Dès que votre site collecte des données personnelles, un nom et un email dans un formulaire de contact, un compte client, une inscription à la newsletter, la loi marocaine 09-08 s'applique. En pratique, il faut déclarer le traitement à la CNDP (ou obtenir son autorisation dans certains cas), informer clairement les personnes, recueillir leur consentement quand il est nécessaire, leur permettre d'exercer leurs droits, et sécuriser les données. Cet article fait le tour des points à prévoir côté site web.
Cet article est une introduction pratique, pas un avis juridique. Les textes et les procédures peuvent évoluer : vérifiez toujours les informations à jour sur le site de la CNDP, cndp.ma, ou auprès d'un juriste.
La loi 09-08 et la CNDP en bref
La loi n° 09-08 du 18 février 2009 encadre la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Elle a créé la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel, chargée de recevoir les déclarations, de délivrer les autorisations et de contrôler l'application de la loi.
Une donnée personnelle, c'est toute information qui permet d'identifier une personne, directement ou non : nom, email, téléphone, adresse, mais aussi adresse IP ou identifiant de compte. Un traitement, c'est toute opération sur ces données : collecte, enregistrement, consultation, envoi, suppression.
Autrement dit, un simple formulaire de contact est déjà un traitement.
Ce que votre site collecte, sans toujours le savoir
Faites l'inventaire, page par page :
- formulaires de contact et de devis ;
- comptes clients et historiques de commandes ;
- inscription à une newsletter ;
- candidatures et CV envoyés en ligne ;
- outils de mesure d'audience et pixels publicitaires, qui déposent des cookies et collectent des identifiants ;
- chat en ligne, avis clients, commentaires.
Pour chaque traitement, notez quelles données sont collectées, pourquoi, qui y a accès, où elles sont stockées et combien de temps elles sont gardées. Ce tableau vous servira pour la déclaration comme pour votre politique de confidentialité.
Déclaration ou autorisation préalable
Avant de mettre en œuvre un traitement, la loi prévoit en principe une déclaration préalable auprès de la CNDP. Certains traitements plus sensibles demandent une autorisation préalable, notamment ceux qui portent sur des données sensibles (santé, opinions, origine, etc.), certaines interconnexions de fichiers, ou le transfert de données vers un pays étranger qui n'offre pas un niveau de protection jugé suffisant.
Les formulaires et la procédure se trouvent sur le site de la CNDP. Une fois la déclaration enregistrée, vous recevez un récépissé avec un numéro, que de nombreux sites marocains mentionnent dans leurs mentions légales ou sous leurs formulaires.
Informer les personnes
Au moment de la collecte, la personne doit savoir :
- qui est responsable du traitement, avec ses coordonnées ;
- à quoi serviront ses données ;
- à qui elles seront éventuellement transmises ;
- si les réponses sont obligatoires ou facultatives ;
- quels sont ses droits et comment les exercer.
Concrètement : une courte mention sous chaque formulaire, qui renvoie vers une politique de confidentialité complète et accessible depuis toutes les pages.
Le consentement
Le traitement de données suppose en principe le consentement de la personne, sauf exceptions prévues par la loi, comme l'exécution d'un contrat : traiter l'adresse de livraison d'un client qui a passé commande n'exige pas une case à cocher de plus.
Pour la prospection, en revanche, demandez un consentement explicite :
- une case à cocher non pré-cochée pour la newsletter ;
- un lien de désinscription dans chaque email ;
- pas d'inscription automatique d'un client à vos campagnes marketing parce qu'il a demandé un devis.
Les droits des personnes
La loi donne aux personnes un droit d'accès à leurs données, un droit de rectification et un droit d'opposition. Prévoyez un moyen simple de les exercer, une adresse email dédiée par exemple, et une procédure interne pour y répondre dans les délais.
Sécuriser les données
Le responsable du traitement doit prendre les mesures techniques et organisationnelles pour protéger les données contre la perte, la modification ou l'accès non autorisé. Côté site :
- HTTPS sur toutes les pages, en particulier les formulaires ;
- mots de passe hachés, jamais stockés en clair ;
- accès d'administration limités, nominatifs et protégés par double authentification ;
- mises à jour de sécurité régulières ;
- sauvegardes chiffrées, stockées hors du serveur ;
- suppression des données dont vous n'avez plus besoin, comme les vieilles candidatures.
Nos articles sur les 7 attaques les plus courantes et le Zero Trust pour une PME détaillent ces mesures.
Et l'hébergement ?
L'endroit où sont stockées les données compte, notamment en cas de transfert hors du Maroc. Chez PassRoyal, la région du serveur se choisit au moment de la commande, parmi celles proposées : renseignez-vous sur la localisation et intégrez-la à votre analyse. Pensez aussi à vos autres prestataires, messagerie, outil d'emailing, CRM, qui traitent eux aussi vos données.
La liste de contrôle
- Inventaire des traitements réalisé.
- Déclaration ou demande d'autorisation déposée auprès de la CNDP.
- Mention d'information sous chaque formulaire.
- Politique de confidentialité accessible depuis toutes les pages.
- Consentement explicite pour la prospection.
- Adresse dédiée à l'exercice des droits.
- Mesures de sécurité en place et durées de conservation définies.
Questions fréquentes
Un site vitrine avec un simple formulaire est-il concerné ?
Oui. Collecter un nom et un email via un formulaire est un traitement de données personnelles.
La loi va-t-elle changer ?
Une réforme du cadre est évoquée depuis plusieurs années pour le rapprocher des standards internationaux. Suivez les annonces de la CNDP pour rester à jour.
Et ensuite ?
Une politique de confidentialité ne suffit pas sans un site bien protégé. Découvrez Passroyal Panel, avec certificats SSL automatiques, double authentification obligatoire et journal d'audit, ou relisez les erreurs à éviter au lancement d'un site.