Cabinet d’avocat et CNDP : un angle mort plus fréquent qu’on ne le croit
Un confrère casablancais m’expliquait récemment, avec une assurance toute professionnelle, que son cabinet n’avait « aucun problème CNDP » puisque chaque avocat et chaque collaborateur était tenu au secret professionnel. Il conservait pourtant les CNIE de ses clients dans un dossier partagé, utilisait une messagerie personnelle, synchronisait ses pièces sur un cloud hébergé à l’étranger et tenait son fichier d’affaires sur Excel. Le secret professionnel était bien là. La conformité à la loi n° 09-08, elle, ne l’était pas.
Cette confusion est encore répandue. Or, la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 22 safar 1430 correspondant au 18 février 2009, s’applique aux cabinets d’avocats sans exemption corporatiste. Elle concerne le cabinet structuré de Casablanca comme l’avocat individuel installé à Agadir, sans salarié, qui conserve ses dossiers dans une armoire et ses coordonnées clients dans son téléphone.
Notre profession supporte donc deux exigences cumulatives : le secret professionnel, notamment consacré par l’article 37 de la loi n° 28-08 réglementant la profession d’avocat, et la protection des données personnelles imposée par la loi n° 09-08. L’un protège la confiance et le contenu des confidences reçues. L’autre encadre la collecte, l’utilisation, la conservation, la communication et la sécurité des informations permettant d’identifier une personne.
La distinction vaut aussi pour votre visibilité numérique. Un annuaire professionnel comme AvocatLib traite les informations professionnelles que vous décidez de rendre publiques, sous réserve de ses propres obligations, tandis que votre fichier interne contient des identités, des pièces de procédure et parfois des données médicales ou pénales. Ce ne sont ni les mêmes finalités, ni le même niveau de risque. En clair, publier une spécialité et une adresse de cabinet ne justifie jamais d’exposer les données d’un client.
Ce que la CNDP attend concrètement d’un avocat
La Commission nationale de contrôle de la protection des données à caractère personnel, la CNDP, n’attend pas une certification abstraite. Elle veut pouvoir constater que vous savez quelles données vous traitez, sur quelle base, pour quelle finalité, pendant combien de temps, avec quels destinataires et quelles mesures de sécurité. Elle vérifie également que les formalités préalables applicables ont été accomplies.
Pour un cabinet, le chantier n’est pas nécessairement coûteux. Il exige surtout de la méthode. Il faut cartographier les traitements, distinguer déclaration et autorisation, revoir les conventions d’honoraires, encadrer les prestataires, sécuriser les accès et organiser l’archivage. Ce travail ressemble davantage à une bonne tenue comptable qu’à un audit informatique réservé aux grands groupes.
Ce que la loi n° 09-08 dit réellement sur les cabinets d’avocats
Un champ d’application suffisamment large pour couvrir toute la pratique
L’article premier de la loi n° 09-08 définit le traitement de données à caractère personnel de manière très large. Il vise toute opération ou tout ensemble d’opérations portant sur de telles données, qu’elles soient effectuées ou non à l’aide de procédés automatisés : collecte, enregistrement, organisation, conservation, adaptation, extraction, consultation, communication, rapprochement, verrouillage, effacement ou destruction.
L’article 2 étend le dispositif aux traitements automatisés ainsi qu’aux traitements non automatisés contenus ou appelés à figurer dans des fichiers manuels. Votre classeur alphabétique de dossiers, s’il est organisé pour retrouver les informations d’une personne, n’échappe donc pas au texte. Un fichier clients sur Excel, un agenda Outlook, un logiciel de gestion, des dossiers papier classés par nom, des échanges WhatsApp avec des justiciables et une base de prospects constituent autant de traitements à examiner.
La taille ne constitue pas une cause d’exemption. La requête « CNDP Maroc avocat données clients » renvoie donc à une réalité simple : l’avocat individuel est concerné au même titre qu’une société d’avocats. Le responsable du traitement des données du cabinet d’avocat sera généralement l’avocat individuel ou la structure qui détermine les finalités et les moyens du traitement. Lorsque plusieurs associés décident ensemble du fonctionnement d’un fichier commun, leur responsabilité doit être organisée avec précision.
Les principes applicables avant même les formalités
L’article 3 de la loi n° 09-08 impose notamment que les données soient traitées loyalement et licitement, collectées pour des finalités déterminées, explicites et légitimes, adéquates et non excessives, exactes et conservées pendant une durée n’excédant pas celle nécessaire à la finalité poursuivie.
Cette disposition a des conséquences immédiates. Demander systématiquement une copie de CNIE à toute personne qui téléphone au cabinet est excessif. Conserver indéfiniment les dossiers d’un contentieux locatif clos depuis vingt ans, sans motif archivistique ou probatoire documenté, est difficilement défendable. Réutiliser les coordonnées d’un ancien client pour lui adresser des messages promotionnels pose, quant à lui, une question de finalité et d’opposition, en plus des règles déontologiques interdisant le démarchage.
Les données sensibles présentes dans vos dossiers
La notion de donnée sensible figure dans l’article premier de la loi n° 09-08. Elle couvre notamment les données révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale ainsi que les données relatives à la santé, y compris les données génétiques.
Un cabinet spécialisé en responsabilité médicale manipule évidemment des données de santé. Un dossier de discrimination peut révéler une appartenance syndicale ou une conviction religieuse. Les dossiers pénaux comportent des informations relatives aux infractions, poursuites et condamnations, soumises à un régime particulièrement protecteur même lorsque toutes ne correspondent pas, au sens strict, à la définition technique de la donnée sensible. Quant aux dossiers de divorce et d’adoption, ils contiennent souvent des informations intimes, patrimoniales et relatives à des mineurs. Attention toutefois : la qualité de mineur ne transforme pas automatiquement toute donnée en « donnée sensible » au sens légal, mais elle commande une vigilance accrue.
Article 3 de la loi n° 09-08, en substance : seules doivent être collectées les données adéquates, pertinentes et non excessives au regard des finalités poursuivies, et leur conservation doit rester limitée à la durée nécessaire.
Le décret n° 2-09-165 du 25 joumada I 1430 correspondant au 21 mai 2009, pris pour l’application de la loi n° 09-08, complète le dispositif et précise les modalités des formalités accomplies auprès de la CNDP.
Déclaration ou autorisation CNDP : choisir la bonne formalité
La déclaration préalable constitue le régime courant
Une imprécision revient souvent dans les notes de cabinets : l’article 12 serait le fondement de la déclaration ordinaire et l’article 16 celui de l’autorisation. Cette présentation doit être rectifiée. Le régime de la déclaration préalable ressort principalement de l’article 13 de la loi n° 09-08, tandis que l’article 12 concerne les traitements soumis à autorisation préalable, notamment certains traitements de données sensibles.
Le fichier administratif des clients — identité, coordonnées, référence du dossier, facturation et suivi des honoraires — relève en principe de la déclaration préalable, sous réserve de son contenu réel. La formalité doit décrire honnêtement les finalités. Déclarer une simple « gestion de clientèle » alors que la base contient des certificats médicaux, des antécédents judiciaires et des rapports sociaux ne suffit pas.
La démarche s’effectue auprès de la CNDP, au moyen des formulaires et procédures indiqués sur son portail. La déclaration elle-même ne donne pas lieu, à ma connaissance, au paiement d’une taxe administrative. En revanche, la préparation d’un dossier par un conseil externe peut représenter de 3 000 à 8 000 dirhams pour une structure simple ou moyenne, davantage si plusieurs logiciels, établissements ou flux internationaux doivent être analysés.
L’autorisation préalable et l’exception liée à la défense d’un droit en justice
L’article 12 soumet à autorisation préalable certains traitements, particulièrement ceux portant sur des données sensibles. Mais il faut lire l’article jusqu’au bout : la loi prévoit des exceptions, notamment lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice et qu’il est effectué exclusivement à cette fin.
Conséquence pratique : affirmer que tout cabinet pénaliste ou tout avocat en droit médical doit automatiquement demander une autorisation pour chaque dossier serait excessif. L’exception contentieuse peut s’appliquer aux données strictement nécessaires à la défense du client. Elle ne couvre pas, pour autant, une base secondaire destinée à établir des statistiques médicales, à alimenter un outil commercial ou à réutiliser les informations hors du mandat.
D’autres traitements sont soumis à un régime renforcé, notamment ceux comportant le numéro de la carte nationale d’identité électronique ou organisant certaines interconnexions. Les délibérations de la CNDP doivent être consultées, car le choix du formulaire dépend souvent moins du nom du logiciel que des catégories de données et des usages réels.
En pratique, prévoyez plusieurs semaines entre la constitution d’une demande complète et son instruction. Un délai de quatre à huit semaines est fréquemment constaté pour des dossiers ordinaires, mais ce n’est ni une garantie légale générale ni un engagement opposable à la Commission. Une demande incomplète, un transfert à l’étranger ou des finalités mal définies allongent naturellement l’échange.
Note de praticien : un cabinet de Rabat spécialisé en responsabilité médicale avait décrit son traitement comme une gestion administrative classique, sans mentionner les expertises, comptes rendus opératoires et certificats d’incapacité. La difficulté n’était pas l’existence des dossiers, parfaitement légitime, mais l’écart entre la réalité du traitement et la formalité déposée.
Pour votre communication professionnelle, la logique doit rester celle de la minimisation. Gérer des coordonnées professionnelles publiques au moyen d’un profil sur AvocatLib n’autorise pas à y transférer les pièces ou le récit confidentiel d’une affaire. Au premier contact, ne demandez que les renseignements indispensables à l’organisation du rendez-vous ; la qualification détaillée et sécurisée du dossier intervient ensuite.
Le registre des traitements : une discipline utile, sans inventer une obligation
L’article 24 ne crée pas un registre interne général sur le modèle du RGPD
Autre erreur fréquente : présenter l’article 24 de la loi n° 09-08 comme imposant à chaque cabinet un registre interne identique à celui prévu par l’article 30 du RGPD européen. En l’état actuel du droit marocain, cette affirmation est trop catégorique. L’article 24 concerne le registre national tenu par la CNDP ; la loi n° 09-08 ne formule pas, pour tous les responsables de traitement, une obligation générale de registre interne calquée mot pour mot sur le RGPD.
Faut-il alors s’en passer ? Certainement pas. Un registre de traitement des données du cabinet juridique au Maroc constitue le moyen le plus simple de prouver votre maîtrise des opérations, de préparer vos déclarations et de répondre à un contrôle. C’est un outil de gouvernance volontaire, mais presque indispensable en pratique.
Le contenu d’un registre réellement exploitable
Un tableau Excel sécurisé peut suffire pour un petit cabinet. Prévoyez une ligne par traitement et les rubriques suivantes :
- Finalité : gestion des dossiers contentieux, facturation, paie, recrutement, agenda ou gestion des demandes de rendez-vous ;
- Personnes concernées : clients, parties adverses, témoins, experts, salariés, stagiaires ou candidats ;
- Données collectées : identité, CNIE, téléphone, données bancaires, informations judiciaires, médicales ou sociales ;
- Base et justification : mandat, obligation légale, nécessité de la défense, consentement lorsqu’il est requis ;
- Destinataires : avocats habilités, juridictions, huissiers de justice, experts, commissaires judiciaires selon la terminologie applicable, administrations et prestataires techniques ;
- Localisation : serveur du cabinet, archives physiques, messagerie, sauvegarde et pays d’hébergement ;
- Durée : durée active, durée d’archivage et méthode de destruction ;
- Sécurité : habilitations, chiffrement, sauvegarde, journalisation et contrôle des accès ;
- Formalité CNDP : déclaration, autorisation, transfert ou justification d’une exception.
Documentez aussi les canaux de prise de contact : site du cabinet, Google Business Profile, LinkedIn, téléphone, recommandation par un confrère ou AvocatLib. Une plateforme externe demeure responsable des traitements qu’elle détermine elle-même ; de votre côté, dès que vous importez une demande dans votre logiciel ou enrichissez la fiche avec des éléments de dossier, votre propre responsabilité reprend pleinement.
La durée de conservation ne se résume pas à sept ans
On lit parfois que l’article 387 du Code des obligations et contrats fixerait la prescription civile à cinq ans et justifierait une conservation uniforme de sept ans. C’est inexact. L’article 387 du DOC pose, en droit commun, une prescription de quinze ans, sous réserve des prescriptions spéciales. Le délai de cinq ans se rencontre notamment en matière commerciale, à l’article 5 du Code de commerce, sauf dispositions spéciales contraires.
Il n’existe donc pas une durée unique pour tous les dossiers d’avocats. Votre politique doit distinguer les dossiers civils, commerciaux, sociaux, fiscaux et pénaux, ainsi que les pièces comptables. Pour les documents comptables et fiscaux, les obligations de conservation propres au droit fiscal doivent également être intégrées, notamment celles prévues par l’article 211 du Code général des impôts. La durée doit être motivée par les délais de recours, la responsabilité professionnelle, la contestation des honoraires et les obligations d’archivage. À l’expiration, détruisez de manière sécurisée ou anonymisez réellement les données.
Secret professionnel et protection des données : deux protections cumulatives
L’article 37 de la loi n° 28-08 ne vaut pas dispense CNDP
L’article 37 de la loi n° 28-08 réglementant la profession d’avocat consacre le secret professionnel attaché aux informations connues dans l’exercice de la profession. Cette obligation est centrale. Elle ne remplace toutefois ni les principes de l’article 3 de la loi n° 09-08, ni les formalités préalables, ni les obligations de sécurité.
Le raisonnement est simple. Le secret interdit la divulgation illicite. La protection des données intervient plus tôt et plus largement : fallait-il collecter l’information, qui peut y accéder, où est-elle stockée, combien de temps est-elle conservée, peut-elle être envoyée à l’étranger et comment la personne exerce-t-elle ses droits ? Un fichier peut rester secret à l’égard du public tout en étant excessif, mal sécurisé ou conservé trop longtemps.
Principe de cabinet : aucune formalité CNDP ne doit conduire à révéler inutilement le contenu d’une consultation ou la stratégie d’une défense. Inversement, l’invocation du secret professionnel ne doit pas masquer l’absence de mesures de sécurité ou de formalité obligatoire.
Il serait également imprudent d’affirmer que la CNDP ne peut jamais accéder à aucun élément d’un cabinet. Ses pouvoirs de contrôle existent, mais doivent être articulés avec les secrets légalement protégés, les droits de la défense et les garanties procédurales. En cas de contrôle, ne remettez pas spontanément l’intégralité d’un dossier contentieux. Identifiez la base de la demande, faites consigner vos réserves et sollicitez, si nécessaire, l’intervention du bâtonnier ou les voies de droit appropriées.
Co-conseil, expert et associé sortant
Le partage d’un dossier avec un co-conseil, un médecin expert, un architecte ou un expert-comptable constitue une communication de données. L’article 4 organise le consentement et ses exceptions, tandis que les articles 5 et 6 encadrent l’information de la personne selon le mode de collecte. La transmission peut être nécessaire à l’exécution du mandat ou à la défense d’un droit, mais elle doit rester proportionnée et sécurisée.
Le départ d’un associé illustre mieux encore la tension. Les dossiers n’appartiennent pas à l’avocat comme un simple actif commercial. Il faut déterminer le choix du client, les obligations de restitution, la conservation d’une copie justifiée et la suppression des accès de l’associé sortant. À Marrakech, une dissolution conflictuelle entre associés avait laissé pendant plusieurs semaines les anciens comptes actifs sur le logiciel commun. Personne n’avait divulgué de dossier au public, mais tout le monde pouvait encore consulter des affaires qu’il ne gérait plus. C’est précisément le type d’incident que la loi n° 09-08 cherche à prévenir.
Informer le client sans alourdir la convention d’honoraires
Les articles 5 et 6 imposent une information adaptée lors de la collecte directe ou indirecte. Ajoutez à votre convention d’honoraires une clause indiquant l’identité du responsable, les finalités, les destinataires, le caractère obligatoire ou facultatif des réponses, les droits d’accès, de rectification et d’opposition, ainsi que les coordonnées permettant de les exercer.
Ne recopiez pas une clause RGPD française sans adaptation. Une mention de deux pages, citant une autorité européenne et un DPO inexistant, ne vous protège pas. Rédigez un texte marocain cohérent avec vos formalités CNDP, puis déclinez-le sur le site, le formulaire de contact et, si utile, la signature électronique.
Checklist de mise en conformité CNDP d’un cabinet d’avocat marocain
Étape 1 : cartographier les traitements
Bloquez une journée pour un cabinet individuel et jusqu’à deux journées pour une structure moyenne. Partez des usages, pas des logiciels : ouverture de dossier, conflit d’intérêts, facturation avec TVA au taux de 20 %, recouvrement d’honoraires, gestion des audiences, paie, CNSS, AMO, candidatures, vidéosurveillance éventuelle et communication professionnelle.
Pour chaque traitement, demandez qui collecte quoi, auprès de qui, pourquoi, où les données sont stockées et qui peut les consulter. N’oubliez pas les téléphones personnels des collaborateurs, les clés USB, les archives chez un prestataire et les groupes de messagerie créés pour suivre les audiences.
Étape 2 : déposer la formalité adaptée
Comparez votre inventaire aux régimes de déclaration, d’autorisation et de transfert. Préparez les finalités, catégories de personnes, données, destinataires, durées et mesures de sécurité. Conservez le récépissé, les échanges et la version exacte du dossier transmis. Une formalité ancienne doit être mise à jour lorsque le traitement change substantiellement.
En pratique, la CNDP peut laisser au responsable diligent un temps raisonnable pour compléter ou régulariser son dossier. Attendre une mise en demeure puis répondre de manière évasive réduit fortement cette marge.
Étape 3 : revoir les documents du cabinet
Adaptez la convention d’honoraires, le formulaire d’ouverture de dossier, les contrats de travail, les conventions de stage, les contrats de collaboration, la charte informatique et les contrats conclus avec les prestataires. Pour votre présence numérique, un profil professionnel AvocatLib vous permet de choisir les informations rendues visibles par ville et spécialité. Cela ne dispense pas de vérifier les conditions de traitement du canal utilisé, mais évite de transformer une page de présentation en collecte indiscriminée de pièces clients.
Cette visibilité doit demeurer informative et digne. La loi n° 28-08 et les règles ordinales excluent le démarchage, la sollicitation personnalisée et la publicité comparative. Un profil professionnel exact n’autorise ni la promesse d’un résultat, ni l’usage de témoignages confidentiels, ni l’affichage de dossiers gagnés permettant d’identifier les parties.
Étape 4 : sécuriser les dossiers physiques et numériques
La sécurité prévue par la loi n° 09-08 n’exige pas nécessairement une infrastructure de banque. Elle exige des mesures proportionnées au risque. Pour un cabinet, le socle raisonnable comprend des mots de passe uniques, une authentification multifacteur, le chiffrement des ordinateurs portables, des sauvegardes testées, un antivirus maintenu, des mises à jour régulières et des comptes individuels.
Les dossiers papier doivent être placés dans des armoires fermées, avec un accès distinct pour les archives sensibles. Une destruction sécurisée vaut mieux qu’un sac déposé près de l’immeuble. Pour le numérique, comptez environ 500 à 3 000 dirhams par poste et par an selon les licences, sauvegardes et solutions choisies. Le coût réel dépend davantage de l’existant que de la taille du barreau.
Étape 5 : encadrer les collaborateurs et les prestataires
Un stagiaire, une assistante ou un collaborateur agissant sous l’autorité du cabinet n’est pas automatiquement un « sous-traitant » autonome. Il s’agit généralement d’une personne autorisée qui ne doit agir que selon les instructions reçues. En revanche, l’hébergeur, le prestataire de maintenance ou l’éditeur SaaS peut avoir la qualité de sous-traitant s’il traite des données pour votre compte.
Organisez les habilitations par dossier. Supprimez immédiatement les accès lors d’un départ. Une clause de confidentialité renforcée est nécessaire, mais elle ne remplace pas les mesures techniques. Le mot de passe commun « Cabinet2026 » affiché près du photocopieur reste une faute d’organisation, même si chacun a signé trois pages sur le secret professionnel.
Cloud et transfert de données à l’étranger
Les articles 43 et 44 de la loi n° 09-08 encadrent le transfert de données vers un État étranger. Le principe repose notamment sur l’existence d’un niveau de protection suffisant dans le pays destinataire, sous réserve des exceptions et garanties admises par la loi ainsi que des décisions de la CNDP.
Avant de retenir un logiciel de cabinet, posez quatre questions au fournisseur : dans quel pays se trouve le serveur principal, où sont les sauvegardes, quels sous-traitants interviennent et comment récupérer puis supprimer les données à la fin du contrat ? La mention « serveur européen » est insuffisante. Elle ne précise ni le pays, ni les sous-traitants, ni les accès de support depuis un État tiers.
Un transfert international peut nécessiter une demande spécifique auprès de la CNDP. Consultez les procédures et délibérations publiées par la Commission avant la migration. Sous réserve d’une analyse complète, un hébergement au Maroc simplifie souvent le dossier, mais il ne garantit pas à lui seul la conformité : un serveur marocain mal protégé reste un serveur mal protégé.
Sanctions CNDP : un risque pénal, financier et déontologique
Ne pas citer les mauvais articles
Les sanctions pénales de la loi n° 09-08 ne commencent pas à l’article 64 comme on le lit parfois. Elles sont principalement regroupées dans les articles 51 et suivants. L’article 52 sanctionne notamment la mise en œuvre d’un traitement sans la déclaration ou l’autorisation exigée, avec une peine pouvant atteindre trois mois à un an d’emprisonnement et une amende de 20 000 à 200 000 dirhams, ou l’une de ces deux peines seulement.
D’autres dispositions répriment le traitement illicite de données sensibles, le détournement de finalité, la conservation excessive, l’atteinte à la sécurité, l’entrave au contrôle et certains transferts internationaux irréguliers. Selon la qualification retenue, les amendes peuvent atteindre plusieurs centaines de milliers de dirhams. Les personnes morales encourent également les sanctions prévues par le texte, sans effacer la responsabilité éventuelle des personnes physiques impliquées.
Les pouvoirs de la CNDP résultent du dispositif institutionnel de la loi et du décret d’application. En pratique, un contrôle peut donner lieu à une demande d’explications, à des observations ou à une mise en demeure avant une transmission au ministère public, selon la gravité des faits. Il ne faut cependant pas transformer cette pratique graduée en droit acquis à un avertissement préalable.
Le risque disciplinaire devant le Conseil de l’Ordre
Pour l’avocat, la sanction ne s’arrête pas au pénal. Une conservation anarchique, une fuite de dossiers ou un usage commercial des coordonnées d’anciens clients peut révéler un manquement à la dignité, à la délicatesse et au secret professionnel. Le Conseil de l’Ordre peut donc être saisi indépendamment de la CNDP, selon les procédures disciplinaires de la loi n° 28-08.
La meilleure prévention reste une présence numérique maîtrisée. Un profil sur AvocatLib, un site sobre, une fiche Google Business correctement paramétrée et une messagerie professionnelle réduisent la tentation de multiplier les formulaires artisanaux. Ils ne suppriment aucune obligation légale, mais limitent la surface d’exposition si vous appliquez réellement le principe de minimisation.
Trois cas pratiques rencontrés dans les cabinets marocains
Cas 1 : le cabinet pénaliste de Tanger
Le cabinet reçoit les procès-verbaux de police judiciaire, extraits de casier judiciaire, certificats médicaux, enregistrements et coordonnées de témoins. La première démarche consiste à limiter l’accès aux avocats chargés du dossier et à séparer les pièces actives des archives. L’envoi d’un dossier complet par messagerie instantanée doit rester exceptionnel, sécurisé et justifié.
La formalité CNDP doit tenir compte des données relatives aux infractions et de la nécessité d’assurer la défense. L’exception liée à l’exercice d’un droit en justice doit être documentée, non invoquée comme formule générale. Toute réutilisation pour une newsletter, des statistiques nominatives ou la formation de nouveaux collaborateurs doit faire l’objet d’une analyse distincte.
Cas 2 : l’avocate en droit de la famille à Fès
Ses dossiers contiennent les actes d’état civil, adresses, revenus, certificats médicaux, échanges privés et données concernant des enfants. Elle remet au client une information adaptée et mentionne les catégories de destinataires nécessaires : juridiction, adoul le cas échéant, expert, huissier de justice et administrations compétentes.
Les pièces relatives aux mineurs ne doivent pas être accessibles à l’ensemble du cabinet par défaut. Sur le portail de suivi interne, un collaborateur chargé d’une affaire commerciale n’a aucune raison de consulter un rapport social relatif à une kafala ou à une garde d’enfant. C’est la traduction concrète du principe de proportionnalité.
Cas 3 : la société d’avocats de Casablanca et son CRM partagé
Les associés utilisent un Google Sheets comportant les noms, téléphones, litiges, montants d’honoraires et commentaires sur la solvabilité. Le document est accessible par un lien transmis dans un groupe de messagerie. Il s’agit bien d’un traitement automatisé ; l’hébergement et les transferts à l’étranger doivent être examinés, tout comme les droits d’accès et la traçabilité.
La solution n’est pas nécessairement de supprimer tout CRM, mais de contractualiser, sécuriser et limiter les données. Pour la visibilité individuelle des associés, certains préfèrent une présence distincte sur AvocatLib plutôt que de donner un accès public ou semi-public au fichier commun. Chaque profil reste professionnel ; aucune note interne sur les clients ne doit y être reproduite.
Faire de la conformité CNDP une preuve de sérieux
Une attente croissante de la clientèle d’entreprise
Les banques, compagnies d’assurances, opérateurs télécoms, groupes industriels et filiales internationales interrogent désormais leurs conseils sur l’hébergement, la confidentialité et les transferts de données. Un cabinet capable de produire sa politique de sécurité, ses références CNDP et son processus de gestion des accès marque des points lors d’un appel d’offres. Pas par effet d’annonce. Parce qu’il réduit effectivement le risque du client.
La mise en conformité d’un cabinet d’avocat au Maroc doit être entretenue comme la comptabilité : revue annuelle, contrôle des accès après chaque départ, mise à jour des prestataires, vérification des durées et formation des nouveaux arrivants. Désignez un référent interne, même si la loi n° 09-08 n’impose pas un DPO à la majorité des cabinets.
Les actions à engager dès demain
- Recensez vos fichiers papier, logiciels, messageries et stockages cloud.
- Vérifiez vos déclarations, autorisations et transferts auprès de la CNDP.
- Réécrivez la clause de protection des données de vos conventions d’honoraires.
- Fermez les accès inutiles et activez l’authentification multifacteur.
- Fixez une politique de conservation par catégorie de dossier.
- Formez les collaborateurs, stagiaires et assistantes sur des situations concrètes.
Pendant ce chantier, ne négligez pas votre visibilité licite. Un profil vérifié sur AvocatLib peut rendre votre expertise accessible par ville, spécialité et barreau au Maroc, sans démarchage, publicité comparative ni promesse de résultat. Vous pouvez aussi examiner le fonctionnement de l’espace avocat avant de choisir les informations professionnelles que vous souhaitez publier. La bonne méthode reste la même : montrer ce qui doit l’être, protéger tout le reste.