Loi 09-08 et site web : la checklist CNDP pour les entreprises marocaines

Un formulaire de contact, un module de réservation, Google Analytics, un Pixel Meta, une inscription à la newsletter : dès que votre site propose l’un de ces éléments, il collecte des données à caractère personnel. Il relève alors de la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, et du contrôle de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel).

Ce guide explique ce que cela implique pour le site d’une petite entreprise. Chaque règle renvoie au texte officiel ; ce que nous n’avons pas pu vérifier est signalé.

Ce que la loi 09-08 exige, en résumé#

Du texte de la loi 09-08 (Dahir n° 1-09-15 du 18 février 2009), retenez pour un site web :

La donnée personnelle est une notion large : toute information sur une personne identifiable, « y compris le son et l’image » (article 1). Le nom et le téléphone d’un formulaire de réservation en font partie.
La loi s’applique à vous dès lors que votre entreprise est établie au Maroc (article 2).
Cinq règles de qualité (article 3) : collecte loyale et licite, finalité déterminée, données limitées au nécessaire, exactes, et conservées pas plus longtemps que nécessaire.
Le consentement est la règle (article 4). Parmi les exceptions : le traitement nécessaire à l’exécution d’un contrat ou de mesures précontractuelles prises à la demande de la personne. Répondre à une demande de réservation entre dans ce cadre. Inscrire cette personne à votre liste promotionnelle, non.

Étape 1 : déclarer le traitement à la CNDP avant de commencer#

Selon l’article 12, tout traitement de données personnelles doit faire l’objet :

d’une déclaration préalable, dans le cas général ;
d’une autorisation préalable lorsqu’il porte sur des données sensibles (dont les données de santé), sur le numéro de la carte d’identité nationale (CIN), sur l’utilisation des données à d’autres fins que celles de la collecte, ou sur l’interconnexion de fichiers.

Le récépissé de déclaration est délivré sous 24 heures, et le traitement peut démarrer dès sa réception (article 19). En cas de dangers manifestes, la CNDP peut imposer l’autorisation dans les huit jours (article 20). Pour les autorisations et les transferts, la procédure de notification de la CNDP prévoit un délai de deux mois, renouvelable une fois.

Pour les traitements courants, la CNDP a publié des modèles qui allègent la démarche :

Votre site…	Texte de la CNDP	Régime
tient un fichier clients (réservations, commandes, factures)	Délibération 32-2015	Déclaration type
vend des biens ou services en ligne	Délibération 508-AU-2014	Déclaration type
dépose des cookies	Délibération D-939-2025	Déclaration simplifiée
envoie une newsletter	Délibération D-940-2025	Déclaration simplifiée
gère des rendez-vous médicaux et le suivi des patients	Délibération D-941-2025	Demande d’autorisation type

Les formulaires sont sur le site de la CNDP : F211 (déclaration normale), F214 (déclaration conformément à une décision), F112 et F113 (autorisation préalable), F118 (transfert à l’étranger). Les délibérations de 2025 citent aussi une plateforme « CNDP-FORMS », dont nous n’avons pas trouvé de lien public.

Étape 2 : informer les personnes (mention d’information et politique de confidentialité)#

L’article 5 impose d’informer la personne, avant la collecte et de manière expresse, précise et non équivoque :

de l’identité du responsable du traitement ;
des finalités du traitement ;
des destinataires, du caractère obligatoire ou facultatif des réponses, et de l’existence d’un droit d’accès et de rectification ;
des caractéristiques du récépissé de déclaration ou de l’autorisation délivrés par la CNDP.

Les documents de collecte doivent contenir ces informations (article 5, paragraphe 2) : sur un site, une courte mention sous chaque formulaire, avec un lien vers une page « Confidentialité ». La CNDP publie des mentions types.

Étape 3 : cookies, Google Analytics et Pixel Meta#

Le 28 novembre 2025, la CNDP a adopté son premier texte sur les cookies, la délibération D-939-2025 :

Finalités autorisées : publicité personnalisée selon le navigateur ou la localisation, personnalisation du contenu, partage sur les réseaux sociaux, mesure d’audience, toujours sans établir de profil personnel. Le profilage exige une autorisation préalable.
Consentement avant le premier dépôt pour les cookies de publicité personnalisée et de partage sur les réseaux sociaux. Il doit résulter d’une « action claire et explicite », et l’internaute doit pouvoir refuser.
Pas de consentement préalable exigé par cette délibération pour la mesure d’audience et la personnalisation du contenu, tant qu’aucun profil n’est établi.
Six mois au maximum : les données issues des cookies sont supprimées ou anonymisées après six mois, et le choix de l’internaute est conservé six mois au plus.
Information avant le premier cookie : identité du responsable, finalités, données collectées, destinataires et transferts, contact pour les droits, références des récépissés.
Sites existants : mise en conformité et déclaration simplifiée obligatoires.

Concrètement, le Pixel Meta sert à la publicité : il exige le consentement. Google Analytics relève de la mesure d’audience, dispensée de consentement par D-939-2025, mais l’ancien modèle « vente en ligne » (508-AU-2014, article 8) demande aux sites marchands d’obtenir le consentement pour la métrique web. Les textes divergent : la solution prudente est une bannière qui bloque les deux outils jusqu’à l’acceptation. Reste une question que le texte ne tranche pas : les audiences de Meta constituent-elles un « profil personnel » au sens de D-939-2025 ?

Étape 4 : les transferts de données à l’étranger#

Hébergement à l’étranger, Google Analytics, Pixel Meta, outils d’e-mailing : les données sortent du pays. L’article 43 n’autorise le transfert que vers un État assurant un niveau de protection suffisant. La liste de la CNDP (délibération 236-2015) comprend 26 pays de l’Union européenne (la Croatie n’y figure pas) ainsi que le Royaume-Uni, la Suisse, la Norvège, l’Islande, le Liechtenstein et le Canada. Les États-Unis n’y figurent pas. Même vers un pays de la liste, la délibération précise que le transfert doit être notifié à la CNDP.

Vers les autres pays, l’article 44 admet le transfert avec le consentement exprès de la personne, pour quelques besoins limités (comme l’exécution d’un contrat avec elle) ou sur autorisation expresse de la CNDP fondée notamment sur des clauses contractuelles. D-939-2025 et D-940-2025 exigent une autorisation préalable pour transférer à l’étranger les données des cookies et des newsletters. La demande passe par le formulaire F118, une fois le traitement principal déclaré ou autorisé.

Étape 5 : respecter les droits des personnes#

Droit d’accès (article 7) : gratuit, sans délai, à intervalles raisonnables.
Droit de rectification (article 8) : sans frais, dans un délai franc de dix jours. En cas de refus ou de silence, la personne peut saisir la CNDP.
Droit d’opposition (article 9) : pour motifs légitimes, et toujours sans frais pour la prospection.
Prospection par e-mail (article 10) : consentement préalable obligatoire, sauf pour vos clients existants, pour des produits ou services analogues, s’ils peuvent s’y opposer à chaque envoi.

Pour la newsletter, D-940-2025 impose une case à cocher, un lien de désabonnement dans chaque message, des données limitées (nom, fonction, adresse) et leur suppression au désabonnement.

Étape 6 : sécuriser les données#

L’article 23 impose des mesures de sécurité adaptées aux risques et un contrat écrit avec tout sous-traitant (hébergeur, agence web, logiciel de réservation). Au minimum : HTTPS, un compte par collaborateur, des sauvegardes et ce contrat.

Cliniques et écoles : les données sensibles#

Cliniques. Les données de santé sont des données sensibles (article 1). Leur traitement exige une autorisation de la CNDP (article 12) et le consentement exprès du patient (article 21). Un formulaire de rendez-vous qui demande le « motif de consultation » collecte des données de santé. La délibération D-941-2025 propose un modèle de demande d’autorisation qui couvre notamment la prise de rendez-vous médicaux.

Écoles. La loi 09-08 ne contient pas d’article consacré aux mineurs, et nous n’avons trouvé aucune délibération de la CNDP propre aux établissements scolaires. Les données d’un élève ne sont pas « sensibles » en elles-mêmes, mais une fiche sanitaire (allergies, vaccins) l’est, et les photos sont des données personnelles. Recueillir l’accord écrit des parents est une pratique courante, mais nous n’avons pas trouvé de texte qui l’impose expressément.

Mentions légales : ce que le droit marocain demande#

Il n’existe pas au Maroc de texte unique sur les « mentions légales ». Deux lois s’appliquent si vous vendez ou prenez des réservations en ligne :

Loi 31-08, article 29 (texte, ministère de la Justice) : l’offre de vente à distance indique le nom ou la dénomination sociale, le téléphone, l’adresse électronique et physique, le siège social et, pour le cybercommerçant, le numéro d’immatriculation au registre de commerce (RC) et le capital, l’identifiant fiscal s’il est assujetti à la TVA, et le cas échéant la licence ou l’ordre professionnel. S’y ajoutent livraison, droit de rétractation, paiement et validité de l’offre. Article 30 : les conditions contractuelles doivent être accessibles depuis la page d’accueil et acceptées expressément avant la confirmation de la commande.
Loi 53-05 (version consolidée), qui a inséré l’article 65-4 dans le Dahir des obligations et contrats : conditions contractuelles disponibles d’une manière permettant leur conservation et leur reproduction, étapes de conclusion du contrat, moyens de corriger les erreurs de saisie, langues proposées, modalités d’archivage.

L’ICE (Identifiant Commun de l’Entreprise) n’est pas cité à l’article 29. Nous n’avons pas trouvé de texte qui impose de l’afficher sur un site, même si beaucoup d’entreprises le font.

Les sanctions prévues par la loi 09-08#

10 000 à 100 000 DH

d’amende pour la mise en œuvre d’un fichier de données personnelles sans la déclaration ou l’autorisation exigée.

Source: Loi 09-08, article 52 (B.O. n° 5714, 2009)

Autres sanctions : 20 000 à 200 000 DH par infraction pour refus des droits d’accès, de rectification ou d’opposition (article 53) ; trois mois à un an d’emprisonnement et/ou 20 000 à 200 000 DH pour un traitement sans consentement valable (article 56), un défaut de sécurité (article 58) ou un transfert illicite (article 60) ; 50 000 à 300 000 DH pour des données sensibles sans consentement exprès (article 57). Pour une personne morale, les amendes sont doublées et la fermeture de l’établissement peut être prononcée (article 64). La récidive double les peines (article 65).

Une réforme de la loi 09-08 est-elle en cours ?#

Une mise à jour de la loi, souvent pour la rapprocher du RGPD, est évoquée depuis des années. Début novembre 2026, nous n’avons trouvé aucun projet de loi de remplacement adopté ni publié par le gouvernement ou le Parlement ; les évolutions récentes passent par les délibérations de la CNDP. La loi 09-08 reste en vigueur. Suivez cndp.ma.

Checklist pour votre site#

Recensez les points de collecte (formulaires, réservation, newsletter, cookies, pixels) et le régime de chacun : déclaration, déclaration simplifiée ou autorisation.
Déposez auprès de la CNDP avant la mise en ligne et notez chaque numéro de récépissé.
Ajoutez une mention d’information sous chaque formulaire, avec la référence du récépissé.
Publiez une page « Confidentialité et cookies » conforme à l’article 5 et à D-939-2025.
Installez une bannière qui bloque le Pixel Meta et la mesure d’audience jusqu’à l’acceptation, avec un bouton « Refuser » visible.
Réglez la conservation des données d’audience sur six mois au plus.
Identifiez où partent vos données (hébergeur, Google, Meta, outil d’e-mailing) et déposez le formulaire F118 pour les transferts à l’étranger.
Newsletter : case non cochée par défaut et lien de désabonnement dans chaque e-mail.
Donnez une adresse unique pour les demandes d’accès, de rectification et d’opposition, et répondez sous dix jours.
Signez un contrat de protection des données avec votre hébergeur et votre prestataire web.
Cliniques : demandez l’autorisation avant de prendre des rendez-vous en ligne. Écoles : recueillez l’accord des parents.
Vente ou réservation en ligne : affichez les informations et les conditions exigées par la loi 31-08.

FAQ#

Faut-il déclarer un simple formulaire de contact à la CNDP ?#

Selon l’article 12, tout traitement de données personnelles doit être déclaré, sauf s’il relève de l’autorisation. Un formulaire qui enregistre des noms et des numéros de téléphone est un traitement. S’il alimente un fichier clients, la délibération 32-2015 vous sert de modèle.

Google Analytics est-il autorisé au Maroc ?#

Oui, dans le cadre de D-939-2025 : pas de profilage, conservation de six mois, information claire et déclaration. Les données partent chez Google hors du Maroc : les règles sur les transferts s’appliquent donc aussi.

Le RGPD européen me concerne-t-il ?#

Cela peut être le cas. Selon l’article 3, paragraphe 2, du RGPD, il s’applique aux entreprises hors UE qui proposent des biens ou des services à des personnes dans l’Union. Un riad qui reçoit des réservations de touristes européens a intérêt à s’y pencher.