Quand une fuite de données devient une affaire judiciaire au Maroc
Le dirigeant d’une PME de Casablanca ouvre un matin un courrier recommandé. Son entreprise de commerce électronique vient de recevoir une demande d’explications de la Commission nationale de contrôle de la protection des données à caractère personnel, plus connue sous le sigle CNDP. Motif : un client s’est plaint après avoir reçu des messages commerciaux non sollicités. En vérifiant le dossier, le dirigeant découvre trois problèmes à la fois. Sa base clients n’a jamais été déclarée, son site ne contient aucune information sérieuse sur l’utilisation des données et son prestataire informatique travaille sur la base d’un devis de deux pages, sans clause de sécurité.
Cette histoire est un cas composite, inspiré de situations que les praticiens du droit numérique rencontrent au Maroc. La panique vient rarement de la seule cyberattaque. Elle naît surtout de cette découverte brutale : l’entreprise était juridiquement exposée bien avant l’incident.
L’actualité marocaine, notamment les alertes relayées par Challenge sur les citoyens placés en première ligne face à la cybercriminalité, montre que le risque touche désormais les particuliers, les administrations, les banques et les PME familiales. Les publications de la Direction générale de la sécurité des systèmes d’information, ou DGSSI, recensent et analysent régulièrement les vulnérabilités et événements de sécurité. Attention toutefois aux chiffres spectaculaires : une alerte technique, une tentative détectée et un incident effectivement déclaré ne désignent pas la même réalité.
Concrètement, la question n’est plus seulement de savoir si votre pare-feu fonctionne. Il faut déterminer qui répondra devant la CNDP, le parquet, le tribunal de commerce, les clients et les partenaires lorsque des données seront volées ou rendues indisponibles. La cybersécurité et la responsabilité juridique de l’entreprise au Maroc forment désormais un seul sujet.
Le cadre juridique marocain de la cybersécurité
La loi 09-08, pilier de la protection des données personnelles
Le premier texte à connaître est la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 18 février 2009 et publiée au Bulletin officiel n° 5714 du 5 mars 2009.
Elle s’applique dès qu’une entreprise collecte ou utilise une information permettant d’identifier directement ou indirectement une personne physique : nom, numéro de téléphone, CIN, adresse électronique, photographie, identifiant client, données de géolocalisation ou historique d’achat. Une simple feuille Excel contenant les coordonnées de prospects peut donc constituer un traitement de données personnelles.
La définition du responsable du traitement figure à l’article premier de la loi 09-08. Il s’agit de la personne physique ou morale qui détermine les finalités et les moyens du traitement. L’article 3 traite, quant à lui, du consentement et des autres fondements permettant un traitement licite. Cette distinction mérite d’être précisée, car les deux dispositions sont parfois confondues.
Article 6 de la loi 09-08 : les données doivent notamment être traitées loyalement et licitement, collectées pour des finalités déterminées, explicites et légitimes, être adéquates et non excessives, puis conservées pendant une durée n’excédant pas celle nécessaire à ces finalités.
L’article 7 impose une information de la personne concernée lors de la collecte. Les articles 8 et suivants organisent notamment le droit d’accès, tandis que les articles 9 et 10 encadrent la rectification et l’opposition. Enfin, l’article 23 impose des mesures techniques et organisationnelles appropriées pour protéger les données contre la destruction, la perte, l’altération, la diffusion ou l’accès non autorisé.
Article 23 de la loi 09-08 : le responsable du traitement doit mettre en œuvre les mesures appropriées afin de préserver la sécurité des données et d’empêcher leur traitement non autorisé.
La loi ne commande pas l’achat d’un logiciel précis. Elle impose un résultat de prudence adapté au risque. Une clinique qui conserve des dossiers médicaux ne peut donc pas invoquer les mêmes mesures qu’un petit commerce tenant uniquement un fichier de fournisseurs.
La loi 05-20 sur la cybersécurité et les systèmes critiques
La loi n° 05-20 relative à la cybersécurité, promulguée par le dahir n° 1-20-69 du 30 juillet 2020, a renforcé l’organisation nationale de la sécurité numérique. Ses modalités sont précisées par le décret n° 2-21-406. Ce dispositif vise en particulier les administrations, les infrastructures d’importance vitale et les opérateurs exploitant des systèmes d’information sensibles ou d’importance vitale.
Pour ces organismes, les contraintes sont nettement plus lourdes : règles de gouvernance, homologation de sécurité, audits, surveillance, déclaration des incidents et recours, selon les cas, à des prestataires qualifiés. La DGSSI joue ici un rôle central de régulation technique, d’assistance, de qualification et de réponse aux incidents, notamment à travers le maCERT.
Une PME ordinaire n’est pas automatiquement opérateur d’un système d’information d’importance vitale. Mais elle peut subir les exigences de la loi 05-20 par ricochet. Si votre société assure la maintenance d’une banque, héberge les données d’un établissement de santé ou fournit un service à un opérateur télécom, le donneur d’ordre vous imposera souvent des audits, des délais de notification et des règles d’accès inspirés de ce texte.
Le Code pénal marocain face au piratage
La loi n° 07-03 a introduit dans le Code pénal les articles 607-3 à 607-11 relatifs aux atteintes aux systèmes de traitement automatisé des données. Ces textes sanctionnent notamment l’accès frauduleux, le maintien irrégulier dans un système, l’entrave à son fonctionnement, l’introduction ou la suppression de données et la falsification de documents informatisés.
L’article 607-3 réprime l’accès frauduleux à tout ou partie d’un système de traitement automatisé de données. Les peines sont aggravées lorsque l’accès entraîne la suppression ou la modification de données, une altération du fonctionnement du système ou lorsque des systèmes sensibles sont visés. L’article 607-4 sanctionne l’entrave ou la perturbation intentionnelle du fonctionnement d’un système, tandis que l’article 607-5 vise l’introduction, l’endommagement ou la suppression frauduleuse de données. Les articles 607-6 et 607-7 concernent respectivement la falsification de documents informatisés et leur utilisation en connaissance de cause.
En clair, un salarié qui copie une base clients sans autorisation ne relève pas automatiquement de l’article 607-7, contrairement à une confusion fréquente. La qualification exacte dépendra de ses actes : accès frauduleux, extraction, divulgation, abus de confiance, atteinte au secret professionnel ou utilisation de documents informatisés falsifiés. Le parquet retient les infractions correspondant aux faits et aux preuves numériques disponibles.
Protection du consommateur et commerce électronique
La loi n° 31-08 édictant des mesures de protection du consommateur complète ce dispositif. Ses dispositions relatives aux contrats conclus à distance imposent au professionnel une information claire sur son identité, le prix, les caractéristiques du service et les modalités contractuelles. Une plateforme de commerce électronique qui dissimule l’usage commercial des coordonnées de ses clients peut ainsi cumuler un problème de protection des données et un manquement à ses obligations envers le consommateur.
La CNDP : contrôle, mise en demeure et transmission au parquet
Quels sont les pouvoirs réels de la CNDP ?
La CNDP a été instituée par les articles 27 et suivants de la loi 09-08. Son appellation officielle reste la Commission nationale de contrôle de la protection des données à caractère personnel. Elle reçoit les déclarations et demandes d’autorisation, instruit les plaintes, procède à des contrôles, demande des documents et peut transmettre au procureur du Roi les faits susceptibles de constituer une infraction.
Beaucoup de dirigeants imaginent qu’une mise en demeure CNDP équivaut déjà à une condamnation pénale. Ce n’est pas exact. La commission exerce un contrôle administratif et de conformité. La peine d’amende ou d’emprisonnement relève de la juridiction pénale, après intervention du parquet et respect de la procédure judiciaire.
Déclaration préalable ou autorisation ?
L’article 12 de la loi 09-08 pose le principe d’une déclaration préalable des traitements automatisés auprès de la CNDP, sous réserve des dispenses prévues par la loi ou par les délibérations de la commission. Certains traitements standardisés, par exemple dans la gestion administrative des salariés, peuvent bénéficier d’une dispense lorsque toutes les conditions fixées par la CNDP sont respectées. Une dispense n’est donc pas une liberté générale : il faut vérifier que le traitement réel correspond exactement à son périmètre.
Les traitements comportant des données sensibles ou présentant certains risques relèvent d’une autorisation préalable, conformément aux articles 12 à 18 de la loi. Sont particulièrement surveillées les données de santé, les données biométriques, les informations relatives aux infractions ou certaines interconnexions de fichiers. Les transferts de données à l’étranger doivent aussi être examinés au regard des articles 43 et 44.
Avez-vous vérifié où votre prestataire cloud stocke les sauvegardes ? Un contrat signé à Casablanca peut parfaitement conduire à un hébergement en Europe, aux États-Unis ou dans une autre région. Ce détail technique devient alors une question juridique de transfert international.
Comment se déroule une mise en demeure ?
Une procédure commence souvent par une plainte, un contrôle ou une demande de renseignements. L’entreprise doit identifier précisément les traitements concernés, répondre dans le délai indiqué et produire les pièces utiles : formulaire CNDP, notices d’information, contrats de sous-traitance, mesures de sécurité, durées de conservation et preuves du consentement lorsqu’il constitue la base du traitement.
Selon la complexité, la régularisation peut demander quelques semaines à plusieurs mois. Un délai de 30 ou 60 jours est fréquent dans les échanges de mise en conformité, mais il ne constitue pas un délai légal uniforme applicable à tous les dossiers : le courrier reçu fait foi. L’ignorer est la pire stratégie.
Pour une PME de 20 à 50 salariés, un audit juridique et documentaire simple coûte souvent entre 15 000 et 40 000 MAD. Si l’entreprise doit refaire la gestion des accès, chiffrer ses postes, sécuriser les sauvegardes et modifier son infrastructure, le budget global peut atteindre 50 000 à 150 000 MAD. Ces montants sont indicatifs ; ils dépendent du nombre de traitements, des sites concernés et de la sensibilité des données.
Les sanctions prévues par la loi 09-08
Les articles 51 et suivants de la loi 09-08 organisent plusieurs infractions. Selon la qualification retenue, le défaut de formalité, le traitement illicite, le détournement de finalité, le non-respect des droits des personnes ou l’atteinte à la sécurité peuvent conduire à des amendes dont les montants varient, plusieurs dispositions atteignant 300 000 MAD, ainsi qu’à des peines d’emprisonnement pouvant aller, pour certaines infractions, jusqu’à deux ans. Les montants peuvent être aggravés en cas de récidive et la personne morale peut également être exposée dans les conditions prévues par les textes.
Il faut éviter de résumer tous les articles 52 à 60 par une seule peine. Chaque infraction possède ses éléments constitutifs et sa fourchette. Une défense sérieuse commence donc par la qualification juridique exacte, et non par un chiffre trouvé dans une brochure commerciale.
Responsabilité civile après une fuite de données clients
Les articles 77 et 78 du DOC
Une sanction CNDP n’indemnise pas nécessairement les victimes. Un client, un salarié ou un partenaire peut réclamer séparément des dommages-intérêts sur le fondement du Dahir formant Code des obligations et des contrats.
Article 77 du DOC : tout fait quelconque de l’homme qui, sans l’autorité de la loi, cause sciemment et volontairement à autrui un dommage matériel ou moral oblige son auteur à réparer ce dommage, lorsqu’il est établi que ce fait en est la cause directe.
Article 78 du DOC : chacun est responsable du dommage moral ou matériel qu’il a causé, non seulement par son fait, mais par sa faute, lorsqu’il est établi que cette faute en est la cause directe.
La victime doit normalement démontrer une faute, un préjudice certain et un lien de causalité. La faute peut résulter d’un mot de passe partagé par toute l’équipe, d’une absence de sauvegarde, du maintien des accès d’un ancien salarié ou du stockage de copies de CIN sans nécessité.
L’article 88 du DOC, relatif à la responsabilité du fait des choses que l’on a sous sa garde, peut être invoqué selon la configuration du litige. Son application à un environnement informatique immatériel n’est toutefois pas automatique ; les articles 77 et 78 demeurent les fondements les plus directs.
Qui peut saisir le tribunal ?
Un consommateur peut agir devant la juridiction compétente contre le professionnel. Une entreprise cliente peut saisir le tribunal de commerce de Casablanca, Rabat, Marrakech, Fès ou Tanger lorsqu’un contrat commercial est en cause. Un salarié peut agir devant la section sociale du tribunal de première instance pour les conséquences touchant la relation de travail. Une constitution de partie civile est également envisageable dans une procédure pénale lorsque les conditions sont réunies.
Le préjudice peut être matériel : fraude bancaire, coût de remplacement d’équipements, interruption d’activité ou perte d’un marché. Il peut aussi être moral, notamment en cas de divulgation de données médicales, familiales ou professionnelles. La jurisprudence marocaine publiée sur la quantification des fuites massives de données reste peu abondante et difficilement accessible. Il serait imprudent de promettre un barème automatique : les tribunaux apprécient les preuves produites et la réalité du dommage.
Le prestataire informatique n’efface pas la responsabilité du client
« C’est la faute de mon informaticien » n’est pas une défense suffisante devant la CNDP. L’entreprise qui décide pourquoi et comment les données clients sont exploitées demeure le responsable du traitement au sens de l’article premier de la loi 09-08. L’article 24 encadre le recours à un sous-traitant et impose notamment des garanties contractuelles appropriées.
L’entreprise pourra ensuite exercer un recours contre son prestataire sur le fondement du contrat et, selon les faits, des articles 77 et 78 du DOC. Encore faut-il disposer d’un vrai contrat. Dans le tissu économique marocain, beaucoup de relations informatiques reposent toujours sur un devis, des messages WhatsApp et un accord oral. Cela fonctionne jusqu’au premier incident.
Une bonne rédaction de contrat informatique avec clause sécurité doit préciser les niveaux de service, les sauvegardes, la localisation des données, la gestion des accès, le délai de notification, le droit d’audit, la réversibilité, la restitution des données et les plafonds de responsabilité. Attention aux plafonds dérisoires : une indemnisation limitée au montant de trois mensualités d’hébergement ne couvrira jamais une interruption de dix jours.
Les obligations légales concrètes de l’entreprise marocaine
Sept mesures minimales à mettre en place
La conformité ne consiste pas à déposer un formulaire puis à l’oublier. Pour respecter les obligations légales de cybersécurité d’une entreprise marocaine, sept chantiers sont incontournables :
- Cartographier les traitements : clients, salariés, vidéosurveillance, recrutement, prospection, fournisseurs et visiteurs.
- Déterminer une finalité et une base licite pour chaque traitement, conformément aux articles 3 et 6 de la loi 09-08.
- Informer les personnes selon l’article 7 et organiser l’exercice des droits d’accès, de rectification et d’opposition.
- Effectuer les déclarations ou autorisations CNDP requises par les articles 12 à 18.
- Limiter la conservation : une base de candidatures ou de prospects ne peut pas être gardée éternellement « au cas où ».
- Sécuriser les données conformément à l’article 23 : authentification forte, droits individualisés, chiffrement adapté, mises à jour et sauvegardes testées.
- Encadrer les sous-traitants par écrit, conformément à l’article 24, et vérifier les transferts internationaux au regard des articles 43 et 44.
La norme ISO/IEC 27001 n’est pas obligatoire pour toutes les PME, mais elle fournit une méthode reconnue de gestion des risques. Un juge ou une autorité de contrôle recherchera surtout si les mesures étaient proportionnées, documentées et réellement appliquées.
Notification d’une violation : une distinction nécessaire
Le droit marocain ne reproduit pas encore, pour toutes les entreprises, le mécanisme général de l’article 33 du RGPD imposant une notification sous 72 heures. La loi 05-20 prévoit cependant des obligations de déclaration d’incidents pour les organismes et opérateurs relevant de son champ, selon les modalités réglementaires et les référentiels applicables.
Pour une PME soumise à la loi 09-08, l’absence d’un délai général identique à celui du RGPD ne signifie pas qu’elle peut garder le silence. Elle doit protéger les personnes, coopérer avec la CNDP et respecter ses contrats. Si elle traite les données de résidents européens, le délai RGPD de 72 heures peut s’appliquer. En pratique, contactez la CNDP et votre avocat sans attendre lorsqu’une violation présente un risque sérieux.
Banques, télécoms et santé : des exigences renforcées
Les établissements de crédit sont soumis au contrôle de Bank Al-Maghrib et à des exigences spécifiques de gouvernance, de continuité et de sécurité des systèmes d’information, notamment celles associées à la directive ou circulaire n° 5/W/2021. Les opérateurs télécoms relèvent aussi d’obligations sectorielles et du contrôle de l’ANRT. Les structures de santé manipulent des données sensibles et doivent obtenir les autorisations requises, en plus de préserver le secret professionnel.
Le DPO, ou délégué à la protection des données, n’est pas imposé de manière générale par la loi 09-08 comme il l’est dans certains cas par le RGPD. Nommer un référent demeure néanmoins recommandé dès qu’une entreprise traite un grand volume de données, surveille des personnes ou travaille dans la santé, la finance ou les télécommunications.
RGPD, NIS et entreprise marocaine
Le RGPD peut s’appliquer directement à une société marocaine en vertu de son article 3 lorsque celle-ci offre des biens ou services à des personnes se trouvant dans l’Union européenne ou suit leur comportement. Un site simplement accessible depuis la France ne suffit pas toujours ; il faut rechercher un ciblage du marché européen, par exemple une livraison en Espagne, des prix en euros ou une campagne destinée à des clients français.
Une entreprise de Casablanca hébergeant les données d’une filiale européenne peut aussi être soumise à des obligations contractuelles RGPD en qualité de sous-traitant. Il n’existe donc pas un seul « RGPD équivalent maroc ». La loi 09-08 reste le droit national de référence, mais les deux régimes peuvent se cumuler.
Les directives européennes NIS et NIS2 ne sont pas transposées au Maroc. Elles influencent toutefois les contrats internationaux, les chaînes d’approvisionnement et les standards de sécurité. Un fournisseur marocain d’un groupe européen peut devoir respecter contractuellement des exigences inspirées de NIS2, même sans transposition marocaine.
Responsabilité pénale des dirigeants et salariés
Le dirigeant est-il personnellement exposé ?
La responsabilité pénale est personnelle : le parquet doit identifier l’auteur, les actes accomplis et l’élément intentionnel ou fautif requis par le texte. Le gérant n’est donc pas automatiquement condamné parce que l’entreprise a été piratée. En revanche, sa responsabilité peut être recherchée s’il a personnellement ordonné un traitement illicite, dissimulé des faits, utilisé des données détournées ou maintenu une pratique interdite après avertissement.
La personne morale peut également être poursuivie lorsque les conditions de l’article 127 du Code pénal et du texte d’incrimination sont réunies. Il faut distinguer la société, son représentant légal, le responsable informatique et l’auteur externe de l’attaque. Plusieurs responsabilités peuvent coexister.
Ransomware, phishing et vol interne
Un ransomware peut cumuler plusieurs qualifications : accès frauduleux au système, altération de données, entrave à son fonctionnement et extorsion ou tentative d’extorsion selon le procédé employé. Le phishing peut relever de l’escroquerie, de l’usurpation, de la falsification ou des infractions informatiques. La qualification finale dépend du mode opératoire.
Un salarié qui revend un fichier clients peut faire l’objet d’une plainte pénale, d’une demande de dommages-intérêts et d’une procédure disciplinaire. Le licenciement pour faute grave doit toutefois respecter l’article 62 du Code du travail, qui impose notamment l’audition du salarié dans les délais et formes prévus. L’article 39 énumère plusieurs fautes graves, mais le juge contrôle les faits, leur gravité et le respect de la procédure.
Une charte informatique signée ne remplace pas la preuve pénale. Elle permet néanmoins de montrer quels accès étaient autorisés, quelles utilisations étaient interdites et si le salarié connaissait les règles.
Comment déposer plainte au Maroc ?
Dès la découverte d’une attaque, isolez les machines affectées sans effacer les traces. Conservez les courriels, journaux de connexion, captures, adresses IP, demandes de rançon, fichiers suspects et sauvegardes. Faites établir, si nécessaire, un constat par un huissier de justice et sollicitez un expert compétent en investigation numérique.
La plainte peut être déposée auprès des services de police ou de gendarmerie territorialement compétents, notamment les unités spécialisées de la Police judiciaire, ou directement auprès du procureur du Roi près le tribunal de première instance. Pour un dossier complexe ou transfrontalier, la Brigade nationale de la police judiciaire peut être saisie dans le cadre de l’enquête dirigée par le parquet.
Ne payez pas une rançon dans la précipitation. Outre l’absence de garantie de récupération, le paiement peut alimenter un réseau criminel et poser des difficultés de conformité financière. Contactez le maCERT, un prestataire de réponse à incident, votre assureur et un avocat assurant la défense pénale en cas de cyberattaque ou piratage.
Le délai de prescription de l’action publique pour un délit est, en droit commun, de quatre ans selon l’article 5 du Code de procédure pénale, sous réserve des actes interruptifs, des règles spéciales et des réformes applicables à la date des faits. Il ne faut jamais attendre : les preuves numériques disparaissent beaucoup plus vite.
L’assurance cyber-risque au Maroc
Le marché marocain de l’assurance cyber progresse. Des assureurs et courtiers présents au Maroc, notamment de grands groupes nationaux et internationaux, proposent des couvertures directes ou négociées sur mesure. Il faut vérifier l’offre disponible au jour de la souscription, car les produits et leurs appellations commerciales évoluent.
Une police peut couvrir les frais d’expertise, la gestion de crise, la restauration des données, l’interruption d’activité, la communication, la défense et la responsabilité civile envers les tiers. Pour une PME, la prime peut commencer autour de quelques milliers de dirhams par an et dépasser 50 000 MAD lorsque le chiffre d’affaires, l’exposition internationale ou le volume de données augmente.
Les exclusions sont décisives : infrastructure obsolète connue, absence d’authentification multifacteur, déclaration inexacte, actes intentionnels, guerre, rançon ou non-respect délibéré des obligations légales. Les amendes pénales ne sont pas librement assurables. Quant aux sanctions administratives, leur couverture dépend de leur nature, de l’ordre public et du contrat ; ne partez jamais du principe qu’elles seront remboursées.
La prime constitue en principe une charge d’exploitation lorsqu’elle est engagée dans l’intérêt de l’entreprise et correctement justifiée, sous réserve du traitement fiscal concret. Demandez au courtier un tableau écrit des franchises, sous-limites et exclusions.
Se mettre en conformité en cinq étapes
1. Cartographier les données
La première question à poser est simple : qui collecte quoi, auprès de qui, pour quelle raison, où et pendant combien de temps ? Le registre des traitements n’est pas expressément généralisé par la loi 09-08 comme par l’article 30 du RGPD, mais il constitue le meilleur outil de pilotage et de preuve.
2. Déposer les formalités CNDP
Classez chaque traitement : déclaration, autorisation, dispense éventuelle ou régime particulier. Téléchargez les formulaires sur cndp.ma. Le délai légal d’instruction dépend de la procédure et de la complétude du dossier ; une demande incomplète provoque des échanges supplémentaires. Prévoyez plusieurs semaines et n’engagez pas un traitement soumis à autorisation avant d’avoir obtenu la décision requise.
3. Corriger la sécurité technique
Activez l’authentification multifacteur, supprimez les comptes dormants, séparez les droits administrateurs, chiffrez les ordinateurs portables, mettez à jour les systèmes et conservez des sauvegardes hors ligne testées. Pour une PME, le budget initial se situe souvent entre 20 000 et 100 000 MAD, davantage si le réseau doit être reconstruit.
4. Documenter et former
Rédigez les notices d’information, la politique de confidentialité, la charte informatique, la procédure de gestion d’incident et les clauses de confidentialité des salariés. Organisez des simulations de phishing. Une formation annuelle de deux heures vaut mieux qu’une charte de trente pages que personne ne lit.
5. Faire auditer les contrats et la conformité
Un avocat spécialisé en cybersécurité à Casablanca ou un avocat en protection des données personnelles au Maroc peut réaliser l’audit, préparer les formalités CNDP, négocier les contrats cloud et assister l’entreprise en cas de contrôle. Un audit technique reste complémentaire : l’avocat ne réalise pas un test d’intrusion et l’ingénieur ne tranche pas la licéité d’un traitement.
Pour une PME moyenne, une mise en conformité sérieuse prend généralement trois à six mois. Le budget juridique et technique global varie souvent de 30 000 à 150 000 MAD. C’est moins visible qu’une nouvelle boutique, certes. Mais une journée d’arrêt, une base clients divulguée et un contentieux peuvent coûter bien davantage.
La cybersécurité juridique est un investissement
Les entreprises les plus exposées ont souvent les mêmes faiblesses : absence d’inventaire, contrats informatiques sommaires, mots de passe partagés, sauvegardes jamais testées et croyance que la CNDP ne contrôle que les grands groupes. Soyons clairs : la taille de l’entreprise ne supprime ni les droits des personnes ni l’obligation de sécurité de l’article 23.
Le Maroc poursuit le renforcement de sa stratégie nationale de cybersécurité à l’horizon 2030. Les entreprises doivent surveiller l’évolution de la loi 09-08, son rapprochement possible avec les standards européens, les textes d’application de la loi 05-20 et l’influence de NIS2 sur les marchés internationaux.
La conformité devient aussi un avantage commercial. Elle rassure les clients, facilite les appels d’offres, protège les partenariats bancaires et réduit les négociations avec les donneurs d’ordre étrangers. Si votre société n’a jamais déclaré ses traitements, ignore où sont hébergées ses données ou ne possède aucun plan de réponse à incident, le bon moment pour agir n’est pas après la rançon. C’est maintenant, avec un conseil juridique pour entreprise marocaine face aux risques numériques ou un cabinet juridique cybersécurité à Rabat.
