Protection des données personnelles au Maroc : un enjeu devenu incontournable
Le scénario est devenu classique. À Casablanca, le dirigeant d’une PME prépare une levée de fonds ou répond à l’audit d’un grand donneur d’ordres. Son entreprise possède un fichier de plusieurs milliers de clients, utilise un logiciel de paie en ligne, conserve les empreintes digitales des salariés pour le pointage et envoie une newsletter chaque semaine. Pourtant, aucune formalité n’a jamais été accomplie auprès de la Commission Nationale de contrôle de la protection des Données à caractère Personnel, plus connue sous l’acronyme CNDP.
Le patron tombe des nues. Il pensait que la protection des données concernait surtout les banques, les opérateurs télécoms ou les multinationales soumises au RGPD européen. C’est faux. Une société de dix salariés, un cabinet médical, une école privée, un hôtel à Marrakech ou un commerce électronique installé à Rabat peuvent tous être soumis à la loi 09-08 sur la protection des données personnelles au Maroc.
La loi existe depuis 2009. Pourtant, le nombre de traitements effectivement déclarés reste manifestement inférieur au volume réel de fichiers utilisés par les entreprises marocaines. Les PME ont longtemps perçu la déclaration CNDP comme une formalité secondaire. Les contrôles limités et l’approche pédagogique de la Commission ont entretenu cette impression. Ce temps paraît toucher à sa fin.
De la loi 09-08 à l’alliance APEBI-APDND
L’alliance entre l’APEBI et l’APDND, rapportée notamment par Medias24, traduit une volonté de renforcer la confiance numérique au Maroc. Derrière les conférences et les engagements institutionnels, le message adressé aux entreprises est assez clair : la conformité juridique devient une condition d’accès aux marchés numériques, aux partenariats internationaux et aux contrats d’externalisation.
Une entreprise incapable d’expliquer où sont hébergées ses données, pourquoi elle les collecte et combien de temps elle les conserve peut perdre un contrat avant même de recevoir une sanction. Pour les sociétés marocaines travaillant avec des donneurs d’ordres européens, cette exigence est déjà quotidienne.
La loi 09-08, texte fondateur de la protection des données au Maroc
Le Dahir n° 1-09-15 et le décret d’application
Le régime marocain repose sur la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel. Elle a été promulguée par le Dahir n° 1-09-15 du 22 safar 1430, correspondant au 18 février 2009, puis publiée au Bulletin officiel n° 5714 du 5 mars 2009.
Ses modalités d’application sont précisées par le décret n° 2-09-165 du 21 mai 2009, publié au Bulletin officiel n° 5744 du 18 juin 2009. Ce décret traite notamment des formalités, des demandes d’autorisation, des déclarations et du fonctionnement de la CNDP.
Article premier de la loi 09-08 : constitue une donnée à caractère personnel toute information, de quelque nature qu’elle soit et indépendamment de son support, concernant une personne physique identifiée ou identifiable.
Concrètement, une donnée personnelle ne se limite pas au nom ou au numéro de carte nationale. Une adresse IP, un numéro de téléphone, une photographie, une plaque d’immatriculation, un identifiant de salarié ou un historique d’achats peuvent identifier une personne, directement ou par recoupement.
Qu’est-ce qu’un traitement de données personnelles ?
La notion de traitement, également définie par l’article premier, est très large. Elle couvre la collecte, l’enregistrement, la conservation, la modification, la consultation, la transmission, le rapprochement et la suppression des données. Ouvrir un fichier Excel contenant les coordonnées des clients constitue déjà un traitement. Il n’est pas nécessaire de disposer d’un logiciel sophistiqué.
La loi vise les traitements automatisés, mais aussi certains fichiers manuels structurés. Les dossiers papier des salariés classés par matricule ou les fiches médicales rangées par patient ne sortent donc pas automatiquement du champ légal.
Les activités strictement personnelles ou domestiques sont exclues. Des régimes particuliers existent également pour la défense nationale, la sûreté de l’État et certaines activités relevant de l’autorité publique. Une entreprise commerciale ordinaire ne peut cependant pas invoquer ces exceptions.
Responsable du traitement et sous-traitant
Le responsable du traitement est celui qui détermine les finalités et les moyens du traitement. Dans une SARL marocaine, cette responsabilité repose en principe sur la société, représentée par son gérant. Dans les faits, le directeur général assume souvent ce rôle sans même en avoir conscience.
Le prestataire informatique, l’hébergeur, le cabinet de paie ou le centre d’appels peut être un sous-traitant lorsqu’il agit pour le compte de l’entreprise. Cela ne transfère pas toute la responsabilité au prestataire. Le donneur d’ordre doit le sélectionner avec sérieux, encadrer ses instructions et vérifier ses garanties de confidentialité et de sécurité.
La CNDP : statut, missions et pouvoirs de contrôle
Une autorité créée par la loi
La CNDP est instituée par l’article 27 de la loi 09-08. Elle veille à ce que les traitements de données ne portent pas atteinte à la vie privée, aux libertés et aux droits fondamentaux. Elle reçoit les déclarations, instruit les demandes d’autorisation, examine les plaintes et rend des avis ou des délibérations.
Ses membres sont désignés selon les modalités prévues par la loi pour un mandat de cinq ans. La Commission n’est donc pas un simple service administratif chargé de tamponner des formulaires. Elle constitue l’autorité marocaine spécialisée en matière de données personnelles.
Des contrôles sur pièces et sur place
La CNDP peut demander des documents, entendre les responsables concernés et procéder à des vérifications. Ses agents habilités disposent de pouvoirs d’investigation dans les conditions prévues par les articles 30 et suivants de la loi 09-08. L’entreprise contrôlée doit pouvoir produire ses récépissés, ses autorisations, les mentions d’information remises aux personnes et les contrats conclus avec ses prestataires.
Les centres d’appels, établissements de santé, sociétés financières, opérateurs numériques et entreprises utilisant la biométrie sont particulièrement exposés. Lorsqu’un contrôle révèle plusieurs fichiers non déclarés, une vidéosurveillance mal signalée et des données transférées à l’étranger, la régularisation devient lourde. Mieux vaut cartographier les traitements avant de recevoir une demande officielle.
CNDP et RGPD : des logiques proches, mais des textes différents
La loi marocaine partage plusieurs principes avec le RGPD : loyauté, finalité déterminée, proportionnalité, sécurité et droits des personnes. Elle ne constitue toutefois pas une copie du règlement européen. Le RGPD repose largement sur la responsabilisation documentée de l’entreprise, alors que la loi 09-08 conserve un système important de formalités préalables auprès de la CNDP.
Le Maroc n’a pas, à ce jour, obtenu de décision générale d’adéquation de la Commission européenne au titre de l’article 45 du RGPD. Une société européenne qui transmet des données à un prestataire marocain doit donc généralement prévoir des garanties appropriées, notamment les clauses contractuelles types européennes. L’alliance APEBI-APDND prend ici tout son sens : rapprocher les pratiques marocaines des standards internationaux faciliterait les échanges et l’exportation de services numériques.
Déclaration CNDP ou autorisation préalable : quelle formalité accomplir ?
Le principe de la déclaration préalable
L’article 12 de la loi 09-08 pose le principe de la déclaration préalable des traitements automatisés, sous réserve des traitements relevant d’un régime d’autorisation ou d’une exception légale. Contrairement à une confusion fréquente, l’article 13 concerne notamment les normes simplifiées établies par la Commission ; il ne constitue pas, à lui seul, le fondement général de toute déclaration.
La déclaration normale concerne habituellement les traitements courants : gestion des clients, facturation, fournisseurs, comptabilité, paie, recrutement ou gestion administrative du personnel, à condition qu’ils ne comportent pas d’éléments déclenchant une autorisation particulière.
En pratique : chaque finalité doit être analysée. Une seule déclaration vague intitulée « gestion de l’entreprise » ne couvre pas automatiquement la vidéosurveillance, la prospection commerciale, les ressources humaines et le suivi biométrique.
Le dossier indique notamment l’identité du responsable, la finalité, les catégories de personnes, les données collectées, les destinataires, les durées de conservation, les mesures de sécurité et les éventuels transferts internationaux. La procédure administrative est gratuite. L’accompagnement par un avocat ou un consultant coûte généralement entre 3 000 et 8 000 dirhams pour un dossier courant, davantage lorsqu’il faut traiter plusieurs fichiers ou transferts internationaux.
Les traitements soumis à autorisation
L’article 18 de la loi 09-08 soumet à autorisation préalable plusieurs traitements présentant des risques particuliers. Il vise notamment certains traitements de données sensibles, de données génétiques, de données relatives aux infractions, ceux qui utilisent le numéro de la carte d’identité nationale ainsi que certaines interconnexions de fichiers poursuivant des finalités différentes.
Les données sensibles comprennent notamment les informations révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale et les données relatives à la santé. Leur traitement est par ailleurs encadré par l’article 21, qui pose une interdiction de principe assortie d’exceptions.
Pour un cabinet médical ou une clinique, une analyse spécialisée s’impose. Les avocats spécialisés en droit de la santé doivent notamment vérifier la finalité médicale, le secret professionnel, les accès au logiciel et l’hébergement. Un cabinet casablancais qui partage son application avec un prestataire sans contrat précis expose les dossiers des patients et reste juridiquement responsable de ses propres choix.
La biométrie mérite une vigilance particulière. Utiliser les empreintes digitales pour contrôler les horaires des salariés est beaucoup plus intrusif qu’un badge. La CNDP a encadré ces dispositifs dans ses délibérations, notamment la délibération n° D-17-2016 relative aux données biométriques. L’employeur doit démontrer la nécessité et la proportionnalité du procédé ; le simple confort administratif ne suffit pas toujours.
Délais et mise à jour des dossiers
Une déclaration complète donne lieu à un récépissé selon la procédure prévue par la loi et le décret d’application. Pour une autorisation, l’article 19 prévoit un délai de décision de deux mois, renouvelable une fois dans les conditions légales. Sur le terrain, les demandes de précisions peuvent porter la durée réelle à trois ou quatre mois.
Il ne faut pas lancer un traitement soumis à autorisation avant d’avoir obtenu la décision requise. Toute modification substantielle — nouvelle finalité, ajout de biométrie, changement d’hébergeur ou transfert vers un autre pays — doit également être examinée et, selon le cas, déclarée à la CNDP. Un conseil établi à Rabat, par exemple parmi les avocats en droit des affaires, peut suivre les échanges administratifs avec la Commission.
Les obligations concrètes du responsable du traitement
Collecter des données loyales, pertinentes et limitées
L’article 3 de la loi 09-08 impose que les données soient traitées loyalement et licitement, collectées pour des finalités déterminées, explicites et légitimes, puis conservées sous une forme permettant l’identification pendant une durée n’excédant pas celle nécessaire.
En clair, une entreprise ne doit pas demander le numéro de CIN, la situation familiale ou une copie intégrale du passeport « au cas où ». Chaque donnée doit avoir une utilité démontrable. Les informations devenues inutiles doivent être supprimées ou anonymisées selon une politique de conservation réaliste.
Consentement et information des personnes
Le principe du consentement et ses exceptions figurent à l’article 4. Un traitement peut également être fondé, selon les circonstances, sur une obligation légale, l’exécution d’un contrat, la sauvegarde d’intérêts vitaux ou un intérêt légitime ne portant pas atteinte aux droits de la personne.
Le consentement ne doit donc pas être utilisé mécaniquement pour tout. En revanche, lorsqu’il est requis, il doit être libre, spécifique et informé. Une case précochée pour recevoir des publicités n’offre pas une preuve sérieuse de volonté. Le silence du client n’est pas davantage une autorisation générale.
L’article 5 impose de communiquer, au moment de la collecte, l’identité du responsable, les finalités, les destinataires, le caractère obligatoire ou facultatif des réponses ainsi que l’existence des droits d’accès et de rectification. Cette information doit être lisible. Copier une politique française mentionnant la CNIL et des articles du RGPD ne met pas un site marocain en conformité.
Sécuriser les données
L’article 23 de la loi 09-08 impose au responsable du traitement de prendre les précautions utiles pour préserver la sécurité et la confidentialité des données, notamment afin d’empêcher leur altération, leur destruction ou leur accès par des tiers non autorisés.
Pour une PME, cela signifie au minimum des mots de passe individuels, une gestion des habilitations, des sauvegardes protégées, le chiffrement lorsque le risque le justifie, une procédure de départ des salariés et une traçabilité des accès sensibles. Laisser l’ancien commercial conserver le fichier clients sur son ordinateur personnel constitue une défaillance organisationnelle, même si aucun piratage sophistiqué n’a eu lieu.
Attention toutefois : la loi 09-08 ne contient pas une obligation générale de notification des violations sous 72 heures identique à l’article 33 du RGPD. Une notification peut néanmoins découler d’exigences sectorielles, contractuelles, d’une demande de la CNDP ou de la nécessité de limiter le préjudice. Une entreprise liée à un client européen peut également être tenue d’alerter celui-ci immédiatement.
Encadrer les sous-traitants
L’article 26 encadre le recours à un sous-traitant. Le contrat doit notamment assurer que celui-ci agit sur instruction du responsable et offre des garanties suffisantes de sécurité et de confidentialité.
Une facture d’abonnement à un logiciel ne remplace pas une convention de traitement des données. Il faut identifier les lieux d’hébergement, les sous-traitants ultérieurs, les conditions de restitution, la suppression en fin de contrat et la procédure applicable en cas d’incident.
Les droits des clients, salariés et autres personnes concernées
Droit d’accès et de rectification
L’article 7 reconnaît à la personne concernée un droit d’accès aux données la concernant et aux informations relatives à leur traitement. L’article 8 lui permet d’obtenir la rectification, la mise à jour, l’effacement ou le verrouillage des données inexactes ou traitées contrairement à la loi.
Ces droits s’appliquent aussi aux salariés. Un employé peut demander l’accès aux données de pointage, à certaines évaluations ou aux informations administratives conservées dans son dossier, sous réserve des droits des tiers et des limites légales. Pour les contentieux mêlant données et relation de travail, l’intervention d’un avocat spécialisé en droit du travail permet d’éviter de confondre droit d’accès et communication illimitée de tous les documents internes.
Droit d’opposition et prospection commerciale
Le droit d’opposition est prévu par l’article 9 de la loi 09-08, et non par l’article 12. Toute personne peut s’opposer, pour des motifs légitimes, à ce que ses données fassent l’objet d’un traitement. Lorsque les données sont utilisées à des fins de prospection, l’opposition doit pouvoir être exercée sans frais.
Chaque courriel publicitaire devrait comporter un mécanisme de désinscription fonctionnel. Continuer à appeler un client qui s’est opposé au démarchage crée une preuve défavorable facilement produite devant la CNDP.
Organiser la réponse en interne
L’entreprise devrait créer une adresse telle que donneespersonnelles@entreprise.ma, vérifier l’identité du demandeur sans exiger des documents excessifs, horodater la demande et conserver la preuve de la réponse. Un registre interne permet de suivre les demandes et d’éviter qu’un message reste oublié dans la boîte d’un commercial parti en congé.
Vidéosurveillance des salariés
La vidéosurveillance constitue un traitement de données personnelles lorsqu’elle permet d’identifier les personnes. Elle doit faire l’objet de la formalité appropriée auprès de la CNDP et d’une information visible. Les caméras ne peuvent pas être installées n’importe où ni servir à une surveillance permanente disproportionnée des salariés. Les vestiaires, sanitaires et espaces de repos appellent évidemment une protection renforcée de la vie privée.
Transfert de données personnelles hors du Maroc et outils cloud
Le principe posé par l’article 43
L’article 43 de la loi 09-08 prévoit qu’un responsable ne peut transférer des données vers un État étranger que si cet État assure un niveau de protection suffisant de la vie privée et des droits fondamentaux. L’appréciation dépend notamment de la nature des données, de la finalité, de la durée du traitement et du droit applicable dans le pays destinataire.
Un transfert ne signifie pas seulement envoyer un fichier par courriel. Il existe dès que les données sont hébergées à l’étranger ou rendues accessibles depuis l’étranger. L’utilisation de Google Workspace, Microsoft 365, Salesforce, d’un outil de support ou d’un CRM américain doit donc être cartographiée.
Dérogations et autorisation de la CNDP
L’article 44 prévoit des dérogations, notamment lorsque la personne a expressément consenti au transfert ou lorsque celui-ci est nécessaire à l’exécution d’un contrat, à la sauvegarde de la vie, à la défense d’un droit en justice ou à certaines obligations légales. Ces exceptions s’interprètent selon le contexte ; elles ne constituent pas un passeport universel pour tous les flux cloud.
La CNDP peut également autoriser un transfert lorsque des garanties suffisantes sont apportées, notamment par des clauses contractuelles. En pratique, l’entreprise doit documenter les pays concernés, les prestataires, les mesures de sécurité et les engagements juridiques. Comptez souvent deux à trois mois pour un dossier correctement instruit, parfois davantage en cas de chaîne complexe de sous-traitants.
Une société exportatrice peut perdre un contrat européen faute de pouvoir répondre à trois questions simples : où sont les données, qui y accède et sur quel fondement juridique ? Ce n’est pas théorique. Lors d’audits de fournisseurs, l’absence d’autorisation de transfert ou de clauses contractuelles appropriées bloque régulièrement la signature. Les avocats en droit numérique et cybersécurité peuvent rapprocher les exigences de la loi 09-08 de celles imposées par les partenaires européens.
Le Maroc est-il adéquat au regard du RGPD ?
Non. Le Maroc ne bénéficie pas actuellement d’une décision d’adéquation de la Commission européenne. Les transferts de l’Union européenne vers le Maroc exigent donc généralement un mécanisme prévu par les articles 46 et suivants du RGPD, souvent les clauses contractuelles types adoptées par la Commission européenne.
Dans le sens Maroc-Europe, il faut consulter les décisions et listes actualisées de la CNDP plutôt que supposer qu’un pays est automatiquement adéquat. La destination européenne facilite souvent l’analyse, mais chaque transfert doit rester rattaché à un traitement licite, déclaré ou autorisé selon le cas.
Sanctions CNDP : les montants réellement prévus par la loi
Absence de déclaration et défaut d’autorisation
Les sanctions pénales figurent aux articles 51 à 65 de la loi 09-08. Certaines présentations en ligne attribuent à l’article 52 une amende maximale de 300 000 dirhams. Ce chiffre ne correspond pas au texte de cet article.
Article 52 : la mise en œuvre d’un fichier de données personnelles sans la déclaration exigée par l’article 12 est punie d’une amende de 10 000 à 100 000 dirhams.
L’article 53 sanctionne la mise en œuvre d’un traitement sans l’autorisation requise d’un emprisonnement de trois mois à un an et d’une amende de 20 000 à 200 000 dirhams, ou de l’une de ces deux peines seulement. D’autres infractions, notamment le traitement illicite de données sensibles, peuvent relever d’articles distincts et entraîner des peines plus fortes.
L’article 55 réprime notamment certains traitements de données sensibles réalisés en violation des conditions légales, avec une peine pouvant atteindre deux ans d’emprisonnement et une amende pouvant atteindre 300 000 dirhams selon la qualification retenue. Le transfert international irrégulier est, pour sa part, sanctionné par l’article 57.
Les personnes morales peuvent être condamnées à des amendes selon les règles prévues par la loi, sans exclure la responsabilité des dirigeants ou auteurs physiques lorsque les éléments de l’infraction sont réunis. En cas de récidive, l’article 65 prévoit le doublement des peines.
De la mise en demeure au parquet
En pratique, la CNDP privilégie souvent la demande d’explications et la mise en conformité. Mais il serait dangereux d’en déduire une immunité. La Commission peut prononcer les mesures relevant de ses compétences, retirer un récépissé ou une autorisation dans les conditions légales et transmettre les faits susceptibles de constituer une infraction au parquet compétent.
L’affaire peut ensuite relever du tribunal de première instance compétent en matière pénale, avec les voies de recours devant la cour d’appel puis, sur les questions de droit, la Cour de cassation. À la sanction judiciaire s’ajoutent les conséquences opérationnelles : arrêt d’un fichier commercial, suspension d’une solution biométrique ou obligation de changer d’hébergeur.
Le risque commercial dépasse parfois l’amende
Les appels d’offres privés et publics exigent de plus en plus des récépissés CNDP, une politique de sécurité et des engagements de confidentialité. Une plainte relayée sur les réseaux sociaux peut aussi détruire rapidement la confiance. Pour une clinique, une fintech ou un site de commerce électronique, la réputation perdue coûte souvent plus cher que l’amende.
Plan de mise en conformité à la loi 09-08 pour une PME marocaine
1. Cartographier tous les traitements
Commencez par les ressources humaines, les clients, les prospects, la vidéosurveillance, le contrôle d’accès, la comptabilité, le site web et les outils cloud. Un tableau peut préciser la finalité, les personnes concernées, les données, les destinataires, la durée, l’hébergement, les transferts et les mesures de sécurité.
2. Qualifier les formalités CNDP
Pour chaque traitement, déterminez s’il relève d’une déclaration, d’une autorisation ou d’une dispense. Traitez en priorité les données de santé, la biométrie, le numéro de CIN, la vidéosurveillance et les transferts internationaux.
3. Mettre les documents en ordre
Rédigez les mentions d’information, la politique de confidentialité, les clauses RH, les contrats de sous-traitance, les durées de conservation et la procédure d’exercice des droits. Les entreprises numériques peuvent consulter des avocats spécialisés en droit numérique à Casablanca, tandis qu’une société du sud peut solliciter des avocats en droit des affaires à Marrakech.
4. Former les équipes
La plupart des incidents ne viennent pas d’un pirate international. Ils proviennent d’un fichier envoyé au mauvais destinataire, d’un mot de passe partagé ou d’une copie de CIN oubliée sur une imprimante. Une formation annuelle des RH, commerciaux, comptables et informaticiens est donc indispensable.
5. Désigner un référent données personnelles
La loi 09-08 n’impose pas de DPO selon les mêmes critères que le RGPD. Elle prévoit toutefois, notamment à l’article 17, un mécanisme de responsable à la protection des données pouvant produire certains effets sur les formalités, sous réserve des exceptions légales, notamment en matière de transfert.
Une PME peut désigner un salarié formé ou recourir à un référent externe. Les prestations récurrentes se situent souvent entre 1 500 et 5 000 dirhams par mois, selon le volume de traitements. Cette fonction doit disposer d’un accès réel à la direction et ne pas rester un titre décoratif.
Budget et calendrier réalistes
Pour une PME de 10 à 50 salariés, un accompagnement complet représente souvent 15 000 à 40 000 dirhams. Un projet simple peut être traité en trois mois. Une entreprise combinant biométrie, commerce électronique, applications mobiles et cloud international aura plutôt besoin de six mois, parfois davantage.
La conformité n’est pas un dossier que l’on range après avoir obtenu un récépissé. Elle doit être revue à chaque nouveau logiciel, campagne marketing, sous-traitant ou projet de vidéosurveillance.
Comment déposer une plainte auprès de la CNDP ?
Contacter d’abord l’entreprise
La personne concernée a intérêt à exercer ses droits directement auprès du responsable du traitement et à conserver une preuve : courrier recommandé, courriel horodaté ou accusé de réception. Cette démarche permet d’établir la demande et l’absence éventuelle de réponse. Elle n’empêche pas de saisir rapidement la CNDP lorsqu’il existe un risque urgent.
Il faut éviter d’affirmer qu’un délai général de 30 jours ou que l’instruction de toute plainte sous 60 jours résulte automatiquement de la loi 09-08. Les délais dépendent du droit exercé, de la procédure et des demandes complémentaires de la Commission. Le plaignant doit se référer au formulaire et aux indications actualisées publiées sur le site officiel de la CNDP.
Constituer le dossier
La plainte doit identifier l’organisme concerné, décrire les faits et joindre les preuves disponibles : copie de la demande initiale, réponse reçue, captures d’écran, messages commerciaux ou documents montrant la transmission contestée. Une copie de la pièce d’identité peut être demandée pour vérifier la qualité du plaignant, mais elle doit être transmise par un canal approprié.
La CNDP peut solliciter les observations de l’entreprise, demander des documents, effectuer un contrôle ou transmettre au parquet des faits susceptibles d’être pénalement répréhensibles. Le dépôt d’une plainte n’exclut pas une action devant le tribunal compétent afin d’obtenir réparation du préjudice sur le fondement des règles de responsabilité civile, notamment les articles 77 et 78 du Dahir des obligations et contrats lorsque leurs conditions sont réunies.
La conformité CNDP, un investissement stratégique
L’alliance APEBI-APDND est un signal de maturation du marché numérique marocain. Les entreprises ne peuvent plus traiter la protection des données comme un formulaire réservé au service informatique. Il s’agit d’un sujet de direction générale, de responsabilité juridique et de confiance commerciale.
La bonne méthode tient en quelques verbes : recenser, qualifier, déclarer, sécuriser, informer et contrôler. Agir maintenant coûte moins cher qu’une régularisation menée sous pression après une plainte, un audit bancaire ou la perte d’un marché européen.
La protection des données personnelles n’est pas une hostilité au commerce. Bien appliquée, elle permet à l’entreprise de savoir ce qu’elle possède, de réduire ses risques et de rassurer ses partenaires. En clair, la mise en conformité à la loi 09-08 n’est plus une contrainte périphérique. Elle devient un avantage concurrentiel.
