Maroc : loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (2009)

La loi 09-08 a été promulguée le 18 février 2009 et mise en œuvre par le décret n° 2-09-165 du 21 mai 2009. Elle a créé la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel), qui informe, conseille, contrôle et sanctionne, et vérifie que les traitements sont licites et ne portent pas atteinte à la vie privée ni aux droits fondamentaux. Le régime repose sur la déclaration : tout traitement requiert une déclaration préalable à la CNDP, et une autorisation préalable est exigée pour les données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données de santé et génétiques), les changements de finalité, les données relatives aux infractions et condamnations et les données comportant le numéro de la carte nationale d'identité. Aucun traitement ne peut débuter avant la délivrance du récépissé ou de l'autorisation de la CNDP.

Les transferts transfrontaliers requièrent une autorisation préalable de la CNDP et un niveau de protection adéquat dans le pays de destination, sous réserve du consentement et d'autres exceptions restreintes. La prospection électronique directe sans consentement exprès préalable est interdite, sous réserve d'une exception relative aux clients existants. La loi elle-même n'impose ni délégué à la protection des données de manière générale, ni obligation de notification des violations. En 2025, la CNDP a annoncé le déploiement d'un outil de surveillance du dark web, conçu avec une entreprise de cybersécurité, afin de détecter la publication illicite de données à caractère personnel et d'identifier les responsables du traitement n'ayant pas déclaré leurs traitements. Le Maroc a ratifié la Convention 108 du Conseil de l'Europe et sa version modernisée et tient un registre national de protection des données.