Loi 09-08 : protéger les données personnelles de vos clients

Si votre site recueille un nom, une adresse e-mail, un numéro de téléphone ou une adresse IP, vous traitez des données personnelles. Au Maroc, ce traitement est encadré par la loi 09-08, en vigueur depuis le 23 février 2009, et contrôlé par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Ce guide explique ce que la loi attend de vous, sans jargon, et ce que cela implique concrètement pour vos formulaires et votre hébergement.

La loi 09-08 et vos données personnelles : de quoi il s'agit

La loi 09-08 protège les personnes physiques à l'égard du traitement de leurs données à caractère personnel. Une donnée personnelle est toute information concernant une personne identifiée ou identifiable : nom et prénom, adresse postale ou électronique, numéro de téléphone, numéro de carte bancaire, photo, empreinte digitale, ou encore l'adresse IP d'un ordinateur.

Trois notions reviennent partout et méritent d'être posées :

• Le responsable du traitement : la personne physique ou morale qui décide des finalités et des moyens du traitement. Pour un site d'entreprise, c'est généralement votre société.
• Le sous-traitant : celui qui traite des données pour le compte du responsable. Votre hébergeur, qui stocke les données sans en décider l'usage, entre dans cette catégorie.
• Les données sensibles : celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ou qui concernent la santé, y compris les données génétiques. Elles sont soumises à un régime plus strict.

Qui est concerné

La loi s'applique à tout organisme, public ou privé, qui met en œuvre un traitement de données personnelles au Maroc. Peu importe la taille : une PME qui gère un formulaire de contact ou un fichier de prospects est tout autant concernée qu'une grande entreprise.

Concrètement, sont visés les sites qui collectent des informations via :

• un formulaire de contact ou de devis ;
• une inscription à une newsletter ;
• la création d'un compte client ;
• une boutique en ligne qui enregistre nom, adresse et téléphone ;
• la vidéosurveillance de locaux.

Si votre site ne collecte rien et ne dépose aucun traceur, votre exposition est minime. Dès qu'un visiteur peut laisser une donnée, la loi s'applique.

Collecte, consentement et finalité

La loi repose sur des principes simples. Au moment de la collecte, la personne concernée doit être informée, entre autres, de l'identité du responsable du traitement et des finalités pour lesquelles ses données sont recueillies.

Le consentement est une manifestation de volonté libre, spécifique et informée par laquelle la personne accepte que ses données fassent l'objet d'un traitement. Un consentement pré-coché ou noyé dans des conditions illisibles ne remplit pas ces conditions.

La finalité compte tout autant : vous collectez des données pour un but précis (répondre à une demande, livrer une commande), et vous ne pouvez pas les réutiliser pour un autre objectif sans autorisation préalable de la CNDP.

Enfin, la personne dispose de droits : accéder à ses données, les faire rectifier, et s'opposer à leur exploitation pour des raisons sérieuses. Votre site doit permettre d'exercer ces droits simplement.

Sécurité et confidentialité des données

La loi impose au responsable du traitement, et à son sous-traitant, de prendre les mesures nécessaires pour préserver la sécurité et la confidentialité des données. Cela recouvre des réflexes concrets :

• limiter les accès aux seules personnes habilitées ;
• protéger les comptes d'administration par une authentification forte ;
• chiffrer les échanges avec les visiteurs (HTTPS) ;
• conserver les données dans des systèmes à jour et sauvegardés.

La double authentification (Activer la double authentification) et les règles de sécurité par rôle (Imposer la double authentification et limiter les adresses IP) de votre espace client participent à cette exigence : ce sont des mesures que vous pouvez activer sans effort et qui réduisent le risque d'accès non autorisé.

Le rôle de la CNDP

La CNDP, instituée par la loi 09-08, est l'autorité de contrôle. Elle reçoit les déclarations de traitement, délivre les autorisations, tient un registre public des traitements notifiés et peut être saisie par toute personne qui estime ses droits bafoués.

Une personne dont la demande d'accès est restée sans réponse peut adresser une plainte à la CNDP. C'est un recours concret, et un signal : un site qui ignore les demandes de ses visiteurs s'expose à un contrôle.

Pour aller plus loin sur les démarches, consultez notre guide Se conformer à la CNDP : la checklist pour votre site web, qui détaille formulaires, cookies et déclarations.

Implications pour l'hébergement de vos données

La conformité ne s'arrête pas au contenu de votre site : elle dépend aussi de l'endroit et de la manière dont les données sont stockées. Trois points à vérifier chez votre hébergeur :

• La localisation : savoir où sont situés physiquement les serveurs permet d'évaluer le régime applicable et de répondre aux questions de vos clients.
• La sécurité de l'infrastructure : mises à jour, surveillance, sauvegardes et contrôle des accès relèvent de l'hébergeur, mais leur niveau doit être vérifiable.
• La traçabilité : un espace client qui expose l'état des services et l'activité facilite la démonstration de vos bonnes pratiques.

Atlas Hoster héberge au Maroc et en Europe, dans des datacenters partenaires, avec une supervision continue et un espace client où l'état de chaque service se vérifie. Si vous hébergez des données sensibles ou des applications qui ne peuvent pas s'arrêter, découvrez l'offre haute disponibilité. Pour comprendre les enjeux de localisation, lisez Héberger ses données au Maroc : ce que ça change vraiment. Pour la facturation en dirhams, voir Payer son hébergement en dirhams.

FAQ

La loi 09-08 s'applique-t-elle à un simple site vitrine ?

Oui, dès que le site collecte une donnée personnelle (formulaire de contact, statistiques identifiantes). Un site purement informatif, sans formulaire ni traceur, est peu exposé.

Faut-il déclarer son site à la CNDP ?

Oui : en principe, tout traitement doit faire l'objet d'une déclaration préalable, sauf s'il est exclu du champ de la loi, dispensé de déclaration ou soumis au régime de l'autorisation préalable. La CNDP délivre un récépissé de déclaration.

Que risque-t-on à ne rien faire ?

Indépendamment des sanctions prévues par la loi, le risque principal est la perte de confiance de vos clients et la possibilité d'une plainte auprès de la CNDP. La mise en conformité est aussi un argument commercial.