Un site marocain qui affiche un formulaire de contact, dépose un cookie Google Analytics ou ouvre des comptes clients traite des données à caractère personnel. À partir de là, la loi 09-08 s’applique — y compris à un site vitrine de cinq pages.
La bonne nouvelle : mettre un site en conformité est l’un des chantiers les plus simples et les moins coûteux de votre entreprise. La mauvaise : cela se fait presque toujours après coup, quand le site est déjà en ligne, les tags déjà posés et le prestataire déjà parti.
Ce guide détaille ce qui rend un site conforme ou non : mentions légales, formulaires, bannière cookies, hébergement, déclaration. La plupart des points se vérifient vous-même en une heure, avant la mise en ligne.
Pourquoi votre site est concerné par la loi 09-08 dès la mise en ligne
La loi 09-08 encadre le traitement des données à caractère personnel au Maroc et en confie le contrôle à la CNDP. Le mot important est « traitement » : collecter, enregistrer, conserver, consulter ou transmettre une donnée qui permet d’identifier une personne suffit à créer une obligation.
Sur un site, ces données sont partout : nom et e-mail dans un formulaire, numéro de téléphone dans une demande de rappel, adresse de livraison dans un panier, CV dans une page recrutement, adresse IP dans vos outils de mesure d’audience. Une newsletter qui ne demande qu’un e-mail est déjà un traitement.
Deux idées fausses circulent. La première : « mon site est une simple vitrine, il ne vend rien ». Un formulaire de contact suffit à vous placer dans le champ de la loi. La seconde : « mon hébergeur est en France, donc c’est le RGPD qui s’applique ». Si votre société est établie au Maroc et décide seule des finalités du traitement, c’est la loi 09-08 qui vous engage. Le RGPD peut s’y ajouter si vous visez des résidents de l’Union européenne, mais il ne la remplace pas.
Un dernier point pratique : les obligations naissent à la mise en ligne, pas à la première vente. C’est pour cela que ces sujets se traitent pendant le projet, au même titre que le design ou le référencement.
Mentions légales obligatoires : ce qui doit figurer sur votre site en 2026
Les obligations d’information ne viennent pas d’un seul texte. La loi 09-08 impose d’informer la personne dont vous collectez les données. La loi 31-08 sur la protection du consommateur ajoute des obligations pour la vente à distance. La loi 53-05 encadre l’échange électronique de données juridiques et la signature électronique. Un site sérieux couvre les trois plutôt que de copier un modèle français trouvé en ligne.
Concrètement, une page « Mentions légales » exploitable contient :
- la dénomination sociale exacte et la forme juridique (SARL, SA, auto-entrepreneur…) ;
- l’adresse du siège au Maroc, un e-mail et un téléphone réellement surveillés ;
- le numéro du registre de commerce et le tribunal d’immatriculation, l’ICE, et selon votre situation l’IF et le numéro de patente ;
- le nom du responsable de la publication ;
- l’identité et les coordonnées de l’hébergeur du site ;
- pour les activités réglementées (santé, assurance, conseil juridique, formation), la mention de l’autorisation ou de l’ordre professionnel.
Une page distincte « Politique de confidentialité » est ce que la CNDP regardera en premier. Elle doit dire, en français simple : qui est le responsable du traitement, quelles données sont collectées, pour quoi faire, combien de temps elles sont conservées, à qui elles sont transmises (prestataire e-mailing, CRM, transporteur, plateforme de paiement), si elles quittent le Maroc, et comment exercer ses droits d’accès, de rectification et d’opposition. Cette dernière partie doit indiquer un canal concret : une adresse e-mail dédiée ou un formulaire, pas une phrase générique.
Sur un site e-commerce, ajoutez les informations de la vente à distance : prix TTC, frais et délais de livraison, modalités de paiement, conditions de retour et délai de rétractation prévu par la loi 31-08, service après-vente. Vérifiez le délai exact applicable à votre activité dans le texte à jour plutôt que de reprendre un chiffre entendu ailleurs.
Formulaires de contact et de leads : consentement, finalité, conservation
C’est le point où la plupart des sites marocains décrochent. Un formulaire conforme repose sur trois éléments.
La finalité, annoncée avant l’envoi. Une phrase sous le formulaire suffit : « Ces informations servent uniquement à répondre à votre demande et ne sont transmises à aucun tiers. » Si vous prévoyez d’ajouter le contact à une liste de prospection, dites-le — et faites-en une case séparée.
Un consentement séparé pour le marketing. Une case déjà cochée n’est pas un consentement. Une case unique qui mêle « j’accepte d’être contacté » et « j’accepte de recevoir la newsletter » n’en est pas un non plus. Deux cases, décochées, avec un libellé clair. Et tout e-mail commercial doit contenir un lien de désinscription qui fonctionne réellement.
La minimisation et la durée. Ne demandez pas la date de naissance, la CIN ou le chiffre d’affaires si vous n’en avez pas besoin pour répondre. Fixez ensuite une durée de conservation écrite — par exemple 24 ou 36 mois après le dernier contact pour un lead non converti — et appliquez-la vraiment. Un CRM qui garde chaque formulaire depuis 2017 est un risque, pas un actif.
Deux détails techniques oubliés dans 9 projets sur 10 : le formulaire doit être en HTTPS (sinon vous transportez des données en clair) et les notifications ne doivent pas partir vers une boîte Gmail personnelle partagée par trois personnes.
Cookies et outils de tracking : ce que la CNDP attend
La CNDP considère les cookies et traceurs comme un traitement de données dès qu’ils permettent d’identifier ou de suivre un visiteur. La logique attendue est simple : les cookies strictement nécessaires au fonctionnement du site (session, panier, sécurité, préférence de langue) ne demandent pas d’accord préalable ; ceux de mesure d’audience détaillée, de publicité et de réseaux sociaux, oui.
Une bannière correcte :
- apparaît avant le dépôt des cookies non essentiels — pas en même temps que Google Analytics, Meta Pixel ou TikTok Pixel qui se chargent déjà en arrière-plan ;
- offre un vrai choix : « Accepter » et « Refuser » au même niveau de visibilité, plus un accès au détail par catégorie ;
- enregistre la décision et la respecte : refuser doit réellement empêcher le chargement des tags ;
- permet de changer d’avis plus tard, via un lien discret en pied de page ;
- conserve une preuve du choix (date, version de la bannière, catégories acceptées).
Le test que vous pouvez faire vous-même en cinq minutes : ouvrez votre site dans une fenêtre de navigation privée, refusez les cookies, puis ouvrez les outils de développement du navigateur et regardez l’onglet des cookies et des requêtes réseau. Si vous voyez encore partir des appels vers des domaines publicitaires ou d’analytics, votre bannière est décorative. C’est le cas de la grande majorité des bannières installées en plugin sans configuration.
Hébergement des données du site : Maroc, UE ou hors zone
La loi 09-08 n’oblige pas à héberger au Maroc, mais elle encadre le transfert de données personnelles vers l’étranger. Le principe : un transfert vers un pays reconnu comme offrant un niveau de protection adéquat est admis dans le cadre du régime déclaratif ; un transfert vers un pays qui ne l’est pas suppose une autorisation de la CNDP ou un fondement particulier. La CNDP publie la liste des pays concernés — vérifiez la version à jour sur son site avant de choisir votre région d’hébergement.
Traduit en décisions de projet :
- Hébergement au Maroc (offres locales, cloud souverain) : le cas le plus simple à documenter, souvent apprécié pour les données sensibles ou les marchés publics. Si vous arbitrez entre fournisseurs, notre comparaison du cloud souverain au Maroc détaille les options réelles.
- Hébergement dans l’UE : très courant et généralement documentable, à condition de nommer le pays et le prestataire dans votre politique de confidentialité.
- Hors Maroc et hors zone adéquate : possible, mais c’est là que se joue la formalité supplémentaire. Et attention : le transfert n’est pas seulement l’hébergement du site. Votre CRM américain, votre outil d’e-mailing, votre chatbot, votre CDN et votre solution de visioconférence sont aussi des transferts.
Le livrable utile n’est pas un débat sur la souveraineté : c’est un tableau — même tenu dans un simple document — qui liste chaque outil du site, la donnée qui y circule, le pays de stockage et le contrat qui l’encadre. Vous en aurez besoin le jour où un client grand compte ou un auditeur le demandera.
Déclaration ou autorisation CNDP : quand pour un site web ?
La loi 09-08 repose sur deux régimes. Le régime de la déclaration préalable couvre les traitements ordinaires : gestion des contacts commerciaux, newsletter, comptes clients d’une boutique en ligne, candidatures reçues via le site. Le régime de l’autorisation préalable concerne les cas plus sensibles : données de santé, données révélant des convictions ou des origines, données biométriques, numéros d’identité utilisés comme identifiant, interconnexion de fichiers aux finalités différentes, et certains transferts hors du Maroc.
En pratique, un site vitrine avec formulaire de contact et une boutique en ligne classique relèvent de la déclaration. Une plateforme de téléconsultation, un site qui collecte des copies de CIN ou un portail RH qui centralise des dossiers médicaux basculent du côté de l’autorisation, et cela change le calendrier du projet : la démarche s’instruit, elle ne se règle pas la veille du lancement.
Les formalités se déposent auprès de la CNDP, qui met à disposition des formulaires et un service en ligne. Prévoyez d’identifier un interlocuteur interne responsable du dossier, de décrire chaque traitement séparément (contacts, newsletter, clients, recrutement) et de conserver le récépissé. L’absence de formalité expose l’entreprise à des sanctions prévues par la loi, pécuniaires et dans certains cas pénales ; les montants exacts figurent dans le texte, vérifiez-les sur le site de la CNDP plutôt que sur un blog. Notre checklist CNDP loi 09-08 pour les entreprises marocaines couvre le périmètre au-delà du site.
La checklist de conformité CNDP site web à valider avant la mise en ligne
À parcourir avec votre prestataire, avant la recette finale :
- HTTPS actif sur toutes les pages, y compris les formulaires et le back-office.
- Page « Mentions légales » complète : dénomination, adresse, RC, ICE, responsable de la publication, hébergeur.
- Page « Politique de confidentialité » à jour, datée, accessible depuis toutes les pages.
- Chaque formulaire annonce sa finalité et n’exige que les champs nécessaires.
- Consentement marketing séparé, case décochée, lien de désinscription fonctionnel.
- Durées de conservation écrites pour les leads, les comptes clients et les candidatures.
- Bannière cookies qui bloque réellement les tags avant l’accord, avec refus au même niveau que l’accord.
- Inventaire des outils tiers (analytics, pixels, CRM, e-mailing, paiement, chat) avec pays d’hébergement.
- Canal d’exercice des droits d’accès, de rectification et d’opposition, avec une personne qui répond.
- Statut de la formalité CNDP : déclaration déposée, ou autorisation instruite si vous êtes dans un cas sensible.
- Accès administrateur nominatifs, mots de passe individuels, sauvegardes testées.
- Clause de sous-traitance et de confidentialité dans le contrat de votre agence et de votre hébergeur.
Douze lignes. Sur un projet neuf, les traiter coûte quelques jours d’attention. Sur un site déjà en ligne, il faut souvent rouvrir le code, les tags et les contrats — d’où l’intérêt de les inscrire au cahier des charges dès le départ, à côté du budget que décrit notre guide des prix d’un site web professionnel au Maroc.
Ce que vous pouvez vérifier vous-même, ce qui demande un accompagnement
Vous pouvez faire seul, sans budget : lire vos mentions légales et vérifier que les numéros correspondent à votre situation réelle ; tester la bannière cookies en navigation privée ; remplir un formulaire de votre site et regarder où arrive l’e-mail ; demander à votre prestataire la liste des scripts tiers chargés ; ouvrir votre CRM et compter depuis quand dorment les plus vieux contacts. Ce tour de piste élimine déjà la moitié des non-conformités visibles.
Un accompagnement se justifie sur trois terrains : la rédaction de documents qui décrivent vos traitements réels et non un modèle générique ; la reconfiguration technique du tracking pour que le refus soit respecté, ce qui suppose de toucher au gestionnaire de balises et parfois au thème ; et les cas sensibles — santé, biométrie, RH, transferts hors zone adéquate — où la qualification du régime applicable a des conséquences.
Ordres de grandeur observés au Maroc en 2026 : 3 000 à 8 000 MAD pour la rédaction des pages légales et de la politique de confidentialité d’un site vitrine ; 5 000 à 15 000 MAD pour une bannière de consentement réellement branchée sur les tags ; 12 000 à 30 000 MAD pour un audit de conformité complet d’un site e-commerce avec inventaire des flux ; 5 000 à 15 000 MAD pour la préparation d’un dossier de déclaration. Ces montants restent marginaux face au coût d’une refonte de la couche de collecte après coup, surtout sur une boutique en ligne — un sujet que nous abordons aussi dans notre guide de choix d’une plateforme e-commerce au Maroc. Aucun prestataire ne peut vous promettre une immunité : ce qui se construit, c’est un dossier défendable et à jour.
Et maintenant ?
Arrowlancer conçoit des sites et applications web — vitrine, e-commerce, application métier sur mesure — avec ces points traités dans le cahier des charges et vérifiés en recette, pas ajoutés après la mise en ligne. Si vous préparez un lancement ou une refonte, nous pouvons aussi relire un site existant et vous dire ce qui doit changer en priorité.
Décrivez votre projet via le formulaire de contact : nous vous répondons avec un premier diagnostic et un périmètre chiffré.