Violation de la loi 09-08 par un salarié : quand la faute grave rencontre la protection des données
Un manquement à la loi 09-08 n'est plus seulement une affaire IT. La chambre sociale de la Cour de cassation vient de le qualifier de faute grave — à condition que le formalisme disciplinaire soit irréprochable.
Un salarié reconnaît avoir violé la loi 09-08 sur la protection des données personnelles, contourné les protections de sécurité informatique de son entreprise et conservé des cartes d'identité de clients pour se connecter à un réseau social. Selon un arrêt de la chambre sociale de la Cour de cassation du 31 décembre 2024 (dossier 1113/5/1/2023), mis en avant lors de l'audience solennelle d'ouverture de l'année judiciaire le 14 janvier 2026 (Médias24, 16 janvier 2026), ces faits constituent une faute grave.
Une lecture qui ne tient plus
L'idée répandue veut que la violation de données personnelles reste une affaire IT, traitée par un pare-feu ou une politique de sécurité, loin du champ disciplinaire RH. Cette lecture ne tient plus.
L'article 39 du Code du travail dresse une liste indicative, non limitative, des fautes graves. La divulgation d'un secret professionnel ayant causé un préjudice y figure déjà. La décision de décembre 2024 confirme qu'un manquement à la loi 09-08, combiné à un usage frauduleux du système informatique, peut parfaitement s'inscrire dans cette qualification.
Le formalisme qui protège — ou qui fragilise
L'article 62 impose un entretien préalable dans les huit jours suivant la constatation des faits, et l'article 64 exige la transmission d'une copie de la décision à l'inspection du travail. La jurisprudence marocaine attache une importance particulière au respect de ce formalisme, au point qu'un licenciement pourtant fondé sur des griefs sérieux peut être annulé pour vice de procédure.
Un dossier mal instruit expose l'entreprise à une requalification en licenciement abusif faute de preuve recevable, à un contentieux social, et, selon les circonstances, à un contrôle de la CNDP sur la licéité du traitement ayant permis de constater les faits.
Quatre réflexes pour le dossier disciplinaire
Une charte informatique réellement opposable au salarié, signée et datée. Une traçabilité technique des accès, conservée dans des conditions probatoires solides. Une information préalable et documentée des salariés sur les dispositifs de contrôle numérique, conforme à la loi 09-08 et aux recommandations de la CNDP. Une procédure disciplinaire qui respecte scrupuleusement les délais des articles 62 et suivants, formation des managers incluse — c'est souvent l'entretien préalable mal mené qui fragilise un dossier par ailleurs solide.
Ce qui manque
Le cadre marocain existe : Code du travail, loi 09-08, textes renforçant la cybersécurité nationale, et désormais une décision marquante de la Cour de cassation. Ce qui manque encore, c'est un texte détaillé sur la surveillance des salariés dans l'environnement numérique, comparable à ce que d'autres juridictions ont développé. En attendant, un audit annuel de la charte informatique n'est plus une option de confort. C'est la condition pour transformer une faute réelle en licenciement qui tient devant le juge.
---
Publications LinkedIn sources
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Cet article est la version développée d'une publication originale sur LinkedIn. Les idées exprimées reflètent une réflexion personnelle de praticien, non une position institutionnelle.
Articles liés
Cadre marocain de l'IA : ce que le droit dit déjà — et ce que Digital X.0 va changer
Quand le Maroc aura-t-il une loi sur l'IA ? C'est la mauvaise question. La loi 09-08, la loi 05-20 et la doctrine CNDP encadrent déjà la plupart des cas d'usage IA. Et pour les entreprises liées à l'Europe, l'AI Act arrive par le contrat avant d'arriver par la loi.
IA en RH : ATS, recrutement algorithmique et droit à la déconnexion au Maroc
Le mythe de la validation humaine dans le recrutement algorithmique. Trois textes encadrent déjà les ATS marocains — sans loi spécifique. Et l'absence de politique de déconnexion documentée expose déjà les employeurs marocains, sans attendre la réforme du Code du travail.
AI Act et gouvernance de l'IA en entreprise : ce que les dirigeants marocains doivent savoir
Un mythe dangereux persiste : si l'IA se trompe, c'est la faute de l'algorithme. Cette croyance est juridiquement intenable. AI Act, Guidance OCDE, loi 09-08 : ce que les dirigeants marocains doivent gouverner maintenant.