La mise en conformité à la loi 09-08 :
Une voie incontournable face
à l’arsenal répressif
WASSIM BENZARTI
Représentant légal de WESTFIELD MOROCCO
Avocat au barreau de Paris
La création de la CNDP : un impératif pour l’attractivité les locaux, les supports d’information …..). Ces contrôles
du Maroc à l’échelle internationale peuvent donner lieu à des sanctions administratives,
pécuniaires ou pénales.
La promulgation de la Loi 09-08 (la « Loi ») s’inscrit dans le
cadre de la modernisation du système juridique marocain Ce pouvoir d’investigation conféré par l’article 30 de la Loi
relatif à la protection des données à caractère personnel apparaît comme un pouvoir discrétionnaire, non soumis au
afin de consolider et de renforcer son système de protection contrôle de la justice. En effet, la loi 09-08 ne mentionne pas
du citoyen face aux nouvelles technologies. la nécessité d’obtenir l’autorisation du procureur ou du juge
d’instruction pour conduire une enquête dans les locaux
La dite Loi permet également au Maroc de se hisser à
d’une entreprise. Une simple information préalable du
la hauteur des nouveaux défis posés par le digital, et
procureur est requise et seule la saisie de matériel nécessite
notamment le commerce électronique. La sécurité des
l’autorisation du procureur de la république conformément
données personnelles est en effet, devenue un enjeu
à l’article 21 du Décret 2-09-165.
central pour les investisseurs qui, avant de transférer leurs
données dans un pays cible, n’hésitent plus à conduire L’article 30 de la Loi permet à la CNDP de mener quatre
une due diligence très approfondie des normes et règles mesures distinctes pour assurer la conformité à la Loi, à ses
applicables aux données personnelles de leurs clients et à décrets et les délibérations de la CNDP.
la sécurité dont elles font l’objet.
La première mesure consiste à diligenter une enquête. Les
C’est dans cet esprit et conformément aux conventions agents de la CNDP peuvent se rendre sur les lieux, demander
internationales et en application des directives un accès aux données faisant l’objet d’un traitement et saisir
européennes, précisément suite à l’adhésion du Maroc à la toute information ou tout document nécessaire pour mener
convention n ° 108 du Conseil de l’Europe, que la Loi 09-08 la mission de contrôle.
a crée conformément à l’article 27, la Commission nationale
La seconde mesure est celle d’ordonner que lui soient
de contrôle de la protection des données à caractère
communiqués des documents dans un certain délai et fixer
personnel. Son objectif principal est d’assurer la mise en
des sanctions en cas de défaut de communication.
œuvre des dispositions de cette loi et d’être la première
institution chargée d’assurer l’application des règles relatives La troisième mesure consiste dans la possibilité de procéder
à la protection des données à caractère personnel. à toute modification des données pour permettre un
traitement conforme à la Loi.
Néanmoins et en dépit de ces efforts, le Maroc continue à
ne pas figurer dans la liste des Etats reconnus par l’union Enfin, la CNDP peut ordonner le verrouillage, la destruction
européenne comme assurant une protection suffisante des ou l’effacement de données et l’interdiction de procéder au
données personnelles, ce qui représente un frein certain traitement de données.
pour les entreprises désirant s’implanter au Maroc, ainsi
Ainsi, au vu de ce pouvoir d’investigation, se mettre en
que les sous-traitants marocains des sociétés européennes.
conformité avec la loi 09-08 peut apparaitre comme
une nécessité pour les sociétés marocaines mais aussi
La CNDP dispose de pouvoirs d’investigations étrangères.
importants
Pour mener à bien ses missions, la CNDP dispose de pouvoirs Les infractions introduites par la Loi 09-08
d’investigation et d’enquête lui permettant de contrôler et de
Le Chapitre VII de la Loi n° 09-08 énonce les faits qui
vérifier à ce que les traitements des données personnelles
constituent des infractions. Nous pouvons les résumer
soient effectués conformément aux dispositions de la Loi et
comme suit :
de ses textes d’application. A cet effet, ses agents peuvent
accéder directement à tous les éléments intervenant dans • Tout traitement portant atteinte à l’ordre public, à la
les processus de traitement (les données, les équipements, sureté, à la morale et aux bonnes mœurs ;
62 LETTRE D’ARTEMIS 3ème TRIMESTRE 2021
• La mise en œuvre d’un traitement sans l’autorisation ou la de l’une des infractions prévues ci-dessus, les peines
déclaration exigée ; d’amende sont portées au double.
• Le refus du droit d’accès, de rectification ou d’opposition ; En outre, la personne morale peut être punie de l’une des
peines suivantes :
• Toute incompatibilité avec la finalité déclarée ;
• la confiscation partielle de ses biens ;
• Le non-respect de la durée de conservation des données ;
2. JURIDIQUE
• la confiscation prévue à l’article 89 du code pénal ;
• Le non-respect des mesures de sécurité des traitements ;
• la fermeture du ou des établissements de la personne
• Le non-respect du consentement de la personne
morale où l’infraction a été commise. »
concernée, notamment lorsqu’il s’agit de prospection
directe à des fins commerciales, avec aggravation des
sanctions lorsqu’il s’agit de données sensibles ; Les recours des victimes en cas d’infraction
• Tout transfert de données personnelles vers un pays Le législateur a conféré aux victimes la possibilité de
n’étant pas reconnu comme assurant une protection déposer plainte si leurs droits ne sont pas respectés par le
adéquate ; responsable de traitement, et ce soit auprès de la justice ou
• Toute entrave à l’exercice des missions de contrôle de la bien des agents de la CNDP, sans oublier que ces derniers
CNDP ; ont la possibilité de s’autosaisir pour chercher et constater
des faits constituant des infractions à la Loi.
• Tout refus d’application des décisions de la CNDP.
Ainsi, les personnes physiques qui se considèrent « victimes »
d’une atteinte à leurs données personnelles peuvent
Sanctions contre les personnes physiques adresser leurs plaintes à la police judiciaire ou aux agents
de la CNDP qui sont habilités à rechercher et à constater
La Loi 09-08 prévoit diverses sanctions pour les responsables
les infractions. Les procès-verbaux qu’ils rédigent à ce titre
de traitement qui ne respectent pas les dispositions de cette
sont transmis, dans les cinq jours suivant les opérations
dite loi visant à protéger les données à caractère personnel.
d’investigation et de constatation, au procureur du Roi. Les
Ces sanctions en particulier de type financier peuvent être victimes peuvent également adresser leurs plaintes à ce
conséquents avoir un caractère dissuasif. Elles ont été fixées dernier.
de manière à obliger les responsables de traitement à agir
avec plus de transparence dans la collecte de données à
caractère personnel, mais surtout à les utiliser en respectant Les recours dans l’intérêt de l’ordre public ou de la loi
les droits et libertés des personnes concernées. Les agents de la police judiciaire et ceux de la CNDP ont
À l’encontre des personnes physiques responsables également pour mission de rechercher et de constater les
du traitement des données atteintes à l’ordre public ou aux
personnelles, et sans préjudice de dispositions de la Loi n° 09-08.
leur responsabilité civile à l’égard Dans ce cas également, ils
des personnes ayant subi des transmettent leurs procès-verbaux
dommages du fait de l’infraction,
les sanctions varient selon la gravité Ce pouvoir au procureur du Roi qui étudie
l’opportunité d’engager des
d’investigation
des faits incriminés, allant de peines poursuites contre le contrevenant.
d’emprisonnement de trois mois à
deux ans, et d’amendes entre 10
000 et 300 000 dirhams. conféré par Quels sont les droits et la
procédure à suivre en cas
Ces sanctions peuvent être portées
au double en cas de récidive.
l’article 30 de d’investigation de la CNDP ?
la Loi apparaît Bien que la CNDP dispose d’un
pouvoir souverain pour diligenter
Des sanctions plus sévères
contre les personnes morales comme un pouvoir une investigation, cette démarche
doit obéir à des règles strictes qui
Lorsque l’auteur de l’infraction
est une personne morale, et sans
discrétionnaire, sont pour la plupart des règles
internes à la CNDP et issues de son
non soumis
préjudice des peines qui peuvent règlement interne.
être appliquées à ses dirigeants, les La loi 09-08 n’introduit pas un réel
peines d’amende sont portées au
double. La personne morale peut au contrôle cadre légal pour l’investigation
mais énonce un principe important
voir ses biens confisqués et ses
établissements fermés. de la justice à l’article 31, le principe du
contradictoire et le respect d’une
Cette partie est traitée par l’article procédure disciplinaire garantissant
64 de la Loi 09-08 qui prévoit : les droits de la défense.
« Lorsque l’auteur de l’une des Toutefois, la loi 09-08 a
infractions prévues et sanctionnées au titre du présent malheureusement exclu les
chapitre est une personne morale et sans préjudice des procédures d’investigation sur place et la mesure de
peines qui peuvent être appliquées à ses dirigeants auteurs modification des données du respect de ses principes.
63
Ces principes ne s’appliquent qu’en cas de contrôle sur informations nécessaires pour statuer sur l’autorisation.
pièce (demande de communication de documents) et de
Les agents peuvent également auditionner toute personne
demande de suppression, de verrouillage ou d’interdiction
de leur choix en le convoquant par lettre recommandée au
de traitement de données. Cette application partielle
moins sept jours avant la date de l’audition.
des principes de respect des droits de la défense et de
contradictoire peut surprendre. La personne convoquée peut être accompagnée de la
personne de son choix. En cas de refus de répondre à la
Peut-être que le législateur a ainsi voulu réserver ses
convocation, elle doit être mentionnée sur un procès-verbal.
principes aux mesures de contrôle sur pièce et de privation
du droit de procéder à un traitement car elles sont assorties
de sanctions, ce qui n’est pas le cas des autres mesures Aperçu des sanctions infligées par la CNDP à date
(contrôle sur place et droit de modification de données). d’aujourd’hui.
Le décret 2-09-165 (le « Décret ») ainsi que le règlement On constate que le législateur a voulu faire preuve de
interne de la CNDP (issu de la décision du Premier Ministre sévérité quant aux sanctions prévues dans le cadre de la
n° 3-33-11) apporte des garanties au citoyen faisant l’objet Loi n° 09-08.
d’une mesure de contrôle.
L’objectif évident est, dans un premier temps, de dissuader
Ainsi l’opération de contrôle doit les personnes qui traitent
faire l’objet d’une décision de la des données personnelles de
CNDP. Cette décision est votée à la contrevenir aux dispositions
majorité des membres présents de légales et de les inciter à faire
la CNDP (avec un quorum de deux
tiers des membres). Les agents peuvent preuve d’une vigilance extrême lors
des traitements effectués. Dans
Les membres de la CNDP sont
le Premier Ministre, le Président
également un second temps, l’objectif est
d’appliquer des peines exemplaires
de la CNDP, les deux membres
désignés sur proposition de la
auditionner à l’encontre des contrevenants
pour qu’ils évitent de porter atteinte
chambre des conseillers, deux
membres désignés sur proposition
toute personne à nouveau aux droits des citoyens.
Le législateur a prévu un arsenal
de la chambre des représentants,
et deux membres désignés sur de leur choix répressif contre tout responsable
de traitement, qu’il soit une
proposition du premier ministre.
Cette décision doit mentionner le
en la convoquant personne physique ou morale, qui
ne respecte pas les dispositions de
nom du responsable de traitement,
le nom de l’agent commissionné (ou
par lettre la Loi 09-08.
Selon le dernier rapport de la
des agents commissionnés) pour
diligenter le contrôle sur place, et la
recommandée au CNDP publié à ce jour, le nombre
de plaintes reçues par la CNDP
durée ainsi que l’objet du contrôle.
moins sept jours continue d’augmenter et atteint
Ainsi l’opération de contrôle est 584 unités en 2016, soit une hausse
strictement cadrée par cette avant la date de 47% par rapport à 2015.
décision de la CNDP et les agents
devront se conformer à la lettre à de l’audition Concernant les sanctions, les
retours d’expérience montrent que
la décision et ne pourront sortir du les mises en demeure et les lettres
cadre fixé par la CNDP. de relance, adressées par huissier
Cette opération fait l’objet de justice aux organismes publics
d’une information du Procureur et acteurs privés sont des moyens
compétent au moins 24 heures à l’avance. Cet avis devra assez efficaces en matière de mise en conformité à la loi
énoncer l’heure, la date, l’objet et le lieu du contrôle. 09-08.
Les agents devront présenter leur habilitation et leur ordre Sur 584 plaintes reçues en 2016, 51 ont fait l’objet d’une
de mission. mise en demeure, dont 43 portent sur la prospection directe
et 8 sur la vidéosurveillance. Au total, 65 dossiers ont été
Enfin, un procès-verbal détaillé devra être rédigé. Ce procès transmis par huissier de justice en 2016 contre 8 en 2015.
devra comprendre la nature, le jour, l’heure et le lieu du
contrôle effectué. Il devra indiquer l’objet, les personnes Toutefois nous restons en attente de la publication de
rencontrées, les agents de la CNDP présents, les déclarations rapports annuels plus récents car ces dernières années
des personnes contrôlées et les difficultés rencontrées. la CNDP a considérablement augmenté la cadence des
missions de contrôle.
En annexe, un inventaire devra lister les pièces et les
documents donc copie a été prise et contresigné par l’agent
de la CNDP et le responsable sur place.
Les agents de la CNDP peuvent formuler une demande
d’autorisation au procureur pour effectuer une saisie de
matériel.
Cette demande doit être motivée et comporter toutes les
64 LETTRE D’ARTEMIS 3ème TRIMESTRE 2021
www.artemis.ma
N° 20 - 3 EME Trimestre 2021 BULLETIN TRIMESTRIEL D’INFORMATION JURIDIQUE ET FISCALE
1. Fiscal et comptable
FISCALITÉ LOCALE :
Enjeux de la réforme
et principaux amendements
LA NOTATION INTERNE :
Un outil incontournable pour
la gestion du risque de crédit
2. Juridique
SOCIÉTÉS RÉGIONALES
MULTI-SERVICES :
Les enjeux juridiques de la reforme
PANORAMA DES PARTENARIATS
PUBLIC-PRIVÉ AU MAROC :
Bilan d’étape et perspectives d’évolution
MODALITÉS D’AUGMENTATION
DU CAPITAL :
Cas des sociétés anonymes et des SARL
OMPIC : Propriété industrielle
et commerciale, gage
de performance et vecteur
de développement du Maroc
M. ABDELAZIZ BABQIQI
Directeur Général de l’Office Marocain de la Propriété Industrielle et Commerciale (OMPIC)
