La protection des données personnelles n'est plus une affaire de juristes isolés : c'est un enjeu stratégique qui engage la responsabilité de la direction. Au Maroc, la loi 09-08 encadre le traitement des données à caractère personnel, sous le contrôle de la CNDP. Les entreprises tournées vers l'Europe doivent aussi composer avec le RGPD.
Deux cadres qui se complètent
La loi 09-08 et le RGPD partagent la même philosophie : protéger les personnes en encadrant l'usage de leurs données. Pour une entreprise marocaine qui traite des données de clients européens, les deux réglementations s'appliquent. Plutôt que de les gérer séparément, mieux vaut bâtir une conformité unifiée qui satisfait les exigences les plus strictes.
La CNDP, autorité marocaine de contrôle, exige notamment des déclarations préalables pour certains traitements. Ignorer ces obligations expose à des sanctions, mais surtout à une perte de confiance difficile à reconquérir auprès des clients et partenaires.
Le rôle pivot du DPO
Le délégué à la protection des données orchestre la conformité. Il n'est pas qu'un référent juridique : il pilote la cartographie des traitements, conseille la direction, sensibilise les équipes et fait le lien avec l'autorité de contrôle. Sa position doit garantir une indépendance suffisante pour alerter sans être censuré.
- Tenir et mettre à jour le registre des traitements.
- Conseiller sur les analyses d'impact relatives à la protection des données.
- Être le point de contact des personnes concernées et de l'autorité.
Le registre des traitements, socle de tout
Impossible de protéger ce que l'on ne connaît pas. Le registre des traitements recense toutes les collectes de données : quelles données, pour quelle finalité, combien de temps conservées, avec qui partagées. Cet inventaire est la pierre angulaire de toute démarche de conformité et révèle souvent des traitements oubliés ou non déclarés.
La conformité ne se décrète pas le jour d'un contrôle : elle se construit en amont, traitement par traitement, dans la durée.
Des droits à garantir concrètement
Accès, rectification, opposition, effacement : les personnes disposent de droits sur leurs données. L'organisation doit pouvoir les honorer dans les délais légaux, ce qui suppose des procédures claires et un système d'information capable de retrouver, corriger ou supprimer les données d'une personne. C'est souvent là que le bât blesse.
Le bon réflexe
Ne traitez pas la conformité comme un projet ponctuel. Désignez un responsable, tenez le registre à jour à chaque nouveau traitement, et intégrez le réflexe protection des données dès la conception de tout nouveau projet ou outil.
Un atout au-delà de l'obligation
La conformité n'est pas qu'une contrainte défensive. Une organisation qui maîtrise ses données inspire confiance, répond plus sereinement aux appels d'offres exigeants et limite son exposition en cas d'incident. La mise en conformité d'une PME se mène généralement sur quelques mois, par étapes hiérarchisées selon les risques.
En résumé
Se mettre en conformité avec la loi 09-08 et le RGPD, c'est articuler deux cadres complémentaires autour d'un DPO bien positionné, d'un registre des traitements vivant et de procédures qui garantissent les droits des personnes. Au-delà de l'obligation légale, cette rigueur devient un véritable capital de confiance.