{"id":175,"date":"2026-10-04T12:34:30","date_gmt":"2026-10-04T11:34:30","guid":{"rendered":"https:\/\/arrowlancer.ma\/blog\/?p=175"},"modified":"2026-10-04T12:34:30","modified_gmt":"2026-10-04T11:34:30","slug":"conservation-donnees-cndp-maroc-2026","status":"publish","type":"post","link":"https:\/\/arrowlancer.ma\/blog\/fr\/conservation-donnees-cndp-maroc-2026\/","title":{"rendered":"Conservation donn\u00e9es CNDP Maroc : quelles dur\u00e9es en 2026"},"content":{"rendered":"

\u00ab La loi 09-08 ne fixe aucune dur\u00e9e de conservation, donc on garde tout. \u00bb C\u2019est l\u2019argument que j\u2019entends le plus souvent au moment de cadrer un CRM ou un entrep\u00f4t de donn\u00e9es, et il n\u2019est vrai qu\u2019\u00e0 moiti\u00e9. Le texte marocain ne publie effectivement pas de tableau de dur\u00e9es par type de donn\u00e9e, contrairement aux r\u00e9f\u00e9rentiels sectoriels diffus\u00e9s en Europe. Mais il pose un principe parfaitement contraignant : des donn\u00e9es \u00e0 caract\u00e8re personnel ne se conservent pas plus longtemps que ce qu\u2019exige la finalit\u00e9 pour laquelle elles ont \u00e9t\u00e9 collect\u00e9es.<\/p>\n

La dur\u00e9e n\u2019est donc pas \u00e9crite dans la loi. Elle est \u00e9crite par vous, dans la d\u00e9claration d\u00e9pos\u00e9e \u00e0 la CNDP, et c\u2019est \u00e0 cette dur\u00e9e que l\u2019on vous comparera en cas de contr\u00f4le. Une entreprise qui a d\u00e9clar\u00e9 \u00ab trois ans apr\u00e8s la fin de la relation commerciale \u00bb et qui exhibe une base clients remontant \u00e0 2011 n\u2019a pas un probl\u00e8me de loi floue. Elle a un \u00e9cart entre ce qu\u2019elle a d\u00e9clar\u00e9 et ce qu\u2019elle fait.<\/p>\n

La nuance p\u00e8se lourd avant un projet CRM, BI ou IA, parce qu\u2019une dur\u00e9e de conservation finit toujours par devenir une ligne de code dans un pipeline. Ce qui n\u2019est pas tranch\u00e9 au cadrage devient, dix-huit mois plus tard, une table de 400 000 lignes que personne n\u2019ose plus toucher.<\/p>\n

Conservation donn\u00e9es CNDP Maroc : ce que la loi 09-08 impose vraiment<\/h2>\n

Trois principes commandent la conservation et ils fonctionnent ensemble. La finalit\u00e9 : vous collectez pour un usage d\u00e9termin\u00e9, explicite et l\u00e9gitime. La proportionnalit\u00e9 : vous ne collectez que ce qui sert cet usage. La limitation dans le temps : une fois la finalit\u00e9 \u00e9puis\u00e9e, plus rien ne justifie de garder la donn\u00e9e sous une forme qui permet d\u2019identifier la personne.<\/p>\n

C\u2019est pour cette raison que le formulaire de d\u00e9claration vous demande une dur\u00e9e de conservation par traitement. Si vous ne savez pas ce que votre entreprise a d\u00e9clar\u00e9, retrouvez d\u2019abord les r\u00e9c\u00e9piss\u00e9s : c\u2019est le document de r\u00e9f\u00e9rence le jour o\u00f9 un agent pose la question. Le reste du socle d\u00e9claratif est d\u00e9taill\u00e9 dans notre checklist de conformit\u00e9 CNDP loi 09-08<\/a>.<\/p>\n

Il faut aussi accepter une id\u00e9e inconfortable : il n\u2019existe pas de dur\u00e9e universelle \u00e0 recopier. La bonne dur\u00e9e d\u00e9pend du type de donn\u00e9e, du contrat, du secteur et des obligations d\u2019archivage qui s\u2019imposent par ailleurs. Les rep\u00e8res ci-dessous sont ceux que l\u2019on applique couramment dans les projets marocains. Ils ne remplacent pas une validation par votre juriste, et les dur\u00e9es impos\u00e9es par d\u2019autres textes se v\u00e9rifient aupr\u00e8s de votre expert-comptable ou sur le site de la CNDP.<\/p>\n

\u00ab On garde tout, au cas o\u00f9 \u00bb : ce que cet argument co\u00fbte vraiment<\/h2>\n

Le stockage ne co\u00fbte presque rien, et c\u2019est pr\u00e9cis\u00e9ment ce qui rend l\u2019accumulation invisible. Le co\u00fbt est ailleurs. Une base clients qui tra\u00eene quinze ans d\u2019historique contient des doublons, des soci\u00e9t\u00e9s qui n\u2019existent plus, trois versions du m\u00eame compte avec des ICE diff\u00e9rents. Branchez un tableau de bord dessus et le chiffre d\u2019affaires par client devient discutable : c\u2019est le tableau de bord qui perd sa cr\u00e9dibilit\u00e9, pas la base.<\/p>\n

\"Conservation<\/p>\n

Sur un projet IA, l\u2019effet est plus net encore. Un mod\u00e8le de scoring entra\u00een\u00e9 sur dix ans de comportements apprend aussi les r\u00e9flexes d\u2019un march\u00e9 qui n\u2019existe plus, et personne ne sait dire quelle part de ses pr\u00e9dictions vient de 2015. Ce tri entre historique utile et historique mort fait partie de l\u2019audit qualit\u00e9 des donn\u00e9es avant un projet BI ou IA<\/a>.<\/p>\n

Reste le risque de fuite. Les donn\u00e9es que vous n\u2019avez plus le droit de d\u00e9tenir sont exactement celles qui appara\u00eetront dans un export mal prot\u00e9g\u00e9. Expliquer apr\u00e8s un incident pourquoi des CV de 2017 dormaient encore dans un bucket ouvert est un exercice que personne ne r\u00e9ussit bien.<\/p>\n

Combien de temps garder un client ? Et un prospect qui n\u2019a jamais achet\u00e9 ?<\/h2>\n

Pour un client, le compteur ne d\u00e9marre pas \u00e0 la collecte mais \u00e0 la fin de la relation. Encore faut-il d\u00e9finir cette fin : derni\u00e8re facture r\u00e9gl\u00e9e, \u00e9ch\u00e9ance du contrat, fin de garantie ou dernier acte de SAV. Trois ans apr\u00e8s cette date, sauf obligation d\u2019archivage par ailleurs, la fiche commerciale n\u2019a plus de finalit\u00e9.<\/p>\n

Pour un prospect qui n\u2019a jamais achet\u00e9, la pratique courante est de trois ans apr\u00e8s le dernier contact. La question devient alors : qu\u2019est-ce qu\u2019un contact ? Un envoi de newsletter n\u2019en est pas un, puisque c\u2019est vous qui agissez. Un clic, une demande de devis, un appel, une r\u00e9ponse \u00e0 un email, oui. Si votre CRM n\u2019enregistre qu\u2019une date de cr\u00e9ation, vous n\u2019avez pas un compteur, vous avez une date.<\/p>\n

\u00c0 l\u2019\u00e9ch\u00e9ance, deux options qui ne se valent pas. La suppression efface la ligne et son historique. L\u2019anonymisation conserve la valeur analytique (chiffre d\u2019affaires par r\u00e9gion, taux de conversion par canal) en retirant les identifiants directs et indirects. Pour une PME qui veut garder des s\u00e9ries longues dans sa BI, c\u2019est presque toujours la bonne r\u00e9ponse, \u00e0 condition que l\u2019anonymisation soit r\u00e9elle : un identifiant remplac\u00e9 par une empreinte reste une donn\u00e9e personnelle si vous conservez la table de correspondance.<\/p>\n

Une exception \u00e0 garder en t\u00eate : les d\u00e9sinscriptions et les oppositions. Supprimez enti\u00e8rement l\u2019adresse d\u2019une personne qui a demand\u00e9 \u00e0 ne plus \u00eatre contact\u00e9e et la prochaine importation de fichier la fera revenir. Conservez une liste de suppression r\u00e9duite au strict minimum, une empreinte de l\u2019email, une date, un motif, et rien d\u2019autre.<\/p>\n

Les CV non retenus : le d\u00e9lai que presque personne ne respecte<\/h2>\n

C\u2019est le sujet o\u00f9 l\u2019\u00e9cart entre le discours et la r\u00e9alit\u00e9 est le plus large. La dur\u00e9e de conservation des CV de candidats non retenus tient en une phrase : le temps du recrutement, plus un d\u00e9lai court pour pouvoir justifier la d\u00e9cision. Six mois apr\u00e8s la cl\u00f4ture du poste est un rep\u00e8re raisonnable et d\u00e9fendable.<\/p>\n

Au-del\u00e0, il faut l\u2019accord du candidat pour rester dans la CVth\u00e8que, et cet accord se demande explicitement, pas dans une case pr\u00e9remplie au bas d\u2019un formulaire. Deux ans est la limite que s\u2019imposent la plupart des entreprises qui ont r\u00e9fl\u00e9chi au sujet. Un candidat peut par ailleurs vous \u00e9crire pour savoir ce que vous d\u00e9tenez sur lui : devoir r\u00e9pondre que vous ne savez pas est plus g\u00eanant que la donn\u00e9e elle-m\u00eame.<\/p>\n

Le vrai probl\u00e8me n\u2019est jamais l\u2019outil de recrutement. Purger un ATS prend une requ\u00eate. Ce qui reste apr\u00e8s, c\u2019est la bo\u00eete mail du responsable RH avec quatre cents pi\u00e8ces jointes, le dossier partag\u00e9 \u00ab Recrutement 2022 \u00bb sur le drive, les PDF re\u00e7us par WhatsApp, l\u2019Excel de suivi avec les notes d\u2019entretien. Une politique qui ne traite pas ces quatre endroits ne prot\u00e8ge rien. Et si vous envisagez un tri automatis\u00e9 des candidatures, la dur\u00e9e de conservation devient centrale : voyez ce que nous \u00e9crivons sur la conformit\u00e9 CNDP des outils d\u2019IA au travail<\/a>.<\/p>\n

Logs, cookies et donn\u00e9es techniques suivent-ils les m\u00eames r\u00e8gles ?<\/h2>\n

Non, et c\u2019est heureux. Les journaux techniques servent une finalit\u00e9 de s\u00e9curit\u00e9 et d\u2019exploitation, pas une finalit\u00e9 commerciale. Six \u00e0 douze mois de logs applicatifs et de s\u00e9curit\u00e9 constituent la fourchette habituelle : assez pour investiguer un incident d\u00e9tect\u00e9 tardivement, trop peu pour constituer un historique de surveillance.<\/p>\n

Les traces qui suivent l\u2019activit\u00e9 des salari\u00e9s (acc\u00e8s VPN, consultation de dossiers, badge, t\u00e9l\u00e9phonie) changent de cat\u00e9gorie. Vous ne faites plus seulement de la protection des donn\u00e9es, vous touchez au contr\u00f4le de l\u2019activit\u00e9 : la finalit\u00e9 doit \u00eatre d\u00e9clar\u00e9e, les salari\u00e9s inform\u00e9s, la dur\u00e9e courte et l\u2019acc\u00e8s r\u00e9serv\u00e9 \u00e0 deux ou trois personnes nomm\u00e9es.<\/p>\n

C\u00f4t\u00e9 site web, le rep\u00e8re largement repris pour la dur\u00e9e de vie du consentement et des identifiants de traceurs est de treize mois. Les mesures d\u2019audience agr\u00e9g\u00e9es peuvent vivre plus longtemps, puisqu\u2019elles ne ciblent plus personne. Le d\u00e9tail des bandeaux et des mentions figure dans notre article sur la conformit\u00e9 CNDP d\u2019un site web marocain<\/a>.<\/p>\n

Et quand une autre loi impose dix ans ?<\/h2>\n

Ce n\u2019est pas une contradiction, c\u2019est une autre finalit\u00e9. Quand un texte comptable, fiscal ou social impose un archivage, l\u2019obligation prime sur l\u2019effacement, mais uniquement pour les documents concern\u00e9s et uniquement pour cet usage.<\/p>\n

La loi comptable marocaine impose de conserver les documents comptables et les pi\u00e8ces justificatives pendant dix ans. Factures, grand livre, relev\u00e9s : ils restent, et le d\u00e9lai de reprise de l\u2019administration fiscale se superpose \u00e0 ce socle. Pour la conservation des donn\u00e9es RH au Maroc, contrats, bulletins de paie, d\u00e9clarations sociales et registres obligatoires rel\u00e8vent du m\u00eame raisonnement : on les garde parce que le droit du travail et la CNSS peuvent les exiger, pas parce qu\u2019ils sont utiles. Faites confirmer chaque dur\u00e9e par votre expert-comptable et v\u00e9rifiez les textes applicables sur le site de la CNDP plut\u00f4t que de recopier un tableau europ\u00e9en.<\/p>\n

La distinction qui sauve beaucoup de temps : une facture n\u2019est pas une fiche client. Vous devez garder la facture dix ans, vous n\u2019avez pas \u00e0 garder dix ans les pr\u00e9f\u00e9rences marketing, l\u2019historique de navigation et les notes commerciales de la m\u00eame personne. Concr\u00e8tement, cela veut dire sortir l\u2019archivage l\u00e9gal du p\u00e9rim\u00e8tre vivant : un stockage froid, chiffr\u00e9, accessible \u00e0 la comptabilit\u00e9 et \u00e0 personne d\u2019autre, exclu des flux BI et de tout entra\u00eenement de mod\u00e8le.<\/p>\n

Comment purger sans casser les tableaux de bord ?<\/h2>\n

Une politique de conservation qui reste un document Word n\u2019est pas une politique. La purge donn\u00e9es CNDP se construit dans le pipeline, dans cet ordre.<\/p>\n

    \n
  1. Inventorier par finalit\u00e9, pas par table.<\/strong> Prospection, ex\u00e9cution de commande, support, recrutement, paie, s\u00e9curit\u00e9. Une m\u00eame table CRM porte souvent trois finalit\u00e9s avec trois dur\u00e9es diff\u00e9rentes.<\/li>\n
  2. Fixer deux valeurs par famille de donn\u00e9es<\/strong> : la dur\u00e9e, et surtout le point de d\u00e9part du compteur. C\u2019est le point de d\u00e9part qui est oubli\u00e9 neuf fois sur dix.<\/li>\n
  3. Choisir suppression ou anonymisation<\/strong> famille par famille, avant d\u2019\u00e9crire la moindre requ\u00eate. La d\u00e9cision est m\u00e9tier, pas technique.<\/li>\n
  4. Impl\u00e9menter la purge comme un job planifi\u00e9<\/strong>, jamais comme une action manuelle. Effacement logique, puis effacement physique apr\u00e8s quelques jours de s\u00e9curit\u00e9, avec une alerte si le volume supprim\u00e9 sort de l\u2019ordinaire.<\/li>\n
  5. Traiter les sauvegardes et les copies.<\/strong> Une purge en production ne vide ni les snapshots, ni les exports Excel sur les postes, ni la copie de la base dans l\u2019environnement de test. Fixez une r\u00e9tention de sauvegarde born\u00e9e et documentez-la.<\/li>\n
  6. Journaliser chaque purge<\/strong> : date, p\u00e9rim\u00e8tre, nombre d\u2019enregistrements, r\u00e8gle appliqu\u00e9e. C\u2019est la seule preuve exploitable le jour d\u2019un contr\u00f4le.<\/li>\n
  7. Nommer un responsable et une revue annuelle.<\/strong> Les finalit\u00e9s \u00e9voluent, les outils changent, la matrice doit suivre.<\/li>\n<\/ol>\n

    Testez toujours sur une copie avant la premi\u00e8re ex\u00e9cution. La r\u00e8gle la plus courante, supprimer si la derni\u00e8re commande a plus de trois ans, traite les comptes sans aucune commande comme datant de 1970 si la date nulle n\u2019est pas g\u00e9r\u00e9e. Une purge mal born\u00e9e efface des clients actifs, et une restauration de sauvegarde pour rattraper l\u2019erreur ram\u00e8ne justement ce que vous vouliez supprimer.<\/p>\n

    Qu\u2019est-ce qu\u2019on risque, concr\u00e8tement ?<\/h2>\n

    Les contr\u00f4les tombent rarement au hasard. Ils partent le plus souvent d\u2019une plainte : un candidat qui re\u00e7oit encore des messages deux ans apr\u00e8s son entretien, un ancien salari\u00e9, un client qui a demand\u00e9 la suppression et n\u2019a rien vu venir. La CNDP peut demander des explications, enjoindre de cesser un traitement et, selon la gravit\u00e9, engager les suites pr\u00e9vues par la loi 09-08, qui comporte des sanctions financi\u00e8res et, pour certains manquements, des suites p\u00e9nales. Les montants figurent dans le texte : consultez-les sur le site de la CNDP plut\u00f4t que de vous fier \u00e0 un chiffre entendu en r\u00e9union.<\/p>\n

    Le co\u00fbt le plus fr\u00e9quent est pourtant commercial. Un grand compte ou un partenaire europ\u00e9en vous enverra un questionnaire de due diligence o\u00f9 la dur\u00e9e de conservation figure noir sur blanc. Et un projet CRM ou BI ralentit toujours quand la question n\u2019a pas \u00e9t\u00e9 tranch\u00e9e, parce que personne ne veut migrer dans un nouvel outil des donn\u00e9es qu\u2019il faudra ensuite justifier. D\u00e9cider les dur\u00e9es au cadrage prend quelques jours. Les d\u00e9cider apr\u00e8s la mise en production devient un chantier de reprise d\u2019historique.<\/p>\n

    Trancher les dur\u00e9es avant de construire le pipeline<\/h2>\n

    Arrowlancer construit des pipelines, des tableaux de bord et des travaux de qualit\u00e9 de donn\u00e9es pour des entreprises marocaines, et la matrice de r\u00e9tention fait partie du cadrage : dur\u00e9es par famille, point de d\u00e9part des compteurs, r\u00e8gles de purge automatique, anonymisation des historiques pour la BI, journal des suppressions. Si un projet CRM, BI ou IA se pr\u00e9pare chez vous et que la question des dur\u00e9es reste ouverte, regardez nos services data<\/a> puis \u00e9crivez-nous<\/a> avec deux lignes sur vos sources de donn\u00e9es actuelles.<\/p>\n","protected":false},"excerpt":{"rendered":"

    La loi 09-08 ne donne pas de dur\u00e9e chiffr\u00e9e, mais elle interdit de garder les donn\u00e9es ind\u00e9finiment. Voici les dur\u00e9es \u00e0 retenir par type de donn\u00e9e, et comment purger.<\/p>\n","protected":false},"author":0,"featured_media":177,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[43,126,654,249,652],"class_list":["post-175","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized","tag-cndp","tag-data","tag-duree-de-conservation","tag-loi-09-08","tag-protection-des-donnees"],"_links":{"self":[{"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/posts\/175","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/comments?post=175"}],"version-history":[{"count":1,"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/posts\/175\/revisions"}],"predecessor-version":[{"id":178,"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/posts\/175\/revisions\/178"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/media\/177"}],"wp:attachment":[{"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/media?parent=175"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/categories?post=175"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/arrowlancer.ma\/blog\/wp-json\/wp\/v2\/tags?post=175"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}