle devrait commencer par une compréhension précise des traitements réellement effectués.
Étape 1 — Identifier les activités et processus
Analyser les activités de chaque direction ou service afin d’identifier les processus impliquant des données personnelles.
Étape 2 — Cartographier les données
Identifier notamment :
- quelles données sont collectées ;
- auprès de qui ;
- pourquoi ;
- où elles sont stockées ;
- qui y accède ;
- avec qui elles sont partagées ;
- combien de temps elles sont conservées ;
- vers quels pays elles sont éventuellement transférées.
Étape 3 — Cartographier les traitements
Pour chaque traitement, documenter notamment :
- la finalité ;
- les personnes concernées ;
- les catégories de données ;
- les destinataires ;
- les outils utilisés ;
- les sous-traitants ;
- les durées de conservation ;
- les transferts éventuels.
Étape 4 — Identifier les formalités CNDP
Pour chaque traitement, déterminer s’il relève :
- d’une déclaration ;
- d’une autorisation préalable ;
- d’une exemption ;
- d’une formalité relative à un transfert à l’étranger.
Étape 5 — Organiser les droits des personnes
Prévoir des procédures permettant de gérer les demandes d’accès, de rectification, d’opposition et les autres droits applicables.
Étape 6 — Encadrer les sous-traitants
Identifier les fournisseurs qui traitent des données personnelles et encadrer leurs obligations contractuelles.
Étape 7 — Sécuriser les données
Mettre en œuvre des mesures de sécurité adaptées aux risques :
- gestion des habilitations ;
- contrôle des accès ;
- confidentialité ;
- protection des systèmes ;
- sauvegarde ;
- gestion des incidents.
Étape 8 — Mettre en place une gouvernance durable
La conformité ne doit pas être considérée comme un projet ponctuel.
Elle doit être suivie dans le temps, avec des responsabilités clairement définies, des procédures, des contrôles et une actualisation régulière du dispositif.
9. Comment DataConfo peut vous accompagner ?
La conformité RGPD et loi 09-08 ne se résume pas à produire quelques documents.
DataConfo accompagne les organisations dans la structuration opérationnelle de leur conformité, au Maroc et à l’international.
Conformité à la loi 09-08 & CNDP
Pour les organisations opérant au Maroc, l’accompagnement peut couvrir :
- diagnostic ;
- cartographie des traitements ;
- analyse des écarts ;
- plan d’action ;
- procédures ;
- supports d’information ;
- préparation des dossiers CNDP ;
- accompagnement des déclarations et autorisations ;
- analyse des transferts à l’étranger.
Découvrir l’accompagnement Loi 09-08 & CNDP
Accompagnement RGPD & international
Pour les organisations travaillant avec l’Union européenne, DataConfo peut intervenir sur :
- l’analyse de l’applicabilité du RGPD ;
- l’audit de conformité ;
- l’analyse des écarts ;
- la gouvernance des données ;
- les relations avec les sous-traitants ;
- les transferts internationaux ;
- la préparation et le suivi du plan d’action.
Découvrir l’accompagnement RGPD de DataConfo
DPO externalisé
Lorsqu’une organisation souhaite disposer d’une compétence dédiée sans nécessairement créer un poste permanent, DataConfo propose également une fonction DPO externalisée. Voir notre guide sur le rôle du DPO au Maroc.
L’accompagnement peut notamment couvrir :
- le suivi du registre ;
- les demandes d’exercice des droits ;
- les analyses d’impact ;
- l’encadrement des sous-traitants ;
- la gouvernance ;
- le suivi de conformité ;
- le rôle de point de contact.
Découvrir le service DPO externalisé
Aller au-delà de la conformité documentaire
Pour les organisations souhaitant structurer durablement leur système de management, DataConfo intervient également sur des référentiels tels que :
- ISO/IEC 27701 ;
- ISO/IEC 27001 ;
- ISO/IEC 42001 ;
- ISO 56001.
L’objectif est de transformer une obligation réglementaire en système de management structuré, mesurable et auditable.
Découvrir les expertises DataConfo
10. Se former au RGPD et à la protection des données avec DataConfo Academy
La conformité ne peut pas reposer uniquement sur un consultant externe.
Les équipes internes doivent également comprendre leurs responsabilités et être capables d’appliquer les procédures au quotidien.
C’est le rôle de DataConfo Academy, l’activité de formation de DataConfo dédiée notamment à la protection des données, à la cybersécurité, à la gouvernance de l’IA et aux systèmes de management.
Le catalogue comprend notamment des parcours en :
- GDPR Foundation ;
- DPO / Certified Data Protection Officer ;
- CDPO aligné sur le référentiel CNIL ;
- ISO/IEC 27701 Lead Implementer ;
- ISO/IEC 27701 Lead Auditor ;
- ainsi que d’autres formations en sécurité, IA, gouvernance et management.
Découvrir le catalogue DataConfo Academy
Pour les professionnels souhaitant approfondir spécifiquement le management de la protection de la vie privée, le parcours ISO/IEC 27701 Lead Implementer permet notamment de travailler sur la mise en œuvre d’un système de management de l’information relative à la vie privée.
Découvrir la formation ISO/IEC 27701 Lead Implementer
Les formations peuvent être proposées en autoformation, en classe virtuelle ou en présentiel, selon le programme et les modalités disponibles.
11. FAQ : RGPD et protection des données au Maroc
Le RGPD s’applique-t-il automatiquement à toutes les entreprises marocaines ?
Non.
L’entreprise doit être analysée au regard du champ territorial du RGPD, notamment les critères prévus par l’article 3.
Une entreprise marocaine qui vend en Europe peut-elle être soumise au RGPD ?
Oui, potentiellement.
Lorsque son activité constitue une offre de biens ou de services ciblant des personnes qui se trouvent dans l’Union européenne, le RGPD peut être applicable.
Un site marocain accessible depuis la France est-il automatiquement soumis au RGPD ?
Non.
La simple accessibilité du site depuis l’Union européenne ne suffit pas, à elle seule, à établir l’application du RGPD.
La loi 09-08 est-elle le « RGPD marocain » ?
Il est préférable d’éviter cette formulation.
La loi 09-08 constitue le cadre marocain de protection des données à caractère personnel. Le RGPD constitue le cadre européen.
Les deux présentent certaines similitudes, mais leurs mécanismes et leurs obligations ne sont pas identiques.
Si mon entreprise est conforme au RGPD, dois-je encore effectuer des démarches auprès de la CNDP ?
Cela peut être nécessaire.
La conformité au RGPD ne dispense pas automatiquement une entreprise soumise à la loi 09-08 de respecter les formalités prévues par le droit marocain.
Le stockage des données dans un cloud étranger constitue-t-il un sujet de conformité ?
Oui.
Il faut déterminer où les données sont hébergées ou accessibles et analyser les éventuels transferts internationaux au regard des règles applicables.
Une politique de confidentialité suffit-elle pour être conforme ?
Non.
Elle ne constitue qu’un élément du dispositif.
Une démarche complète doit également couvrir les traitements, les formalités, les droits des personnes, les contrats, les sous-traitants, la sécurité, la conservation, les transferts et la gouvernance.
Peut-on mettre en place une conformité commune RGPD + loi 09-08 ?
Oui.
Dans de nombreux projets internationaux, il est pertinent de construire un socle commun de gouvernance et d’effectuer ensuite une analyse des exigences spécifiques à chaque cadre juridique.
12. Conclusion
Pour une entreprise opérant au Maroc, la question du RGPD doit être abordée avec méthode.
La première étape consiste à déterminer si le RGPD est applicable au regard de la situation concrète de l’organisation. Il faut ensuite identifier les obligations découlant de la loi 09-08, notamment celles relatives aux traitements, aux formalités CNDP, aux droits des personnes, à la sécurité et aux transferts à l’étranger.
Une organisation peut donc avoir à respecter à la fois les exigences européennes et marocaines lorsque les deux cadres sont applicables.
La conformité efficace ne consiste finalement pas à accumuler des documents.
Elle consiste à savoir :
quelles données sont traitées, pourquoi elles le sont, où elles circulent, qui y accède, combien de temps elles sont conservées et comment les personnes concernées sont protégées.
C’est cette approche qui permet de passer d’une conformité simplement déclarative à une conformité structurée, opérationnelle et démontrable.
Besoin d’évaluer votre situation ?
DataConfo peut vous accompagner pour déterminer si votre organisation est concernée par la loi 09-08, le RGPD ou les deux, identifier les écarts et construire un plan de mise en conformité adapté.
Demander un diagnostic à DataConfo
Sources officielles à consulter
- CNDP – Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel
- CNIL – Commission Nationale de l’Informatique et des Libertés
- Documentation interne de référence relative à la mise en conformité à la loi 09-08.
Article à caractère informatif : l’analyse de l’applicabilité du RGPD et de la loi 09-08 doit être réalisée au regard de la situation concrète de chaque organisme, de ses traitements, de ses flux de données et de ses relations contractuelles.
Premier échange
Un enjeu similaire dans votre organisation ?
Trente minutes pour cadrer votre situation — sans engagement.