Loi 09-08 : mettre son site en règle
Mentions légales, déclaration CNDP, cookies, formulaires : ce que la loi 09-08 impose concrètement à un site web marocain.
La conformité est le sujet que tout le monde repousse, jusqu’au jour où un client la demande ou qu’un contrôle arrive. Elle est pourtant, pour un site vitrine, beaucoup plus simple qu’on ne le craint.
Cet article explique ce que la loi 09-08 recouvre, ce qu’elle impose concrètement à un site web, et où passe la frontière entre un site qui déclenche des obligations et un site qui n’en déclenche presque pas.
Cet article est une base d’information, pas un avis juridique. Faites relire vos pages légales par un conseil avant la mise en ligne.
Ce que dit la loi 09-08
La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel est le texte de référence au Maroc. Elle pose des principes proches de ceux du droit européen : finalité déterminée, consentement, proportionnalité, sécurité, droit d’accès et de rectification.
Son autorité de contrôle est la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP), qui publie les formalités applicables et instruit les déclarations.
Quand votre site est concerné
La question n’est pas « ai-je un site ? » mais « est-ce que je conserve des données de personnes ? ».
| Ce que fait votre site | Données conservées ? | Obligations |
|---|---|---|
| Pages de présentation seules | Non | Mentions légales |
| Formulaire qui ouvre la messagerie | Non, rien n’est stocké | Mentions légales |
| Formulaire enregistré en base | Oui | Déclaration CNDP, information, sécurité |
| Newsletter avec liste d’abonnés | Oui | Consentement, désinscription, déclaration |
| Comptes clients ou commandes | Oui | Le cadre complet, plus les CGV |
| Mesure d’audience nominative | Oui | Consentement préalable |
C’est d’ailleurs le choix technique que nous faisons par défaut sur les sites que nous livrons : les formulaires ouvrent la messagerie du visiteur avec un récapitulatif prérempli. Aucune donnée ne transite par un serveur, aucune base ne se constitue.
Les trois pages attendues
Les mentions légales
Elles identifient l’éditeur du site. Y figurent : la dénomination sociale, la forme juridique, l’adresse du siège, le numéro de registre de commerce, l’e-mail et le téléphone de contact, le nom du directeur de la publication, et les coordonnées de l’hébergeur.
C’est la page la plus simple à écrire et la plus souvent incomplète : l’hébergeur, en particulier, est presque toujours oublié.
La politique de confidentialité
Elle explique, en langage compréhensible : quelles données vous collectez, pourquoi, combien de temps vous les gardez, à qui vous les transmettez, et comment exercer ses droits d’accès, de rectification et d’opposition.
Une politique honnête et courte vaut mieux qu’un document de dix pages copié ailleurs et qui ne décrit pas votre site.
Les conditions générales de vente
Obligatoires dès que vous vendez en ligne. Elles précisent le prix, les modalités de commande et de paiement, les délais, les conditions de livraison, le droit de rétractation et le traitement des litiges.
Les cookies et la mesure d’audience
Un principe simple : les cookies strictement nécessaires au fonctionnement du site ne demandent pas de consentement. Tous les autres (mesure d’audience nominative, publicité, réseaux sociaux) en demandent un, avant leur dépôt.
Conséquence pratique : un bandeau qui affiche « en poursuivant votre navigation, vous acceptez » ne vaut pas consentement, puisque le visiteur n’a rien choisi. Il faut un vrai choix, avec la possibilité de refuser aussi simplement que d’accepter.
Le moyen le plus sûr de simplifier ce sujet reste de ne pas déposer de cookie non essentiel. Nos sites n’en déposent aucun par défaut, ce qui supprime le bandeau et accélère les pages au passage.
La déclaration à la CNDP
Dès lors que vous constituez un fichier de personnes (clients, prospects, abonnés), une formalité auprès de la CNDP s’applique. Sa nature exacte dépend du traitement ; les formulaires et la procédure sont publiés sur le site de la Commission.
Deux points à retenir : la déclaration se fait avant de commencer le traitement, et elle n’est pas une simple case à cocher : elle décrit les finalités, les destinataires et la durée de conservation.
Une liste à parcourir avant la mise en ligne
- Mentions légales complètes, hébergeur compris.
- Politique de confidentialité qui décrit votre site réel.
- CGV si vous vendez.
- Site servi en HTTPS, sur toutes les pages.
- Chaque formulaire indique à quoi servent les données demandées.
- Aucune donnée collectée « au cas où » : ne demandez que ce dont vous avez besoin.
- Bandeau de consentement si vous déposez un cookie non essentiel.
- Déclaration CNDP effectuée si vous conservez des données.
- Une adresse e-mail où l’on peut exercer ses droits, et qui est relevée.
Pourquoi ça vous sert
Au-delà de l’obligation, ces pages travaillent pour vous. Un site qui affiche clairement qui l’édite, où l’entreprise est installée et ce qu’elle fait des données inspire confiance, au visiteur comme aux moteurs de recherche, pour qui la transparence de l’éditeur est un signal de qualité.
Les pages légales adaptées au cadre marocain sont incluses dans notre forfait, rédigées à partir de vos informations réelles et non copiées d’un modèle générique.
Questions fréquentes
Pas s’il ne conserve aucune donnée personnelle. Un site de présentation dont le formulaire ouvre la messagerie du visiteur ne constitue pas un traitement. Dès que vous enregistrez des contacts dans une base ou une liste de diffusion, la formalité s’applique.
La loi 09-08 prévoit des sanctions administratives et pénales. Au-delà du risque juridique, l’absence de mentions légales est un signal de manque de sérieux pour un client professionnel qui vérifie avec qui il traite.
Non. Elles contiennent des informations propres à votre société : dénomination, registre de commerce, siège, hébergeur. Un copier-coller donne un document faux, ce qui est pire que pas de document du tout.
Non. Sans cookie non essentiel, le bandeau n’a pas lieu d’être. C’est l’une des raisons pour lesquelles nous livrons des sites sans traceur par défaut : moins de friction pour le visiteur, et un sujet juridique en moins.
