Guides

La CNDP, en une page

La CNDP est la Commission nationale de contrôle de la protection des données à caractère personnel. C’est l’autorité marocaine chargée de la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Concrètement : si votre entreprise détient des informations sur des personnes — clients, salariés, patients, adhérents, candidats — la CNDP est l’organisme devant lequel vous en répondez.

Ces guides existent parce que l’information disponible s’arrête presque toujours au même endroit. Le régulateur décrit l’obligation. Les cabinets d’avocats décrivent le dépôt du dossier. Personne ne décrit le logiciel — c’est-à-dire ce qu’il faut changer dans un système d’information pour que la conformité soit vraie et pas seulement déclarée. C’est la moitié du sujet que nous traitons tous les jours, et c’est celle que vous trouverez ici.

Qui doit s’en préoccuper

Beaucoup plus d’entreprises que celles qui s’en occupent. Un traitement de données personnelles n’est pas un logiciel : c’est une finalité. Ce qui veut dire qu’une PME qui pense n’avoir aucun sujet en cumule souvent cinq sans le savoir :

• un fichier client — devis, factures, historique des échanges ;
• la gestion du personnel — paie, congés, évaluations, candidatures reçues ;
• la vidéosurveillance des locaux ;
• le contrôle d’accès — badges, pointeuse, registre d’entrée ;
• la prospection — formulaires web, newsletter, listes d’appels.

Chacun a sa propre finalité, sa propre durée de conservation et ses propres destinataires. Chacun se déclare donc pour ce qu’il est, et non globalement.

Les secteurs que la CNDP cite en priorité dans ses contrôles sont les établissements de santé, l’industrie pharmaceutique, l’hôtellerie, le commerce en ligne et l’enseignement supérieur. Si vous êtes dans l’un d’eux et que vous n’avez rien déposé, c’est le sujet à traiter en premier.

Les deux régimes, et pourquoi la distinction commande le calendrier

La question qui structure tout le dossier n’est pas « faut-il déclarer ? » mais « déclaration ou autorisation ? ». Le régime dépend de la nature des données et de la finalité du traitement — jamais de la taille de l’entreprise.

Une déclaration est une notification : vous informez la CNDP avant de mettre le traitement en œuvre. Une autorisation préalable est une décision : vous attendez la réponse, et le traitement ne peut pas démarrer entre-temps. Les données de santé relèvent du second régime.

Sur un projet logiciel, cette différence n’est pas administrative : c’est un jalon de livraison. Un dossier d’autorisation qui part trop tard décale une mise en production, et aucune équipe technique ne peut rattraper ce délai. C’est la raison pour laquelle nous traitons la conformité au cadrage et pas à la recette.

Les sept guides

Chacun répond à une question que l’on nous pose réellement, et va jusqu’au niveau de détail qui manque ailleurs.

• Déclaration CNDP : qui doit déclarer, quoi, et comment — le point de départ. Ce qu’est un traitement, comment savoir si vous relevez de la déclaration ou de l’autorisation, les formulaires correspondants, les délais, et surtout ce qu’un récépissé ne prouve pas.
• Données de santé : l’autorisation préalable, pas la déclaration — pour les cliniques, laboratoires, cabinets et organismes de couverture. Ce que « donnée de santé » couvre réellement, ce que le régime implique sur le calendrier, et ce que le logiciel doit savoir faire : cloisonner par rôle, journaliser les consultations, appliquer une durée par catégorie.
• Loi 09-08 et RGPD : ce qui se ressemble, ce qui ne se remplace pas — pour les entreprises qui travaillent avec l’Europe et pour les filiales de groupes européens. Être conforme au RGPD ne rend pas conforme au Maroc, et la raison est structurelle : la formalité préalable.
• Consentement : le recueillir, le prouver, le retirer — pourquoi une case à cocher ne suffit pas, quand le consentement est la mauvaise base légale, et ce qu’un système doit enregistrer pour qu’un consentement soit démontrable.
• Données des salariés : paie, badges, candidatures, vidéosurveillance — le traitement le plus universel et le moins déclaré. Les durées de conservation qui posent problème en pratique, et les limites du contrôle du salarié.
• Quel formulaire CNDP choisir et comment le remplir — F211, F214, F112, F113, F115 : ce qui distingue les deux régimes, pourquoi le F115 ne concerne que les registres publics, les pièces à joindre, et le délai que personne ne mentionne.
• Caméra de surveillance et CNDP — filmer au travail ou dans un lieu ouvert au public : le régime applicable, l’information des personnes, la proportionnalité, et ce qu’un contrôle vérifie réellement.

Par où commencer

Par l’inventaire, jamais par un formulaire. Recensez les finalités avant tout le reste : quelles données, collectées où, conservées combien de temps, accessibles par qui, transmises à qui. C’est ce document qui détermine ensuite le régime et le formulaire — l’inverse fait revenir le dossier.

Si vous ne savez pas où vous en êtes, notre auto-évaluation CNDP donne un premier repère en huit questions : gratuite, sans inscription, et rien n’est enregistré. Elle ne remplace pas un audit — elle vous dit s’il vous en faut un.

Et si la réponse est oui, voir conformité CNDP et données sensibles : l’audit des traitements, le dossier, puis les modifications techniques qui font que le système tient ce que la déclaration annonce.