Hiérarchie de la conformité numérique au Maroc : Comment la sensibilité des données détermine les procédures réglementaires auprès de la CNDP

L’accélération de la transition numérique au sein du tissu économique marocain a profondément redéfini les paradigmes de la gouvernance d’entreprise¹. Dans cet écosystème en mutation, la gestion des données à caractère personnel ne relève plus d’une simple contrainte technique, mais s’érige en indicateur de performance, de responsabilité éthique et de réputation commerciale². Sur le plan constitutionnel, le Royaume du Maroc a consacré, via l’article 24 de la Constitution de 2011, le droit fondamental de chaque individu à la protection de sa vie privée et au secret de ses communications³. C’est dans ce sillage que s’inscrit la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée par le Dahir n° 1-09-15 du 18 février 2009 et publiée au Bulletin Officiel n° 5714 du 5 mars 2009³.

L’architecture de la loi n° 09-08 repose sur une autorité de régulation indépendante : la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP), composée de sept membres nommés par Sa Majesté le Roi⁷. Loin d’adopter une approche uniforme ou indifférenciée, le législateur marocain a structuré un modèle procédural hiérarchisé, indexé sur le niveau de risque que présentent les traitements pour les droits et libertés des individus⁷. Cette hiérarchie oppose principalement le régime de la déclaration préalable, destiné aux traitements de gestion courante, au régime de l’autorisation préalable, réservé aux opérations techniques complexes ou impliquant des données hautement sensibles⁸.

Le présent rapport académique analyse de manière approfondie les mécanismes de cette hiérarchie, l’encadrement des flux transfrontaliers, les mutations vers la responsabilisation globale (accountability) et l’arsenal répressif applicable aux organisations défaillantes.

Le régime de la déclaration préalable : le cadre ordinaire de gestion

Le régime de la déclaration préalable, régi par les articles 12 à 20 de la loi n° 09-08, constitue le socle de droit commun pour la mise en œuvre des traitements ordinaires de données à caractère personnel⁷. Ce dispositif a été conçu pour fluidifier les formalités administratives des opérateurs économiques tout en garantissant un contrôle minimal et systématique de l’autorité de régulation⁷.

Champ d’application et traitements de gestion courante

Le régime déclaratif s’applique aux traitements dont les finalités sont considérées comme classiques, indispensables au fonctionnement interne d’une organisation et a priori non attentatoires à la vie privée des personnes concernées¹⁰. Sont ainsi assujettis à cette procédure les fichiers de gestion de la clientèle et des prospects, la gestion des ressources humaines et de la paie, la comptabilité générale, la facturation, ainsi que les outils de gestion de courriers et de messagerie électronique⁷.

Typologie des formulaires et mécanismes d’instruction

Pour opérationnaliser cette obligation, la CNDP met à la disposition des responsables de traitement deux catégories de formulaires de notification préalable¹² :

• La déclaration normale (Formulaire F211) : Elle est requise pour tout traitement de droit commun qui ne répond pas aux critères d’une norme simplifiée¹². Le responsable de traitement doit y décrire de manière rigoureuse l’identité de sa structure, les finalités du traitement, les catégories de personnes visées, les destinataires des données, leur durée de conservation, ainsi que les mesures techniques et organisationnelles prises pour assurer la sécurité des informations⁸.
• La déclaration simplifiée (Formulaire F214) : Ce mécanisme allégé s’applique aux traitements conformes à des normes types préalablement édictées par la CNDP pour des activités récurrentes et sans risque majeur (par exemple, la gestion des fournisseurs ou des accès physiques standards)¹².

Le dépôt du dossier s’effectue en ligne sur la plateforme dédiée de la CNDP ou par dépôt physique à son siège à Rabat¹⁶. Dès réception d’un dossier complet, la Commission instruit la demande¹⁴. Toutefois, l’article 12 de la loi dispose d’un mécanisme de sauvegarde : si la Commission estime que le traitement présente des dangers manifestes pour le respect de la vie privée, elle dispose d’un délai de huit jours pour notifier au déclarant sa décision de soumettre le traitement au régime plus rigoureux de l’autorisation préalable¹².

Exemptions de déclaration

Il convient de souligner que la loi n° 09-08 prévoit, en son article 18, des dispenses de déclaration préalable⁷. Ces exemptions concernent limitativement :

• Les traitements ayant pour seul objet la tenue d’un registre destiné par la loi à l’information du public et ouvert à la consultation de celui-ci¹⁵.
• Les traitements mis en œuvre par une personne physique dans le cadre d’activités exclusivement personnelles ou domestiques¹⁵.

Paramètres Procéduraux	Régime de la Déclaration Préalable (Cadre ordinaire)	Régime de l’Autorisation Préalable (Cadre strict)
Bases Légales	Articles 12 à 20 de la loi n° 09-087	Articles 21 et 22 de la loi n° 09-087
Types de Données	Données non sensibles (identité, coordonnées, données commerciales, données professionnelles)7	Données sensibles (santé, génétique, opinions politiques/religieuses, syndicales, biométrie, CNIE, données judiciaires)7
Objectif de la Procédure	Notification à la CNDP pour enregistrement au Registre National et obtention d’un récépissé7	Contrôle approfondi a priori ; interdiction de mise en œuvre sans accord exprès écrit8
Formulaires Dédiés	F211 (Déclaration normale), F214 (Déclaration simplifiée), F115 (Registre du responsable)12	F112 (Autorisation normale), F113 (Autorisation simplifiée)12
Délais d’instruction	Délivrance rapide du récépissé ; délai de réévaluation de 8 jours par la CNDP12	30 jours, prorogeable une fois. Le silence de la CNDP vaut décision de rejet16
Exemptions applicables	Traitements domestiques, registres légaux publics (Article 18)15	Activités des associations à but non lucratif (religieux, politique, syndical, sportif) (Article 12-1-a)12

Le régime de l’autorisation préalable : le cadre strict et les traitements à risque

Dès lors que la collecte de données touche à l’intimité profonde des personnes physiques ou à des données d’identification régaliennes, le régime déclaratif s’efface au profit d’un contrôle a priori extrêmement rigoureux⁸. Prévu par les articles 21 et 22 de la loi n° 09-08, le régime de l’autorisation préalable impose au responsable de traitement d’obtenir l’accord exprès écrit de la CNDP avant tout début d’exploitation des données⁷.

Les critères matériels d’assujettissement à l’autorisation

L’autorisation préalable est légalement obligatoire dans quatre grands scénarios de traitement⁷ :

1. Le traitement de données sensibles : L’article premier de la loi qualifie de « sensibles » les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données relatives à la santé, y compris les données génétiques et biométriques⁸. En vertu de l’article 5, le traitement de ces données est en principe interdit, sauf dérogations expresses fondées notamment sur le consentement écrit et exprès de la personne concernée ou sur la sauvegarde de la vie humaine⁷.
2. Le traitement des données d’identification nationale : Toute opération technique impliquant l’utilisation du numéro de la Carte d’Identité Nationale (CNIE) ou de tout autre identifiant national unique est soumise à autorisation⁷. Cette restriction vise à prévenir l’interconnexion sauvage des bases de données publiques et privées, susceptible de générer un profilage étendu des citoyens⁵.
3. Le traitement des données judiciaires : Les fichiers relatifs aux infractions, aux condamnations pénales ou aux mesures de sûreté font l’objet d’un encadrement strict afin d’éviter toute forme d’exclusion sociale ou professionnelle injustifiée⁷.
4. Les opérations techniques complexes : L’interconnexion de fichiers gérés par des personnes morales différentes et poursuivant des finalités principales distinctes, ainsi que le transfert transfrontalier de données personnelles, entrent systématiquement dans le champ de l’autorisation préalable⁸.

Modalités procédurales de l’autorisation

Pour introduire une demande d’autorisation normale (F112) ou simplifiée (F113), le demandeur doit constituer un dossier technique et juridique étoffé¹². Ce dossier doit obligatoirement comprendre¹² :

• Un document établissant le pouvoir de représentation légale du signataire de la personne morale¹².
• Les justificatifs de l’information préalable des personnes (contrats, mentions d’information, chartes de confidentialité)¹².
• Les preuves du recueil du consentement exprès, libre et éclairé des personnes concernées¹¹.
• Les extraits des contrats de sous-traitance, intégrant les clauses contractuelles de sécurité et de confidentialité conformément à l’article 23¹².
• Le cas échéant, des justifications scientifiques ou techniques motivant les dérogations à l’obligation de codage (anonymisation) des données permettant l’identification des personnes¹².

La CNDP dispose réglementairement d’un délai de 30 jours à compter de la réception du dossier complet pour notifier sa décision¹⁶. Ce délai peut être prorogé une seule fois pour une durée identique¹⁸. Si le dossier est incomplet, le délai est suspendu jusqu’à la production des pièces complémentaires requises¹⁶. Une particularité notable réside dans le fait que le silence gardé par la Commission à l’issue de ces délais vaut décision de rejet de la demande d’autorisation¹⁶.

Les exemptions d’autorisation

L’article 12-1-a de la loi n° 09-08 dispense de l’obligation d’autorisation les traitements mis en œuvre par des associations ou des groupements à but non lucratif à caractère religieux, philosophique, politique, syndical, culturel ou sportif, pour les données de leurs membres, à la condition expresse que ces données ne soient pas communiquées à des tiers¹².

L’encadrement des flux transfrontaliers de données (Articles 43 et 44)

Le transfert de données personnelles du Maroc vers l’étranger constitue une opération technique et juridique hautement sensible²². Les articles 43 et 44 de la loi n° 09-08 posent un principe général d’interdiction de transfert, sauf si le pays destinataire offre un niveau de protection équivalent ou si des garanties contractuelles spécifiques sont apportées¹⁵.

Le principe de l’adéquation territoriale

Le transfert est facilité vers les États disposant d’un cadre législatif reconnu comme assurant un niveau de protection suffisant de la vie privée et des droits fondamentaux des personnes physiques¹². La CNDP évalue ce niveau de suffisance en tenant compte de la nature des données, des finalités du traitement, des durées de conservation, de la législation de l’État tiers et des mesures de sécurité professionnelles appliquées¹⁹.

Parmi les pays reconnus adéquats figurent principalement la France, l’Allemagne, l’Espagne, l’Italie, le Royaume-Uni, le Canada et la Suisse²². Vers ces pays, le transfert est possible sous réserve du respect des formalités déclaratives de base²².

Les garanties contractuelles pour les pays non adéquats

Lorsque le pays destinataire n’offre pas un niveau de protection suffisant (par exemple, dans le cadre de l’hébergement de données sur des serveurs situés aux États-Unis ou l’usage de plateformes SaaS internationales), l’exportateur marocain doit solliciter une autorisation expresse de transfert auprès de la CNDP¹². Cette autorisation n’est délivrée que si le responsable de traitement démontre qu’il a mis en œuvre des garanties contractuelles robustes¹² :

• Les clauses contractuelles types (CCT) : Contrats types annexés aux accords commerciaux liant l’exportateur de données marocain à l’importateur étranger, définissant les obligations de sécurité, de confidentialité et les droits de recours des personnes concernées¹².
• Les règles internes d’entreprise (Binding Corporate Rules – BCR) : Politiques de protection des données adoptées à l’échelle d’un groupe multinational pour régir les transferts intra-groupe vers des entités affiliées situées dans des pays tiers¹³.

Il existe des exceptions légales permettant le transfert vers un pays non adéquat sans clauses contractuelles validées, notamment si la personne concernée a donné son consentement exprès et indubitable au transfert, ou si l’opération est indispensable à la sauvegarde de la vie de la personne, à la préservation de l’intérêt public, à la constatation ou défense d’un droit en justice, ou à l’exécution d’un contrat commercial conclu dans l’intérêt de la personne concernée¹². Néanmoins, sur le plan procédural, la CNDP n’instruit une demande de transfert à l’étranger que si le traitement d’origine a lui-même été préalablement déclaré ou autorisé auprès de la Commission au niveau national¹².

L’analyse d’impact (AIPD) et la transition doctrinale vers l’Accountability

Sous l’impulsion de sa présidence et en phase avec les évolutions technologiques majeures de l’intelligence artificielle et du big data, la CNDP a opéré un virage doctrinal d’importance à travers la publication de la Délibération n° D-188-2020 du 14 décembre 2020¹. Cette délibération régit l’Analyse d’Impact relative à la Protection des Données (AIPD), marquant le passage progressif d’un modèle de contrôle strictement bureaucratique (a priori) vers une logique d’accountability (responsabilisation continue) inspirée des standards internationaux de la Convention 108+ et du RGPD européen¹.

Définition et rôle de l’AIPD

L’AIPD se définit comme un processus méthodologique visant à décrire précisément un traitement de données, à en évaluer la nécessité et la proportionnalité par rapport à ses finalités, et à gérer de manière structurée les risques pour les droits et libertés des personnes physiques²³. Elle constitue un outil de responsabilisation permettant au responsable du traitement d’apporter la preuve matérielle de sa conformité réglementaire (Privacy by design et Privacy by default)²³.

Les critères d’obligation d’une AIPD

La CNDP a établi que la réalisation d’une AIPD est obligatoire en amont du déploiement de tout traitement présumé présenter un risque élevé d’atteinte à la vie privée²³. Sont ainsi visés :

• Les traitements de données sensibles mis en œuvre à grande échelle²³.
• Les traitements permettant une surveillance systématique et automatisée des personnes (tels que les dispositifs de vidéosurveillance intelligente ou de géolocalisation continue)¹⁰.
• Les traitements basés sur l’utilisation de solutions technologiques innovantes ou de rupture, notamment les systèmes d’intelligence artificielle ou de reconnaissance faciale²³. À cet égard, la Délibération n° D-195-EUS/2020 encadre de manière extrêmement stricte la reconnaissance faciale en recommandant l’usage de tiers de confiance nationaux d’authentification pour éviter la multiplication sauvage de bases de données biométriques²⁶.
• Les traitements contrevenant au principe de neutralité des effets posé par l’article 11 de la loi n° 09-08, c’est-à-dire les décisions individuelles automatisées ou le profilage commercial systématique⁷.

L’AIPD doit être menée de manière concertée avec les équipes métiers, le Responsable de la Sécurité des Systèmes d’Information (RSSI) et, le cas échéant, les sous-traitants²³. Ces derniers sont d’ailleurs encouragés par la CNDP à formaliser des AIPD génériques pour leurs solutions logicielles afin de faciliter les dossiers d’instruction de leurs clients²³. L’article 4 de la Délibération précise qu’une AIPD n’est pas requise si le traitement envisagé est techniquement et juridiquement similaire à un traitement ayant déjà fait l’objet d’une analyse d’impact validée par un tiers de confiance ou par la Commission²³.

Le régime répressif : responsabilité civile, pénale et le doublement des sanctions pour les personnes morales

Le non-respect de la hiérarchie procédurale instituée par la loi n° 09-08 n’est pas qualifié de simple irrégularité administrative¹⁶. Le législateur marocain a mis en place un arsenal répressif sévère, détaillé au sein du Chapitre VII (articles 51 à 66), associant des peines pécuniaires, des sanctions d’emprisonnement pour les dirigeants et des mesures coercitives à l’encontre des personnes morales¹⁶.

Le principe de doublement des amendes (Article 64)

L’article 64 pose un jalon fondamental en matière de responsabilité des personnes morales : lorsque l’auteur d’une infraction à la loi n° 09-08 est une personne morale (entreprise, association, établissement public), les peines d’amende prévues par la loi sont systématiquement doublées¹⁶. Ce doublement s’applique de plein droit, sans préjudice des sanctions pénales personnelles (peines d’emprisonnement et amendes) applicables aux dirigeants physiques de l’entité concernée pour leurs manquements de gestion¹⁶.

Détail des infractions et graduations des sanctions

L’arsenal pénal réprime avec force l’atteinte à l’ordre public numérique et aux libertés individuelles²⁷.

Nature de l’Infraction Commise	Base Légale (Loi n° 09-08)	Sanctions d’Emprisonnement (Personnes physiques)	Amende Initiale (Personnes physiques)	Amende Doublée (Personnes morales – Art. 64)
Défaut de déclaration ou d’autorisation préalable	Article 5221	Néant	10 000 à 100 000 DH16	20 000 à 200 000 DH[cite: 16]
Traitement portant atteinte à la sécurité, l’ordre public ou aux bonnes mœurs	Article 5121	3 mois à 1 an de prison21	10 000 à 100 000 DH21	20 000 à 200 000 DH[cite: 16]
Refus d’exercice des droits (accès, rectification, opposition)	Article 5321	Néant	20 000 à 200 000 DH21	40 000 à 400 000 DH (par infraction constatée)16
Collecte et traitement de données de manière malhonnête ou illégale	Article 5421	3 mois à 1 an de prison21	20 000 à 200 000 DH21	40 000 à 400 000 DH[cite: 16]
Conservation de données au-delà de la durée légale nécessaire	Article 5521	3 mois à 1 an de prison16	20 000 à 200 000 DH16	40 000 à 400 000 DH[cite: 16]
Traitement de données sans le consentement de la personne concernée	Article 5621	3 mois à 1 an de prison21	20 000 à 200 000 DH21	40 000 à 400 000 DH[cite: 16]
Traitement de données sensibles sans consentement exprès ni autorisation	Article 5721	6 mois à 2 ans de prison16	50 000 à 300 000 DH16	100 000 à 600 000 DH[cite: 16]
Défaut de mise en œuvre des mesures de sécurité et de confidentialité	Article 5821	3 mois à 1 an de prison21	20 000 à 200 000 DH21	40 000 à 400 000 DH[cite: 16]
Poursuite du traitement malgré l’opposition légitime de la personne	Article 5921	3 mois à 1 an de prison16	20 000 à 200 000 DH16	40 000 à 400 000 DH[cite: 16]
Transfert illicite de données personnelles à l’étranger	Article 6028	3 mois à 1 an de prison19	20 000 à 200 000 DH19	40 000 à 400 000 DH[cite: 16]
Obstruction aux contrôles ou refus d’exécution des décisions de la CNDP	Article 62 / 6321	3 mois à 1 an de prison16	10 000 à 100 000 DH16	20 000 à 200 000 DH[cite: 16]

Le mécanisme de récidive (Article 65)

L’article 65 aggrave de manière substantielle la rigueur répressive : en cas de récidive, toutes les peines d’emprisonnement et d’amende sont portées au double²¹. L’état de récidive est juridiquement constitué dès lors qu’une entité (ou son dirigeant), ayant fait l’objet d’une condamnation devenue irrévocable pour une infraction à la loi n° 09-08, commet une nouvelle infraction de même nature dans un délai de un an suivant le prononcé de ladite décision²¹.

Sanctions complémentaires et administratives

Le tribunal répressif dispose de prérogatives d’exclusion économique de premier plan¹⁰ :

• La confiscation matérielle : Saisie et destruction définitive des serveurs informatiques, disques durs et terminaux ayant servi à réaliser l’infraction¹⁶.
• La fermeture d’établissement : Le tribunal peut prononcer la fermeture temporaire ou définitive du ou des établissements de la personne morale au sein desquels l’infraction a été commise, scellant l’arrêt de l’exploitation économique¹⁶.

Parallèlement aux juridictions répressives, la CNDP exerce son propre pouvoir de police administrative, qui s’ajoute aux poursuites judiciaires¹⁶. À la suite d’un contrôle, elle peut adresser un avertissement formel, émettre une mise en demeure de mise en conformité, retirer de manière temporaire ou définitive le récépissé de déclaration ou l’autorisation d’exploitation, ou ordonner la suspension immédiate du traitement de données avec destruction obligatoire des fichiers collectés¹⁶.

Les prérogatives de contrôle et de constatation

La loi encadre strictement la validité de la preuve pénale²⁷. Les agents de la CNDP, commissionnés par le président, disposent d’un droit d’accès direct aux locaux professionnels². Pour garantir la légalité de leurs investigations, ils doivent informer par écrit le Procureur du Roi compétent au moins 24 heures à l’avance, en précisant la date, l’heure, le lieu et l’objet de l’opération de contrôle²⁷.

À l’issue de leurs constatations sur place, ils rédigent un procès-verbal (PV) détaillé, lequel doit être transmis au Procureur du Roi dans un délai franc de cinq jours suivant la fin des opérations de contrôle²⁷. Les personnes faisant l’objet d’une convocation à une audition par les agents de contrôle ont le droit d’être accompagnées par le conseil juridique de leur choix²⁷.

Enjeux pratiques de gouvernance et rôle du conseil juridique spécialisé

La mise en conformité au Maroc ne peut plus être considérée comme un processus ponctuel, mais comme une exigence continue intégrée à la gouvernance globale de l’entreprise². L’imbrication croissante des cadres légaux – notamment l’articulation de la loi n° 09-08 avec la loi n° 05-20 sur la cybersécurité²⁴, la loi n° 43-20 sur les services de confiance numérique²⁹ et la loi n° 07-03 relative aux infractions aux systèmes de traitement automatisé de données²⁴ – nécessite une expertise pointue de haut niveau⁸.

À titre d’illustration, l’article 607-3 du Code pénal, modifié par la loi n° 07-03, réprime sévèrement l’accès ou le maintien frauduleux dans un système informatique, avec un doublement des peines s’il en résulte une suppression, une modification des données ou une panne du système²⁴. Cela démontre l’alignement impératif entre la sécurité informatique d’une structure et sa responsabilité réglementaire de protection des données¹⁰.

Pour faire face à ces risques cumulés (pénaux, financiers et réputationnels), les entreprises, les start-ups et les multinationales opérant sur le territoire marocain doivent s’appuyer sur une méthodologie de conformité rigoureuse⁸ :

1. La cartographie des flux de données : Identifier de manière exhaustive la nature des données collectées, les finalités associées, la localisation géographique de l’hébergement de ces données (serveurs locaux, cloud souverain, serveurs internationaux), et qualifier précisément le régime légal applicable (déclaration, déclaration simplifiée, autorisation)⁸.
2. La mise à niveau de la documentation contractuelle : Rédiger et adapter les chartes de confidentialité, les mentions d’information obligatoires à destination des employés et des clients, et négocier les clauses contractuelles de sous-traitance (Data Processing Agreements) et les clauses de transfert international¹².
3. La gestion des dossiers auprès de la CNDP : Formaliser et déposer les demandes de déclaration, les dossiers d’autorisation complexes (notamment pour l’usage d’identifiants nationaux, d’outils biométriques ou de vidéosurveillance), et assurer le suivi de l’instruction jusqu’à l’obtention du récépissé ou de la décision d’autorisation écrite⁸.

C’est dans cette perspective que l’accompagnement par des cabinets d’avocats et de conseils juridiques spécialisés en droit du numérique et en conformité des affaires s’avère stratégique⁸. Ces professionnels du droit assurent la représentation des intérêts des organisations, réalisent les audits techniques et organisationnels nécessaires, et conçoivent les politiques contractuelles indispensables à la protection des actifs numériques de l’entreprise⁸. L’anticipation juridique reste l’outil le plus performant pour immuniser durablement les structures contre les dérives répressives et consolider un environnement de confiance numérique propice à la croissance économique².

Works cited

Protection des données personnelles au Maroc : Cadre juridique et perspectives – Gide, https://www.gide.com/sites/default/files/gidecuatrecasascasablanca_protectiondonneespersonnellesmaroc_22fev2017_0.pdf

quelle protection des données personnelles au maroc – Attijari Entreprises, https://attijarientreprises.com/sites/default/files/2022-02/AWB_BF_Article_Donnees_personnelles_FR.pdf

Impact de la loi 09-08 sur la gouvernance des systèmes d’information des administrations publiques marocaines, https://www.revuecca.com/index.php/home/article/download/76/65/271

Loi 09-08 : Protection des données au Maroc | PDF | Vie privée et informatique – Scribd, https://fr.scribd.com/document/859814230/La-Protection-Des-Donnees-Personnelles-Et-Administration-Electronique-1

2489-2068 Vol 9 – No.2 (2024) APPLICATION EN DROIT MAROCAIN DES NORMES DE PROTECTION DES PERSONNES PHYSIQUES A, https://revues.imist.ma/index.php/REMSES/article/download/52992/27463/148531

[Maroc] Un haro sur le statut juridique de la CNDP. Par Brahim Oul-Caid, Juriste., https://www.village-justice.com/articles/haro-sur-statut-juridique-cndp,37559.html

Loi 09-08 – Commission Nationale de Contrôle de Protection des Données à Caractère Personnel – CNDP, https://www.cndp.ma/loi-09-08/

Loi 09-08 PDF : Protection des données personnelles au Maroc – Upsilon Consulting, https://www.upsilon-consulting.com/loi-09-08-protection-donnees-personnelles/

CNDP et Loi 09-08 : Protection des données personnelles au Maroc | Upsilon Consulting, https://www.upsilon-consulting.com/cndp-loi-09-08-protection-donnees-personnelles-maroc/

Flash info Maroc | Etat des lieux de la protection des données à caractère personnel au Maroc : loi n°09-08 – CMS.law, https://cms.law/fr/mar/legal-updates/flash-info-maroc-etat-des-lieux-de-la-protection-des-donnees-a-caractere-personnel-au-maroc-loi-n-09-08

Protection des données Maroc | Loi 09-08 et conformité CNDP – Korte Law, https://korte-law.com/protection-donnees-personnelles-maroc-loi-09-08

La Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel – CNDP, https://www.cndp.ma/wp-content/uploads/2023/01/CNDP-depliant-fr.pdf

Notifier un traitement – Commission Nationale de Contrôle de Protection des Données à Caractère Personnel – CNDP, https://www.cndp.ma/notifier-un-traitement/

Loi 09-08 et entreprises étrangères au Maroc : obligations CNDP | Upsilon Consulting, https://www.upsilon-consulting.com/loi-09-08-entreprises-etrangeres-maroc/

Notifier une déclaration (type de déclaration, formulaires) – Commission Nationale de Contrôle de Protection des Données à Caractère Personnel – CNDP, https://www.cndp.ma/notifier-une-declaration-type-de-declaration-formulaires/

Formalités – Commission Nationale de Contrôle de Protection des Données à Caractère Personnel – CNDP, https://www.cndp.ma/formalites/

Sanctions CNDP : risques pénaux et amendes pour non-conformité | Upsilon Consulting, https://www.upsilon-consulting.com/sanctions-cndp-risques-penaux-amendes/

Maroc – Loi n°2008-09 du 18 fevrier 2009 relative a la protection des personnes physiques a l’egard du traitement des donne – ONOUSC, https://www.onousc.ma/storage/Loi_09.08_traitement-des-donnees-protection-vie-personnelle.pdf

Notifier une demande d’autorisation préalable – Commission Nationale de Contrôle de Protection des Données à Caractère Personnel – CNDP, https://www.cndp.ma/notifier-une-demande-dautorisation-prealable/

Transfert international de données personnelles au Maroc | Upsilon Consulting, https://www.upsilon-consulting.com/transfert-international-donnees-personnelles-maroc/

Protection des données au Maroc et vos droits | moroccolaw.ai, https://moroccolaw.ai/guides/protection-donnees-personnelles-au-maroc-loi-09-08

Liste des infractions à la loi n°09-08 et des sanctions prévues (1/2) – CNDP, https://www.cndp.ma/wp-content/uploads/2024/03/CNDP-loi-09-08-Liste-des-infractions-sanctions-fr.pdf

Transfert de données à caractère personnel Maroc étranger : loi 09-08 et CNDP, https://avocat-jawhari.com/2023/01/30/transfert-des-donnees-a-caractere-personnel-du-maroc-a-letranger/

Délibération n° D-188-2020 en date du 14/12/2020 régissant l’Analyse d’impact relative à la protection des données (AI – CNDP, https://www.cndp.ma/wp-content/uploads/2023/01/CNDP_Deliberation_AIPD-D-188-2020-_2020-12-14.pdf

LA PROTECTION DES DONNEES PERSONNELLES AU MAROC: LE SYSTÈME JURIDIQUE ET INSTITUTIONNEL – Revue Internationale du Chercheur, https://www.revuechercheur.com/index.php/home/article/download/1475/1215/5138

IA et données personnelles : la CNDP fixe les règles du jeu – LesEco.ma, https://leseco.ma/business/intelligence-artificielle-et-donnees-personnelles-la-cndp-pose-un-cadre-les-entreprises-pretes.html

Délibération n°D-195-EUS/2020 du 30/12/2020 relative à la définition de l’usage des technologies de reconnaissance facial – CNDP, https://www.cndp.ma/wp-content/uploads/2023/12/CNDP-Dlibration_D-195-EUS-2020-Usage_de_la_reconnaissance_faciale-_20210421.pdf

La mise en conformité à la loi 09-08 : Une voie incontournable face à l’arsenal répressif, https://westfieldmorocco.com/corarom/uploads/2021/10/LAV20_WB.pdf

Infraction à la loi n° 09-08 : communiqué de la CNDP suite à l’absence de notification d’un transfert de données personnelles à l’étranger – LexisNexis Maroc, https://www.lexisma.info/2023/02/27/infraction-a-la-loi-n-09-08-communique-de-la-cndp-suite-a-labsence-de-notification-dun-transfert-de-donnees-personnelles-a-letranger/

La Protection des Données à Caractère Personnel au Maroc : Le Cadre Juridico-Institutionnel et Les Imperatifs, https://www.josooor.com/pdfs/twelve/second/2.pdf