Journaux officiels et lois
La loi marocaine n° 09-08 sur les données personnelles et la CNDP
En bref
- Loi
- Loi n° 09-08, promulguée par le dahir n° 1-09-15 du 18 février 2009 1
- Autorité
- Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) 2
- Composition de la CNDP
- Sept membres, mandat de cinq ans renouvelable une fois 1
- Délai de rectification
- Délai franc de dix jours 1
- Convention 108
- Adhésion du Maroc le 28 mai 2019, selon la CNDP 5
La loi et son autorité
La loi n° 09-08 définit les données à caractère personnel comme toute information, de quelque nature qu'elle soit et indépendamment de son support, concernant une personne physique identifiée ou identifiable 1. L'article 27 institue auprès du Premier ministre une Commission nationale de contrôle de la protection des données à caractère personnel 1. La commission compte sept membres, un président et six autres membres nommés par le Roi, pour un mandat de cinq ans renouvelable une fois 1. La CNDP invoque l'article 24 de la Constitution, selon lequel toute personne a droit à la protection de sa vie privée 3.
Le règlement intérieur de la CNDP a été approuvé par la décision du Premier ministre n° 3-33-11 du 28 mars 2011, publiée au Bulletin Officiel n° 5932 du 7 avril 2011 5. La CNDP cite la loi n° 09-08 et le décret n° 2-09-165 parmi ses textes juridiques 2.
Déclaration ou autorisation
L'article 12 soumet à une autorisation de la CNDP les cas énumérés, dont les données sensibles, et à une déclaration préalable tous les autres cas 1. Le site de la CNDP propose trois démarches aux responsables du traitement : notifier une déclaration, notifier une demande d'autorisation préalable et notifier une demande de transfert à l'étranger 2.
Dans un communiqué du 13 novembre 2025, la CNDP indique que son partenariat avec la Confédération Générale des Entreprises du Maroc (CGEM) offre aux entreprises membres des formations et l'accès à l'application en ligne de notification à la CNDP 4. Dans un communiqué du 7 novembre 2025, la CNDP indique qu'elle consolide sa capacité à suivre les publications inadéquates de données à caractère personnel sur le darkweb. Elle annonce qu'elle alertera les responsables du traitement concernés et appliquera la loi, notamment lorsque le traitement n'a pas été notifié au préalable 3.
Droits de la personne concernée
- Accès (article 7) : confirmation que les données sont traitées et communication de celles-ci, gratuitement et sans délai 1
- Rectification (article 8) : actualisation, rectification, effacement ou verrouillage des données, dans un délai franc de dix jours 1
- Opposition (article 9) : opposition pour des motifs légitimes, et opposition sans frais à l'utilisation à des fins de prospection 1
- Plainte : le site de la CNDP propose un formulaire de plainte en ligne 2
Transferts à l'étranger
En vertu de l'article 43, un responsable du traitement ne peut transférer des données que vers un État assurant un niveau de protection suffisant, et la CNDP établit la liste de ces États 1. L'article 44 prévoit des exceptions lorsque la personne a expressément consenti, dans des cas de nécessité énumérés, ou sur autorisation expresse et motivée de la CNDP 1.
Sanctions
| Infraction | Article | Sanction |
|---|---|---|
| Fichier traité sans déclaration ni autorisation 1 | 52 1 | 10 000 à 100 000 DH 1 |
| Refus des droits d'accès, de rectification ou d'opposition 1 | 53 1 | 20 000 à 200 000 DH par infraction 1 |
| Collecte illicite ou utilisation incompatible 1 | 54 1 | Trois mois à un an et/ou 20 000 à 200 000 DH 1 |
| Données sensibles ou relatives aux infractions sans consentement exprès 1 | 57 1 | Six mois à deux ans et/ou 50 000 à 300 000 DH 1 |
| Transfert illicite vers l'étranger 1 | 60 1 | Trois mois à un an et/ou 20 000 à 200 000 DH 1 |
| Entrave aux contrôles de la CNDP 1 | 62 1 | Trois à six mois et/ou 10 000 à 50 000 DH 1 |
| Personnes morales 1 | 64 1 | Amendes portées au double 1 |
| Récidive 1 | 65 1 | Peines doublées 1 |
Registres et protection des données
La CNDP rend des avis sur les projets de textes qui créent des registres. Le 30 août 2021, le Secrétaire Général du Gouvernement lui a demandé un avis sur le projet de décret relatif au registre public des bénéficiaires effectifs des sociétés constituées au Maroc et des constructions juridiques 5. Dans sa délibération n° D-181-2021, la CNDP a estimé que le registre était dispensé de déclaration en vertu des articles 18 et 50 de la loi n° 09-08 5. Elle a précisé que le registre doit néanmoins désigner un responsable chargé des droits des personnes concernées et communiquer à tout demandeur la dénomination et la finalité du traitement, l'identité du responsable, les données, les destinataires et les transferts prévus vers l'étranger 5.
Questions fréquentes
Faut-il déclarer un traitement de données personnelles au Maroc ?
Oui. La loi n° 09-08 exige une déclaration préalable, ou une autorisation dans les cas énumérés comme les données sensibles 1.
De combien de temps un responsable marocain dispose-t-il pour rectifier des données ?
Délai franc de dix jours en vertu de l'article 8 1.
Quelle est l'amende pour un fichier non déclaré au Maroc ?
10 000 à 100 000 DH en vertu de l'article 52, montant doublé pour les personnes morales 1.
Le Maroc a-t-il adhéré à la Convention 108 ?
Oui, le 28 mai 2019, selon une délibération de la CNDP 5.
Où porter plainte pour une mauvaise utilisation de données au Maroc ?
Par le formulaire de plainte en ligne de la CNDP 2.
Les règles et les frais changent. Vérifiez la source officielle citée sur cette page avant d'agir. Une erreur ? Écrivez à hello@maghrebregisters.com.
Sources
- Ministère de la Justice, Maroc (portail Adala): Dahir n° 1-09-15 du 18 février 2009 portant promulgation de la loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Law 09-08 on the protection of individuals in the processing of personal data)
- CNDP: Commission nationale de contrôle de la protection des données à caractère personnel, accueil (Home page)
- CNDP: Communiqué de presse, La CNDP consolide sa capacité à suivre les publications inadéquates de données à caractère personnel sur le darkweb (Press release, the CNDP strengthens its capacity to track improper publication of personal data on the dark web) (7 November 2025)
- CNDP: Communiqué de presse, La CNDP et la CGEM signent une convention de partenariat autour de la protection des données à caractère personnel (Press release, the CNDP and the CGEM sign a partnership agreement on personal data protection) (13 November 2025)
- CNDP: Délibération n° D-181-2021 portant avis sur le projet de décret relatif au registre public des bénéficiaires effectifs (Deliberation D-181-2021, opinion on the draft decree on the public register of beneficial owners) (2021)
À lire aussi
- Lois sur l'accès à l'information et autorités de protection des données en Afrique du Nord
La loi marocaine n° 31-13 et la loi tunisienne n° 2016-22 sur l'accès à l'information, délais et recours, et les lois sur les données au Maroc, en Algérie et en Égypte.
- Registres du commerce au Maroc : registres locaux, registre central de l'OMPIC et ICE
Le registre du commerce au Maroc : registres locaux des tribunaux, registre central de l'OMPIC, certificat négatif, ICE, extraits et délais.
- Les droits sur les données personnelles en Algérie selon la loi n° 18-07
La loi algérienne n° 18-07 de 2018 : consentement, accès, rectification en dix jours, opposition, l'autorité nationale, ses amendes et les sanctions pénales.
- Glossaire des termes officiels français des registres utilisés au Maroc, en Algérie et en Mauritanie
Sens des termes français des registres du commerce, journaux officiels, casier judiciaire, protection des données et droit foncier au Maroc, en Algérie et en Mauritanie.