# Article 21

de [Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données a caractère personnel](https://madda.ma/fr/loi-09-08)

CHAPITRE III: DES OBLIGATIONS DES RESPONSABLES DU TRAITEMENT › Section 2: Autorisation préalable

1. Le traitement des données sensibles est subordonné à une autorisation de la loi qui en fixe les conditions. A défaut, il doit être autorisé par la Commission nationale ;

2. Cette autorisation est accordée au vu du consentement exprès de la personne concernée ou lorsque le traitement des données est indispensable à l’exercice des fonctions légales ou statutaires du responsable du traitement ;

3. Outre l’ordre de la loi, le consentement exprès de la personne concernée ou l’obligation légale ou statutaire du responsable, l’autorisation préalablede la Commission nationale peut également être accordée dans les cas où :

- a) le traitement est nécessaire à la défense d’intérêts vitaux de la personne concernée ou d’une autre personne et si la personne concernée se trouve dans l’incapacité physique ou juridique de donner son consentement ;
- b) le traitement porte sur des données manifestement rendues publiques par la personne concernée et que son consentement au traitement des données peut légitimement être déduit de ses déclarations ;
- c) le traitement est nécessaire à la reconnaissance, l’exercice ou la défense d’un droit en justice et est effectué exclusivement à cette fin.


---

[17] Voir article 27 du décret n° 2-09.165, précité. Article 27: « En application de l'article 21 de la loi n° 09-08 susvisée, les demandes d'autorisations préalables doivent préciser : 1) l'identité et l'adresse du responsable du traitement ou, si celui-ci n'est pas établi sur le territoire national, celles de son représentant dûment mandaté ; 2) la ou les finalités du traitement envisagé ainsi que sa dénomination et ses caractéristiques ; 3) les interconnexions envisagées ou toutes autres formes de mise en relation avec d'autres traitements ; 4) les données à caractère personnel traitées, leur origine et les catégories de personnes concernées par le traitement ; 5) la durée de conservation des informations traitées ; 6) le ou les services chargés de mettre en œuvre le traitement ainsi que les catégories de personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accès aux données enregistrées ; 7) les destinataires habilités à recevoir communication des données ; 8) la fonction de la personne ou le service auprès duquel s'exerce le droit d'accès ; 9) les dispositions prises pour assurer la sécurité des traitements et des données ; 10) l'indication du recours à un sous-traitant ; 11) les transferts de données à caractère personnel envisagés à destination d'un pays étranger. Le responsable d'un traitement déjà déclaré ou autorisé introduit une nouvelle demande auprès de la CNDP, en cas de changement affectant les informations mentionnées à l'alinéa précédent. En outre, il doit informer la CNDP en cas de suppression du traitement.»

> Référence: Article 21, Loi n° 09-08 — madda.ma
>
> - URL: https://madda.ma/fr/loi-09-08/21
> - Article: Article 21
> - Texte: Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données a caractère personnel
> - Numéro: 09-08
> - Version officielle (PDF): https://adala.justice.gov.ma/api/uploads/2024/04/30/Protection%20des%20personnes%20physiques-1714464099884.pdf

Texte repris du portail Adala du ministère de la Justice. Pas un conseil juridique.