Déclarer un traitement de données à la CNDP n’est pas un labyrinthe : il faut télécharger le bon formulaire, y joindre une pièce, et le déposer. Le récépissé d’une déclaration arrive en 24 heures ; une autorisation préalable, elle, demande jusqu’à deux mois. Ce guide décrit la procédure concrète — quels formulaires, quels délais, quelles pièces, et où déposer — pour une entreprise qui doit se mettre en règle au Maroc.
Il complète notre guide pratique de la loi 09-08, qui explique quel régime s’applique à vous et ce qu’il faut préparer en amont. Ici, on s’en tient au comment. Comme toujours : la qualification juridique de votre situation relève de votre conseil ; nous restons sur le terrain opérationnel.
Les références de formulaires ci-dessous (F211, F214, F112, F115) sont celles en vigueur à la date de rédaction. La CNDP met ses formulaires à jour : téléchargez toujours la version courante sur cndp.ma.
Trois formalités, à ne pas confondre
La loi 09-08 prévoit trois formalités distinctes, et la première chose à faire est de savoir laquelle vous concerne.
La déclaration est le régime de droit commun : tout traitement doit être déclaré, sauf s’il est exclu du champ de la loi, dispensé, ou soumis à autorisation. La demande d’autorisation préalable vise les traitements les plus sensibles, qui ne peuvent démarrer qu’avec l’accord de la CNDP. La demande de transfert à l’étranger encadre l’envoi de données hors du Maroc, au titre des articles 43 et 44.
Déterminer dans quelle case vous tombez est une qualification juridique — c’est le rôle de votre conseil, et le sujet de notre guide pratique. Une fois la case connue, la procédure ci-dessous s’applique.
La déclaration : le formulaire et le récépissé en 24 heures
Pour un traitement ordinaire — gestion des clients, paie, RH, prospection classique — vous déposez une déclaration. Deux formulaires existent :
- la déclaration normale (F211), le cas général ;
- la déclaration simplifiée (F214), lorsque votre traitement correspond à un modèle déjà cadré par une décision de la CNDP (un format allégé pour les traitements courants).
La pièce à joindre est minimale : un document autorisant le signataire à engager la personne morale — et tout autre document utile, le cas échéant.
Côté délais, deux points méritent d’être connus. D’abord, la CNDP délivre le récépissé de la déclaration dans un délai de 24 heures. Ensuite — et c’est le point que beaucoup ignorent — elle dispose d’un délai de 8 jours pour décider, le cas échéant, de soumettre votre traitement au régime de l’autorisation préalable, si elle estime qu’il présente des dangers manifestes pour la vie privée. Autrement dit, le récépissé rapide ne ferme pas définitivement la porte : un traitement déclaré peut être requalifié.
L’autorisation préalable : quand, quel formulaire, quels délais
Certains traitements ne peuvent pas se contenter d’une déclaration. Une autorisation préalable est exigée notamment lorsque le traitement porte sur :
- des données sensibles — origine raciale ou ethnique, opinion politique, conviction religieuse ou philosophique, appartenance syndicale, données de santé y compris génétiques ;
- l’utilisation de données à d’autres fins que celles pour lesquelles elles ont été collectées ;
- des données d’infractions, condamnations ou mesures de sûreté ;
- des données comportant le numéro de la carte d’identité nationale ;
- l’interconnexion de fichiers aux finalités différentes.
Le formulaire est la demande d’autorisation préalable (F112). Les pièces à joindre sont plus exigeantes que pour une déclaration : outre l’autorisation du signataire, il faut les justificatifs de l’information des personnes concernées (la façon dont vous leur dites quelles données vous collectez, pour quelle finalité, et quels droits elles ont), les preuves de consentement le cas échéant, et les extraits de contrat de sous-traitance garantissant les mesures de sécurité. Les traitements de données de santé appellent des pièces supplémentaires (identité des responsables, protocole de recherche, engagement de codage des données).
Le délai change d’échelle : la CNDP rend son avis dans un délai de deux mois, prorogeable une seule fois. Et si le dossier est incomplet, le compteur ne démarre qu’une fois les pièces manquantes fournies. La conséquence pratique est simple : une autorisation se prépare en amont d’une échéance, pas la veille.
Le transfert de données à l’étranger : une formalité à part
Si votre traitement implique d’envoyer des données personnelles hors du Maroc — hébergement cloud à l’étranger, outil SaaS dont les serveurs sont hors du pays, support technique offshore —, c’est une formalité distincte, encadrée par les articles 43 et 44 de la loi 09-08, avec sa propre procédure. Ne supposez pas qu’une déclaration « couvre » le transfert : ce sont deux démarches différentes. Et si les données concernent des personnes dans l’UE, le RGPD ajoute ses propres exigences de transfert (clauses contractuelles types, adéquation). Notre page conformité loi 09-08 et le guide pratique détaillent la logique des transferts.
Comment et où déposer votre dossier
La marche à suivre est la même pour les trois formalités : téléchargez le formulaire en vigueur sur cndp.ma, renseignez-le avec soin — la finalité décrite doit correspondre à ce que vous faites réellement —, joignez les pièces demandées, puis déposez le dossier auprès de la CNDP, via sa téléprocédure de notification en ligne ou, à défaut, par dépôt direct ou courrier recommandé.
Pour la CNDP elle-même, à Rabat :
- Adresse : Avenue Al Arz, Secteur 4, M1, Hay Riad — Rabat.
- Téléphone : +212 537 57 11 24.
- Courriel : contact@cndp.ma.
- Allô CNDP : 3020.
- Site officiel : cndp.ma.
Les pièges de procédure les plus fréquents
Quatre erreurs reviennent, et toutes se corrigent en amont.
La première est de déposer une formalité générique : une finalité approximative, des catégories de données incomplètes, des destinataires oubliés. Une déclaration inexacte ne protège pas — elle documente l’écart entre ce que vous déclarez et ce que vous faites.
La deuxième est de traiter d’abord et déclarer ensuite. Le régime marocain est construit pour l’inverse : la formalité précède le traitement, et l’autorisation préalable, par définition, doit être obtenue avant le démarrage.
La troisième est de laisser dormir un dossier incomplet : tant qu’il manque une pièce, les délais ne courent pas. Pour une autorisation, c’est deux mois qui ne commencent même pas.
La quatrième, la plus coûteuse à terme, est de prendre le récépissé pour un certificat de conformité. Il ne l’est pas. Le récépissé atteste que vous avez déclaré ; il ne dit rien de la sécurité réelle de votre traitement, que la loi exige par ailleurs et qu’un contrôle vérifiera. Déclarer est une formalité ; protéger et prouver est le travail de fond.
Après le dépôt : la formalité n’est pas la conformité
Une fois le récépissé en main, l’essentiel commence. La loi 09-08 impose de sécuriser les traitements déclarés, et c’est cette sécurité — qui accède à quoi, des journaux exploitables, des sauvegardes testées, du chiffrement là où il compte — qu’un contrôle ou un client finira par demander de prouver. C’est notre terrain : nos évaluations de sécurité et tests d’intrusion partent de la formalité pour vérifier que les mesures déclarées tiennent réellement. Pour une vue d’ensemble, voir notre page cybersécurité au Maroc.
Si une échéance approche — une revue client, une question de la CNDP, un nouveau produit qui traite des données personnelles — parlez-nous de votre situation : un échange de cadrage suffit à dimensionner le travail réel.
Questions fréquentes
Comment déclarer un traitement à la CNDP ?
Téléchargez le formulaire de déclaration en vigueur sur cndp.ma (déclaration normale F211, ou simplifiée F214), renseignez-le, joignez le document autorisant le signataire à engager la personne morale, puis déposez-le auprès de la CNDP via sa téléprocédure ou par dépôt/courrier. Le récépissé est délivré dans un délai de 24 heures.
Quelle est la différence entre déclaration normale (F211) et simplifiée (F214) ?
La déclaration normale est le cas général. La déclaration simplifiée est un format allégé réservé aux traitements qui correspondent à un modèle déjà cadré par une décision de la CNDP. Vérifiez sur cndp.ma quel formulaire correspond à votre traitement.
Combien de temps faut-il pour obtenir le récépissé de déclaration ?
La CNDP délivre le récépissé dans un délai de 24 heures. Elle conserve toutefois un délai de 8 jours pour décider, le cas échéant, de soumettre le traitement au régime de l’autorisation préalable si elle estime qu’il présente des dangers manifestes pour la vie privée.
Quand faut-il une autorisation préalable plutôt qu’une déclaration ?
Lorsque le traitement porte sur des données sensibles (santé, opinions, convictions, appartenance syndicale, origine), sur le numéro de carte d’identité nationale, sur des infractions, sur l’interconnexion de fichiers aux finalités différentes, ou sur l’usage de données à d’autres fins que celles prévues. Le formulaire est la demande d’autorisation (F112) ; le délai d’avis est de deux mois, prorogeable une fois.
Où se trouve la CNDP et comment la contacter ?
La CNDP siège à Rabat, Avenue Al Arz, Secteur 4, M1, Hay Riad. Téléphone : +212 537 57 11 24 ; courriel : contact@cndp.ma ; Allô CNDP : 3020 ; site officiel : cndp.ma.