Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données a caractère personnel

L’informatique est au service du citoyen et évolue dans le cadre de la coopération internationale. Elle ne doit pas porter atteinte à l’identité, aux droits et aux libertés collectives ou individuelles de l’Homme. Elle ne doit pas constituer un moyen de divulguer des secrets de la vie privée des citoyens.

Pour l’application de la présente loi, on entend par :

1. « données à caractère personnel » : toute information, de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, concernant une personne physique identifiée ou indentifiable, dénommée ci après «personne concernée ».

Est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques de son identité physique, physiologique, génétique, psychique, économique, culturelle ou social ;

2. « traitement de données à caractère personnel » («traitement ») : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification , l’extraction, la consultation, l’utilisation , la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction ;

3. « données sensibles » : données à caractère personnel qui relèvent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale de la personne concernée ou qui sont relatives à sa santé y compris ses données génétiques ;

4. « fichier de données à caractère personnel » (« fichier ») : tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique, tels que les archives, les banques de données, les fichiers de recensement ;

5. « responsable du traitement » : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel. Lorsque les finalités et les moyens du traitement sont déterminés par des dispositions législatives ou réglementaires, le responsable du traitement doit être indiqué dans la loi d’organisation et de fonctionnement ou dans le statut de l’entité légalement ou statutairement compétente pour traiter les données à caractères personnel en cause ;

6. « sous-traitant » : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;

7. « tiers » : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, placées sous l’autorité directe du responsable du traitement ou du sous- traitant, sont habilitées à traiter les données ;

8. « destinataire» : la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données, qu’il s’agisse ou non d’un tiers. Les organismes qui sont susceptibles de recevoir communication de données dans le cadre d’une disposition légale ne sont pas considérées comme destinataires, notamment la Commission nationale de contrôle de la protection des données à caractère personnel instituée à l’article 27 ci-après et dénommée la Commission nationale² ;

9. « consentement de la personne concernée » : toute manifestation de volonté, libre, spécifique et informée, par laquelle la personne concernée accepte que les données à caractère personnel la concernant fassent l’objet d’un traitement ;

10. « cession ou communication » : toute divulgation ou information d’une donnée portée à la connaissance d’une personne autre que la personne concernée ;

11. « interconnexion de données » : forme de traitement qui consiste à établir un rapport entre les données d’un fichier et les données d’un fichier ou de plusieurs fichiers tenus par un autre ou par d’autres responsables, ou tenus par le même responsable mais dans un autre but.

1. La présente loi s’applique au traitement des données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans des fichiers manuels ;

2. La présente loi s’applique au traitement des données à caractère personnel répondant à la définition du paragraphe 1 ci-dessus :

1. a)lorsqu’il est effectué par une personne physique ou morale dont le responsable est établi sur le territoire marocain. Le responsable d’un traitement qui exerce une activité sur le territoire marocain dans le cadre d’une installation, quelle que soit sa forme juridique, y est considéré comme établi ;
2. b)lorsque le responsable n’est pas établi sur le territoire marocain mais recourt, à des fins de traitement des données à caractère personnel, à des moyens automatisés ou non, situés sur le territoire marocain, à l’exclusion des traitements qui ne sont utilisés qu’à des fins de transit sur le territoire national ou sur celui d’un Etat dont la législation est reconnue équivalente à celle du Maroc en matière de protection des données à caractères personnel ;

3. Dans le cas visé au b du paragraphe 2 ci dessus, le responsable du traitement doit notifier à la Commission nationale, d’identité d’un représentant installé au Maroc, qui sans préjudice de sa responsabilité personnelle, se substitue à lui dans tous ses droits et obligations résultant des dispositions de la présente loi et des textes pris pour son application ;

4. La présente loi ne s’applique pas :

1. –au traitement de données à caractère personnel effectué par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques ;
2. –aux données à caractère personnel recueillies et traitées dans l’intérêt de la défense nationale et de la sécurité intérieure ou extérieure de l’Etat. Elle ne s’applique aux données à caractère personnel recueillies et traitées à des fins de prévention et de répression des crimes et délits que dans les conditions fixées par la loi ou le règlement qui crée le fichier en cause ; ce règlement précise le responsable du traitement, la condition de légitimité du traitement, la ou les finalités du traitement, la ou les catégories de personnes concernées et les données ou les catégories de données s’y rapportant, l’origine de ces données, les tiers ou les catégories de tiers auxquels ces données peuvent être communiquées et les mesures à prendre pour assurer la sécurité du traitement. Il est soumis à l’avis préalable de la Commission nationale ;
3. –aux données à caractère personnel recueillies en application d’une législation particulière. Les projets ou propositions de loi portant création de fichiers relatifs aux données précitées sont communiqués à la Commission nationale en précisant l’autorité responsable du fichier, la ou les finalités du traitement, la ou les catégories de personnes concernées et les données ou les catégories de données s’y rapportant, l’origine de ces données, les tiers ou les catégories de tiers auxquels ces données peuvent être communiquées et les mesures à prendre pour assurer la sécurité du traitement .

1. Les données à caractère personnel doivent être :

1. a)traitées loyalement et licitement ;
2. b)collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités ;
3. c)adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;
4. d)exactes et, si nécessaires, mises à jour. Toute les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;
5. e)conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédent pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement.

2. Sur demande du responsable du traitement et, s’il existe un intérêt légitime, la Commission nationale peut autoriser la conservation de données à caractère personnel à des fins historiques, statistiques ou scientifiques au-delà de la période citée au e) du paragraphe précédent ;

3. Il incombe au responsable du traitement d’assurer le respect des dispositions des paragraphes qui précèdent, sous le contrôle de la Commission nationale.