Loi 09-08 au Maroc : protéger les données personnelles et bancaires

Qu'est-ce que la loi 09-08 ?

La loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel est le texte de référence en matière de vie privée numérique au Maroc. Promulguée en 2009 par le dahir n° 1-09-15, elle pose un cadre inspiré des standards européens de l'époque et s'applique à tout traitement de données personnelles, automatisé ou manuel, réalisé sur le territoire marocain.

Une donnée à caractère personnel est toute information se rapportant à une personne physique identifiée ou identifiable : nom, adresse, numéro de téléphone, mais aussi coordonnées bancaires, identifiants de compte ou historique de transactions. Dès qu'une entreprise collecte, enregistre, conserve ou partage ce type d'informations, elle devient responsable de traitement et doit respecter les obligations de la loi.

La supervision est confiée à la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel. Autorité indépendante, elle instruit les formalités, émet des recommandations, contrôle les traitements et peut être saisie par toute personne estimant ses droits méconnus.

Les grands principes à respecter

La loi 09-08 repose sur quelques principes structurants. Le premier est celui de la finalité : les données ne peuvent être collectées que pour des objectifs déterminés, explicites et légitimes, et ne doivent pas être réutilisées d'une manière incompatible avec ces objectifs. On ne collecte pas des données bancaires par précaution, mais pour un usage précis et annoncé.

Viennent ensuite la loyauté et la licéité de la collecte, la minimisation (ne recueillir que les données strictement nécessaires), l'exactitude (des données à jour et rectifiées si besoin) et la limitation de la durée de conservation : une information ne doit pas être gardée au-delà du temps nécessaire à la finalité poursuivie, sous réserve des obligations légales d'archivage.

Le consentement de la personne concernée constitue en principe le socle du traitement, sauf exceptions prévues par la loi comme une obligation légale ou l'exécution d'un contrat. Enfin, le responsable de traitement doit garantir la sécurité et la confidentialité des données, par des mesures techniques et organisationnelles empêchant tout accès non autorisé, perte ou divulgation.

Les droits des personnes concernées

La loi reconnaît à chaque personne un ensemble de droits opposables au responsable de traitement. Le droit à l'information impose de préciser, au moment de la collecte, qui traite les données, pour quelle finalité, et quels destinataires y auront accès.

S'y ajoutent le droit d'accès (obtenir la confirmation que ses données sont traitées et en recevoir une copie), le droit de rectification (corriger des données inexactes ou incomplètes) et le droit d'opposition, pour des motifs légitimes, à un traitement donné. Dans le domaine bancaire et financier, l'exercice de ces droits suppose que l'entreprise sache localiser précisément les données d'une personne et les corriger sans délai.

Les formalités auprès de la CNDP et les transferts hors du Maroc

Avant de mettre en œuvre un traitement, le responsable doit en principe accomplir une formalité préalable auprès de la CNDP. Selon la nature des données et la finalité, il peut s'agir d'une simple déclaration ou d'une demande d'autorisation, notamment pour les traitements portant sur des données sensibles.

Un point mérite une attention particulière pour les logiciels en mode cloud : le transfert de données vers un pays étranger est encadré. Il suppose que le pays de destination assure un niveau de protection adéquat et, le cas échéant, une autorisation de la CNDP. Héberger des données bancaires sur des serveurs situés hors du Maroc n'est donc pas un choix anodin sur le plan juridique.

La loi prévoit par ailleurs des sanctions administratives et pénales en cas de manquement. Sans entrer dans le détail des montants, retenez que le non-respect des obligations expose l'entreprise à des poursuites et à une atteinte à sa réputation, en plus du préjudice causé aux personnes.

Ce que cela change pour les données bancaires et financières

Les données de trésorerie sont parmi les plus sensibles d'une entreprise : relevés de comptes, RIB, échéanciers, encours clients et fournisseurs. Elles révèlent la santé financière, les relations commerciales et parfois des informations sur des personnes physiques comme les dirigeants, les salariés ou les clients particuliers. À ce titre, elles appellent une vigilance renforcée.

Concrètement, cela signifie limiter l'accès à ces données aux seules personnes habilitées, tracer les consultations, chiffrer les échanges de fichiers et définir des durées de conservation cohérentes. Lorsqu'un relevé bancaire est importé dans un outil de gestion, il faut savoir où il est stocké, qui peut le lire et combien de temps il est conservé.

Choisir un logiciel de trésorerie aligné sur sa politique de données

La conformité à la loi 09-08 relève d'abord de l'organisation de l'entreprise : c'est elle, en tant que responsable de traitement, qui déclare ses traitements, informe les personnes et sécurise les accès. Le choix des outils vient soutenir cette démarche, notamment par la localisation des données et le contrôle des accès.

C'est dans cet esprit que Tresoria propose une option d'hébergement au Maroc ainsi qu'une option d'installation sur site (on-premise), afin que les données de trésorerie puissent rester sous le contrôle direct de l'entreprise et sur le territoire national. Il s'agit d'une posture d'hébergement et d'organisation, qui facilite votre conformité, et non d'un substitut aux obligations qui vous incombent : la déclaration à la CNDP, l'information des personnes et la gestion des consentements restent de votre ressort.

En pratique, interrogez tout fournisseur sur trois points simples : où sont hébergées les données, qui y a accès, et pendant combien de temps elles sont conservées. Ces questions, alignées sur les principes de la loi 09-08, suffisent souvent à distinguer un partenaire sérieux d'une solution qui l'est moins.