Le verdict en trois phrases
Si vous traitez des donnees de clients europeens depuis le Maroc, vous etes soumis au RGPD en plus de la loi 09-08, meme sans etablissement dans l'UE. La conformite n'est pas un document PDF, c'est une chaine : declaration CNDP, hebergement avec garanties, chiffrement, DPA signes et registre a jour. Le cout de mise en conformite (8 000 a 30 000 MAD) est trivial face au risque de perdre un contrat europeen sur une clause data non tenue.
Loi 09-08 vs RGPD : les obligations croisees
Les deux textes se recouvrent largement mais different sur les formalites et les sanctions. Voici ce qu'un responsable conformite casablancais doit tenir en 2026.
| Obligation | Loi 09-08 (CNDP) | RGPD (clients UE) |
|---|---|---|
| Formalite prealable | Declaration ou autorisation CNDP | Registre des traitements |
| Base legale | Consentement / interet | 6 bases dont consentement |
| Information des personnes | Mention obligatoire | Mention + droits detailles |
| Transfert transfrontalier | Autorisation CNDP | Clauses types / adequation |
| Delegue a la protection | recommande | obligatoire si a grande echelle |
| Sanction max | penale + amende | jusqu'a 4 % du CA mondial |
| Notification de violation | CNDP | 72 h a l'autorite UE |
Le point le plus sous-estime est le transfert transfrontalier : heberger des donnees d'Europeens sur un serveur marocain est un transfert au sens du RGPD, qui exige des garanties (clauses contractuelles types) et cote 09-08 une autorisation CNDP.
Checklist hebergement conforme
L'hebergement est le maillon technique qui materialise la conformite. Voici ce qu'un acheteur B2B europeen verifie avant de signer.
| Element | Exigence 2026 | Preuve a fournir |
|---|---|---|
| Localisation serveurs | UE ou Maroc avec garanties | contrat datacenter |
| Chiffrement en transit | TLS 1.3 | rapport de scan |
| Chiffrement au repos | AES-256 | config documentee |
| DPA avec l'hebergeur | signe | annexe contractuelle |
| Sauvegardes | quotidiennes, testees | politique de backup |
| Journalisation des acces | conservee 6-12 mois | logs |
| Plan de reponse a incident | documente | procedure ecrite |
Pour un client europeen exigeant, un hebergement UE (OVH, Scaleway) simplifie tout : il elimine la question du transfert. A defaut, un hebergement marocain avec DPA, chiffrement et clauses types reste defendable.
Mini cas pratique
Nadia est responsable conformite d'un editeur SaaS RH a Casablanca qui signe un premier gros client francais (une ETI de 400 salaries). Le service juridique du client bloque la signature tant que trois points ne sont pas leves : hebergement des donnees RH dans l'UE, DPA signe et registre des traitements. Nadia migre l'instance vers un datacenter parisien (surcout 180 EUR/mois), fait rediger un DPA (6 000 MAD) et structure le registre (interne, 3 jours). Cout total de mise en conformite : environ 22 000 MAD, pour debloquer un contrat de 240 000 MAD/an. La conformite devient ensuite un argument de vente reutilisable aupres de tous ses prospects europeens.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Suis-je vraiment soumis au RGPD depuis le Maroc ?
Oui, des lors que vous traitez des donnees de personnes situees dans l'UE dans le cadre d'une offre de biens ou services. La localisation de votre entreprise ne vous exonere pas ; l'article 3 du RGPD est extraterritorial.
La declaration CNDP est-elle toujours obligatoire ?
Pour la plupart des traitements de donnees personnelles au Maroc, oui, sous forme de declaration ou d'autorisation selon la sensibilite. Ne pas declarer expose a des sanctions penales prevues par la loi 09-08.
Dois-je forcement heberger en Europe ?
Non, mais c'est le plus simple pour rassurer un client UE car cela supprime la question du transfert. Un hebergement marocain reste possible avec clauses contractuelles types, DPA et chiffrement documentes.
Combien coute une mise en conformite complete ?
Pour une application web de PME, comptez un ordre de grandeur de 8 000 a 30 000 MAD selon le volume de traitements : redaction DPA, registre, mentions, revue technique de l'hebergement. Les cas complexes (donnees sensibles) coutent davantage.
Qu'est-ce qu'un DPA et pourquoi est-il exige ?
Le Data Processing Agreement est le contrat qui encadre le traitement de donnees entre vous et vos sous-traitants (hebergeur, outils). Le RGPD le rend obligatoire ; sans lui, un acheteur europeen refusera de signer.
Parlons de votre projet. Indiquez-nous les types de donnees traitees, vos clients cibles (Maroc/UE) et votre hebergement actuel, on vous chiffre la mise en conformite et le plan d'action. Devis detaille sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
