Marokko: wet nr. 09-08 betreffende de bescherming van natuurlijke personen ten aanzien van de verwerking van persoonsgegevens (2009)

Wet 09-08 werd afgekondigd op 18 februari 2009 en uitgevoerd bij decreet nr. 2-09-165 van 21 mei 2009. Zij richtte de CNDP op (Commission Nationale de contrôle de la protection des Données à caractère Personnel), die informeert, adviseert, controleert en sanctioneert en nagaat of verwerkingen rechtmatig zijn en geen inbreuk maken op de persoonlijke levenssfeer of de grondrechten. Het stelsel berust op aangifte: elke verwerking vereist een voorafgaande aangifte bij de CNDP, en een voorafgaande machtiging is vereist voor gevoelige gegevens (raciale of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, gezondheids- en genetische gegevens), wijzigingen van doeleinde, gegevens over strafbare feiten en veroordelingen en gegevens die het nationale identiteitsnummer bevatten. Geen enkele verwerking mag aanvangen voordat de CNDP haar ontvangstbewijs of machtiging heeft afgegeven.

Grensoverschrijdende doorgiften vereisen een voorafgaande machtiging van de CNDP en een passend beschermingsniveau in het land van bestemming, behoudens toestemming en andere beperkte uitzonderingen. Directe elektronische marketing zonder voorafgaande uitdrukkelijke toestemming is verboden, behoudens een uitzondering voor bestaande klanten. De wet zelf legt geen algemene verplichting op tot aanstelling van een functionaris voor gegevensbescherming, noch een meldplicht voor inbreuken. In 2025 kondigde de CNDP de invoering aan van een instrument voor toezicht op het dark web, ontwikkeld met een cyberbeveiligingsbedrijf, om de onrechtmatige publicatie van persoonsgegevens op te sporen en verwerkingsverantwoordelijken te identificeren die hun verwerkingen niet hadden aangegeven. Marokko heeft Verdrag 108 van de Raad van Europa en de gemoderniseerde versie ervan geratificeerd en houdt een nationaal gegevensbeschermingsregister bij.