Le verdict en trois phrases
Si vous traitez des données de clients européens depuis le Maroc, vous êtes soumis au RGPD en plus de la loi 09-08, même sans établissement dans l'UE. La conformité n'est pas un document PDF, c'est une chaîne : déclaration CNDP, hébergement avec garanties, chiffrement, DPA signés et registre à jour. Le coût de mise en conformité (8 000 à 30 000 MAD) est trivial face au risque de perdre un contrat européen sur une clause data non tenue.
Loi 09-08 vs RGPD : les obligations croisées
Les deux textes se recouvrent largement mais diffèrent sur les formalités et les sanctions. Voici ce qu'un responsable conformité casablancais doit tenir en 2026.
| Obligation | Loi 09-08 (CNDP) | RGPD (clients UE) |
|---|---|---|
| Formalité préalable | Déclaration ou autorisation CNDP | Registre des traitements |
| Base légale | Consentement / intérêt | 6 bases dont consentement |
| Information des personnes | Mention obligatoire | Mention + droits détaillés |
| Transfert transfrontalier | Autorisation CNDP | Clauses types / adéquation |
| Délégué à la protection | recommandé | obligatoire si à grande échelle |
| Sanction max | pénale + amende | jusqu'à 4 % du CA mondial |
| Notification de violation | CNDP | 72 h à l'autorité UE |
Le point le plus sous-estimé est le transfert transfrontalier : héberger des données d'Européens sur un serveur marocain est un transfert au sens du RGPD, qui exige des garanties (clauses contractuelles types) et côté 09-08 une autorisation CNDP.
Checklist hébergement conforme
L'hébergement est le maillon technique qui matérialise la conformité. Voici ce qu'un acheteur B2B européen vérifie avant de signer.
| Élément | Exigence 2026 | Preuve à fournir |
|---|---|---|
| Localisation serveurs | UE ou Maroc avec garanties | contrat datacenter |
| Chiffrement en transit | TLS 1.3 | rapport de scan |
| Chiffrement au repos | AES-256 | config documentée |
| DPA avec l'hébergeur | signé | annexe contractuelle |
| Sauvegardes | quotidiennes, testées | politique de backup |
| Journalisation des accès | conservée 6-12 mois | logs |
| Plan de réponse à incident | documenté | procédure écrite |
Pour un client européen exigeant, un hébergement UE (OVH, Scaleway) simplifie tout : il élimine la question du transfert. À défaut, un hébergement marocain avec DPA, chiffrement et clauses types reste défendable.
Mini cas pratique
Nadia est responsable conformité d'un éditeur SaaS RH à Casablanca qui signe un premier gros client français (une ETI de 400 salariés). Le service juridique du client bloque la signature tant que trois points ne sont pas levés : hébergement des données RH dans l'UE, DPA signé et registre des traitements. Nadia migre l'instance vers un datacenter parisien (surcoût 180 EUR/mois), fait rédiger un DPA (6 000 MAD) et structure le registre (interne, 3 jours). Coût total de mise en conformité : environ 22 000 MAD, pour débloquer un contrat de 240 000 MAD/an. La conformité devient ensuite un argument de vente réutilisable auprès de tous ses prospects européens.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Suis-je vraiment soumis au RGPD depuis le Maroc ?
Oui, dès lors que vous traitez des données de personnes situées dans l'UE dans le cadre d'une offre de biens ou services. La localisation de votre entreprise ne vous exonère pas ; l'article 3 du RGPD est extraterritorial.
La déclaration CNDP est-elle toujours obligatoire ?
Pour la plupart des traitements de données personnelles au Maroc, oui, sous forme de déclaration ou d'autorisation selon la sensibilité. Ne pas déclarer expose à des sanctions pénales prévues par la loi 09-08.
Dois-je forcément héberger en Europe ?
Non, mais c'est le plus simple pour rassurer un client UE car cela supprime la question du transfert. Un hébergement marocain reste possible avec clauses contractuelles types, DPA et chiffrement documentés.
Combien coûte une mise en conformité complète ?
Pour une application web de PME, comptez un ordre de grandeur de 8 000 à 30 000 MAD selon le volume de traitements : rédaction DPA, registre, mentions, revue technique de l'hébergement. Les cas complexes (données sensibles) coûtent davantage.
Qu'est-ce qu'un DPA et pourquoi est-il exigé ?
Le Data Processing Agreement est le contrat qui encadre le traitement de données entre vous et vos sous-traitants (hébergeur, outils). Le RGPD le rend obligatoire ; sans lui, un acheteur européen refusera de signer.
Parlons de votre projet. Indiquez-nous les types de données traitées, vos clients cibles (Maroc/UE) et votre hébergement actuel, on vous chiffre la mise en conformité et le plan d'action. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
