Conformité CNDP : ce qu'une entreprise marocaine doit réellement faire

De quoi parle-t-on

La loi 09-08 encadre le traitement des données personnelles au Maroc. Elle s'applique dès que vous conservez des informations sur des personnes identifiables : clients, patients, adhérents, salariés, candidats. Autrement dit : à peu près toutes les entreprises.

La déclaration préalable

Le principe de la loi est une déclaration avant la mise en œuvre du traitement. Beaucoup d'entreprises traitent des données depuis des années sans avoir jamais déclaré — souvent sans savoir que c'était requis. Les traitements portant sur des données sensibles, dont les données de santé, relèvent d'un régime plus strict que la simple déclaration.

Ce que la CNDP regarde en priorité

Les secteurs cités comme prioritaires dans ses actions de contrôle incluent les établissements de santé, l'industrie pharmaceutique, l'hôtellerie, le commerce en ligne et l'enseignement supérieur. Le point commun : un volume important de données personnelles, souvent sensibles, et des systèmes assemblés au fil du temps.

L'exposition du dirigeant

C'est la partie que l'on découvre tard. Les sanctions ne sont pas seulement institutionnelles : sur les données sensibles, la loi prévoit des amendes et une responsabilité qui peut atteindre le dirigeant personnellement, avec des peines pouvant aller jusqu'à l'emprisonnement dans les cas les plus graves. Ce n'est pas un sujet que l'on délègue entièrement au prestataire informatique.

Les six choses à mettre en place

1. Cartographier — quelles données, collectées où, conservées combien de temps, accessibles par qui, transmises à qui.
2. Déclarer — le dossier correspondant à vos traitements réels, pas à ceux que vous pensez avoir.
3. Informer les personnes — mention claire au moment de la collecte, finalité comprise.
4. Gérer les droits d'accès — chaque utilisateur ne voit que ce que sa fonction exige. Un accès administrateur partagé par cinq personnes n'est pas une gestion des droits.
5. Tracer — savoir qui a consulté quel dossier et quand. C'est ce qu'on vous demandera lors d'un contrôle.
6. Purger — une durée de conservation définie, et un mécanisme qui l'applique réellement.

Pourquoi cela se joue dans le logiciel

Un avis juridique décrit ce qui devrait être vrai. La conformité, elle, se joue dans l'application : qui peut ouvrir quel dossier, ce qui est journalisé, ce qui se passe à l'expiration de la durée de conservation. Si votre système ne sait pas répondre à ces questions, aucune procédure écrite ne le compensera.

Nous faisons les deux moitiés du travail — l'analyse et la modification du système. Voir notre offre de conformité CNDP.