Cookies au Maroc : ce que la délibération D-939-2025 exige vraiment

Les bandeaux cookies copiés depuis des sites européens sont partout. Ils sont rarement adaptés au droit marocain. Depuis le 28 novembre 2025, la délibération n° D-939-2025 de la CNDP fixe un cadre propre, plus simple sur certains points et plus exigeant sur d’autres. Voici ce qu’elle dit, section par section.

Le champ : tout dépôt de cookie est un traitement

Le §1 est sans ambiguïté : la délibération « s’applique à toute déclaration devant être effectuée par un responsable de traitement souhaitant traiter des données à caractère personnel à travers l’installation, l’enregistrement et ou le stockage de cookies sur le terminal de l’internaute ». Le §2 qualifie les données de « non anonymisées ».

Conséquence : un site qui dépose des cookies met en œuvre un traitement, avec les obligations qui vont avec.

Les finalités admises (§3)

La déclaration simplifiée ne couvre que quatre finalités :

• l’affichage de publicités personnalisées selon le navigateur ou la localisation, « sans établissement d’un profil personnel » ;
• la personnalisation du contenu éditorial selon les choix antérieurs ;
• le partage d’informations sur les réseaux sociaux ;
• « l’élaboration de statistiques de navigation et mesure d’audience du site web (sans établissement du profil personnel de l’internaute) ».

Et une limite nette : « Toute utilisation des données personnelles de l’internaute afin d’établir son profil personnel nécessite une autorisation préalable de la CNDP en application de l’article 12 de la loi n° 09-08. » Le profilage sort donc de la déclaration simplifiée.

Six mois, pas plus (§5)

« Les données collectées via les cookies doivent être conservées pour une durée maximale de six mois. Au-delà, elles doivent être supprimées ou rendues anonymes. » Un cookie d’analyse configuré pour deux ans dépasse ce plafond de très loin. C’est l’un des constats les plus fréquents de nos audits, et l’un des plus simples à corriger.

Quels cookies exigent un consentement (§6)

C’est ici que le droit marocain diverge le plus de ce que beaucoup imaginent. Le texte dit : « Pour les finalités visées au paragraphe 3 ci-dessus, le traitement des cookies ne nécessite pas de consentement préalable de l’internaute, à l’exception des cookies utilisés pour : la publicité personnalisée ; les fonctionnalités de partage sur les réseaux sociaux. »

Interprétation : les cookies de mesure d’audience et de personnalisation éditoriale, sans profil personnel, sont dispensés de consentement préalable. Un outil de statistiques déclenché avant toute interaction n’est donc pas, en soi, une violation de la D-939-2025 — il reste soumis à l’obligation d’information et à la déclaration simplifiée. En revanche, un pixel publicitaire ou un bouton de partage social qui dépose un cookie avant consentement, oui.

Pour les cookies soumis à consentement, le §6 exige que celui-ci « soit exprimé par une action claire et explicite, et recueilli par des moyens simples et accessibles », permettant à l’internaute « de refuser l’installation ». Le refus est conservé six mois au maximum.

Ce que le texte ne dit pas : il n’impose pas littéralement un bouton « Tout refuser » au même niveau visuel que « Accepter ». Cette exigence vient de la doctrine française. L’exiger au nom de la CNDP serait une erreur d’attribution — même si, en pratique, c’est la manière la plus sûre de satisfaire « des moyens simples et accessibles ».

L’information préalable, dans tous les cas (§6)

Consentement ou non, le responsable doit, « préalablement au premier dépôt de cookies », communiquer : son identité, les finalités des cookies, les catégories de données collectées, « les destinataires des données, y compris les transferts à l’étranger, dûment autorisés par la CNDP », les coordonnées pour exercer les droits, et « les références des récépissés délivrés par la CNDP ».

Une page « Politique cookies » accessible depuis le bandeau remplit cette obligation, à condition d’être complète.

La déclaration simplifiée (§8)

« Préalablement à la mise en œuvre d’un traitement de données personnelles via l’installation l’enregistrement et le stockage de cookies, les responsables de traitement doivent […] effectuer une déclaration simplifiée auprès de la CNDP, via les formulaires appropriés ou la plateforme CNDP-FORMS. » Les sites déjà en activité à la date de la délibération doivent se mettre en conformité et déposer cette déclaration.

Transferts et interconnexions (§9 et §10)

Les données de cookies « ne peuvent être transférées à l’étranger sans autorisation préalable de la CNDP ». Un outil d’analyse d’audience hébergé hors du Maroc entre dans ce cas. Et toute interconnexion avec d’autres fichiers à finalités différentes nécessite une autorisation.

Sanctions applicables

Un traceur publicitaire déposé sans consentement s’analyse au regard de l’article 4 de la loi (consentement) et de l’article 3 (loyauté). Les articles 54 et 56 prévoient de trois mois à un an d’emprisonnement et de 20 000 à 200 000 DH d’amende, doublée pour les personnes morales (art. 64).

Le choix radical

Interprétation : un site qui ne dépose aucun cookie n’a ni bandeau à afficher, ni déclaration simplifiée à déposer, ni durée à surveiller. Ce site en est l’illustration : aucun cookie, aucun script tiers, une préférence de langue stockée localement dans le navigateur et jamais transmise. Pour un site vitrine, c’est souvent le meilleur rapport effort/conformité.

Les articles traitant de sujets réglementaires constituent une analyse technique et documentaire, pas un conseil juridique. Les extraits de textes sont reproduits depuis les publications officielles ; nos interprétations sont signalées comme telles.