Transfert des données à caractère personnel du Maroc vers l’étranger : cadre juridique et obligations (loi 09-08)

Cadre juridique applicable au transfert de données à l’étranger

Au Maroc, le traitement des données à caractère personnel est régi par le Dahir n° 1-09-15 du 22 safar 1430 (18 février 2009), portant promulgation de la loi n° 09-08.

Cette réglementation impose à tout responsable de traitement de :

• garantir la licéité du traitement ;
• assurer la protection de la vie privée et des droits fondamentaux ;
• respecter des formalités préalables auprès de la CNDP.

Le transfert de données vers l’étranger est considéré comme une opération sensible, nécessitant un encadrement spécifique.

Obligation de déclaration ou d’autorisation auprès de la CNDP

Tout transfert de données à caractère personnel hors du territoire marocain doit faire l’objet :

• soit d’une déclaration préalable ;
• soit d’une demande d’autorisation, selon la nature du traitement.

Cette obligation concerne notamment :

• l’hébergement de données sur des serveurs situés à l’étranger ;
• l’utilisation de logiciels ou plateformes internationales (CRM, SaaS, cloud, etc.) ;
• la communication de données à des entités étrangères.

Il est important de préciser que :

La CNDP n’autorise un transfert international que si le traitement principal a lui-même été régulièrement déclaré ou autorisé.

Condition essentielle : le niveau de protection du pays destinataire

L’article 43 de la loi 09-08 pose un principe fondamental : Le transfert de données vers un État étranger n’est autorisé que si cet État assure un niveau de protection suffisant.

Cette appréciation est réalisée par la CNDP, en tenant compte notamment :

• du cadre légal du pays concerné ;
• des mesures de sécurité mises en place ;
• de la nature des données transférées ;
• de la finalité et de la durée du traitement.

Liste des pays reconnus comme offrant une protection adéquate

La CNDP a établi, par délibération, une liste des pays considérés comme offrant un niveau de protection suffisant.

Parmi ces pays figurent notamment :

Allemagne, France, Espagne, Italie, Belgique, Pays-Bas, Royaume-Uni, Suisse, Canada, Suède, Norvège, Finlande, Irlande, Portugal, etc.

Le transfert de données vers ces États est facilité, sous réserve du respect des formalités préalables.

Transfert vers des pays non adéquats : exceptions légales

Lorsque le pays destinataire n’offre pas un niveau de protection suffisant, le transfert reste possible dans des cas strictement encadrés.

Consentement de la personne concernée

Le transfert est autorisé si la personne concernée a donné son consentement exprès.

Nécessité du transfert dans certains cas spécifiques

Le transfert peut être réalisé s’il est nécessaire :

• à la sauvegarde de la vie de la personne concernée ;
• à la protection de l’intérêt public ;
• à l’exercice ou à la défense d’un droit en justice ;
• à l’exécution d’un contrat avec la personne concernée ;
• à l’exécution d’un contrat dans son intérêt ;
• à une mesure d’entraide judiciaire internationale ;
• à des finalités médicales (prévention, diagnostic, traitement).

Autorisation expresse de la CNDP

La CNDP peut autoriser le transfert si des garanties suffisantes sont apportées, notamment via :

• des clauses contractuelles ;
• des règles internes d’entreprise (politiques groupe).

Sanctions en cas de non-respect des règles de transfert

Le non-respect des obligations relatives au transfert international de données expose le responsable de traitement à des sanctions pénales.

Ainsi, toute violation des articles 43 et 44 peut entraîner :

• une peine d’emprisonnement de 3 mois à 1 an ;
• une amende de 20.000 à 200.000 dirhams ;
• ou l’une de ces deux peines seulement.

Au-delà des sanctions, les risques sont également réputationnels et contractuels, notamment vis-à-vis des partenaires internationaux.

Enjeux pratiques pour les entreprises opérant au Maroc

Dans la pratique, de nombreuses entreprises transfèrent des données sans sécurisation juridique suffisante, notamment via :

• des outils cloud (Google, Microsoft, AWS, etc.) ;
• des CRM internationaux ;
• des prestataires étrangers.

Or, ces opérations nécessitent une analyse préalable structurée, incluant :

• l’identification des flux de données ;
• la qualification juridique des traitements ;
• la régularisation auprès de la CNDP ;
• la mise en place de garanties contractuelles.

Accompagnement juridique et mise en conformité CNDP

Les problématiques liées au transfert international de données impliquent généralement :

• des enjeux de conformité réglementaire ;
• des risques financiers et pénaux ;
• des obligations contractuelles vis-à-vis des partenaires.

Ainsi, une analyse personnalisée est donc recommandée afin de :

• sécuriser les flux de données ;
• régulariser les traitements existants ;
• structurer une conformité durable.

Le cabinet accompagne les entreprises dans leurs démarches CNDP, la cartographie des traitements et la sécurisation des transferts internationaux.

Accompagnement du cabinet en matière de transfert de données et conformité CNDP

Le cabinet intervient auprès des entreprises, groupes internationaux et plateformes digitales dans la structuration et la sécurisation de leurs traitements de données à caractère personnel, en particulier dans le cadre de transferts internationaux.

L’accompagnement couvre notamment :

• l’audit des flux de données et l’identification des transferts à l’étranger ;
• la qualification juridique des traitements au regard de la loi n° 09-08 ;
• la préparation et le dépôt des dossiers de déclaration ou d’autorisation auprès de la CNDP ;
• la rédaction et la mise à niveau des documents contractuels (DPA, clauses de transfert, politiques internes) ;
• la gestion des échanges avec la CNDP et le suivi des procédures jusqu’à obtention des autorisations.

Compte tenu des enjeux juridiques, financiers et opérationnels liés à ces problématiques, une analyse personnalisée est généralement nécessaire afin de sécuriser la situation de manière complète.

Pour toute demande d’accompagnement ou d’analyse de conformité, le cabinet peut être contacté pour la mise en place d’une consultation juridique dédiée.