Actualité juridique · Maroc · Protection des données
Pendant longtemps, les entreprises marocaines ont surtout connu la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) comme interlocuteur de conformité : dépôt de déclarations, demandes d’autorisation, pédagogie. Un récent entretien publié par Médias24 résume le basculement en cours : la Commission a « refermé la phase de sensibilisation à la loi 09-08 pour entrer dans celle du contrôle », et joue désormais le rôle de l’« examinateur » là où elle était longtemps l’« enseignant ». Ce basculement ne procède pas d’une réforme de la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, mais de l’usage plus actif de pouvoirs de contrôle et de sanction que ce texte confère à la CNDP depuis son adoption en 2009.
Un changement de posture documenté sur le terrain
Selon les éléments rapportés par Médias24, la Commission a mené, sur ses premières années d’activité, plusieurs centaines d’opérations de contrôle et transmis une dizaine de dossiers à la justice, dont une minorité a été jugée. Le tournant tient surtout à ce que, début 2025, la CNDP a acté le passage à une phase de contrôle ciblé, avec des campagnes sectorielles et des délais stricts plutôt que de simples recommandations ; de grands responsables de traitement ont déjà reçu des avertissements formels et des investigations sont en cours. Concrètement, la Commission attend désormais des audits formels, internes et externes : il ne suffit plus de disposer d’outils de protection, il faut prouver qu’ils sont utilisés au quotidien et produisent un effet réel – journaux des opérations sur les fichiers, dispositifs de prévention des fuites de données, sauvegardes des données sensibles figurant parmi les éléments de preuve recherchés.
Ce virage de pratique s’accompagne d’une attention croissante portée à l’intelligence artificielle. Par communiqué du 18 mars 2025, la CNDP a rappelé que tout système d’IA reposant sur des données à caractère personnel doit respecter les principes de la loi 09-08 – transparence, loyauté, finalité déterminée, proportionnalité, sécurité, droit d’accès et de recours – avec une insistance particulière sur la possibilité pour les citoyens de contester une décision automatisée, ce qui suppose traçabilité et lisibilité des traitements. La Commission a indiqué avoir réalisé un benchmark international et consulté des autorités étrangères, et prévoit d’auditionner experts, organisations professionnelles et société civile en vue d’une délibération-cadre sur l’IA.
Des pouvoirs de contrôle étendus, prévus de longue date par la loi
La loi 09-08 dote la CNDP de prérogatives qui vont bien au-delà du simple enregistrement des déclarations. Ses agents, commissionnés par le président de la Commission, disposent de pouvoirs d’investigation et d’enquête leur permettant d’accéder aux données faisant l’objet d’un traitement, de requérir l’accès direct aux locaux où le traitement est effectué, et de recueillir et saisir toutes les informations et tous documents nécessaires à l’exercice de leur mission de contrôle.
Au-delà de l’investigation, la Commission nationale peut ordonner que lui soient communiqués, dans les délais qu’elle fixe, les documents nécessaires à l’examen des plaintes dont elle est saisie ; ordonner ou faire procéder aux rectifications nécessaires à une tenue loyale des données ; et, plus radicalement, ordonner le verrouillage, l’effacement ou la destruction de données, ou interdire, provisoirement ou définitivement, un traitement de données à caractère personnel – y compris pour des données hébergées sur des serveurs situés sur le territoire national. L’exercice des pouvoirs de communication forcée de documents et de verrouillage, d’effacement, de destruction ou d’interdiction d’un traitement reste subordonné au respect d’une procédure disciplinaire garantissant les droits de la défense, notamment le principe du contradictoire.
La Commission peut également retirer, sans délai, un récépissé de déclaration ou une autorisation lorsqu’il apparaît qu’un traitement porte atteinte à la sûreté ou à l’ordre public ou est contraire à la morale et aux bonnes mœurs.
Un régime de sanctions qui dépasse l’amende administrative
Le volet répressif de la loi 09-08 est dense et ne se limite pas à des amendes symboliques. La mise en œuvre d’un traitement sans la déclaration ou l’autorisation requise expose à une amende de 10 000 à 100 000 dirhams, de même que le fait de poursuivre un traitement malgré le retrait du récépissé ou de l’autorisation. Le refus d’accorder les droits d’accès, de rectification ou d’opposition est sanctionné d’une amende de 20 000 à 200 000 dirhams par infraction.
Plusieurs infractions sont punies cumulativement d’emprisonnement et d’amende : collecte frauduleuse ou déloyale de données, détournement de finalité, conservation au-delà de la durée autorisée, défaut de mesures de sécurité, transfert de données vers l’étranger en violation des articles 43 et 44, ou encore traitement de données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données de santé) sans le consentement exprès des personnes concernées – ce dernier cas pouvant aller jusqu’à deux ans d’emprisonnement et 300 000 dirhams d’amende. Le fait d’entraver les missions de contrôle de la Commission, de refuser de recevoir ses contrôleurs ou de transmettre les documents demandés constitue une infraction autonome punie de trois à six mois d’emprisonnement et de 10 000 à 50 000 dirhams d’amende ; le refus d’appliquer les décisions de la Commission nationale constitue une autre infraction autonome, punie de trois mois à un an d’emprisonnement et de 10 000 à 100 000 dirhams d’amende. Lorsque l’auteur de l’infraction est une personne morale, les peines d’amende sont doublées et des sanctions complémentaires sont possibles, telles que la confiscation partielle des biens ou la fermeture de l’établissement où l’infraction a été commise ; en cas de récidive, toutes les sanctions prévues par la loi sont elles-mêmes portées au double.
Enfin, au-delà de ses propres agents, la CNDP peut transmettre les procès-verbaux constatant une infraction au procureur du Roi dans les cinq (5) jours suivant les opérations de recherche et de constatation – une passerelle directe vers la voie pénale.
Ce que cela change concrètement pour les entreprises
Pour un responsable de traitement établi ou opérant au Maroc, ce changement de posture a une portée pratique immédiate. D’abord, la cohérence documentaire : les déclarations et autorisations déposées auprès de la Commission doivent refléter fidèlement les traitements réellement mis en œuvre, leurs finalités, les catégories de données et de destinataires, ainsi que les transferts envisagés vers l’étranger – toute modification devant être signalée sans délai. Ensuite, la preuve d’effectivité des mesures de sécurité et des contrats de sous-traitance : il ne s’agit plus de cocher une case, mais de documenter l’usage réel des dispositifs de protection, leur insuffisance étant elle-même constitutive d’une infraction autonome. Enfin, la capacité organisationnelle à répondre à un contrôle ou à un audit : un accès effectif aux locaux et aux données doit pouvoir être organisé sans entrave, sous peine de sanction spécifique pour obstruction.
Le traitement de données sensibles ou de données relatives à la santé, la mise en place de dispositifs de prospection commerciale, tout projet de transfert de données hors du Maroc, ainsi que le déploiement de systèmes d’intelligence artificielle utilisant des données personnelles, méritent à ce titre une attention particulière : ce sont les terrains sur lesquels le régime de sanctions est le plus sévère, et ceux où la CNDP annonce désormais des exigences de conformité plus précises.
Cette analyse est présentée à titre informatif et ne constitue pas un avis juridique personnalisé. Chaque situation devant être appréciée au cas par cas selon la nature des traitements de données en cause, les équipes IP-IT – Protection des données personnelles et & cybersécurité d’UGGC Africa se tiennent à votre disposition pour bâtir, avec vous, la stratégie de conformité la mieux adaptée à votre organisation et au droit marocain.
À retenir
Qu’est-ce qui change concrètement dans l’action de la CNDP ?
La Commission passe d’une logique de pédagogie à une phase de contrôle ciblé, avec des campagnes sectorielles, des délais stricts, des avertissements formels et des audits exigeant des preuves concrètes d’effectivité des mesures de protection.
Quels sont les pouvoirs de contrôle de la CNDP ?
Des pouvoirs d’investigation et d’enquête (accès aux locaux et aux données, saisie de documents), le pouvoir d’ordonner des rectifications, et le pouvoir d’ordonner le verrouillage, l’effacement ou la destruction de données ou l’interdiction d’un traitement, sous réserve d’une procédure contradictoire pour les mesures les plus lourdes.
Quelles sont les principales sanctions encourues ?
Des amendes allant de 10 000 à 300 000 dirhams selon l’infraction, pouvant être doublées pour une personne morale ou en cas de récidive, assorties le cas échéant d’un emprisonnement de trois mois à deux ans pour les infractions les plus graves (données sensibles, collecte frauduleuse, transfert illicite à l’étranger).
Quelle portée pratique pour une direction juridique ?
Vérifier la cohérence entre les déclarations/autorisations déposées et les traitements réels, documenter avec des preuves concrètes l’effectivité des mesures de sécurité, cartographier les usages de l’intelligence artificielle impliquant des données personnelles, et préparer en amont l’organisation interne pour répondre à un contrôle ou un audit de la Commission nationale.
Un contrôle ou un audit de la CNDP à préparer ? Contactez l’équipe UGGC Africa