Loi 09-08 : ce que votre site web doit respecter au Maroc

Loi 09-08 et site web : de quoi parle-t-on ?

La loi n° 09-08 du 18 février 2009 protège les personnes physiques à l'égard du traitement de leurs données à caractère personnel. Elle a créé la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), l'autorité qui reçoit les déclarations et contrôle les traitements. Le texte est publié sur la page loi 09-08 du site de la CNDP.

Une donnée personnelle est toute information qui permet d'identifier une personne : nom, numéro de téléphone, adresse e-mail, adresse postale, photo, numéro de carte d'identité. Un traitement est toute opération faite sur ces données : les collecter, les enregistrer, les consulter, les transmettre, les supprimer.

Dès qu'un site web enregistre le nom et le téléphone d'un prospect, il réalise donc un traitement au sens de la loi 09-08. La taille de l'entreprise ne change rien : une PME avec un simple formulaire de contact est concernée au même titre qu'une grande boutique en ligne. Ce qui change, c'est le nombre de traitements à déclarer.

La loi 09-08 et votre site web : êtes-vous concerné ?

Entre la loi 09-08 et votre site web, le lien tient à une question simple : le site reçoit-il, à un moment, une information sur une personne ? Le tableau ci-dessous reprend les cas les plus courants sur un site d'entreprise.

Un responsable de traitement existe toujours : c'est l'entreprise qui décide pourquoi et comment les données sont utilisées, donc l'éditeur du site. L'agence qui développe le site et l'hébergeur sont des sous-traitants. Ils agissent sur instruction, mais la responsabilité de la conformité reste chez l'éditeur.

Les 7 obligations de la loi 09-08 pour un site web

Voici les sept obligations de la loi 09-08 pour un site web, dans l'ordre où un visiteur les rencontre puis dans l'ordre où un contrôle les examinerait.

1. Finalité : chaque donnée demandée sert un objectif précis et annoncé. Ne demandez pas la date de naissance pour un simple devis.
2. Information : sous chaque formulaire, une mention indique qui collecte, pourquoi, qui reçoit les données et comment exercer ses droits.
3. Consentement : la personne accepte de façon libre et éclairée. Évitez les cases précochées, surtout pour la prospection commerciale.
4. Déclaration : le traitement est notifié à la CNDP avant sa mise en service, et le numéro de récépissé est affiché.
5. Droits des personnes : un moyen simple permet de demander l'accès, la rectification ou la suppression de ses données, et de s'opposer à leur usage.
6. Sécurité et conservation : accès limités, connexion chiffrée, sauvegardes, et suppression des données quand la durée annoncée est écoulée.
7. Transfert à l'étranger : si les données quittent le Maroc (hébergement, outil d'e-mailing, CRM), le transfert est encadré et notifié.

Les deux premiers points se règlent dans les textes du site. Les trois suivants demandent une démarche et une organisation interne. Les deux derniers dépendent des choix techniques, donc du prestataire qui construit le site.

Comment déclarer son site web à la CNDP ?

La CNDP distingue trois démarches, décrites sur sa page notifier un traitement. Au regard de la loi 09-08, un site web d'entreprise relève le plus souvent de la première.

Concrètement, on prépare une fiche par traitement : finalité, catégories de données, personnes concernées, destinataires, durée de conservation, mesures de sécurité. Un site vitrine en a souvent deux ou trois (demandes de contact, newsletter, candidatures). Une boutique en ajoute plusieurs : comptes clients, commandes, livraison, service après-vente.

Affichez le numéro de récépissé ou d'autorisation dans vos mentions légales et sous vos formulaires. C'est le premier signe de conformité qu'un visiteur, un partenaire ou un contrôleur recherche.

Formulaires, cookies et newsletter : que faut-il écrire ?

La mention d'information se place au plus près de la collecte. Elle tient en quelques lignes et renvoie vers une page de politique de confidentialité plus complète. Elle précise l'identité de l'entreprise, l'objet de la collecte, les destinataires, la durée de conservation, la manière d'exercer ses droits et le numéro de déclaration.

Pour les cookies, la prudence consiste à ne déposer aucun traceur publicitaire ou de mesure nominative avant l'accord du visiteur, et à proposer un refus aussi simple que l'acceptation. Une mesure d'audience sans cookie évite la question : c'est le choix fait sur notre propre site.

La newsletter et la prospection par e-mail ou SMS reposent sur un accord préalable, donné par une case à cocher distincte, avec un lien de désinscription dans chaque envoi. Acheter un fichier d'adresses pour l'importer dans son outil d'envoi est la pratique la plus risquée : vous ne pouvez prouver aucun consentement.

Site web hébergé hors du Maroc : que dit la loi 09-08 ?

Beaucoup de sites marocains sont hébergés en Europe et utilisent des outils américains pour l'e-mailing ou la relation client. Ce n'est pas interdit, mais c'est un transfert de données vers l'étranger. La CNDP indique que le transfert est possible vers un pays figurant sur la liste qu'elle a établie. Pour les autres pays, il faut le consentement exprès de la personne, un autre cas prévu par la loi, ou une autorisation. Le détail figure sur la page transfert à l'étranger de la CNDP.

Avant de choisir un hébergeur ou un outil, demandez donc où les données sont stockées. Notre article sur l'hébergement d'un site web au Maroc compare les options, et celui sur le paiement en ligne au Maroc traite des données de carte, qui ne doivent jamais transiter par votre propre serveur.

Quels droits les visiteurs ont-ils sur leurs données, et comment y répondre ?

La loi 09-08 donne aux personnes dont vous collectez les données des droits que votre site doit permettre d'exercer : être informées de la collecte, accéder à leurs données, les faire rectifier et s'opposer à leur traitement pour des motifs légitimes, notamment pour la prospection commerciale.

Concrètement, prévoyez trois choses. Une adresse e-mail ou un formulaire dédié, indiqué dans la politique de confidentialité, pour recevoir les demandes. Une personne, chez vous, chargée de les traiter et d'y répondre. Un moyen de retrouver les données d'une personne dans le site, les e-mails et les outils tiers (newsletter, CRM), pour les corriger ou les supprimer quand c'est justifié.

Gardez une trace simple des demandes reçues et des réponses apportées. Côté rédaction, la politique de confidentialité nomme le responsable du traitement, les finalités de la collecte et les destinataires des données ; la section sur les formulaires et les cookies, plus haut, détaille les mentions à prévoir.

Que risque un site web qui ignore la loi 09-08 ?

La loi prévoit des sanctions pénales, à partir de son article 52 : des amendes et, pour certaines infractions, des peines d'emprisonnement. Sont notamment visés le traitement mis en œuvre sans déclaration ni autorisation, le refus de répondre à une demande d'accès ou de rectification, la conservation au-delà de la durée prévue et le traitement de données sensibles sans consentement. Les amendes sont doublées quand l'auteur est une personne morale.

Le risque le plus fréquent est pourtant commercial. Un donneur d'ordre européen, une banque ou un grand compte marocain demande de plus en plus souvent la preuve de la conformité avant de signer. Un site qui affiche ses mentions, son numéro de déclaration et une politique de confidentialité lisible rassure aussi le visiteur au moment de laisser son numéro.

Cet article donne une lecture pratique, pas un avis juridique. Pour des données de santé, des fichiers interconnectés ou un litige, consultez un avocat ou un conseil spécialisé.

Par où commencer la mise en conformité ?

La mise en conformité d'un site existant se fait en quatre temps, sans tout reconstruire.

1. Inventaire : lister chaque formulaire, chaque outil connecté et chaque cookie, avec les données qu'il reçoit et l'endroit où elles sont stockées.
2. Tri : supprimer les champs inutiles, les outils qui ne servent plus et les traceurs sans intérêt mesurable.
3. Textes et réglages : mentions sous les formulaires, politique de confidentialité, bandeau de consentement, connexion chiffrée, accès restreints au back-office.
4. Démarches : déclarations à la CNDP, puis affichage des numéros et mise en place d'une adresse de contact pour les demandes des personnes.

Sur un nouveau projet, ces points se traitent dès le cadrage. Ils figurent dans notre modèle de cahier des charges de site web, un outil gratuit qui produit un document prêt à envoyer aux prestataires. La déclaration elle-même reste signée par l'entreprise, qui est responsable du traitement. Pour une boutique, voir aussi les étapes pour créer une boutique en ligne au Maroc.

Vous préparez un site web ou une refonte et vous voulez un chiffrage qui tient compte de la loi 09-08 ? Décrivez votre projet sur la page demande de devis : le devis est détaillé poste par poste, et le code source vous appartient à la livraison finale. Les prix de départ sont publiés sur la page tarifs.