« La loi 09-08 ne fixe aucune durée de conservation, donc on garde tout. » C’est l’argument que j’entends le plus souvent au moment de cadrer un CRM ou un entrepôt de données, et il n’est vrai qu’à moitié. Le texte marocain ne publie effectivement pas de tableau de durées par type de donnée, contrairement aux référentiels sectoriels diffusés en Europe. Mais il pose un principe parfaitement contraignant : des données à caractère personnel ne se conservent pas plus longtemps que ce qu’exige la finalité pour laquelle elles ont été collectées.
La durée n’est donc pas écrite dans la loi. Elle est écrite par vous, dans la déclaration déposée à la CNDP, et c’est à cette durée que l’on vous comparera en cas de contrôle. Une entreprise qui a déclaré « trois ans après la fin de la relation commerciale » et qui exhibe une base clients remontant à 2011 n’a pas un problème de loi floue. Elle a un écart entre ce qu’elle a déclaré et ce qu’elle fait.
La nuance pèse lourd avant un projet CRM, BI ou IA, parce qu’une durée de conservation finit toujours par devenir une ligne de code dans un pipeline. Ce qui n’est pas tranché au cadrage devient, dix-huit mois plus tard, une table de 400 000 lignes que personne n’ose plus toucher.
Conservation données CNDP Maroc : ce que la loi 09-08 impose vraiment
Trois principes commandent la conservation et ils fonctionnent ensemble. La finalité : vous collectez pour un usage déterminé, explicite et légitime. La proportionnalité : vous ne collectez que ce qui sert cet usage. La limitation dans le temps : une fois la finalité épuisée, plus rien ne justifie de garder la donnée sous une forme qui permet d’identifier la personne.
C’est pour cette raison que le formulaire de déclaration vous demande une durée de conservation par traitement. Si vous ne savez pas ce que votre entreprise a déclaré, retrouvez d’abord les récépissés : c’est le document de référence le jour où un agent pose la question. Le reste du socle déclaratif est détaillé dans notre checklist de conformité CNDP loi 09-08.
Il faut aussi accepter une idée inconfortable : il n’existe pas de durée universelle à recopier. La bonne durée dépend du type de donnée, du contrat, du secteur et des obligations d’archivage qui s’imposent par ailleurs. Les repères ci-dessous sont ceux que l’on applique couramment dans les projets marocains. Ils ne remplacent pas une validation par votre juriste, et les durées imposées par d’autres textes se vérifient auprès de votre expert-comptable ou sur le site de la CNDP.
« On garde tout, au cas où » : ce que cet argument coûte vraiment
Le stockage ne coûte presque rien, et c’est précisément ce qui rend l’accumulation invisible. Le coût est ailleurs. Une base clients qui traîne quinze ans d’historique contient des doublons, des sociétés qui n’existent plus, trois versions du même compte avec des ICE différents. Branchez un tableau de bord dessus et le chiffre d’affaires par client devient discutable : c’est le tableau de bord qui perd sa crédibilité, pas la base.
Sur un projet IA, l’effet est plus net encore. Un modèle de scoring entraîné sur dix ans de comportements apprend aussi les réflexes d’un marché qui n’existe plus, et personne ne sait dire quelle part de ses prédictions vient de 2015. Ce tri entre historique utile et historique mort fait partie de l’audit qualité des données avant un projet BI ou IA.
Reste le risque de fuite. Les données que vous n’avez plus le droit de détenir sont exactement celles qui apparaîtront dans un export mal protégé. Expliquer après un incident pourquoi des CV de 2017 dormaient encore dans un bucket ouvert est un exercice que personne ne réussit bien.
Combien de temps garder un client ? Et un prospect qui n’a jamais acheté ?
Pour un client, le compteur ne démarre pas à la collecte mais à la fin de la relation. Encore faut-il définir cette fin : dernière facture réglée, échéance du contrat, fin de garantie ou dernier acte de SAV. Trois ans après cette date, sauf obligation d’archivage par ailleurs, la fiche commerciale n’a plus de finalité.
Pour un prospect qui n’a jamais acheté, la pratique courante est de trois ans après le dernier contact. La question devient alors : qu’est-ce qu’un contact ? Un envoi de newsletter n’en est pas un, puisque c’est vous qui agissez. Un clic, une demande de devis, un appel, une réponse à un email, oui. Si votre CRM n’enregistre qu’une date de création, vous n’avez pas un compteur, vous avez une date.
À l’échéance, deux options qui ne se valent pas. La suppression efface la ligne et son historique. L’anonymisation conserve la valeur analytique (chiffre d’affaires par région, taux de conversion par canal) en retirant les identifiants directs et indirects. Pour une PME qui veut garder des séries longues dans sa BI, c’est presque toujours la bonne réponse, à condition que l’anonymisation soit réelle : un identifiant remplacé par une empreinte reste une donnée personnelle si vous conservez la table de correspondance.
Une exception à garder en tête : les désinscriptions et les oppositions. Supprimez entièrement l’adresse d’une personne qui a demandé à ne plus être contactée et la prochaine importation de fichier la fera revenir. Conservez une liste de suppression réduite au strict minimum, une empreinte de l’email, une date, un motif, et rien d’autre.
Les CV non retenus : le délai que presque personne ne respecte
C’est le sujet où l’écart entre le discours et la réalité est le plus large. La durée de conservation des CV de candidats non retenus tient en une phrase : le temps du recrutement, plus un délai court pour pouvoir justifier la décision. Six mois après la clôture du poste est un repère raisonnable et défendable.
Au-delà, il faut l’accord du candidat pour rester dans la CVthèque, et cet accord se demande explicitement, pas dans une case préremplie au bas d’un formulaire. Deux ans est la limite que s’imposent la plupart des entreprises qui ont réfléchi au sujet. Un candidat peut par ailleurs vous écrire pour savoir ce que vous détenez sur lui : devoir répondre que vous ne savez pas est plus gênant que la donnée elle-même.
Le vrai problème n’est jamais l’outil de recrutement. Purger un ATS prend une requête. Ce qui reste après, c’est la boîte mail du responsable RH avec quatre cents pièces jointes, le dossier partagé « Recrutement 2022 » sur le drive, les PDF reçus par WhatsApp, l’Excel de suivi avec les notes d’entretien. Une politique qui ne traite pas ces quatre endroits ne protège rien. Et si vous envisagez un tri automatisé des candidatures, la durée de conservation devient centrale : voyez ce que nous écrivons sur la conformité CNDP des outils d’IA au travail.
Logs, cookies et données techniques suivent-ils les mêmes règles ?
Non, et c’est heureux. Les journaux techniques servent une finalité de sécurité et d’exploitation, pas une finalité commerciale. Six à douze mois de logs applicatifs et de sécurité constituent la fourchette habituelle : assez pour investiguer un incident détecté tardivement, trop peu pour constituer un historique de surveillance.
Les traces qui suivent l’activité des salariés (accès VPN, consultation de dossiers, badge, téléphonie) changent de catégorie. Vous ne faites plus seulement de la protection des données, vous touchez au contrôle de l’activité : la finalité doit être déclarée, les salariés informés, la durée courte et l’accès réservé à deux ou trois personnes nommées.
Côté site web, le repère largement repris pour la durée de vie du consentement et des identifiants de traceurs est de treize mois. Les mesures d’audience agrégées peuvent vivre plus longtemps, puisqu’elles ne ciblent plus personne. Le détail des bandeaux et des mentions figure dans notre article sur la conformité CNDP d’un site web marocain.
Et quand une autre loi impose dix ans ?
Ce n’est pas une contradiction, c’est une autre finalité. Quand un texte comptable, fiscal ou social impose un archivage, l’obligation prime sur l’effacement, mais uniquement pour les documents concernés et uniquement pour cet usage.
La loi comptable marocaine impose de conserver les documents comptables et les pièces justificatives pendant dix ans. Factures, grand livre, relevés : ils restent, et le délai de reprise de l’administration fiscale se superpose à ce socle. Pour la conservation des données RH au Maroc, contrats, bulletins de paie, déclarations sociales et registres obligatoires relèvent du même raisonnement : on les garde parce que le droit du travail et la CNSS peuvent les exiger, pas parce qu’ils sont utiles. Faites confirmer chaque durée par votre expert-comptable et vérifiez les textes applicables sur le site de la CNDP plutôt que de recopier un tableau européen.
La distinction qui sauve beaucoup de temps : une facture n’est pas une fiche client. Vous devez garder la facture dix ans, vous n’avez pas à garder dix ans les préférences marketing, l’historique de navigation et les notes commerciales de la même personne. Concrètement, cela veut dire sortir l’archivage légal du périmètre vivant : un stockage froid, chiffré, accessible à la comptabilité et à personne d’autre, exclu des flux BI et de tout entraînement de modèle.
Comment purger sans casser les tableaux de bord ?
Une politique de conservation qui reste un document Word n’est pas une politique. La purge données CNDP se construit dans le pipeline, dans cet ordre.
- Inventorier par finalité, pas par table. Prospection, exécution de commande, support, recrutement, paie, sécurité. Une même table CRM porte souvent trois finalités avec trois durées différentes.
- Fixer deux valeurs par famille de données : la durée, et surtout le point de départ du compteur. C’est le point de départ qui est oublié neuf fois sur dix.
- Choisir suppression ou anonymisation famille par famille, avant d’écrire la moindre requête. La décision est métier, pas technique.
- Implémenter la purge comme un job planifié, jamais comme une action manuelle. Effacement logique, puis effacement physique après quelques jours de sécurité, avec une alerte si le volume supprimé sort de l’ordinaire.
- Traiter les sauvegardes et les copies. Une purge en production ne vide ni les snapshots, ni les exports Excel sur les postes, ni la copie de la base dans l’environnement de test. Fixez une rétention de sauvegarde bornée et documentez-la.
- Journaliser chaque purge : date, périmètre, nombre d’enregistrements, règle appliquée. C’est la seule preuve exploitable le jour d’un contrôle.
- Nommer un responsable et une revue annuelle. Les finalités évoluent, les outils changent, la matrice doit suivre.
Testez toujours sur une copie avant la première exécution. La règle la plus courante, supprimer si la dernière commande a plus de trois ans, traite les comptes sans aucune commande comme datant de 1970 si la date nulle n’est pas gérée. Une purge mal bornée efface des clients actifs, et une restauration de sauvegarde pour rattraper l’erreur ramène justement ce que vous vouliez supprimer.
Qu’est-ce qu’on risque, concrètement ?
Les contrôles tombent rarement au hasard. Ils partent le plus souvent d’une plainte : un candidat qui reçoit encore des messages deux ans après son entretien, un ancien salarié, un client qui a demandé la suppression et n’a rien vu venir. La CNDP peut demander des explications, enjoindre de cesser un traitement et, selon la gravité, engager les suites prévues par la loi 09-08, qui comporte des sanctions financières et, pour certains manquements, des suites pénales. Les montants figurent dans le texte : consultez-les sur le site de la CNDP plutôt que de vous fier à un chiffre entendu en réunion.
Le coût le plus fréquent est pourtant commercial. Un grand compte ou un partenaire européen vous enverra un questionnaire de due diligence où la durée de conservation figure noir sur blanc. Et un projet CRM ou BI ralentit toujours quand la question n’a pas été tranchée, parce que personne ne veut migrer dans un nouvel outil des données qu’il faudra ensuite justifier. Décider les durées au cadrage prend quelques jours. Les décider après la mise en production devient un chantier de reprise d’historique.
Trancher les durées avant de construire le pipeline
Arrowlancer construit des pipelines, des tableaux de bord et des travaux de qualité de données pour des entreprises marocaines, et la matrice de rétention fait partie du cadrage : durées par famille, point de départ des compteurs, règles de purge automatique, anonymisation des historiques pour la BI, journal des suppressions. Si un projet CRM, BI ou IA se prépare chez vous et que la question des durées reste ouverte, regardez nos services data puis écrivez-nous avec deux lignes sur vos sources de données actuelles.