Déclaration CNDP : le délai légal de 24 heures et la réalité du terrain
La loi affiche 24 heures pour un récépissé de déclaration. La pratique en dit tout autre chose — et le décalage coûte cher à qui calibre son calendrier produit sur le texte seul.
Un récépissé de déclaration CNDP en 24 heures. C'est le délai que la loi affiche, et c'est celui que la plupart des directions juridiques retiennent pour calibrer leur calendrier produit.
Deux régimes distincts
La loi 09-08, promulguée par le dahir du 18 février 2009 et son décret d'application du 21 mai 2009, organise deux régimes distincts. La déclaration couvre le traitement courant — paie, gestion clients, prospection — et la loi fixe à 24 heures, à compter du dépôt, le délai de délivrance du récépissé. Dans la pratique, ce délai théorique tient rarement, sans sanction légale prévue pour ce dépassement ni mécanisme d'accélération.
L'autorisation préalable est exigée pour les données sensibles listées par la loi — santé, origine, opinions religieuses ou politiques, données génétiques, numéro de CIN — ainsi que pour les transferts vers un pays non reconnu adéquat. La biométrie et la vidéosurveillance, absentes de cette liste légale, basculent vers l'autorisation au cas par cas, par délibération CNDP selon la finalité. La CNDP rend son avis sous deux mois, prorogeable une fois, et ce délai ne commence à courir qu'à réception d'un dossier complet — un dossier renvoyé pour pièce manquante repart à zéro.
Un traitement initialement déclaré peut aussi être requalifié en cours d'instruction si la CNDP y voit un danger manifeste pour la vie privée, avec notification motivée au déclarant dans les huit jours suivant le dépôt. Le transfert de données à l'étranger relève enfin d'une formalité distincte, régie par les articles 43 et 44 de la même loi — une déclaration ne couvre jamais un transfert international par ricochet.
Les risques concrets
Un calendrier produit calé sur le texte de loi plutôt que sur l'expérience du terrain. Un lancement qui glisse parce que le récépissé attendu sous 24 heures met en réalité plusieurs semaines à sortir. Un contrat avec un partenaire européen suspendu parce que le transfert international n'a pas été formalisé séparément.
La méthode plutôt que la loi
Qualifier le traitement avant tout développement produit, pas après, en vérifiant la délibération CNDP applicable pour biométrie ou vidéosurveillance. Bâtir le rétroplanning sur le délai réel observé, pas sur le délai légal affiché. Traiter le transfert international comme un dossier séparé dès qu'un outil SaaS ou un hébergement sort du territoire marocain. Prévoir un délai tampon de soixante à quatre-vingt-dix jours dans tout calendrier produit qui touche des données personnelles.
Ce qui manque
Le cadre marocain existe depuis 2009 et il est solide sur le papier. Ce qui manque, c'est la digitalisation complète de la procédure et une doctrine publiée sur les délais réels d'instruction. En attendant, la seule protection d'une direction juridique reste de ne jamais planifier un lancement sur la base du délai légal seul.
À lire aussi : sur la sanction disciplinaire d'une violation de la loi 09-08 par un salarié, voir Violation de la loi 09-08 par un salarié — faute grave et Cour de cassation.
---
Publications LinkedIn sources
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Articles liés
Maroc : l'émergence d'une exigence de transparence de l'IA sans loi IA
Le communiqué CNDP du 31 août 2026 révèle que le Maroc encadre déjà l'IA générative par articulation du droit pénal, du droit électoral et du droit des données — sans loi IA dédiée.
Le gate d'adoption SaaS qui fonctionne
Reconstruire la fabrique de la décision plutôt que sécuriser le contrat en aval : pourquoi un gate d'adoption SaaS interfonction en amont protège mieux qu'une revue contractuelle tardive.
Convention de Malabo, DSA et régulation des plateformes : l'angle mort africain et européen des groupes marocains
Les groupes marocains se structurent sur les standards européens. Mais deux angles morts persistent : la Convention de Malabo côté africain, le DSA côté européen. Les deux produisent des effets directs — et la sanction de 120M€ infligée à X ne laisse aucun doute.