Loi 09-08 sur la protection des données personnelles au Maroc : le guide complet
Domaine d'activité: Droit des contrats & transactions commerciales
Par Zakaria Korte, Korte Law en association avec Amereller
En bref : La loi n° 09-08 (dahir n° 1-09-15 du 18 février 2009) encadre les traitements de données personnelles d'un responsable établi au Maroc, ou d'un responsable qui recourt à des moyens de traitement situés au Maroc. Avant sa mise en œuvre, tout traitement doit être déclaré à la CNDP ou, dans certains cas, autorisé par elle (art. 12). Traiter sans formalité est puni d'une amende de 10 000 à 100 000 DH (art. 52). Traiter des données sensibles sans consentement exprès est puni de 3 mois à 1 an d'emprisonnement et/ou de 50 000 à 300 000 DH d'amende (art. 57). Pour une personne morale, les amendes sont doublées (art. 64). État du droit au 19 octobre 2026.
Une question de protection des données ou de déclaration à la CNDP pour votre entreprise au Maroc ? Un associé vous répond sous un jour ouvré →
Que dit la loi 09-08 ?
La loi 09-08 protège les personnes physiques à l'égard du traitement de leurs données à caractère personnel. Elle a été promulguée par le dahir n° 1-09-15 du 18 février 2009 et publiée au Bulletin officiel n° 5714 du 5 mars 2009. Elle pose des principes, accorde des droits aux personnes, soumet les traitements à des formalités, crée la CNDP et prévoit des sanctions pénales.
L'article 1er pose d'abord une règle générale. L'informatique est au service du citoyen. Elle ne doit pas porter atteinte à l'identité, aux droits et aux libertés collectives ou individuelles de l'Homme. Le décret n° 2-09-165 du 21 mai 2009 fixe les modalités d'application. Il traite notamment de la procédure devant la CNDP. La loi comprend 8 chapitres et 67 articles.
Quelles sont les définitions clés (art. 1) ?
Une donnée personnelle est toute information, de quelque nature qu'elle soit, concernant une personne physique identifiée ou identifiable, directement ou indirectement (art. 1-1). La notion couvre expressément le son et l'image.
| Notion | Contenu (art. 1 de la loi 09-08) |
|---|---|
| Traitement | Toute opération, automatisée ou non : collecte, enregistrement, conservation, consultation, communication, interconnexion, verrouillage, effacement ou destruction (art. 1-2) |
| Données sensibles | Données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ou qui concernent la santé, y compris les données génétiques (art. 1-3) |
| Responsable du traitement | Celui qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement (art. 1-5) |
| Sous-traitant | Celui qui traite les données pour le compte du responsable (art. 1-6) |
| Consentement | Manifestation de volonté libre, spécifique et informée (art. 1-9) |
À qui s'applique la loi (art. 2) ?
La loi s'applique à tout responsable établi au Maroc. Un responsable qui exerce une activité au Maroc dans le cadre d'une installation y est réputé établi, quelle que soit la forme juridique de cette installation (art. 2-2-a). Une succursale ou un bureau de liaison est une telle installation. Une filiale marocaine est elle-même un responsable établi au Maroc.
La loi vise aussi un responsable non établi au Maroc qui recourt à des moyens de traitement situés sur le territoire marocain (art. 2-2-b). Elle ne s'applique pas aux moyens utilisés à de seules fins de transit sur le territoire marocain ou sur celui d'un État à la législation reconnue équivalente. Ce responsable doit notifier à la CNDP l'identité d'un représentant installé au Maroc, qui se substitue à lui (art. 2-3).
La loi exclut plusieurs traitements (art. 2-4). Elle exclut les traitements à des fins exclusivement personnelles ou domestiques. Elle exclut aussi les traitements liés à la défense nationale et à la sécurité intérieure ou extérieure de l'État. Les traitements de prévention et de répression des crimes et délits suivent le texte qui les crée, après avis de la CNDP. Les données recueillies en application d'une législation particulière sont également exclues.
Quels principes s'imposent aux données (art. 3) ?
Les données doivent être traitées loyalement et licitement, pour des finalités déterminées, explicites et légitimes (art. 3-1). Elles doivent être adéquates, pertinentes et non excessives. Elles doivent être exactes. Elles sont conservées pendant une durée limitée (art. 3-1-e). La CNDP peut autoriser une conservation plus longue à des fins historiques, statistiques ou scientifiques (art. 3-2).
L'article 3 fonde des poursuites pénales. Collecter des données de façon frauduleuse, déloyale ou illicite, ou les traiter pour une autre finalité, en violation des a), b) et c) de l'article 3, est puni de 3 mois à 1 an d'emprisonnement et/ou de 20 000 à 200 000 DH d'amende (art. 54). Conserver les données en violation du e) de l'article 3 est puni des mêmes peines (art. 55).
Faut-il toujours un consentement (art. 4) ?
Non. Le consentement indubitable de la personne est la règle. L'article 4 admet cinq exceptions :
- le respect d'une obligation légale ;
- l'exécution d'un contrat auquel la personne est partie, ou de mesures précontractuelles prises à sa demande ;
- la sauvegarde des intérêts vitaux de la personne, si elle est dans l'incapacité de consentir ;
- l'exécution d'une mission d'intérêt public ou relevant de l'autorité publique ;
- l'intérêt légitime du responsable ou du destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne.
La communication des données à un tiers exige aussi le consentement préalable de la personne, sauf dans les mêmes cas (art. 4, al. 2). Un traitement sans consentement et hors de ces cas est puni de 3 mois à 1 an d'emprisonnement et/ou de 20 000 à 200 000 DH d'amende (art. 56).
Les données sensibles suivent un régime propre (art. 21). Leur traitement doit être autorisé par la loi ou, à défaut, par la CNDP. La CNDP l'autorise au vu du consentement exprès de la personne, ou lorsque le traitement est indispensable aux fonctions légales ou statutaires du responsable. D'autres cas sont prévus, comme la défense d'un droit en justice ou des données rendues publiques par la personne (art. 21-3). Traiter des données sensibles sans consentement exprès est puni par l'article 57.
Que faut-il dire aux personnes (art. 5) ?
Lors de la collecte, le responsable doit informer la personne de manière expresse, précise et non équivoque (art. 5). L'information porte sur l'identité du responsable et, le cas échéant, de son représentant. Elle porte aussi sur les finalités du traitement. S'il le faut pour un traitement loyal, elle précise les destinataires, le caractère obligatoire ou facultatif des réponses et l'existence des droits d'accès et de rectification. Les caractéristiques du récépissé de déclaration ou de l'autorisation de la CNDP doivent être indiquées (art. 5-1-d). En pratique, les mentions des formulaires et des politiques de confidentialité sont à revoir après chaque formalité.
Quels droits pour les personnes (art. 7 à 9) ?
La personne dispose d'un droit d'accès (art. 7). Elle peut obtenir l'actualisation, la rectification, l'effacement ou le verrouillage des données non conformes. Le responsable procède sans frais dans un délai franc de dix jours (art. 8). Elle dispose enfin d'un droit d'opposition (art. 9).
L'opposition peut se fonder sur des motifs légitimes. Elle est aussi possible sans frais et sans motif lorsque les données servent à la prospection, notamment commerciale. Refuser ces droits est puni de 20 000 à 200 000 DH d'amende par infraction (art. 53). Poursuivre un traitement malgré une opposition fondée, ou malgré une opposition à la prospection, est puni de 3 mois à 1 an d'emprisonnement et/ou de 20 000 à 200 000 DH d'amende (art. 59). La loi ne prévoit pas de droit à la portabilité. Elle ne prévoit pas de droit général à la limitation, seulement le verrouillage de l'article 8.
Peut-on faire de la prospection par e-mail ou SMS (art. 10) ?
Pas sans consentement préalable. L'article 10 interdit la prospection directe par automate d'appel, télécopieur, courrier électronique ou moyen employant une technologie de même nature, sans consentement préalable de la personne. Le SMS relève, selon nous, de cette dernière catégorie.
Une exception vise seulement le courrier électronique. Elle suppose que les coordonnées aient été recueillies auprès de la personne lors d'une vente ou d'une prestation de services. La prospection doit porter sur des produits ou services analogues fournis par la même entreprise. La personne doit pouvoir s'y opposer simplement et sans frais, lors de la collecte puis à chaque envoi.
Le 3 août 2026, la CNDP a publié dix règles pour les opérations électorales. Elle y rappelle l'interdiction de la prospection directe sans consentement préalable (art. 10). Une prospection électronique malgré une opposition relève de l'article 59.
Déclaration ou autorisation : quelle formalité CNDP (art. 12 et suivants) ?
Sauf texte particulier, la déclaration préalable est la règle (art. 12-2). L'autorisation préalable est requise dans les cas de l'article 12-1 : données sensibles, utilisation à d'autres fins, données génétiques, infractions et condamnations, numéro de la carte d'identité nationale (art. 12-1-e) et interconnexion de fichiers.
| Étape | Délai | Texte |
|---|---|---|
| Récépissé de déclaration | 24 heures | Loi 09-08, art. 19 |
| Décision de soumettre le traitement à autorisation | 8 jours | Loi 09-08, art. 20 |
| Silence de la CNDP sur une demande d'autorisation | 2 mois, prorogeables une fois sur décision motivée, puis autorisation réputée accordée | Décret 2-09-165, art. 28 |
| Transfert soumis à autorisation de la CNDP (art. 44-3) | Procédure des autorisations, donc même délai | Décret 2-09-165, art. 48 |
Le détail des dossiers et des cas pratiques figure dans notre article « Formalités CNDP en pratique : déclaration, autorisation, transferts et données des salariés ». Le 28 novembre 2025, la CNDP a adopté cinq délibérations types, publiées sur cndp.ma. Deux sont des modèles de déclaration simplifiée : les cookies (D-939-2025) et les newsletters (D-940-2025). Trois sont des modèles de demande d'autorisation : le suivi des patients (D-941-2025), la vidéosurveillance en établissement de santé (D-942-2025) et le contrôle d'accès aux locaux professionnels privés (D-943-2025). La vidéosurveillance sur les lieux de travail suit la délibération n° 350-2013 du 31 mai 2013. Les images y sont conservées trois mois au plus.
Quelles obligations de sécurité et de sous-traitance (art. 23 à 25) ?
Le responsable doit mettre en œuvre les mesures techniques et organisationnelles appropriées. Elles protègent les données contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés (art. 23-1). Pour les données sensibles et de santé, l'article 24 impose des mesures renforcées : contrôle de l'entrée dans les installations, des supports, de l'accès, de la transmission et du transport des données.
S'il recourt à un sous-traitant, le responsable doit en choisir un qui présente des garanties suffisantes (art. 23-2). Un contrat ou un acte juridique doit lier les parties. Il prévoit que le sous-traitant n'agit que sur la seule instruction du responsable (art. 23-3 et 25). Les éléments du contrat relatifs à la protection des données sont consignés par écrit (art. 23-4).
Traiter sans ces mesures est puni de 3 mois à 1 an d'emprisonnement et/ou de 20 000 à 200 000 DH d'amende (art. 58). Causer ou faciliter, même par négligence, l'usage abusif ou frauduleux des données est puni des mêmes peines (art. 61). La loi ne prévoit pas d'obligation générale de notifier les violations de données.
Peut-on transférer des données à l'étranger (art. 43 et 44) ?
Un transfert n'est permis que vers un État qui assure un niveau de protection suffisant (art. 43). Ce niveau s'apprécie selon le droit de l'État de destination, les mesures de sécurité qui y sont appliquées, les caractéristiques du traitement, ainsi que la nature, l'origine et la destination des données.
L'article 44 admet des dérogations. La première est le consentement exprès de la personne. Le transfert est aussi permis s'il est nécessaire, notamment pour sauvegarder sa vie, pour un intérêt public important, pour un droit en justice ou pour un contrat avec la personne. Il l'est encore en vertu d'un accord bilatéral ou multilatéral auquel le Maroc est partie. Enfin, la CNDP peut l'autoriser de façon expresse et motivée lorsque le traitement offre des garanties suffisantes, notamment par des clauses contractuelles ou des règles internes.
La liste des pays adéquats est fixée par la délibération n° 465-2013 du 6 septembre 2013, modifiée par la délibération n° 236-2015 du 18 décembre 2015. Elle compte 32 États, dont la France, la Suisse, le Royaume-Uni et le Canada. Tous les États de l'UE n'y figurent pas : la Croatie en est absente. Même vers ces pays, le transfert doit être notifié à la CNDP selon le régime approprié. Un transfert contraire aux articles 43 et 44 est puni de 3 mois à 1 an d'emprisonnement et/ou de 20 000 à 200 000 DH d'amende (art. 60).
Qu'est-ce que la CNDP (art. 27 et suivants) ?
La CNDP est l'autorité de contrôle instituée auprès du Premier ministre, aujourd'hui Chef du gouvernement, par l'article 27 de la loi 09-08. Elle informe, conseille, instruit les déclarations et les demandes d'autorisation, et contrôle sur pièces et sur place (art. 28 à 30). Elle compte sept membres nommés par le Roi (art. 32). Le président est nommé directement. Les six autres membres sont proposés, deux chacun, par le Chef du gouvernement, le président de la Chambre des représentants et le président de la Chambre des conseillers. Le mandat dure cinq ans et n'est renouvelable qu'une fois.
Si un traitement porte atteinte à la sûreté ou à l'ordre public, ou est contraire à la morale et aux bonnes mœurs, la CNDP peut retirer sans délai le récépissé ou l'autorisation (art. 51). L'article 51 ne crée pas d'amende. Il fonde une mesure administrative, sans préjudice des sanctions pénales.
Quelles sanctions pénales exactes (art. 51 à 66) ?
Les amendes vont de 10 000 à 300 000 DH. La plupart s'accompagnent de 3 mois à 1 an d'emprisonnement. Le juge peut prononcer les deux peines ou l'une des deux seulement.
| Article | Infraction | Amende (DH) | Emprisonnement |
|---|---|---|---|
| 51 | Traitement contraire à la sûreté ou à l'ordre public, à la morale ou aux bonnes mœurs | Retrait du récépissé ou de l'autorisation par la CNDP | Aucun |
| 52 | Traitement sans déclaration ou sans autorisation, ou poursuivi après leur retrait | 10 000 à 100 000 | Aucun |
| 53 | Refus des droits d'accès, de rectification ou d'opposition | 20 000 à 200 000 par infraction | Aucun |
| 54 | Collecte frauduleuse ou déloyale, détournement de finalité | 20 000 à 200 000 | 3 mois à 1 an |
| 55 | Conservation au-delà de la durée prévue | 20 000 à 200 000 | 3 mois à 1 an |
| 56 | Traitement sans consentement ni autre base de l'article 4 | 20 000 à 200 000 | 3 mois à 1 an |
| 57 | Données sensibles sans consentement exprès, données sur les infractions et les condamnations | 50 000 à 300 000 | 3 mois à 1 an |
| 58 | Absence de mesures de sécurité (art. 23 et 24) | 20 000 à 200 000 | 3 mois à 1 an |
| 59 | Traitement malgré l'opposition, prospection (art. 9 et 10) | 20 000 à 200 000 | 3 mois à 1 an |
| 60 | Transfert illicite à l'étranger | 20 000 à 200 000 | 3 mois à 1 an |
| 61 | Usage abusif ou frauduleux des données, même par négligence | 20 000 à 200 000 | 3 mois à 1 an |
| 62 | Entrave au contrôle de la CNDP | 10 000 à 50 000 | 3 à 6 mois |
| 63 | Refus d'appliquer les décisions de la CNDP | 10 000 à 100 000 | 3 mois à 1 an |
| 64 | Infraction commise par une personne morale | Amendes doublées | Une peine au choix du juge : confiscation partielle des biens, confiscation (art. 89 du Code pénal) ou fermeture d'établissement |
| 65 | Récidive | Sanctions doublées | Peines du chapitre doublées |
| 66 | Constatation des infractions | Procès-verbal des agents assermentés de la CNDP | Transmis au procureur du Roi sous 5 jours |
Pour une personne morale, l'amende maximale atteint donc 600 000 DH hors récidive (art. 57 et 64). Les dirigeants qui ont eux-mêmes commis l'infraction peuvent aussi être punis (art. 64). La personne morale peut en outre être punie de l'une des trois peines de l'article 64. Il y a récidive lorsqu'une personne déjà condamnée par une décision devenue irrévocable commet une infraction de même nature dans l'année qui suit (art. 65). En cas d'usage abusif (art. 61), le tribunal peut aussi ordonner la saisie du matériel et l'effacement des données. L'article 52 rappelle que la responsabilité civile envers les victimes reste ouverte.
Que prévoit le décret n° 2-09-165 du 21 mai 2009 ?
Le décret organise la CNDP : désignation des membres, fonctionnement, administration et contrôle. Il fixe ensuite la procédure des avis, des déclarations et des autorisations. Il traite aussi des données de santé et génétiques, des droits des personnes et des transferts. Sa règle la plus utile en pratique concerne le silence de la CNDP. Une demande d'autorisation sans réponse pendant 2 mois, délai prorogeable une fois, est réputée accordée (art. 28). Un transfert qui exige une autorisation de la CNDP suit la même procédure (art. 48).
Loi 09-08 et RGPD : quelles différences ?
Les principes sont proches. La logique diffère. La loi marocaine contrôle avant le traitement. Le RGPD repose sur la responsabilité du responsable (accountability).
| Point | Loi 09-08 | RGPD |
|---|---|---|
| Formalité préalable | Déclaration ou autorisation (art. 12) | Aucune, registre interne |
| Notification des violations | Aucune obligation générale | 72 heures |
| Portabilité, analyse d'impact (AIPD) | Absentes | Prévues |
| DPO | Non prévu | Obligatoire dans certains cas |
| Sanctions | Pénales, jusqu'à 300 000 DH, doublées pour une personne morale | Administratives, jusqu'à 20 M EUR ou 4 % du CA mondial |
| Transferts | Pays adéquats ou dérogations de l'article 44, dont l'autorisation de la CNDP | Adéquation, clauses types, BCR |
Être conforme au RGPD ne suffit pas au Maroc. Le Maroc ne bénéficie d'aucune décision d'adéquation de la Commission européenne.
Où en est la réforme de la loi 09-08 en 2025-2026 ?
Au 19 octobre 2026, la loi 09-08 et le décret n° 2-09-165 restent en vigueur sans réforme adoptée. Nous n'avons identifié aucun projet de loi du gouvernement. Une proposition de loi d'un groupe parlementaire, déposée en 2024 à la Chambre des représentants, visait le statut de la CNDP. Elle n'a pas abouti à ce jour.
| Statut | Élément |
|---|---|
| En vigueur | Loi 09-08, décret 2-09-165, délibérations de la CNDP |
| Pratique de la CNDP (2025-2026) | Communiqué sur l'IA du 18 mars 2025, qui annonce une délibération sur les traitements d'IA ; délibérations types du 28 novembre 2025 ; règles publiées le 3 août 2026 avant les législatives |
| En réflexion, sans texte adopté | Rapprochement avec le RGPD, sanctions plus dissuasives, contrôle a posteriori |
Ce que les entreprises internationales sous-estiment
L'antériorité de la formalité. Le traitement ne peut pas commencer avant le récépissé ou l'autorisation (art. 14 et 19). Lancer un CRM ou un SIRH « en attendant » expose à l'article 52.
Le numéro de CIN. Un fichier RH ou client qui contient le numéro de CIN relève de l'autorisation (art. 12-1-e), et non de la simple déclaration.
Les outils du groupe. Héberger des données dans un cloud ou un outil situé hors du Maroc, même dans l'UE, constitue un transfert. La CNDP demande une formalité de transfert dès que des données sont hébergées ou transmises à l'étranger (art. 43 et 44).
La responsabilité pénale. Les sanctions sont pénales. La société encourt des amendes doublées, et ses dirigeants peuvent être punis s'ils sont auteurs de l'infraction (art. 64). Il n'existe pas d'amende administrative négociée.
La mise à jour. Utiliser les données pour une nouvelle finalité exige une autorisation (art. 12-1-b). Toute modification d'un traitement déclaré doit être signalée à la CNDP sans délai (art. 15).
Questions fréquentes
Une filiale marocaine couverte par le programme RGPD du groupe est-elle en règle ?
Non. Le RGPD n'impose aucune formalité préalable, alors que la loi 09-08 en impose une pour chaque traitement (art. 12). La filiale doit aussi traiter les transferts vers le groupe (art. 43 et 44).
Un transfert de données du Maroc vers la France exige-t-il une démarche ?
Oui. La France figure sur la liste des pays jugés adéquats par la CNDP, mais le transfert doit quand même lui être notifié. Un transfert contraire aux articles 43 et 44 relève de l'article 60.
Le dirigeant peut-il être poursuivi personnellement ?
Oui, s'il est lui-même auteur de l'infraction. L'article 64 double l'amende de la personne morale sans préjudice des peines applicables à ses dirigeants auteurs de l'infraction.
Combien de temps la CNDP met-elle à répondre ?
Le récépissé de déclaration est délivré sous 24 heures (art. 19). Pour une autorisation, le silence pendant 2 mois, délai prorogeable une fois, vaut accord (décret 2-09-165, art. 28).
Faut-il notifier une fuite de données à la CNDP ?
La loi ne l'impose pas de façon générale. Une fuite peut toutefois révéler un manquement à la sécurité (art. 58) ou un traitement non déclaré (art. 52). Il faut donc documenter l'incident et évaluer s'il convient d'informer la CNDP.
Une réforme va-t-elle changer les règles bientôt ?
Aucun texte modificatif n'est adopté au 19 octobre 2026, et aucun projet de loi du gouvernement n'a été identifié. Il faut se conformer à la loi actuelle.
Guides liés
À lire aussi : le transfert de données personnelles entre le Maroc et l’UE et notre guide en anglais sur la conformité à la loi 09-08 et au RGPD.
Sur le fonctionnement réel : une grande part de ce qui détermine l'issue ne figure pas dans la loi mais dans les pièces qu'un greffe donné attend, et dans l'ordre où il les attend. Ce savoir est local. Mandater un avocat marocain dès le départ coûte presque toujours moins cher que de reprendre une structure une fois constituée.
Modifications au registre du commerce
Le travail sociétaire autour de l'adresse
Langues de travail