Loi 09-08 sur la protection des données personnelles

Présentation de la Loi 09-08 sur la protection des données personnelles

La Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel a été promulguée par le Dahir n° 1-08-12 du 30 joumada I 1429 (5 mai 2008) (Bulletin Officiel n° 5640 du 5 juin 2008). Elle a transposé la Convention 108 du Conseil de l'Europe (ratifiée par le Maroc en 2007) et a marqué l'entrée du Royaume dans le droit moderne de la protection des données. La loi est applicable depuis le 18 mai 2009 et constitue l'équivalent marocain du RGPD européen (Règlement 2016/679 du 27 avril 2016).

Structure

La Loi 09-08 comprend 47 articles répartis en 8 titres :

• Titre I : Dispositions générales (articles 1-3) — champ d'application, définitions ;

• Titre II : Principes généraux de protection (articles 4-9) ;

• Titre III : Droits des personnes concernées (articles 10-19) ;

• Titre IV : Obligations du responsable du traitement (articles 20-25) ;

• Titre V : Sécurité et confidentialité (articles 26-29) ;

• Titre VI : La Commission Nationale de Contrôle (CNDP) (articles 30-37) ;

• Titre VII : Sanctions pénales (articles 38-44) ;

• Titre VIII : Dispositions diverses et finales (articles 45-47).

Champ d'application

La Loi 09-08 s'applique à tout traitement automatisé ou non de données à caractère personnel, public ou privé (article 1). Elle ne s'applique pas :

• aux traitements effectués pour l'exercice d'activités purement personnelles ou domestiques ;

• aux traitements de sécurité publique, de défense nationale ou de sûreté de l'État (régis par des textes spéciaux).

Principes de protection

La loi pose plusieurs principes directeurs (articles 4-9) :

1. Loyauté et licéité : le traitement doit être loyal et licite. 2. Finalité : le traitement doit être poursuivi pour une finalité déterminée, explicite et légitime. 3. Proportionnalité : les données collectées doivent être adéquates, pertinentes et non excessives. 4. Exactitude : les données doivent être exactes et tenues à jour. 5. Conservation limitée : les données ne peuvent être conservées au-delà de la durée nécessaire à la finalité. 6. Consentement : le traitement nécessite le consentement de la personne concernée, sauf exceptions (article 6).

Droits des personnes concernées

La loi reconnaît plusieurs droits aux personnes concernées (articles 10-19) :

• Droit d'information : article 10, la personne doit être informée de la collecte et de ses finalités.

• Droit d'accès : article 11, la personne peut accéder à ses données et en obtenir copie.

• Droit de rectification : article 13, la personne peut faire corriger des données inexactes.

• Droit d'opposition : article 14, la personne peut s'opposer au traitement pour motifs légitimes.

• Droit à l'effacement : article 16, la personne peut demander l'effacement de ses données (droit à l'oubli).

• Droit à la portabilité : non expressément prévu mais reconnu par la CNDP.

Obligations des responsables du traitement

Les responsables du traitement (entreprise, administration, association) ont plusieurs obligations (articles 20-25) :

• Déclaration préalable auprès de la CNDP pour les traitements ordinaires (article 22).

• Autorisation préalable de la CNDP pour les traitements sensibles (données de santé, génétiques, biométriques, opinions politiques, religion, etc.) — article 23.

• Notification de violation : en cas de violation de données, notification à la CNDP dans les 72 heures et aux personnes concernées (article 26).

• Désignation d'un correspondant à la protection des données (CIL) pour les organismes de plus de 50 salariés.

• Tenue d'un registre des traitements.

La CNDP

La Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP) est l'autorité de contrôle (articles 30-37). Elle dispose de plusieurs pouvoirs :

• délivrance d'autorisations pour les traitements sensibles ;

• enregistrement des déclarations ;

• contrôle des traitements et investigations ;

• sanctions administratives (avertissement, mise en demeure, sanctions pécuniaires) ;

• émission d'avis sur les projets de loi et de règlement.

Sanctions pénales

Le non-respect de la Loi 09-08 est sanctionné pénalement (articles 38-44) :

• traitement illicite : 1 à 3 ans de prison et 20 000 à 200 000 dirhams d'amende (article 38) ;

• collecte frauduleuse : 1 à 3 ans et 20 000 à 100 000 dirhams (article 39) ;

• fausse déclaration : 6 mois à 2 ans et 10 000 à 50 000 dirhams (article 40) ;

• violation de l'obligation de sécurité : 6 mois à 2 ans et 20 000 à 100 000 dirhams (article 41) ;

• non-respect des droits de la personne : 1 à 3 ans et 50 000 à 200 000 dirhams (article 42).

Évolutions récentes

La Loi 09-08 a été complétée par la Loi 130-13 relative à l'ouverture des données publiques (2018) et par la Loi 31-13 sur le télétravail (2016). Une révision est en cours pour aligner la loi sur le RGPD européen (Règlement 2016/679), notamment sur le droit à la portabilité, le délégué à la protection des données (DPO) et les sanctions administratives proportionnées.

The Legal Seed vous oriente vers un avocat spécialisé en droit du numérique pour toute question de conformité à la Loi 09-08.