Se conformer à la CNDP : la checklist pour votre site web

Mettre un site web en conformité avec la protection des données au Maroc peut sembler abstrait. En pratique, cela se résume à une poignée d'actions concrètes : informer, recueillir un consentement valable, déclarer ses traitements à la CNDP et sécuriser les données. Voici une checklist pour avancer pas à pas.

La CNDP : son rôle

La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) est l'autorité chargée de veiller au respect de la loi 09-08. Elle reçoit les déclarations de traitement, délivre les autorisations, tient le registre public des traitements et peut être saisie par toute personne qui s'estime lésée.

Concrètement, la CNDP est à la fois le guichet où vous déclarez vos traitements et l'autorité habilitée à vous contrôler. La conformité, c'est d'abord anticiper ce qu'elle vérifierait : vos formulaires, vos mentions légales et vos mesures de sécurité.

Formulaires et collecte de données

Chaque formulaire de votre site — contact, devis, newsletter, création de compte — collecte des données personnelles. Avant toute chose, demandez-vous si vous avez réellement besoin de chaque champ. Un champ inutile constitue un risque supplémentaire.

Au moment de la collecte, la personne doit être informée de l'identité du responsable du traitement et des finalités pour lesquelles les données sont recueillies. En clair : indiquez à côté du formulaire qui traite les données et pour quel usage, dans un langage clair.

Si vous vous appuyez sur le consentement, celui-ci doit être libre, spécifique et éclairé : aucune case pré-cochée ni formule vague. Un lien vers votre politique de confidentialité doit être accessible directement au moment où la personne remplit le formulaire.

Cookies et traceurs

La loi 09-08 ne consacre pas d'article dédié aux cookies, mais les traceurs qui identifient une personne relèvent des mêmes principes : information préalable et consentement. La prudence consiste donc à :

• informer les visiteurs des traceurs déposés et de leur finalité ;
• recueillir le consentement pour les traceurs non essentiels (statistiques, publicité) ;
• permettre de refuser aussi simplement que d'accepter.

Un bandeau de cookies clair, offrant un choix réel, constitue aujourd'hui le standard attendu, y compris au Maroc.

Mentions légales et politique de confidentialité

Votre site doit publier deux documents distincts :

• Les mentions légales : identité de l'éditeur, forme juridique, coordonnées. Elles informent le visiteur sur l'entité responsable du site.
• La politique de confidentialité : quelles données sont collectées, pourquoi, combien de temps elles sont conservées, qui y a accès, et comment exercer ses droits (accès, rectification, opposition).

Ces documents ne sont pas de simples formalités : ils matérialisent l'information due aux personnes, et constituent les premiers éléments vérifiés par la CNDP.

Déclarations et autorisations

En principe, tout traitement de données personnelles doit faire l'objet d'une déclaration préalable auprès de la CNDP, sauf s'il est exclu du champ d'application de la loi, dispensé de déclaration, ou soumis au régime de l'autorisation. La CNDP délivre ensuite un récépissé de déclaration.

Certains traitements exigent une autorisation préalable : c'est le cas des données sensibles (origine ethnique, opinions politiques, convictions religieuses, santé), de l'utilisation de données à d'autres fins que celles de leur collecte initiale, des données génétiques, des infractions et condamnations, du numéro de carte d'identité nationale, ou de l'interconnexion de fichiers.

La démarche s'effectue via des formulaires téléchargeables sur le site de la CNDP, accompagnés du document autorisant le signataire à engager la personne morale.

Checklist récapitulative

1. Faire l'inventaire : listez tous les formulaires et traceurs du site.
2. Réduire la collecte : supprimez les champs et traceurs inutiles.
3. Informer : ajoutez la mention d'information à chaque formulaire.
4. Consentement : mettez en place un bandeau cookies offrant un choix réel.
5. Rédiger les documents : mentions légales et politique de confidentialité.
6. Déclarer : déposez la déclaration (ou la demande d'autorisation) auprès de la CNDP.
7. Sécuriser : activez la double authentification et limitez les accès par adresse IP sur votre espace client.
8. Documenter : conservez la trace de chaque démarche, pour votre organisation comme pour un éventuel contrôle.

Si votre site encaisse en ligne, la norme PCI DSS s'ajoute à la liste : voir Paiement en ligne : ce que la norme PCI DSS exige.

La conformité s'appuie aussi sur un hébergement sûr. Pour renforcer la sécurité de vos accès, consultez les articles d'aide Imposer la double authentification et limiter les adresses IP et Activer la double authentification. Pour le cadre légal complet, lisez Loi 09-08 : protéger les données personnelles de vos clients.

Un site conforme est aussi un site qui reste en ligne et sauvegarde ses données. Découvrez l'offre d'hébergement web d'Atlas Hoster. Pour le choix de la localisation des données, voir Héberger ses données au Maroc : ce que ça change vraiment.

Durée de conservation et minimisation

La loi impose de ne conserver les données que le temps nécessaire aux finalités déclarées. Concrètement : définissez une durée pour chaque type de donnée, et supprimez ce qui n'a plus d'utilité.

• Les messages d'un formulaire de contact se conservent le temps de traiter la demande.
• Les données d'un compte client se conservent tant que le compte est actif, puis sont supprimées ou anonymisées.
• Les données de prospection se conservent tant que la personne n'a pas retiré son consentement.

La minimisation va de pair : ne collectez que ce dont vous avez besoin, et ne gardez pas ce dont vous n'avez plus l'usage. C'est à la fois une exigence légale et une réduction du risque en cas d'incident de sécurité.

Documentez ces durées dans votre politique de confidentialité : c'est ce que la CNDP vérifie, et ce que vos clients attendent d'un site sérieux.

FAQ

Faut-il déclarer un simple formulaire de contact ?

Oui. La collecte d'un nom et d'une adresse e-mail constitue un traitement de données personnelles, soumis en principe à déclaration préalable auprès de la CNDP.

Les cookies sont-ils explicitement régis par la loi 09-08 ?

Pas par un article dédié, mais les traceurs identifiants relèvent des principes généraux de la loi : information et consentement. Un bandeau avec choix réel est la pratique recommandée.

Que faire si je ne sais pas par où commencer ?

Commencez par l'inventaire des formulaires et traceurs, puis rédigez les mentions légales et la politique de confidentialité. La déclaration à la CNDP peut venir dans un second temps, une fois l'existant documenté.