Notre site est accessible depuis l'Europe : sommes-nous soumis au RGPD ?

La simple accessibilité ne suffit pas. Le critère est le ciblage : langue, devise, livraison, publicité orientée vers des personnes situées dans l'Union, ou suivi de leur comportement.

Faut-il un délégué à la protection des données ?

Le RGPD l'impose dans certains cas, notamment en cas de suivi systématique à grande échelle ou de traitement massif de données sensibles. Au Maroc, ce n'est pas une obligation générale, mais désigner un responsable interne reste la manière la plus sûre de tenir le dispositif dans la durée.

Peut-on héberger les données hors du Maroc ?

Oui, sous conditions : le transfert doit être identifié, justifié, couvert contractuellement et déclaré dans le dossier CNDP. C'est un point de contrôle fréquent.

Par où commencer concrètement ?

Par la cartographie des traitements. Sans savoir quelles données vous détenez, où elles se trouvent et pourquoi, aucune formalité ni aucune mesure technique ne produit une conformité réelle.

/ Guide réglementaire · révisé le 2026-08-06

RGPD ou loi 09-08 : quelle règle s'applique à votre entreprise ?

/ Réponse directe

Une entreprise marocaine relève de la loi 09-08 et du contrôle de la CNDP. Elle relève en plus du RGPD lorsqu'elle traite des données de personnes situées dans l'Union européenne pour leur proposer des biens ou services, ou pour suivre leur comportement. Les deux régimes s'appliquent alors simultanément.

De quoi parle-t-on

La loi 09-08 est le cadre marocain de protection des données personnelles, appliqué par la CNDP. Le RGPD est le règlement européen, applicable au-delà des frontières de l'Union dès lors qu'une organisation cible des personnes qui s'y trouvent.

Une entreprise marocaine qui vend uniquement au Maroc relève de la loi 09-08. Une entreprise marocaine qui exporte, opère un site accessible et destiné à des clients européens, traite des données pour un donneur d'ordre européen ou fait de l'offshoring relève des deux régimes.

Les principes de fond sont proches : finalité déterminée, minimisation, sécurité, droits des personnes, encadrement des sous-traitants. La différence essentielle porte sur la méthode : le Maroc repose sur des formalités préalables auprès de la CNDP, tandis que le RGPD repose sur une responsabilisation documentée avec analyses d'impact et registre.

Obligations

Déterminer le ou les régimes applicables

Cartographier les traitements par catégorie de personnes concernées et par localisation. Un seul flux vers l'Europe suffit à déclencher le RGPD sur ce flux.

Réaliser les formalités marocaines

Déclaration ou demande d'autorisation auprès de la CNDP pour chaque traitement, en particulier pour les données sensibles et les transferts hors du Maroc.

Documenter comme l'exige le RGPD

Lorsque le RGPD s'applique : registre des traitements, base légale par traitement, analyse d'impact pour les traitements à risque, procédure de notification de violation sous 72 heures.

Encadrer les transferts internationaux

Les deux régimes encadrent les transferts. Dans les deux cas, l'hébergement à l'étranger doit être identifié, justifié et couvert contractuellement.

Aligner par le haut

Quand les deux s'appliquent, la pratique la plus économique consiste à appliquer l'exigence la plus stricte pour l'ensemble, plutôt que de maintenir deux dispositifs parallèles.

Calendrier de mise en œuvre

Étape 1Recenser les traitements et identifier la localisation des personnes concernées.
Étape 2Qualifier le régime applicable par traitement : 09-08 seule, ou 09-08 et RGPD.
Étape 3Déposer les formalités CNDP et constituer le registre.
Étape 4Mettre en place les procédures de droits, d'incident et de conservation.
Étape 5Revoir annuellement et à chaque nouveau traitement ou sous-traitant.

Checklist

☐Cartographie des traitements par catégorie de personnes
☐Régime applicable qualifié pour chaque traitement
☐Formalités CNDP déposées
☐Registre des traitements tenu
☐Bases légales identifiées
☐Politique de confidentialité alignée sur les deux régimes
☐Procédure de demande d'accès et de suppression opérationnelle
☐Procédure de notification de violation documentée
☐Contrats de sous-traitance à jour
☐Transferts internationaux identifiés et encadrés

Erreurs fréquentes

Copier une politique européenne telle quelle

Une politique de confidentialité qui ne mentionne ni la loi 09-08 ni la CNDP signale immédiatement l'absence de travail de conformité local.

Croire que le RGPD ne concerne pas les entreprises marocaines

Dès qu'une organisation cible des clients situés dans l'Union européenne ou traite leurs données pour un donneur d'ordre européen, le RGPD s'applique à ce périmètre.

Maintenir deux dispositifs séparés

Deux registres, deux procédures et deux politiques finissent par diverger. Un dispositif unique aligné sur l'exigence la plus stricte coûte moins cher à maintenir.

Oublier les sous-traitants d'IA

Un service d'IA qui reçoit des données personnelles est un sous-traitant à part entière, à identifier dans le registre et à encadrer contractuellement.

Questions fréquentes

Sources officielles

Pour aller plus loin

Faire auditer votre conformité WhatsApp

Ce guide est une synthèse opérationnelle destinée aux équipes techniques et dirigeantes. Il ne constitue pas un avis juridique : pour un dossier engageant, faites valider votre analyse par un conseil qualifié.