Déclaration CNDP : le délai légal de 24 heures et la réalité du terrain
La loi affiche 24 heures pour un récépissé de déclaration. La pratique en dit tout autre chose — et le décalage coûte cher à qui calibre son calendrier produit sur le texte seul.
Un récépissé de déclaration CNDP en 24 heures. C'est le délai que la loi affiche, et c'est celui que la plupart des directions juridiques retiennent pour calibrer leur calendrier produit.
Deux régimes distincts
La loi 09-08, promulguée par le dahir du 18 février 2009 et son décret d'application du 21 mai 2009, organise deux régimes distincts. La déclaration couvre le traitement courant — paie, gestion clients, prospection — et la loi fixe à 24 heures, à compter du dépôt, le délai de délivrance du récépissé. Dans la pratique, ce délai théorique tient rarement, sans sanction légale prévue pour ce dépassement ni mécanisme d'accélération.
L'autorisation préalable est exigée pour les données sensibles listées par la loi — santé, origine, opinions religieuses ou politiques, données génétiques, numéro de CIN — ainsi que pour les transferts vers un pays non reconnu adéquat. La biométrie et la vidéosurveillance, absentes de cette liste légale, basculent vers l'autorisation au cas par cas, par délibération CNDP selon la finalité. La CNDP rend son avis sous deux mois, prorogeable une fois, et ce délai ne commence à courir qu'à réception d'un dossier complet — un dossier renvoyé pour pièce manquante repart à zéro.
Un traitement initialement déclaré peut aussi être requalifié en cours d'instruction si la CNDP y voit un danger manifeste pour la vie privée, avec notification motivée au déclarant dans les huit jours suivant le dépôt. Le transfert de données à l'étranger relève enfin d'une formalité distincte, régie par les articles 43 et 44 de la même loi — une déclaration ne couvre jamais un transfert international par ricochet.
Les risques concrets
Un calendrier produit calé sur le texte de loi plutôt que sur l'expérience du terrain. Un lancement qui glisse parce que le récépissé attendu sous 24 heures met en réalité plusieurs semaines à sortir. Un contrat avec un partenaire européen suspendu parce que le transfert international n'a pas été formalisé séparément.
La méthode plutôt que la loi
Qualifier le traitement avant tout développement produit, pas après, en vérifiant la délibération CNDP applicable pour biométrie ou vidéosurveillance. Bâtir le rétroplanning sur le délai réel observé, pas sur le délai légal affiché. Traiter le transfert international comme un dossier séparé dès qu'un outil SaaS ou un hébergement sort du territoire marocain. Prévoir un délai tampon de soixante à quatre-vingt-dix jours dans tout calendrier produit qui touche des données personnelles.
Ce qui manque
Le cadre marocain existe depuis 2009 et il est solide sur le papier. Ce qui manque, c'est la digitalisation complète de la procédure et une doctrine publiée sur les délais réels d'instruction. En attendant, la seule protection d'une direction juridique reste de ne jamais planifier un lancement sur la base du délai légal seul.
---
Publications LinkedIn sources
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Articles liés
Convention de Malabo, DSA et régulation des plateformes : l'angle mort africain et européen des groupes marocains
Les groupes marocains se structurent sur les standards européens. Mais deux angles morts persistent : la Convention de Malabo côté africain, le DSA côté européen. Les deux produisent des effets directs — et la sanction de 120M€ infligée à X ne laisse aucun doute.
NIS2 et supply chain : pourquoi la cybersécurité est devenue un sujet de conseil d'administration
NIS2 transforme la cybersécurité en obligation juridique de gouvernance. Pour les fournisseurs marocains des donneurs d'ordre européens, c'est désormais un critère d'accès aux marchés — et une responsabilité personnelle des dirigeants.
Maroc Digital 2030 : test de maturité de gouvernance pour le secteur privé
Maroc Digital 2030 n'est pas une feuille de route technologique réservée à l'État. C'est un test de maturité de gouvernance pour le secteur privé marocain — avec des effets juridiques immédiats via les lois 05-20 et 09-08, ChatControl et la protection des mineurs en ligne.