Déclaration CNDP : qui doit déclarer et comment

Si votre entreprise détient un fichier client, gère une paie, filme ses locaux ou collecte des adresses via un formulaire web, elle traite des données personnelles — et la loi 09-08 impose de le déclarer à la CNDP avant de commencer. Ce guide explique ce que cela couvre réellement, comment savoir si vous relevez de la déclaration ou de l’autorisation, et ce que la conformité exige côté logiciel.

Ce qu’est un « traitement »

C’est le point qui surprend le plus : un traitement n’est pas un logiciel, c’est une finalité. Le même fichier Excel peut constituer deux traitements s’il sert à deux fins. À l’inverse, cinq outils qui servent la même finalité forment souvent un seul traitement.

Les traitements que nous retrouvons dans presque toutes les entreprises :

Gestion de la clientèle — fichier client, devis, facturation, historique des échanges.
Gestion du personnel — paie, congés, évaluations, candidatures reçues.
Vidéosurveillance des locaux.
Contrôle d’accès — badges, pointeuse, registre des entrées.
Prospection — formulaires web, newsletter, listes d’appels.

Cinq traitements pour une PME qui pensait n’en avoir aucun. Chacun a une finalité, une durée de conservation et des destinataires différents, donc chacun se déclare pour ce qu’il est.

Déclaration ou autorisation préalable ?

La question qui détermine tout le calendrier. Le régime dépend de la nature des données et de la finalité, jamais de la taille de l’entreprise.

Déclaration — le régime de droit commun. Vous notifiez le traitement avant sa mise en œuvre.
Autorisation préalable — pour les traitements les plus sensibles : au premier rang les données de santé, ainsi que certains transferts hors du Maroc et certaines interconnexions de fichiers. Ici vous ne notifiez pas : vous attendez une décision.

La différence est pratique avant d’être juridique. Un traitement soumis à autorisation ne peut pas démarrer parce que le dossier est parti — ce qui, sur un projet logiciel, doit entrer dans le plan de livraison au cadrage. Voir notre guide dédié aux données de santé.

Les formulaires

F211 — déclaration normale préalable d’un traitement.
F214 — déclaration simplifiée préalable.
F112 — demande d’autorisation préalable, normale.
F113 — demande d’autorisation préalable, simplifiée.

Cas particulier : le F115 n’est pas une troisième voie. Il déclare l’identité du responsable de traitement d’un registre public.

Le choix découle de l’inventaire des traitements, pas l’inverse. Un dossier déposé sous le mauvais régime revient, et le temps perdu est du temps de projet.

Les délais

24 heures — délivrance du récépissé de la déclaration : un accusé de réception, pas une décision.
8 jours — délai pendant lequel la CNDP peut vous notifier le basculement vers le régime de l’autorisation préalable, si elle estime que le traitement présente des risques manifestes pour la vie privée.
Deux mois, prorogeables une seule fois — décision de la CNDP sur une demande d’autorisation.

Et le point qui change tout : si le dossier est incomplet, aucun de ces délais ne court tant que la CNDP n’a pas reçu les pièces demandées.

Autorisation CNDP : quand elle est obligatoire

La question revient sous cette forme — « ai-je besoin d'une autorisation CNDP ? » — et la réponse ne dépend pas de la taille de l'entreprise mais de la nature des données et de la finalité. L'autorisation préalable est le régime des traitements les plus sensibles, les données de santé au premier rang. Le formulaire est le F112 (ou le F113 pour sa version simplifiée), et non le F211, qui est la déclaration.

Trois conséquences pratiques, et elles sont toutes de calendrier :

Rien ne démarre avant la décision. Un dossier déposé n'autorise rien. C'est la différence fondamentale avec la déclaration, où le récépissé permet de commencer.
Deux mois, prorogeables une seule fois. Prévoyez jusqu'à quatre mois, et traitez-le comme un jalon de projet plutôt que comme une formalité administrative.
Le dossier incomplet ne fait courir aucun délai. Le compteur ne démarre qu'à réception des pièces demandées, donc un dépôt anticipé mais incomplet ne gagne rien du tout.

Il existe aussi un chemin que vous ne choisissez pas : dans les 8 jours suivant une déclaration, la CNDP peut vous notifier qu'elle bascule votre traitement vers le régime de l'autorisation, si elle estime qu'il présente des risques manifestes pour la vie privée. Un projet dont le planning suppose une simple déclaration doit donc pouvoir absorber ce basculement — c'est la raison pour laquelle nous qualifions le régime au cadrage et pas à la recette. Le choix du formulaire lui-même est détaillé dans quel formulaire CNDP choisir.

Ce que la déclaration ne suffit pas à régler

Un récépissé n’est pas la conformité. Il atteste que vous avez déclaré ; il n’atteste pas que votre système tient ce que la déclaration annonce. Or c’est exactement ce qu’un contrôle vérifie :

La durée de conservation déclarée est-elle réellement appliquée ? Une politique écrite ne supprime rien : il faut une purge qui s’exécute.
Les accès sont-ils cloisonnés comme annoncé, ou tout le monde voit-il tout ?
Les consultations de données sensibles sont-elles journalisées ?
Pouvez-vous exporter et supprimer les données d’une personne qui le demande — y compris dans les sauvegardes, après leur propre cycle ?
Vos sous-traitants sont-ils encadrés par écrit, et savez-vous où sont les données ?

C’est la moitié du travail qu’un avis juridique ne peut pas faire, et c’est celle que nous faisons : voir conformité CNDP et données sensibles.

Par où commencer

Par l’inventaire, toujours. Recensez les finalités avant de remplir un formulaire : quelles données, collectées où, conservées combien de temps, accessibles par qui, transmises à qui. Notre auto-évaluation CNDP en huit questions donne un premier repère — gratuite, sans inscription, et rien n’est enregistré.

Guides liés : loi 09-08 et RGPD, le consentement, les données des salariés.