# Loi 09-08 et RGPD : la checklist cybersécurité pour entreprises marocaines

> Checklist conformité loi 09-08 et RGPD pour PME au Maroc : déclaration CNDP, registre, sécurité technique, droits des personnes.

- Source : https://deadline.ma/conseils/systemes-erp-crm/loi-09-08-cybersecurite-checklist
- Auteur : Équipe deadLine — Agence web & digital à Casablanca
- Publié le 14 avril 2026
- Éditeur : deadLine, agence web à Casablanca (https://deadline.ma), éditeur du logiciel LINEPROD (https://lineprod.ma)

## En bref

La loi marocaine 09-08 impose à toute entreprise traitant des données personnelles : déclaration auprès de la CNDP, registre des traitements, consentement éclairé, droits d'accès et de suppression, sécurité technique adaptée. Sanctions jusqu'à 300 000 MAD et emprisonnement pour les manquements graves. La conformité se construit en 3-6 mois pour une PME.

La conformité à la loi 09-08 n'est plus un "nice to have" au Maroc
en 2026 — c'est une obligation légale avec risques de sanctions
réels. La CNDP a intensifié ses contrôles depuis 2024, et les fuites
de données (ransomware notamment) exposent les PME qui n'ont jamais
pensé au sujet. Ce guide donne la checklist complète pour arriver à
la conformité en 3-6 mois, sans budget disproportionné.

## Ce que dit la loi 09-08 en pratique

La loi impose 6 grandes obligations :

1. **Déclarer** les traitements de données personnelles à la CNDP
2. **Documenter** chaque traitement dans un registre
3. **Informer** les personnes de ce que vous faites de leurs données
4. **Recueillir** leur consentement quand requis
5. **Garantir** leurs droits (accès, rectification, suppression,
   opposition)
6. **Sécuriser** techniquement les données contre fuite, perte, accès
   non autorisé

Chaque obligation a son lot de détails — la checklist ci-dessous
structure l'action.

## La checklist complète — 30 points

### A. Cartographie et documentation (10 points)

1. **Identifier tous les traitements** : fichier clients, RH,
   fournisseurs, prospects, newsletter, CRM, ERP, caméras,
   recrutement, finance
2. **Pour chaque traitement**, documenter : finalité, données
   collectées, catégories de personnes, destinataires, durée de
   conservation, mesures de sécurité
3. **Tenir un registre des traitements** (obligatoire article 23) —
   format Excel ou outil type DataInherit, Dastra
4. **Définir les durées de conservation** par traitement (ex :
   candidatures non retenues 2 ans, factures 10 ans, logs 1 an)
5. **Identifier les sous-traitants** (hébergeur cloud, SaaS, agence)
   et formaliser par contrat les obligations de sécurité
6. **Cartographier les flux transfrontaliers** (serveurs hors Maroc,
   SaaS US/UE) et vérifier leur cadre légal (clauses contractuelles
   types)
7. **Identifier les données sensibles** (santé, opinions, biométrie,
   judiciaire) nécessitant une autorisation CNDP
8. **Nommer un référent données** en interne (même sans DPO formel) —
   point de contact CNDP et utilisateurs
9. **Documenter les procédures** en cas de fuite de données ou
   demande d'accès
10. **Réviser le registre** chaque trimestre

### B. Déclaration CNDP (5 points)

11. **Déclarer chaque traitement non dispensé** via cndp.ma
12. **Demander une autorisation** pour traitements sensibles (santé,
    biométrie, judiciaire)
13. **Conserver les récépissés** de déclaration (preuve en cas de
    contrôle)
14. **Afficher le numéro CNDP** sur les formulaires et mentions
    légales
15. **Mettre à jour** la déclaration si le traitement évolue
    significativement

### C. Information des personnes (5 points)

16. **Rédiger une politique de confidentialité** claire et complète
    accessible sur votre site
17. **Ajouter une mention CNIL/CNDP** sur tous les formulaires de
    collecte (contact, newsletter, candidature, panier)
18. **Expliquer les finalités** en langage simple, pas en jargon
    juridique
19. **Afficher les droits** (accès, rectification, suppression,
    opposition, portabilité) et comment les exercer
20. **Mentionner les sous-traitants** principaux (ex :
    "Notre hébergeur est X, notre outil emailing est Y")

### D. Consentement (4 points)

21. **Opt-in explicite** pour emails marketing (case à cocher dédiée,
    non pré-cochée)
22. **Bannière cookies** conforme sur le site : consentement
    granulaire par finalité (analytics, marketing, réseaux sociaux)
23. **Preuve du consentement** conservée (date, formulaire utilisé,
    version CGU)
24. **Procédure de retrait** du consentement aussi simple que celle
    de recueil

### E. Sécurité technique (6 points)

25. **Chiffrement des données** sensibles au repos (bases, fichiers)
    et en transit (HTTPS obligatoire)
26. **Authentification forte** (2FA minimum pour admins, MFA pour
    données sensibles)
27. **Gestion des accès** par rôle (principe du moindre privilège)
    avec audit trimestriel
28. **Sauvegardes chiffrées** testées régulièrement (voir notre
    [guide sauvegarde 3-2-1](/conseils/systemes-erp-crm/sauvegarde-entreprise-3-2-1))
29. **Mise à jour** systématique des OS, serveurs, CMS, dépendances
30. **Logs d'accès** aux données sensibles conservés 6-12 mois

## Le calendrier de mise en conformité

Pour une PME marocaine de 20-100 salariés, plan sur 6 mois :

| Mois | Action |
|---|---|
| 1 | Cartographie de tous les traitements + nomination référent |
| 2 | Registre des traitements + politique de confidentialité |
| 3 | Déclarations CNDP (lot initial) |
| 4 | Mise à jour formulaires + bannière cookies |
| 5 | Sécurisation technique (2FA, chiffrement, backups) |
| 6 | Sensibilisation équipes + procédures internes |

Budget typique : 30 000-80 000 MAD externe pour audit + mise en
place + déclarations + training. Plus 1-3 jours de travail interne
par semaine sur la période.

## En cas de contrôle CNDP

La CNDP peut contrôler sur place ou sur pièces. Vous avez l'obligation
de :

- Fournir le registre des traitements
- Montrer les récépissés de déclaration
- Démontrer les mesures de sécurité en place
- Prouver le consentement des personnes concernées
- Répondre sous 1 mois à une demande d'accès

Si vous n'êtes pas en conformité, la CNDP commence souvent par une
mise en demeure (délai de 30-90 jours pour corriger) avant sanctions.

## En cas de fuite de données

Contrairement au RGPD (notification 72h), la loi 09-08 n'impose pas
de notification obligatoire aux personnes en cas de fuite — mais la
CNDP recommande fortement de le faire et d'ouvrir un dossier. Réflexe
correct en 2026 :

1. Arrêter la fuite (forensics, isolation système)
2. Notifier CNDP sous 72h
3. Informer les personnes concernées quand risque élevé
4. Documenter l'incident et les mesures correctives
5. Renforcer la sécurité

## Erreurs courantes à éviter

1. **Ignorer le sujet** parce que "personne ne contrôle" — la CNDP
   contrôle de plus en plus
2. **Déclaration copier-coller** sans cohérence avec la réalité —
   découvert au contrôle, pénalités
3. **Pas de registre des traitements** — première chose demandée en
   contrôle
4. **Bannière cookies non conforme** (tous acceptés par défaut) —
   sanctionnée par la CNDP en 2025
5. **Pas de 2FA sur les admins CRM/ERP** — fuite garantie tôt ou tard
6. **Stockage données sur Google Drive personnel** d'un salarié — pas
   contractualisé, aucune sécurité
7. **Politique de confidentialité copiée d'une autre entreprise** —
   non adaptée à vos traitements réels

## Coût de la non-conformité

Au-delà des amendes CNDP (10 000-300 000 MAD), la vraie facture est
ailleurs :

- **Perte de confiance clients** après une fuite médiatisée
- **Coût de gestion de crise** : 200 000-2M MAD pour un ransomware
  classique PME
- **Interdiction de certains appels d'offres** qui imposent conformité
- **Exclusion des clients européens** qui exigent RGPD

Investir 50 000-100 000 MAD dans la conformité évite ces risques.
ROI évident.

## Pour aller plus loin

- [Systèmes ERP & CRM au Maroc — guide complet 2026](/conseils/systemes-erp-crm) — la pillar du silo
- [Ransomware : prévention PME](/conseils/systemes-erp-crm/ransomware-pme-prevention) — la menace #1
- [Sauvegarde 3-2-1](/conseils/systemes-erp-crm/sauvegarde-entreprise-3-2-1) — la dernière ligne de défense
- [Email marketing et loi 09-08](/conseils/marketing-digital/email-marketing-loi-09-08) — application pratique sur le canal email

## Conclusion

La conformité loi 09-08 n'est pas une formalité administrative — c'est
une protection pour votre entreprise contre des risques très
concrets en 2026 : fuite de données, sanctions CNDP, perte de
clients. La bonne nouvelle : elle se construit en 3-6 mois, avec un
budget raisonnable, et devient un argument commercial (notamment pour
les clients entreprise qui l'exigent).

[Échangez 20 min avec notre équipe](/contact) — nous auditons votre
conformité actuelle et construisons votre feuille de route sur 6 mois
avec les priorités chiffrées.

## Questions fréquentes

### Qu'est-ce que la loi 09-08 au Maroc ?

Loi n° 09-08 de 2009 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. Elle crée la CNDP (Commission Nationale de contrôle de la Protection des Données) et encadre toute collecte, stockage, traitement de données personnelles. Équivalent du RGPD européen, légèrement moins exigeant.

### Qui est concerné par la loi 09-08 ?

Toute entité (entreprise, association, institution) traitant des données personnelles de personnes au Maroc. Cela inclut : liste clients, base fournisseurs, fichier salariés, emails marketing, pixel sur site, CRM, ERP, caméras de surveillance avec identification. En clair : toute entreprise au Maroc.

### Comment déclarer à la CNDP ?

Déclaration normale via cndp.ma (gratuit, 15-30 jours). Démarche : 1) identifier les traitements de données dans votre entreprise, 2) remplir le formulaire en ligne par traitement, 3) attendre le récépissé. Pour traitements sensibles (santé, judiciaire, biométrie), demande d'autorisation préalable (3-6 mois).

### Quelles sont les sanctions en cas de non-conformité ?

Amendes administratives : 10 000 à 300 000 MAD (article 53). Sanctions pénales : 3 à 12 mois de prison + 20 000 à 200 000 MAD d'amende pour manquements graves (article 51-58). En 2025-2026, la CNDP a durci son application — contrôles plus fréquents, sanctions plus visibles.

### Quelle différence entre loi 09-08 et RGPD ?

RGPD (européen) est plus exigeant : obligation de DPO au-delà de certains seuils, notification de fuite sous 72h, droits plus étendus (portabilité, oubli), sanctions jusqu'à 4% du CA mondial. 09-08 est plus modeste : pas de DPO obligatoire, sanctions limitées à 300 000 MAD. Une entreprise marocaine qui vend en UE doit respecter les deux.

### Faut-il un Délégué à la Protection des Données (DPO) au Maroc ?

Pas obligatoire sous la loi 09-08, mais fortement recommandé dès 50 salariés ou dès traitement de données sensibles. Le DPO peut être interne (cumul avec un autre rôle pour PME) ou externe (DPO as a service : 3 000-15 000 MAD/mois selon volume). Si vous traitez des données UE, DPO obligatoire RGPD dès certains seuils.

### Comment sécuriser techniquement les données personnelles ?

Minimum : chiffrement des bases (at rest et in transit), authentification forte (2FA pour admins), logs d'accès, sauvegardes chiffrées, gestion des accès par rôle, mise à jour régulière des systèmes, antivirus EDR moderne, sensibilisation phishing. Budget cybersécurité minimum PME : 15 000-50 000 MAD/an.