En bref
La loi 09-08, adoptée en 2009, protège les données personnelles au Maroc. Dès qu'un site collecte des données (formulaire, commande, newsletter, message WhatsApp), l'entreprise doit informer les visiteurs, limiter la collecte au nécessaire, sécuriser les données et accomplir les formalités auprès de la CNDP. Les transferts de données vers l'étranger sont encadrés. Faites valider votre situation par un conseil juridique.
01
Qui est concerné
Pratiquement tous les sites d'entreprise : un simple formulaire de contact collecte un nom, un téléphone et un email. Une boutique en ligne traite en plus des adresses et un historique de commandes. Un outil de suivi d'audience, un CRM ou une messagerie comme WhatsApp Business font aussi partie des traitements à recenser.
02
Informer clairement les visiteurs
Le site doit présenter des mentions légales et une politique de confidentialité compréhensibles : qui collecte les données, dans quel but, qui les reçoit, combien de temps elles sont conservées, et comment exercer les droits d'accès, de rectification et d'opposition. Ces informations doivent être accessibles depuis chaque formulaire.
03
Les formalités auprès de la CNDP
La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) reçoit les déclarations et, pour certains traitements, délivre des autorisations préalables. C'est notamment le cas de certains transferts de données vers l'étranger, par exemple lorsqu'un outil hébergé hors du Maroc reçoit les données de vos clients. Recensez vos outils avant la mise en ligne pour savoir quelles formalités s'appliquent.
04
Limiter, sécuriser, ne pas pister
Ne demandez que les champs utiles, utilisez le HTTPS partout, limitez les accès aux données et prévoyez des sauvegardes. Évitez les traceurs publicitaires que vous n'exploitez pas : notre propre site n'utilise ni cookie publicitaire ni outil de tracking. Moins de données collectées, c'est moins de risques et moins de formalités.
05
Formulaires et messages WhatsApp
Sous chaque formulaire, ajoutez une phrase courte indiquant l'usage des données et un lien vers la politique de confidentialité. Si le formulaire ouvre une conversation WhatsApp, précisez que le message transite par un service de Meta. Conservez les demandes le temps nécessaire au suivi commercial, puis supprimez-les ou anonymisez-les selon la durée annoncée. Une procédure simple pour répondre aux demandes d'accès ou de suppression complète le dispositif.