Formulaires CNDP : lequel s'applique à votre traitement

La CNDP ne publie pas un formulaire unique. Elle en publie plusieurs, et le mauvais choix ne se solde pas par un refus : le dossier revient, et le temps perdu est du temps de projet. Ce guide dit lequel s'applique, ce qui les distingue, et dans quel ordre s'y prendre.

Deux régimes avant cinq formulaires

Tout part d'une seule question : votre traitement relève-t-il de la déclaration ou de l'autorisation préalable ?

• La déclaration est le régime de droit commun. Vous déclarez, la CNDP en accuse réception, et vous pouvez démarrer.
• L'autorisation préalable concerne les traitements les plus sensibles — les données de santé en premier lieu. Ici, rien ne démarre avant la décision.

Le formulaire découle du régime, et le régime découle de la nature des données et de la finalité. C'est pour cette raison que le formulaire est la dernière chose à choisir, pas la première.

Les cinq formulaires

Formulaire	Régime	Usage
F211	Déclaration	Déclaration normale préalable d'un traitement
F214	Déclaration	Déclaration simplifiée préalable
F112	Autorisation	Demande d'autorisation préalable — normale
F113	Autorisation	Demande d'autorisation préalable — simplifiée
F115	Cas particulier	Déclaration du responsable de traitement d'un registre public

Cas particulier : le F115 n'est pas une troisième voie générale. Il sert à déclarer l'identité du responsable de traitement d'un registre public. Si votre traitement n'est pas un registre public, ce n'est pas votre formulaire — c'est l'erreur la plus fréquente que nous voyons sur les dossiers repris.

Normal ou simplifié : ce qui change

Les versions simplifiées — F214 pour la déclaration, F113 pour l'autorisation — existent pour les traitements courants et standardisés, ceux dont la finalité et les catégories de données correspondent à un cadre déjà décrit par la CNDP. La version normale est le cas général : dès que votre traitement s'écarte du modèle, c'est le F211 ou le F112.

Le réflexe utile : on ne choisit pas le simplifié pour aller plus vite. On le choisit parce que le traitement correspond réellement au cadre simplifié. Déposer un F214 sur un traitement qui n'y entre pas fait perdre plus de temps que le F211 n'en aurait coûté.

Les pièces à joindre

Le formulaire n'est que la couverture du dossier. Ce qui se prépare vraiment, c'est ce qu'il déclare :

• La finalité de chaque traitement, énoncée précisément. « Gestion des clients » n'est pas une finalité ; « facturation et recouvrement » en est une.
• Les catégories de données et les personnes concernées.
• Les destinataires, y compris les sous-traitants et les prestataires d'hébergement.
• La durée de conservation par catégorie — et elle doit être celle que le système applique réellement.
• Les mesures de sécurité : cloisonnement des accès, journalisation, chiffrement.
• Les transferts hors du Maroc, le cas échéant, avec leur destination.

Les délais, et celui que personne ne mentionne

• 24 heures — délai dans lequel la CNDP délivre le récépissé de la déclaration. C'est un accusé de réception, pas une décision : un récépissé n'atteste pas que le traitement est conforme.
• 8 jours — délai pendant lequel la CNDP peut vous notifier qu'elle bascule votre traitement vers le régime de l'autorisation préalable, si elle estime qu'il présente des risques manifestes pour la vie privée. C'est une faculté de la Commission, pas une obligation qui pèse sur vous.
• 2 mois, prorogeables une seule fois — délai dans lequel la CNDP rend et notifie sa décision sur une demande d'autorisation. À planifier comme un jalon projet : quatre mois dans le pire des cas.

Le point décisif, et le plus souvent omis : si le dossier est incomplet, aucun de ces délais ne commence à courir tant que la CNDP n'a pas reçu les informations ou les pièces qu'elle a demandées. Un dossier déposé vite mais incomplet ne fait donc rien gagner — c'est la raison pour laquelle la cartographie se fait avant le dépôt, et pas pendant.

Dans quel ordre s'y prendre

1. Inventoriez les traitements. Un traitement par finalité, pas un par logiciel.
2. Qualifiez chacun : déclaration ou autorisation, selon les données et la finalité.
3. Choisissez le formulaire — il découle des deux étapes précédentes.
4. Constituez les pièces, et vérifiez que ce que vous déclarez est ce que le système fait.
5. Déposez, et traitez la décision d'autorisation comme un jalon de planning.

Le détail de l'étape 2 est traité dans le guide déclaration CNDP : qui doit déclarer, quoi, et comment. Pour un traitement de données de santé, voir données de santé et CNDP. Si vous venez du RGPD, ce qui se recycle et ce qui ne se recycle pas.

Besoin que le dossier et le logiciel disent la même chose ? C'est exactement notre travail : conformité CNDP.