Sanctions CNDP : pourquoi la cartographie 2026 est introuvable, et comment lire le risque quand même

Aucun registre public identifié

Un directeur juridique qui voudrait dresser la liste des sanctions prononcées par la CNDP en 2026 ferait une découverte déroutante. Les publications accessibles sur CNDP.ma au 27 septembre 2026 ne font apparaître aucun registre public de décisions d'amende comparable à celui que publie la CNIL en France. Le Registre national prévu par les articles 45 et 46 de la loi recense les traitements déclarés et autorisés, pas les infractions. Les dernières délibérations mises en ligne, le 28 novembre 2025 (n° D-939-2025 à D-943-2025), adoptent des modèles de déclaration simplifiée (cookies, lettres d'information) et des modèles de demande d'autorisation (suivi des patients, vidéosurveillance en établissement de santé, contrôle d'accès). Ce sont des outils de conformité. Aucune ne sanctionne.

Ce silence tient au texte. La loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (BO n° 5714 du 5 mars 2009) ne confère pas à la Commission nationale le pouvoir de prononcer elle-même les amendes prévues par son chapitre VII. La CNDP indique certes, dans la présentation de ses missions, que ses contrôles « peuvent donner lieu à des sanctions administratives, pécuniaires ou pénales ». Dans la loi, les sanctions pécuniaires restent des peines prononcées par le juge pénal. Une analyse doctrinale publiée sur Village Justice le 12 décembre 2025 en tire la conséquence : « L'absence de sanctions administratives constitue l'un des obstacles majeurs à la crédibilité des régulateurs hors UE ».

Ce que la CNDP peut faire

L'article 30 dote la Commission de pouvoirs d'enquête (accès aux données et aux locaux, recueil et saisie de documents) et de pouvoirs d'injonction : ordonner la communication de documents, les modifications nécessaires à une tenue loyale des données et, surtout, le verrouillage, l'effacement ou la destruction de données, ou « interdire provisoirement ou définitivement » un traitement.

L'article 31 soumet la communication forcée de documents et ces mesures sur les données à une procédure qu'il qualifie lui-même de disciplinaire, garantissant les droits de la défense et le contradictoire. La CNDP dispose donc d'un pouvoir coercitif propre, qui n'est pas un pouvoir d'amende.

L'article 51 ajoute un pouvoir de retrait : lorsqu'un traitement porte atteinte à la sûreté ou à l'ordre public, ou est contraire à la morale et aux bonnes mœurs, la Commission peut, sans délai, retirer le récépissé de déclaration ou l'autorisation. Poursuivre le traitement après ce retrait constitue une infraction au sens de l'article 52.

Pour un groupe, ces mesures pèsent plus qu'il n'y paraît. Une interdiction portant sur un fichier clients, un système de pointage ou une base RH arrête une activité sans coûter un dirham d'amende. Elle échappe de ce fait aux matrices de risque qui raisonnent en montants.

Où se trouvent les amendes

Les sanctions pécuniaires figurent au chapitre VII et relèvent du juge pénal. Deux voies relient la Commission au parquet. L'article 28 lui permet, lorsqu'elle instruit une plainte, d'y donner suite par la saisine du procureur du Roi aux fins de poursuites. L'article 66 organise la constatation directe : outre les officiers de police judiciaire, les agents de la CNDP spécialement commissionnés et assermentés constatent les infractions par procès-verbal, adressé au procureur du Roi dans les cinq jours.

La Commission rend toutefois publics certains manquements. Par un communiqué du 9 janvier 2023, elle a fait connaître qu'un prestataire de collecte de demandes de visa, agissant pour le compte de plusieurs ambassades, transférait toutes les cinq minutes et sans notification préalable des images extraites de ses enregistrements de vidéosurveillance vers deux institutions gouvernementales à l'étranger. Elle a qualifié ces faits d'infraction au chapitre VII, entendu le prestataire le 6 janvier 2023, fixé une mise en conformité au 28 février 2023 et informé les autorités compétentes.

Le président de la CNDP décrivait la suite de cette mécanique dans un entretien à Médias24 publié le 2 octobre 2024 : faute de mise en conformité, la Commission saisit le parquet territorialement compétent. Il indiquait alors que les procédures visant trois prestataires de services de visas étaient toujours en cours. À la date de rédaction, aucune issue de ces procédures n'a été identifiée dans les publications de la Commission. La CNDP publie des manquements et des procédures engagées ; leur dénouement pénal reste rarement public.

L'échelle des peines, incrimination par incrimination

Les incriminations du chapitre VII dessinent la carte que la CNDP ne publie pas. Cinq d'entre elles méritent une attention particulière dans une cartographie de groupe.

Le défaut de formalité préalable (article 52) : mettre en œuvre un fichier sans la déclaration ou l'autorisation exigée par l'article 12, ou poursuivre un traitement malgré le retrait du récépissé, est puni d'une amende de 10.000 à 100.000 DH.

La finalité et la loyauté de la collecte (article 54) : la collecte par un moyen frauduleux, déloyal ou illicite, la mise en œuvre d'un traitement à d'autres fins que celles déclarées ou autorisées, ou un traitement ultérieur incompatible, exposent à un emprisonnement de trois mois à un an et à une amende de 20.000 à 200.000 DH, ou à l'une de ces deux peines seulement.

La sécurité (article 58) : traiter des données sans mettre en œuvre les mesures prévues aux articles 23 et 24 est puni selon la même échelle.

Le transfert à l'étranger (article 60) : un transfert effectué en méconnaissance des articles 43 et 44 relève lui aussi de cette échelle. Le cas rendu public en janvier 2023 relevait de cette logique.

L'usage abusif par négligence (article 61) : sont visés tout responsable de traitement, tout sous-traitant et toute personne chargée de traiter des données qui, « même par négligence », cause ou facilite l'usage abusif ou frauduleux des données ou les communique à des tiers non habilités. Pour un groupe qui externalise sa paie, son hébergement ou sa relation client, c'est l'article qui fait entrer les sous-traitants dans la cartographie.

Deux incriminations visent la relation avec le régulateur. L'article 62 punit l'entrave à l'exercice des missions de contrôle (trois à six mois d'emprisonnement, 10.000 à 50.000 DH d'amende), l'article 63 le refus d'appliquer ses décisions (trois mois à un an, 10.000 à 100.000 DH). Un contrôle CNDP se prépare donc comme une inspection : un interlocuteur désigné, une documentation prête, une chaîne de décision connue à l'avance.

Enfin, l'article 64 change l'échelle pour les entreprises : lorsque l'auteur est une personne morale, les amendes sont portées au double, sans préjudice des peines applicables aux dirigeants auteurs de l'infraction. La personne morale encourt en outre la confiscation partielle de ses biens, la confiscation prévue à l'article 89 du Code pénal, ou la fermeture du ou des établissements où l'infraction a été commise.

Une grille de lecture pour le DPO et le directeur juridique de groupe

Faute de décisions publiées, la grille se construit à partir des incriminations, pas des précédents.

La finalité est le premier poste de risque, parce qu'elle glisse sans bruit. Un fichier déclaré pour la paie et réutilisé pour une analyse de performance sort de son périmètre déclaré et entre dans le champ de l'article 54. Le contrôle utile consiste à rapprocher, traitement par traitement, l'usage réel et la déclaration déposée.

Le fondement juridique vient ensuite. L'article 4 pose le consentement indubitable de la personne concernée comme principe, puis énumère les cas où il n'est pas exigé : obligation légale, exécution d'un contrat ou de mesures précontractuelles, sauvegarde d'intérêts vitaux, mission d'intérêt public ou exercice de l'autorité publique, intérêt légitime sous réserve des droits et libertés de la personne. Chaque filiale doit pouvoir dire sur lequel elle s'appuie.

La sécurité, enfin, se juge sur pièces. Le jour d'un contrôle, l'agent assermenté s'intéresse à ce qui peut être montré : politique d'habilitation, journalisation des accès, clauses de sous-traitance, procédure de gestion d'incident. Une mesure non documentée pèse peu face à un procès-verbal.

Ce qui peut changer

Le président de la CNDP a évoqué, dans un entretien à TelQuel publié le 10 avril 2026, la refonte attendue de la loi 09-08, sans calendrier officiel à ce stade. Tant qu'un nouveau texte n'est pas publié au Bulletin officiel, l'architecture décrite ici reste le droit applicable : un régulateur qui enquête, encadre et peut contraindre jusqu'à l'interdiction ; un juge pénal qui prononce les peines. Les dix impératifs publiés par la Commission le 31 août 2026 pour les opérations et consultations électorales, commentés ici le 6 septembre, relèvent de la même logique préventive.

Conclusion

Sous la loi 09-08, le risque données ne se lit pas dans un barème d'amendes publié par le régulateur. Il se lit à trois niveaux : les mesures coercitives que la CNDP peut prendre elle-même sur le traitement, les infractions pénales du chapitre VII transmises au parquet, et, pour les personnes morales, l'aggravation prévue par l'article 64, sans préjudice de la responsabilité des dirigeants. Le dossier qui en résulte porte le nom de l'entreprise, et parfois celui de ceux qui la dirigent.

Sources

Loi n° 09-08, dahir n° 1-09-15 du 18 février 2009, BO n° 5714 du 5 mars 2009 (texte publié par la CNDP) ; CNDP, communiqué « Infraction à la loi 09-08 suite à absence de notification à la CNDP », 9 janvier 2023 ; CNDP, délibérations D-939-2025 à D-943-2025, 28 novembre 2025 ; CNDP, « Les dix impératifs à respecter durant les opérations et les consultations électorales », 31 août 2026 ; CNDP, page « Missions » ; Médias24, entretien avec le président de la CNDP, 2 octobre 2024 ; TelQuel, entretien avec le président de la CNDP, 10 avril 2026 ; Village Justice, analyse doctrinale sur la CNDP et la loi 09-08, 12 décembre 2025.