Site web et données personnelles : la conformité CNDP au Maroc

De quoi on parle exactement

La loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel encadre, au Maroc, la collecte et l'usage de ces données. Son application est suivie par la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel.

Beaucoup de dirigeants supposent que cela ne concerne que les grandes bases clients. Le périmètre est plus large : un formulaire de contact, une inscription à une newsletter, un espace client, un suivi de commande — tout cela est un traitement de données personnelles. La CNDP indique elle-même que le responsable d'un site qui collecte et traite des données personnelles doit lui déclarer les traitements mis en œuvre, et que cette déclaration en ligne est gratuite.

Ce guide décrit ce que cela implique pour la conception d'un site. Ce n'est pas un avis juridique : pour votre situation précise, la source à consulter est la CNDP elle-même, et votre conseil si le traitement est sensible.

Les principes qui se traduisent en décisions de conception

Trois principes du texte ont des conséquences directes et concrètes sur un site.

• Loyauté et transparence. La personne doit savoir qui collecte, pourquoi, et ce que deviennent ses données. En pratique : une page de politique de confidentialité lisible, et une mention à l'endroit où l'on collecte — pas seulement enfouie dans le pied de page.
• Proportionnalité. Ne collecter que ce qui est strictement nécessaire à la finalité poursuivie. C'est le principe le plus souvent enfreint, et par confort : un formulaire de contact qui demande une adresse postale complète, une date de naissance ou un numéro de CIN collecte au-delà de ce qu'une prise de contact justifie. Ce principe rejoint exactement ce qui améliore la conversion — moins de champs, plus de réponses.
• Droits des personnes. Accès, rectification et opposition. Cela suppose un moyen de vous joindre pour les exercer, et de savoir où les données sont stockées pour pouvoir y donner suite.

Ce que cela change dans un projet web

Traduit en éléments de site, cela donne une liste courte et vérifiable.

• Une politique de confidentialité réelle, qui dit quelles données sont collectées, pourquoi, combien de temps elles sont conservées et à qui vous les transmettez. Un texte générique recopié d'un autre site décrit les traitements de quelqu'un d'autre.
• Un formulaire réduit au nécessaire, avec une mention explicite de la finalité à l'endroit de la collecte.
• Un consentement séparé pour la prospection. Accepter d'être recontacté sur une demande de devis n'est pas accepter de recevoir une newsletter. Deux finalités, deux cases — et jamais pré-cochées.
• Une conscience de ce que font les outils tiers. Un outil de mesure d'audience, un pixel publicitaire ou un chat hébergé ailleurs traitent des données depuis votre site. Ils entrent dans ce que vous devez pouvoir décrire.
• Savoir où atterrissent les données. Une base de données chez un hébergeur, une boîte mail, un tableur partagé : chaque copie est un endroit où les données existent, et où un droit d'accès devra être satisfait.

L'erreur la plus fréquente : copier un texte européen

Beaucoup de sites marocains affichent une politique de confidentialité qui cite le RGPD, mentionne un délégué à la protection des données et renvoie à une autorité européenne. C'est un texte pris ailleurs, et il décrit un cadre qui n'est pas celui qui s'applique.

Le RGPD peut concerner une entreprise marocaine dans un cas précis : lorsqu'elle cible des personnes situées dans l'Union européenne. Une agence de voyage qui vend à des clients français, un e-commerce qui expédie en Europe, un studio qui travaille pour des clients européens sont dans cette situation. Ils relèvent alors des deux cadres, pas d'un seul.

Pour tout le monde, la règle est la même : le texte publié doit décrire ce que fait votre site. Un modèle sert de structure, jamais de contenu.

Par où commencer concrètement

La mise en conformité paraît vaste parce qu'on la formule en termes juridiques. Formulée en termes d'inventaire, elle tient en une demi-journée pour une entreprise de taille moyenne.

• Listez les points de collecte. Chaque formulaire, chaque inscription, chaque espace client, chaque outil qui dépose un identifiant. Ouvrez le site et notez-les un par un.
• Pour chacun, écrivez la finalité en une phrase. Si la phrase est difficile à écrire, c'est souvent que la collecte n'a pas de raison — et la réponse est alors de la supprimer, pas de la déclarer.
• Suivez où va chaque donnée. Base de données, boîte mail, tableur, outil externe. Chaque destination est un endroit où une demande d'accès devra être satisfaite.
• Supprimez les champs sans finalité, et les outils dont personne ne lit les données. C'est l'étape qui réduit le plus le travail restant.
• Écrivez la politique à partir de cet inventaire, et procédez à la déclaration. Dans cet ordre : le texte décrit alors ce que vous faites réellement.

Questions fréquentes

Et chez Noor Studio Agency ?

Nous concevons les formulaires au plus juste — trois champs plutôt que huit — et nous documentons, à la livraison, quelles données le site collecte et où elles arrivent. C'est utile pour la conformité, et c'est exactement ce qui fait qu'un formulaire reçoit des réponses.