Loi 09-08 et RGPD : ce qui se ressemble, ce qui ne se remplace pas

Deux situations reviennent constamment. Une entreprise marocaine qui travaille avec des clients européens se demande si le RGPD suffit. Une filiale d’un groupe européen se demande si sa conformité groupe couvre le Maroc. La réponse est la même dans les deux sens : non, l’une ne remplace pas l’autre, et la raison est structurelle.

La différence qui change le travail : la formalité préalable

C’est le point central. Le RGPD a supprimé la déclaration préalable en 1re intention : on documente en interne (registre des traitements, analyses d’impact) et on répond en cas de contrôle. La loi 09-08 conserve la formalité préalable : on déclare — ou on demande une autorisation — avant de mettre le traitement en œuvre.

Conséquence concrète : une entreprise parfaitement conforme au RGPD peut être en infraction au Maroc simplement parce qu’elle n’a rien déposé. Son registre est impeccable, sa gouvernance solide, et il manque le récépissé. Voir la déclaration CNDP.

Ce qui se ressemble beaucoup

• Les principes — finalité déterminée, minimisation des données, exactitude, durée de conservation limitée, sécurité.
• Les droits des personnes — information, accès, rectification, opposition.
• La responsabilité du responsable de traitement à l’égard de ses sous-traitants.
• Le régime renforcé des données sensibles, la santé en tête.

Autrement dit : le travail technique se recycle très bien. Cloisonnement des rôles, journalisation, purges automatiques, encadrement des sous-traitants — ce que vous avez fait pour le RGPD sert directement.

Ce qui ne se recycle pas

• Le dépôt — formulaires propres à la CNDP : F211 et F214 pour la déclaration préalable (normale ou simplifiée), F112 et F113 pour la demande d’autorisation préalable (normale ou simplifiée).
• L’autorité compétente — la CNDP, avec ses délais : récépissé de déclaration sous 24 heures, huit jours pendant lesquels la CNDP peut basculer le traitement vers l’autorisation préalable, deux mois prorogeables une seule fois pour une décision d’autorisation. Un dossier incomplet ne fait courir aucun de ces délais tant que la CNDP n’a pas reçu les pièces demandées.
• Les transferts — un transfert hors du Maroc s’apprécie au regard de la loi marocaine, pas des mécanismes européens. Vos clauses contractuelles types ne sont pas un passe-droit local.
• Le vocabulaire du dossier — une documentation RGPD ne se dépose pas telle quelle ; elle se traduit en traitements déclarables.

Le cas de la filiale d’un groupe européen

Le schéma est presque toujours le même : les outils sont ceux du groupe, hébergés en Europe, sous contrats groupe. Trois questions se posent alors, et aucune n’est résolue par la conformité groupe :

• Qui est responsable de traitement pour l’activité marocaine — la filiale ou la maison mère ?
• Les traitements opérés localement sont-ils déclarés à la CNDP ?
• Le flux vers les outils du groupe est-il traité comme un transfert, et figure-t-il dans le dossier ?

Ce que nous en faisons

En pratique, nous partons de l’existant : s’il y a un registre RGPD, il devient l’ossature de l’inventaire des traitements ; il manque presque toujours la qualification du régime marocain et la partie technique réellement appliquée. Voir conformité CNDP et données sensibles.

Guides liés : le consentement, les données de santé.