Protection des données (loi 09-08, RGPD)
Certains liens de cette page sont des liens d'affiliation : nous pouvons toucher une commission, sans surcoût pour vous. En savoir plus
La conformité n’est pas un dossier administratif à remplir une fois, mais une discipline de traitement des données : savoir ce que l’on collecte, pourquoi, où c’est stocké et qui peut y accéder. Elle protège autant les clients que l’entreprise.
Ce que demande la loi 09-08
La loi marocaine impose la déclaration à la CNDP, l’information des personnes, le respect des finalités et un niveau de sécurité approprié. Elle s’applique dès qu’une base clients, un fichier de prospects ou une boutique en ligne existe.
Le RGPD, quand il s’applique à vous
Une entreprise marocaine sans établissement en Europe est concernée dès qu’elle traite des données de personnes qui s’y trouvent. Cela inclut souvent les clients européens d’une boutique en ligne ou de l’export.
Bannière cookies et consentement
Une bannière ne suffit pas : le consentement doit être libre, spécifique et documenté. Les outils d’analytique et de publicité doivent être configurés pour ne pas déposer de cookies avant le choix de l’utilisateur. translations: en: “protection-des-donnees”
Quand en avez-vous besoin ?
- Vous collectez des données clients (nom, téléphone, email, adresse) sur un site ou par formulaire
- Vous utilisez un outil d'analytique ou de publicité qui transmet des données à un tiers
- Vous vendez à des clients européens et devez appliquer le RGPD
- Vous souscrivez à un service cloud et devez vérifier comment vos données sont hébergées
- Vous avez reçu une plainte, une demande d'accès ou une tentative de fuite de données
Comment ça se passe
- Cartographie des traitements — Lister les données collectées, où elles circulent, qui y a accès, combien de temps elles sont conservées et pour quelle finalité. Ce registre est la base de toute mise en conformité.
- Bases légales et finalités — Pour chaque traitement, identifier la base légale (contrat, obligation légale, consentement, intérêt légitime) et volontairement limiter la collecte au nécessaire (minimisation).
- Déclaration et information — Déposer les notifications auprès de la CNDP selon la loi 09-08, rédiger une politique de confidentialité claire, recueillir un consentement valable pour cookies et prospection.
- Sécurité et sous-traitants — Protéger les données (accès, chiffrement, sauvegardes), encadrer les prestataires par des contrats de sous-traitance et vérifier la localisation des données.
- Droits et incidents — Mettre en place une procédure pour répondre aux demandes d'accès, de rectification ou d'effacement, et pour notifier une violation de données dans les délais prévus.
Combien ça coûte
| Prestation | Prix indicatif | À savoir |
|---|---|---|
| Cartographie et registre des traitements | 15 000 – 40 000 MAD (≈ 1 400 – 3 700 €) | Site, CRM, analytique, prestataires |
| Mise en conformité complète | 30 000 – 60 000 MAD (≈ 2 800 – 5 500 €) | Registre, politiques, contrats, formation |
| Déclaration CNDP | 2 000 – 8 000 MAD (≈ 180 – 730 €) | Préparation et dépôt des notifications |
| Politique de confidentialité et bannière cookies | 5 000 – 20 000 MAD (≈ 450 – 1 800 €) | Rédaction et configuration du consentement |
| Accompagnement annuel | 10 000 – 40 000 MAD / an (≈ 920 – 3 700 €) | Mise à jour, demandes et incidents |
| Audit de sécurité des données | 10 000 – 30 000 MAD (≈ 920 – 2 800 €) | Accès, chiffrement, sauvegardes et journalisation |
Fourchettes indicatives pour le marché marocain en 2026, hors taxes. Les tarifs varient selon le périmètre et le prestataire.
Outils recommandés
Les outils que nous recommandons le plus souvent pour ce type de projet.
CNDP
Autorité marocaine de protection des données personnelles
Cookiebot
Gestion du consentement aux cookies et catégories
Matomo
Analytique respectueuse des données, hébergée sur votre serveur
Axeptio
Bannière de consentement configurable pour le RGPD
DPO Toolbox
Modèles de registre et de politiques de données
Erreurs à éviter
- Collecter le maximum de données « au cas où », sans finalité ni base légale claire
- Utiliser une bannière de cookies qui n'enregistre pas réellement le consentement
- Garder les données indéfiniment, sans durée de conservation
- Oublier les sous-traitants : CRM, emailing, analytique, hébergement, transporteur
- Imaginer que la CNDP et le RGPD sont réservés aux grandes entreprises
Questions fréquentes
Qu'est-ce que la loi 09-08 ?
C'est la loi marocaine de protection des données personnelles. Elle impose que la collecte et le traitement des données soient déclarés à la CNDP, qu'ils soient loyaux et proportionnés, que la personne soit informée et que ses données soient suffisamment protégées.
Faut-il déclarer tous les traitements à la CNDP ?
La plupart des traitements doivent faire l'objet d'une notification ou d'une autorisation préalable. Les traitements à faible risque peuvent parfois être dispensés ; l'analyse d'un professionnel permet de confirmer le bon régime.
Une entreprise marocaine doit-elle appliquer le RGPD ?
Si elle traite des données de personnes situées dans l'UE (clients européens, site en français livrant en Europe, publicité ciblée), oui, pour ces traitements. La loi marocaine 09-08 s'applique en parallèle.
Combien coûte une mise en conformité ?
Pour une PME, une cartographie et une mise en conformité raisonnable se situent entre 15 000 et 60 000 MAD selon le nombre de traitements et de prestataires. L'accompagnement annuel pour les mises à jour et les demandes est plus modeste.
Que faire en cas de fuite de données ?
Contenir la fuite, documenter, informer l'organisation et les personnes concernées selon le risque, notifier les autorités compétentes dans les délais prévus, puis corriger la cause. Le RGPD impose une notification à 72 heures à l'autorité.
Mis à jour le