Loi 09-08 : ce que votre site web doit afficher, et ce qu'il ne doit pas collecter

Beaucoup d’entreprises marocaines pensent que la protection des données personnelles concerne les banques, les cliniques ou les opérateurs télécoms. En réalité, la loi n° 09-08 s’applique dès qu’un site web comporte un formulaire qui demande un nom et une adresse e-mail. Cet article détaille ce que cela implique concrètement.

Un formulaire de contact est un traitement

La loi définit les données à caractère personnel de manière très large. L’article 1 parle de « toute information, de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, concernant une personne physique identifiée ou identifiable ». Un nom, une adresse e-mail nominative, un numéro de téléphone : tout cela entre dans la définition.

Le même article définit le traitement comme « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation […] ». Recevoir une soumission de formulaire et la stocker dans une base de données, c’est collecter et conserver. Le site est donc un responsable de traitement au sens de la loi.

Avant la première collecte : la déclaration (art. 12)

L’article 12 pose le principe : « Sauf dispositions législatives particulières, le traitement de données à caractère personnel doit faire l’objet […] d’une déclaration préalable » — ou d’une autorisation préalable dans les cas sensibles (données de santé, opinions, numéro de carte d’identité, etc.).

Cette déclaration se fait auprès de la CNDP, aujourd’hui via le formulaire F211 ou la plateforme CNDP-FORMS. Elle doit contenir, selon l’article 15, le nom et l’adresse du responsable, les finalités, les catégories de données, les destinataires, les transferts envisagés vers l’étranger, la durée de conservation, le service où s’exercent les droits et une description des mesures de sécurité.

La CNDP délivre ensuite un récépissé. L’article 19 précise le délai et l’obligation qui en découle : « La Commission nationale délivre, dans un délai de 24 heures courant à compter de la date du dépôt de la déclaration un récépissé de la ladite déclaration, dont les caractéristiques doivent figurer dans toutes les opérations de collecte ou de transmission des données. »

Autrement dit : le numéro du récépissé doit apparaître sous chaque formulaire.

Sous le formulaire : la mention d’information (art. 5)

L’article 5 impose d’informer la personne « de manière expresse, précise et non équivoque » avant la collecte. Les éléments obligatoires sont :

• l’identité du responsable du traitement ;
• les finalités du traitement ;
• les destinataires ou catégories de destinataires ;
• le caractère obligatoire ou facultatif des réponses ;
• l’existence des droits d’accès et de rectification ;
• « les caractéristiques du récépissé de la déclaration auprès de la Commission nationale ».

La CNDP publie sur son portail une mention type qui reprend exactement ces éléments. Elle commence par : « Par le biais de ce formulaire, (le nom du responsable du traitement) collecte vos données personnelles en vue de (indiquer la finalité du traitement). Ce traitement a fait l’objet d’une déclaration / demande d’autorisation auprès de la CNDP sous le numéro (indiquer numéro de récépissé). »

Le décret d’application ajoute une exigence souvent oubliée. L’article 43 du décret n° 2-09-165 dispose que lorsque les données sont collectées par écrit, « le responsable du traitement demande à celle-ci, sur le document lui servant de support pour collecter les données, si elle souhaite exercer le droit d’opposition ». Sur un formulaire web, cela se traduit par une case d’opposition, à présenter avant la validation.

Ce que le site ne doit pas collecter

L’article 3 pose le principe de proportionnalité : les données doivent être « adéquates, pertinentes et non excessives, au regard des finalités pour lesquelles elles sont collectées ». Un formulaire de contact qui demande une date de naissance, un numéro de carte d’identité ou une adresse postale complète dépasse ce qui est nécessaire pour répondre à une question.

Le numéro de carte nationale d’identité relève même de l’autorisation préalable (art. 12, 1-e), pas de la simple déclaration. Le collecter « au cas où » est une erreur coûteuse.

Ce que risque un site non conforme

Le chapitre des sanctions est précis. L’article 52 punit « d’une amende de 10.000 à 100.000 DH, quiconque aura mis en œuvre un fichier de données à caractère personnel sans la déclaration ou l’autorisation exigée à l’article 12 ». L’article 54 vise la collecte déloyale ou le détournement de finalité, avec un emprisonnement de trois mois à un an et une amende de 20 000 à 200 000 DH.

Et l’article 64 précise que, lorsque l’auteur est une personne morale, « les peines d’amende sont portées au double ».

Notre lecture

Interprétation, et non texte de loi : pour un site vitrine, la voie la plus simple est souvent de ne rien collecter du tout. Une adresse e-mail affichée, sans formulaire, n’est pas un traitement mis en œuvre par le site. Si un formulaire est indispensable, il faut, dans l’ordre : déposer la déclaration, obtenir le récépissé, afficher la mention type avec le numéro, ajouter la case d’opposition, et vérifier où part la soumission — un serveur à l’étranger ouvre un second sujet, celui des articles 43 et 44, que nous traitons dans le prochain article.

Checklist rapide

1. Le formulaire existe-t-il vraiment pour une finalité précise ?
2. Le traitement est-il déclaré (F211) et le récépissé obtenu ?
3. La mention d’information est-elle affichée sous le formulaire, avec le numéro de récépissé ?
4. Une case d’opposition est-elle présente avant validation ?
5. Les champs sont-ils limités au strict nécessaire ?
6. Où sont stockées les soumissions, et par qui ?

Les articles traitant de sujets réglementaires constituent une analyse technique et documentaire, pas un conseil juridique. Les extraits de textes sont reproduits depuis les publications officielles ; nos interprétations sont signalées comme telles.