Le transfert de données personnelles hors du Maroc est encadré par les articles 43 et 44 de la Loi 09-08. Le transfert vers un pays n’assurant pas une protection suffisante doit relever d’une dérogation de l’article 44 de la loi 09-08 ou d’une autorisation expresse et motivée de la CNDP fondée notamment sur des garanties contractuelles ou des règles internes. Le transfert doit être notifié à la CNDP suivant le régime approprié.
Pour une personne physique, le non-respect expose à des sanctions pénales pouvant aller jusqu’à 1 an d’emprisonnement et 200 000 DH d’amende.
Quelles opérations constituent un transfert international ?
Les entreprises marocaines et les filiales de groupes internationaux transfèrent des données personnelles à l’étranger dans le cadre de leurs activités courantes. Il peut s’agir de la paie centralisée, d’un CRM mutualisé, de l’hébergement cloud ou de la sous-traitance de services IT. Ces flux relèvent du cadre juridique marocain des transferts de données.
La Loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel consacre ses articles 43 et 44 à ces transferts. L’objectif est de maintenir la protection des données relevant de son champ d’application, quel que soit le pays de destination.
Le principe : interdiction sauf protection adéquate
Selon l’article 43 de la Loi 09-08, le transfert vers un État étranger suppose que celui-ci assure un niveau de protection suffisant. Cette protection concerne la vie privée, les libertés et les droits fondamentaux des personnes à l’égard du traitement de leurs données. L’article 44 prévoit les dérogations à ce principe.
Le caractère suffisant du niveau de protection est évalué par la CNDP en tenant compte notamment :
- De la nature des données transférées
- De la finalité du traitement envisagé
- De la durée du traitement
- Du pays de destination finale
- Des règles de droit et de sécurité en vigueur dans le pays destinataire
- Des règles professionnelles et des mesures de sécurité appliquées
Les transferts s’apprécient au regard de la liste des États établie par la CNDP. L’inscription d’un pays sur cette liste ne dispense pas de notifier le transfert suivant le régime approprié.
Les exceptions : quand le transfert est autorisé sans protection adéquate
L’article 44 permet le transfert avec le consentement exprès de la personne concernée. Il l’autorise également lorsqu’il est nécessaire à la sauvegarde de sa vie, à la préservation de l’intérêt public ou au respect d’obligations permettant la constatation, l’exercice ou la défense d’un droit en justice.
Le transfert peut être nécessaire à l’exécution d’un contrat avec la personne concernée ou de mesures précontractuelles prises à sa demande, ainsi qu’à la conclusion ou à l’exécution d’un contrat conclu dans son intérêt avec un tiers. L’entraide judiciaire internationale et la prévention, le diagnostic ou le traitement d’affections médicales figurent également parmi les cas prévus.
Enfin, l’article 44 permet le transfert en application d’un accord bilatéral ou multilatéral auquel le Maroc est partie, ou sur autorisation expresse et motivée de la CNDP.
La procédure d’autorisation CNDP
Pour obtenir l’autorisation de la CNDP pour un transfert international, l’entreprise doit :
1. Déposer une demande d’autorisation
La demande précise l’identité et l’adresse de l’émetteur et du destinataire, le nom et la description du fichier, les catégories de données, les personnes concernées et leur nombre approximatif, la finalité du traitement chez le destinataire, le mode et la fréquence des transferts et la date du premier transfert. Elle indique la dérogation invoquée ou les garanties justifiant l’autorisation. Le formulaire CNDP F118 et ses pièces justificatives sont à joindre ; le traitement sous-jacent doit avoir accompli la formalité requise auprès de la CNDP.
2. Présenter des garanties suffisantes
Lorsque le transfert repose sur des garanties de protection, le responsable du traitement doit les soumettre à la CNDP. Elles peuvent prendre les formes suivantes :
- Des clauses contractuelles peuvent justifier les garanties soumises à l’appréciation de la CNDP dans le cadre d’une demande d’autorisation de transfert.
- Règles d’entreprise contraignantes (BCR — Binding Corporate Rules) : politiques internes adoptées par un groupe multinational pour encadrer les transferts intra-groupe. Ces règles doivent être approuvées par la CNDP.
3. Attendre la décision de la CNDP
Pour les autorisations de transfert relevant de l’article 48 du décret n° 2-09-165, la CNDP suit la procédure d’autorisation : elle se prononce dans les deux mois suivant la réception de la demande, délai prorogeable une fois par décision motivée. Si elle ne se prononce pas dans ces délais, l’autorisation est réputée accordée conformément à l’article 28 du même décret.
Implications pratiques pour les entreprises
Filiales de groupes internationaux
Les filiales marocaines de groupes étrangers sont concernées lorsqu’elles transmettent des données RH à la maison mère : paie, évaluations ou dossiers disciplinaires. Le partage de bases clients et l’utilisation de systèmes ERP centralisés constituent également des transferts à notifier à la CNDP suivant le régime applicable.
En pratique, les règles d’entreprise contraignantes (BCR) peuvent couvrir l’ensemble des flux intra-groupe. Elles doivent être validées par la CNDP.
Services cloud (AWS, Azure, Google Cloud)
L’utilisation de services cloud dont les serveurs sont situés à l’étranger constitue un transfert international au sens de la Loi 09-08. En effet, le contrat avec une entité locale ne change pas le fait que les données transitent hors du territoire marocain.
En pratique, il convient de privilégier les régions de datacenter offrant une protection adéquate et d’intégrer des clauses contractuelles de protection dans le contrat avec le fournisseur. Le transfert doit être notifié à la CNDP suivant le régime applicable. Lorsqu’il repose sur les garanties de l’article 44-3° de la loi 09-08, une autorisation expresse et motivée doit être demandée.
Sous-traitance à l’étranger (outsourcing)
L’externalisation de services (comptabilité, centre d’appels, développement informatique) vers des prestataires étrangers implique souvent un transfert de données personnelles. Le responsable du traitement marocain reste pleinement responsable de la protection des données confiées au sous-traitant.
Le contrat de sous-traitance internationale doit ainsi comprendre des clauses de protection des données. Il faut également vérifier les mesures de sécurité du prestataire.
Sanctions en cas de transfert illicite
L’article 60 sanctionne les transferts effectués en violation des articles 43 et 44. L’article 62 sanctionne l’entrave au contrôle de la CNDP. Les peines d’emprisonnement et d’amende peuvent être prononcées ensemble ou séparément. Les montants du tableau concernent les personnes physiques.
| Infraction | Sanction pénale | Amende |
|---|---|---|
| Transfert vers un pays sans protection adéquate sans autorisation | 3 mois à 1 an d’emprisonnement | 20 000 à 200 000 DH |
| Obstruction au contrôle de la CNDP | 3 mois à 6 mois d’emprisonnement | 10 000 à 50 000 DH |
Le responsable du traitement est la personne, l’autorité ou l’organisme qui détermine les finalités et les moyens du traitement. La responsabilité pénale dépend de l’infraction commise et de son auteur. Lorsque l’auteur est une personne morale, les amendes sont doublées, sans préjudice des peines applicables aux dirigeants auteurs de l’infraction ; la personne morale peut aussi subir les sanctions complémentaires de l’article 64.
En cas de récidive, les sanctions sont portées au double. La récidive suppose une nouvelle infraction de même nature commise dans l’année suivant une condamnation devenue irrévocable.
Présentation du cabinet : Upsilon Consulting.
LIRE ÉGALEMENT
