La loi 09-08 s'applique-t-elle à Facebook, TikTok et Google qui sont des entreprises étrangères ?

La loi 09-08 s’applique en principe aux traitements de données qui touchent des personnes au Maroc, mais son application concrète devient difficile lorsque le responsable du traitement n’a pas d’établissement clairement identifiable au Maroc. C’est là la grande faiblesse du dispositif actuel. Facebook (Meta) est juridiquement structuré autour de l’Irlande pour de nombreux utilisateurs hors Amérique, tandis que Google et TikTok opèrent via des architectures internationales complexes. Contrairement au RGPD européen, la loi marocaine ne consacre pas avec la même netteté une extraterritorialité permettant de viser facilement les plateformes étrangères qui ciblent les utilisateurs marocains. Résultat : la protection existe en théorie, mais la contrainte effective reste limitée en l’absence de représentant légal local.

Comment déposer une plainte auprès de la CNDP pour violation de mes données personnelles ?

La plainte peut être déposée gratuitement par courrier recommandé ou directement au siège de la CNDP à Avenue Annakhil, Hay Riad, Rabat. Il faut joindre une copie de la CNI, un exposé clair des faits, les dates, la nature des données concernées et toutes les preuves disponibles : captures d’écran, emails, extraits des CGU, réponses du support, etc. Je conseille vivement d’ajouter la preuve que vous avez d’abord tenté de résoudre le litige avec l’application concernée, car cela renforce la crédibilité du dossier. En pratique, le traitement peut prendre entre 2 et 6 mois, parfois plus pour les affaires transfrontalières. La CNDP peut adresser une mise en demeure, formuler des recommandations ou transmettre le dossier au Parquet si une infraction pénale semble constituée.

Mes données sont-elles protégées lorsque j’utilise InDrive ou Yango dont les serveurs sont en Russie ?

C’est probablement la zone la plus incertaine et la plus préoccupante. Les articles 43 à 52 de la loi 09-08 encadrent le transfert de données personnelles vers des pays tiers et exigent en principe un niveau de protection adéquat. Si une application est légalement domiciliée dans un pays mais traite techniquement les données dans un autre, l’analyse devient complexe et dépend de la réalité des flux, des sous-traitants et des accès effectifs aux serveurs. À ma connaissance, il n’existe pas de position publique détaillée de la CNDP spécifiquement consacrée à InDrive ou Yango sur ce point précis. En pratique, limitez les données partagées, évitez de lier inutilement vos comptes à d’autres services et lisez attentivement la politique de confidentialité pour identifier la localisation des traitements.

Quelles sanctions risque une application qui viole la loi 09-08 au Maroc ?

Les articles 54 à 63 de la loi 09-08 prévoient des sanctions pénales qui vont, selon les cas, de 10.000 à 300.000 dirhams d’amende, avec des peines d’emprisonnement pouvant atteindre 5 ans pour certaines infractions. Sur le papier, le dispositif est donc sérieux. Mais en pratique, ces sanctions sont beaucoup plus faciles à mettre en œuvre contre des personnes physiques ou des représentants légaux d’entités établies au Maroc. Pour une grande plateforme étrangère sans présence juridique locale, la sanction devient souvent théorique, faute de prise directe. C’est précisément pour cela qu’une réforme du cadre est aujourd’hui discutée, avec l’idée d’une compétence plus extraterritoriale.

Ai-je le droit de demander à Facebook ou Google de supprimer toutes mes données ?

La loi 09-08 ne prévoit pas expressément un droit à l’oubli aussi développé que celui de l’article 17 du RGPD. En revanche, l’article 8 permet de demander la rectification, la mise à jour, le verrouillage ou l’effacement de certaines données inexactes, incomplètes, équivoques ou périmées. En pratique, Facebook, Instagram et Google proposent des outils de suppression de compte et d’exportation des données, ce qui permet déjà d’agir concrètement. Chez Meta, la suppression peut prendre de 30 à 90 jours selon les cas. Mon conseil est simple : exportez d’abord vos données, faites la demande de suppression, puis conservez tous les justificatifs si vous devez ensuite saisir la CNDP.

En tant que propriétaire d’une application marocaine, quelles sont mes obligations envers la CNDP ?

Toute entreprise marocaine qui collecte des données personnelles doit vérifier ses obligations déclaratives auprès de la CNDP, notamment au titre de l’article 13 de la loi 09-08. Certains traitements sensibles, visés notamment à l’article 18, nécessitent une autorisation spécifique, par exemple lorsqu’il s’agit de données de santé, d’opinions politiques ou d’autres catégories délicates. Vous devez aussi informer correctement vos utilisateurs, respecter la finalité du traitement, recueillir un consentement valable lorsque c’est nécessaire et identifier clairement le responsable du traitement. Si vous transférez des données hors du Maroc, une analyse spécifique s’impose et une autorisation peut être requise. En pratique, les délais d’instruction varient souvent entre 1 et 3 mois, selon la nature du dossier.

Quel est le délai de prescription pour agir en justice suite à une violation de données personnelles au Maroc ?

La loi 09-08 ne fixe pas un délai de prescription civil autonome pour toutes les actions en réparation liées aux données personnelles. On se tourne donc vers le droit commun, notamment le DOC, et l’article 387 est souvent cité pour la prescription quinquennale de certaines actions personnelles. Pour l’action pénale, les délais dépendent de la qualification retenue, et en matière délictuelle on raisonne souvent sur une prescription de 5 ans. Mais très franchement, attendre est une mauvaise idée : les preuves numériques disparaissent vite, les politiques de confidentialité changent, les captures deviennent plus difficiles à reconstituer. Le meilleur réflexe est de consulter rapidement un avocat dès la découverte de la violation.

Qu’est-ce que le consentement valide selon la loi 09-08 et pourquoi les cases pré-cochées posent problème ?

L’article 6 de la loi 09-08 exige que le consentement soit libre, spécifique et informé. Cela signifie qu’un utilisateur doit comprendre ce qu’il accepte, pour quelle finalité, et pouvoir refuser sans subir une contrainte disproportionnée. Une case pré-cochée ou un consentement implicite par simple utilisation du service posent problème parce qu’ils ne garantissent ni la liberté réelle du choix ni l’information suffisante de la personne concernée. Le texte marocain n’est pas aussi détaillé que le RGPD sur ce point, mais son esprit va clairement contre les consentements automatiques ou opaques. En pratique, beaucoup d’applications étrangères sont encore très loin d’un standard satisfaisant de consentement.

Combien coûte l’intervention d’un avocat spécialisé en protection des données au Maroc ?

Les honoraires varient selon la ville, la technicité du dossier et le niveau d’accompagnement demandé. Pour une consultation initiale, on observe souvent une fourchette entre 500 et 2.000 DH. Pour la préparation d’une plainte CNDP avec analyse des preuves et suivi, il faut généralement compter entre 3.000 et 8.000 DH. Une procédure judiciaire plus complète, avec première instance et éventuellement appel, peut aller de 10.000 à 30.000 DH, voire davantage si le dossier implique des expertises techniques ou des acteurs étrangers. La saisine de la CNDP reste gratuite sans avocat, mais un conseil juridique améliore souvent nettement la qualité et l’efficacité du dossier.

Applications étrangères et données au Maroc

Applications étrangères et données au Maroc | AvocatLib