Donnes personnelles

DONNEES PERSONNELLES

Dahir n 1-09-15 du 22 safar 1430 portant promulgation de la loi n 09-

08 relative la protection des personnes physiques l'gard du
traitement des donnes caractre personnel. (B.O. n 5714 du 5
mars 2009)........................................................................................................ 2
Dcret n 2-09-165 du 25 joumada I 1430 pris pour l'application de la
loi n 09-08 relative la protection des personnes physiques l'gard
des traitements des donnes caractre personnel. (B.O. n 5744 du
18 juin 2009).................................................................................................. 21

1
Donnes personnelles

Dahir n 1-09-15 du 22 safar 1430 portant promulgation de la loi n 09-08

relative la protection des personnes physiques l'gard du traitement
des donnes caractre personnel. (B.O. n 5714 du 5 mars 2009).

Vu la Constitution, notamment ses articles 26 et 58,

Est promulgue et sera publie au Bulletin officiel, la suite du prsent dahir, la loi n 09-08
relative la protection des personnes physiques l'gard du traitement des donnes caractre
personnel, telle qu'adopte par la Chambre des reprsentants et la Chambre des conseillers.

*
**
Loi n 09-08 relative la protection des personnes physiques l'gard du
traitement des donnes caractre personnel

Chapitre premier : Dispositions gnrales

Section premire : Dfinitions et champ d'application

Article premier :
L'informatique est au service du citoyen et volue dans le cadre de la coopration internationale.
Elle ne doit pas porter atteinte l'identit, aux droits et aux liberts collectives ou individuelles de
l'Homme. Elle ne doit pas constituer un moyen de divulguer des secrets de la vie prive des
citoyens.

Pour l'application de la prsente loi, on entend par :

1. " donnes caractre personnel " : toute information, de quelque nature qu'elle soit et
indpendamment de son support, y compris le son et l'image, concernant une personne physique
identifie ou identifiable, dnomme ci-aprs " personne concerne ".

Est rpute identifiable une personne qui peut tre identifie, directement ou indirectement,
notamment par rfrence un numro d'identification ou un ou plusieurs lments spcifiques de
son identit physique, physiologique, gntique, psychique, conomique, culturelle ou sociale ;

2. " traitement de donnes caractre personnel " (" traitement ") : toute opration ou
ensemble d'oprations effectues ou non l'aide de procds automatiss et appliques des
donnes caractre personnel, telles que la collecte, l'enregistrement, l'organisation, la
conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la
communication par transmission, diffusion ou toute autre forme de mise disposition, le
rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction ;

3. " donnes sensibles " : donnes caractre personnel qui rvlent l'origine raciale ou
ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance
syndicale de la personne concerne ou qui sont relatives sa sant y compris ses donnes
gntiques ;

4. " fichier de donnes caractre personnel" (" fichier ") : tout ensemble structur de donnes
caractre personnel accessibles selon des critres dtermins, que cet ensemble soit centralis,
dcentralis ou rparti de manire fonctionnelle ou gographique, tels que les archives, les
banques de donnes, les fichiers de recensement ;

2
Donnes personnelles

5. " responsable du traitement" : la personne physique ou morale, l'autorit publique, le service

ou tout autre organisme qui, seul ou conjointement avec d'autres, dtermine les finalits et les
moyens du traitement de donnes caractre personnel. Lorsque les finalits et les moyens du
traitement sont dtermins par des dispositions lgislatives ou rglementaires, le responsable du
traitement doit tre indiqu dans la loi d'organisation et de fonctionnement ou dans le statut de
l'entit lgalement ou statutairement comptente pour traiter les donnes caractre personnel en
cause ;

6. " sous-traitant " : la personne physique ou morale, l'autorit publique, le service ou tout autre
organisme qui traite des donnes caractre personnel pour le compte du responsable du
traitement ;

7. " tiers " : la personne physique ou morale, l'autorit publique, le service ou tout autre organisme
autre que la personne concerne, le responsable du traitement, le sous-traitant et les personnes
qui, places sous l'autorit directe du responsable du traitement ou du sous-traitant, sont habilites
traiter les donnes ;

8. " destinataire " : la personne physique ou morale, l'autorit publique, le service ou tout autre
organisme qui reoit communication de donnes, qu'il s'agisse ou non d'un tiers. Les organismes
qui sont susceptibles de recevoir communication de donnes dans le cadre d'une disposition lgale
ne sont pas considres comme destinataires, notamment la Commission nationale de contrle de
la protection des donnes caractre personnel institue l'article 27 ci-aprs et dnomme la
Commission nationale ;

9. " consentement de la personne concerne " : toute manifestation de volont, libre,

spcifique et informe, par laquelle la personne concerne accepte que les donnes caractre
personnel la concernant fassent l'objet d'un traitement ;

10. " cession ou communication " : toute divulgation ou information d'une donne porte la
connaissance d'une personne autre que la personne concerne ;

11. " interconnexion de donnes " : forme de traitement qui consiste tablir un rapport entre
les donnes d'un fichier et les donnes d'un fichier ou de plusieurs fichiers tenus par un autre ou
par d'autres responsables, ou tenus par le mme responsable mais dans un autre but.

Article 2 :
1. La prsente loi s'applique au traitement des donnes caractre personnel, automatis en tout
ou en partie, ainsi qu'au traitement non automatis de donnes caractre personnel contenues
ou appeles figurer dans des fichiers manuels ;

2. La prsente loi s'applique au traitement des donnes caractre personnel rpondant la

dfinition du paragraphe 1 ci-dessus :

a) lorsqu'il est effectu par une personne physique ou morale dont le responsable est tabli sur le
territoire marocain. Le responsable d'un traitement qui exerce une activit sur le territoire marocain
dans le cadre d'une installation, quelle que soit sa forme juridique, y est considr comme tabli ;

b) lorsque le responsable n'est pas tabli sur le territoire marocain mais recourt, des fins de
traitement des donnes caractre personnel, des moyens automatiss ou non, situs sur le
territoire marocain, l'exclusion des traitements qui ne sont utiliss qu' des fins de transit sur le
territoire national ou sur celui d'un Etat dont la lgislation est reconnue quivalente celle du
Maroc en matire de protection des donnes caractre personnel ;

3. Dans le cas vis au b du paragraphe 2 ci-dessus, le responsable du traitement doit notifier la

Commission nationale, l'identit d'un reprsentant install au Maroc qui, sans prjudice de sa
responsabilit personnelle, se substitue lui dans tous ses droits et obligations rsultant des

3
Donnes personnelles

dispositions de la prsente loi et des textes pris pour son application ;

4. La prsente loi ne s'applique pas :

- au traitement de donnes caractre personnel effectu par une personne physique pour
l'exercice d'activits exclusivement personnelles ou domestiques ;

- aux donnes caractre personnel recueillies et traites dans l'intrt de la dfense nationale et
de la scurit intrieure ou extrieure de l'Etat. Elle ne s'applique aux donnes caractre
personnel recueillies et traites des fins de prvention et de rpression des crimes et dlits que
dans les conditions fixes par la loi ou le rglement qui cre le fichier en cause ; ce rglement
prcise le responsable du traitement, la condition de lgitimit du traitement, la ou les finalits du
traitement, la ou les catgories de personnes concernes et les donnes ou les catgories de
donnes s'y rapportant, l'origine de ces donnes, les tiers ou les catgories de tiers auxquels ces
donnes peuvent tre communiques et les mesures prendre pour assurer la scurit du
traitement. Il est soumis l'avis pralable de la Commission nationale ;

- aux donnes caractre personnel recueillies en application d'une lgislation particulire. Les
projets ou propositions de loi portant cration de fichiers relatifs aux donnes prcites sont
communiqus la Commission nationale en prcisant l'autorit responsable du fichier, la ou les
finalits du traitement, la ou les catgories de personnes concernes et les donnes ou les
catgories de donnes s'y rapportant, l'origine de ces donnes, les tiers ou les catgories de tiers
auxquels ces donnes peuvent tre communiques et les mesures prendre pour assurer la
scurit du traitement.

Section 2 : Qualit des donnes et consentement pralable de la personne

concerne

Article 3 :
1. Les donnes caractre personnel doivent tre :

a) traites loyalement et licitement ;

b) collectes pour des finalits dtermines explicites et lgitimes, et ne pas tre traites
ultrieurement de manire incompatible avec finalits ;

c) adquates, pertinentes et non excessives, au regard des finalits pour lesquelles elles sont
collectes, et pour lesquelles, elles sont traites ultrieurement ;

d) exactes et, si ncessaire, mises jour. Toutes les mesures raisonnables doivent tre prise, pour
que les donnes, inexactes, ou incompltes, au regard des finalits pour lesquelles elles, sont
collectes et pour lesquelles elles sont traites ultrieurement, soient effaces ou rectifies ;

e) conserves sous, me forme permettant l'identification des personnes concernes pendant une
dure n'excdant pas celle ncessaire la ralisation des finalits pour lesquelles elles sont
collectes et pour lesquelles elles sont traites ultrieurement.

2. Sur demande du responsable du traitement et, s'il existe un intrt lgitime, la Commission
nationale peut autoriser la conservation de donnes, caractre personnel des fins historiques,
statistique, ou scientifique au-del de la priode, cite au e) du paragraphe prcdent ;

3. Il incombe au responsable du traitement d'assurer le respect des dispositions des paragraphes

qui prcdent, sous le contrle de la Commission nationale.

Article 4 :
Le traitement des donnes, caractre personnel ne peut tre effectu que si la personne

4
Donnes personnelles

concerne a indubitablement donn son consentement l'opration ou l'ensemble des oprations

envisages.

Les donnes caractre personnel objet du traitement ne peuvent tre communiques un tiers
que pour la ralisation de fins, directement lies aux fonctions du cdant et du cessionnaire et sous
rserve du consentement du pralable, de la personne concerne.

Toutefois, ce consentement n'est pas exig si le traitement est ncessaire :

a) au respect d'une obligation lgale laquelle est soumis(e) la personne concerne ou le

responsable du traitement ;

b) l'excution d'un contrat auquel la personne concerne, est partie ou l'excution de mesures
prcontractuelles prises la demande de celle-ci ;

c) la sauvegarde d'intrts vitaux de la personne concerne, si elle est physiquement ou

juridiquement dans l'incapacit de donner son consentement ;

d) l'excution d'une mission d'intrt public ou relevant de l'exercice de l'autorit publique, dont
est investi le responsable du traitement ou le tiers auquel les donnes sont communiques ;

e) la ralisation de l'intrt lgitime poursuivi par le responsable du traitement ou par le

destinataire, sous rserve de ne pas mconnatre l'intrt ou les droits et liberts fondamentaux de
la personne concerne.

Chapitre II : Des droits de la personne concerne

Article 5 : Droit l'information lors de la collecte des donnes

1. Toute personne sollicite directement, en vue d'une collecte de ses donnes personnelles, doit
tre pralablement informe de manire expresse, prcise et non quivoque par le responsable du
traitement ou son reprsentant, sauf si elle en a dj eu connaissance, des lments suivants :

a) l'identit du responsable du traitement et, le cas chant, de son reprsentant ;

b) les finalits du traitement auquel les donnes sont destines ;

c) toute information, supplmentaires telles que :

* les destinataires ou les catgories de destinataires ;

* le fait de savoir si la rponse aux questions, est obligatoire ou facultative, ainsi que les
consquences ventuelles d'un dfaut de rponse ;

* l'existence d'un droit d'accs aux donnes caractre personnel la concernant et de rectification
de ces donnes, dans la mesure o, compte tenu des circonstances particulires dans lesquelles les
donnes sont collectes, ces informations, sont ncessaires pour assurer un traitement loyal des
donnes l'gard de la personne, concerne ;

d) les caractristiques du rcpiss de la dclaration auprs de la Commission nationale ou celles

de l'autorisation dlivre par ladite commission ;

2. Les documents qui servent de base la collecte des donnes caractre personnel doivent
contenir les informations vises au paragraphe prcdent ;

3. Lorsque les donnes, caractre personnel n'ont pas t collectes auprs de la personne
concerne, le responsable du traitement ou son reprsentant doit, avant l'enregistrement des
donnes ou si une communication de donnes un tiers est envisage, au plus tard lors de la
premire communication de donnes, fournir la personne concerne au moins les informations

5
Donnes personnelles

vises aux a), b) et c) ci-dessus, sauf si la personne en a dj eu connaissance.

4. En cas de collecte de donnes, en rseaux, ouverts, la personne concerne doit tre informe,
sauf si elle sait dj que les donnes caractre personnel la concernant peuvent circuler sur les
rseaux sans garanties de scurit et qu'elles risquent d'tre lues et utilises, par des tiers non
autoriss.

Article 6 : Limites au droit l'information

L'obligation d'information prvue l'article 5 ci-dessus n'est pas applicable :

a) aux donnes caractre personnel dont la collecte et le traitement sont ncessaires la dfense
nationale, la sret intrieure ou extrieure de l'Etat, la prvention ou la rpression du crime ;

b) lorsque l'information de la personne concerne se rvle impossible, notamment en cas de

traitement de donnes caractre personnel des fins statistiques, historiques ou scientifiques.
Dans ce cas, le responsable du traitement est tenu d'aviser la Commission de l'impossibilit
d'informer la personne concerne et de lui prsenter le motif de cette impossibilit ;

c) si la lgislation prvoit expressment l'enregistrement ou la communication des donnes

caractre personnel ;

d) au traitement de donnes caractre personnel effectues des fins exclusivement

journalistiques, artistiques ou littraires.

Article 7 : Droit d'accs

La personne concerne, justifiant de son identit, a le droit d'obtenir du responsable du traitement,
des intervalles raisonnables, sans dlais et gratuitement :

a) la confirmation que les donnes caractre personnel la concernant sont ou ne sont pas
traites, ainsi que des informations portant au moins sur les finalits du traitement, les catgories
de donnes sur lesquelles il porte, et les destinataires ou les catgories de destinataires auxquels
les donnes caractre personnel sont communiques ;

b) la communication, sous une forme intelligible, des donnes, caractre personnel faisant l'objet
des traitements, ainsi que de toute information disponible sur l'origine des donnes.

Le responsable du traitement peut demander la Commission nationale des dlais de rponses aux
demandes d'accs lgitimes et peut s'opposer aux demandes manifestement abusives,
notamment, par leur nombre et leur caractre rptitif.

En cas d'opposition, la charge de la preuve du caractre manifestement abusif, incombe au

responsable du traitement auprs duquel ces demandes ont t faites.

c) la connaissance de la logique qui sous-tend tout traitement automatis des donnes caractre
personnel la concernant.

Article 8 : Droit de rectification

La personne concerne, justifiant de son identit, a le droit d'obtenir du responsable du traitement :

a) l'actualisation, la rectification, l'effacement ou le verrouillage des donnes caractre personnel

dont le traitement n'est pas conforme la prsente loi, notamment en raison du caractre
incomplet et inexact de ces donnes ; le responsable du traitement est tenu de procder aux
rectifications ncessaires sans frais pour le demandeur et ce, dans un dlai franc de dix jours.

En cas de refus ou de non rponse dans le dlai prcit, la personne concerne peut introduire une

6
Donnes personnelles

demande de rectification auprs de la Commission nationale, laquelle charge l'un de ses membres
l'effet de mener toutes investigations utiles et faire procder aux rectifications ncessaires, dans
les plus brefs dlais.

La personne concerne est tenue informe des suites rserves sa demande ;

b) la notification aux tiers auxquels les donnes caractre personnel ont t communiques de
toute actualisation, toute rectification, tout effacement ou tout verrouillage effectu conformment
au point a) ci-dessus, si cela ne s'avre pas impossible.

Article 9 : Droit d'opposition

La personne concerne, justifiant de son identit, a le droit de s'opposer, pour des motifs lgitimes,
ce que des donnes la concernant la fassent l'objet d'un traitement.

Elle a le droit de s'opposer, sans frais, ce que les donnes la concernant soient utilises des fins
de prospection, notamment commerciale, par le responsable actuel du traitement ou celui d'un
traitement ultrieur.

Les dispositions du premier alina ne s'appliquent pas lorsque le traitement rpond une obligation
lgale ou lorsque l'application de ces dispositions a t carte, par me disposition expresse de
l'acte autorisant de traitement.

Article 10 : Interdiction de la prospection directe

Est interdite la prospection directe au moyen d'un automate d'appel, d'un tlcopieur ou d'un
courrier lectronique ou d'un, moyen employant une technologie de mme nature qui utilise, sous
quelque forme que ce soit, les coordonnes d'une personne physique qui n'a pas exprim son
consentement pralable recevoir de, prospections directes par ce moyen.

Pour l'application du prsent article, on entend par consentement toute manifestation de volont
libre, spcifique et informe par laquelle une personne accepte que des donnes caractre
personnel la concernant soient utilises des fins de prospection directe.

Constitue une prospection directe l'envoi de tout message destin promouvoir, directement ou
indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant
des services.

Toutefois, la prospection directe par courrier lectronique est autorise si les coordonnes du
destinataire ont t recueillies directement auprs de lui, dans le respect des dispositions de la
prsente loi, l'occasion d'une vente ou d'une prestation de services, si la prospection directe
concerne des produits ou service analogues fournis par la mme personne physique ou morale, et
si le destinataire se voit offrir, de manire expresse, dnue d'ambigut et simple, la possibilit de
s'opposer, sans frais, hormis ceux lis la transmission du refus, l'utilisation de ses coordonnes
lorsque celles-ci sont recueillies et chaque foi, qu'un courrier lectronique de prospection lui est
adress.

Dans tous les cas, il est interdit d'mettre, des fins de prospection directe, des messages an
moyen d'automates d'appel, tlcopieurs et courriers lectroniques, sans indiquer de coordonnes
valables auxquelles le destinataire puisse utilement transmettre une demande tendant obtenir
que ces communications, cessent sans frais autres que ceux lis la transmission de celle-ci.

Il est galement interdit de dissimuler l'identit de la personne pour le compte de laquelle la

communication est mise et de mentionner un objet sans rapport avec la prestation ou le service
propos.

Article 11 : Neutralit des effets

7
Donnes personnelles

Aucune dcision de justice impliquant une apprciation sur le comportement d'une personne ne
peut avoir pour fondement un traitement automatis de donnes caractre personnel destin
valuer certains aspects de sa personnalit.

Aucune autre dcision produisant des effets juridiques l'gard d'une personne ne peut tre prise
sur le seul fondement d'un traitement automatis de donnes destin dfinir le profil de
l'intress ou valuer certains aspects de sa personnalit.

Ne sont pas considres comme prises sur le seul fondement d'un traitement automatis les
dcisions prises dans le cadre de la conclusion ou de l'excution d'un contrat et pour lesquelles la
personne concerne a t mise mme de prsenter ses observations, ni celles satisfaisant les
demandes de la personne concerne.

Chapitre III : Des obligations des responsables du traitement

Article 12 :
Sauf dispositions lgislatives particulires, le traitement de donnes caractre personnel doit faire
l'objet :

1. d'une autorisation pralable lorsque les traitements concernent :

a) les donnes sensibles vis l'alina 3 de l'article premier ci-dessus.

Toutefois, sont dispenss de ladite autorisation les traitements mis en oeuvre par association ou
tout autre groupement but non lucratif et caractre religieux, philosophique, politique, syndical,
culturel ou sportif :

- pour les seules donnes qui rvlent l'une ou plusieurs des caractristiques vises au paragraphe
3 de l'article premier ci-dessus et correspondant l'objet de ladite association ou dudit groupement
;

- sous, rserve que les donnes ne concernent que les membres de cette association ou de ce
groupement et, le cas chant, les personnes qui entretiennent avec celui-ci des contacts rguliers
dans le cadre de son activit ;

- et qu'ils ne portent que sur des donnes non communiques des tiers, moins que les
personnes concernes n'y consentent expressment et que le groupement puisse fournir la preuve
de ce consentement premire requte de l'autorit comptente ;

b) l'utilisation de donnes caractre personnel d'autres fins que celles pour lesquelles elles ont
t collectes ;

c) des donnes gntiques, l'exception de ceux mis en oeuvre par des personnels de sant et qui
rpondent des fins mdicales, qu'il s'agisse de la mdecine prventive, des diagnostics ou des
soins ;

d) des donnes portant sur les infractions, condamnations ou mesures de sret, l'exception de
ceux mis en oeuvre par les auxiliaires de justice ;

e) des donnes comportant le numro de la carte d'identit national de la personne concerne ;

f) l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales grant un service

public et dont les finalits d'intrt public sont diffrentes ou l'interconnexion de fichiers relevant
d'autres personnes morales et dont les finalits principales sont diffrentes.

2. d'une dclaration pralable dans les autre cas.

8
Donnes personnelles

Section premire : Dclaration pralable

Article 13 :
La dclaration pralable prvue l'article 12 ci-dessus, qui comporte l'engagement que le
traitement sera effectu conformment aux dispositions de la prsente loi, est dpose auprs de
la Commission national dans les conditions prvues la prsente section.

Cette dclaration a pour objet de permettre la Commission national d'exercer les comptences
qui lui sont dvolue par la prsente loi, afin de contrler le respect de ses dispositions et d'assurer
la publicit du traitement des donnes personnelles.

Article 14 :
Le responsable du traitement ou, le cas chant, son reprsentant doit adresser une dclaration
la Commission nationale pralablement la mise en oeuvre d'un traitement entirement ou
partiellement automatis ou d'un ensemble de tels traitements ayant une mme finalit ou de,
finalits lies.

Article 15 :
La dclaration prvue l'article 12 ci-dessus doit comprendre :

a) le nom et l'adresse du responsable du traitement et, le cas chant, de son reprsentant ;

b) la dnomination, les caractristiques et la ou les finalits du traitement envisag ;

c) une description de la ou des catgories de personnes concernes et des donnes ou des

catgories de donnes caractre personnel s'y rapportant ;

d) les destinataires, ou les catgories de destinataires auxquels les donnes sont susceptibles
d'tre communiques ;

e) les transferts de donnes envisags destination d'Etats trangers ;

f) la dure de conservation des donnes ;

g) le service auprs duquel la personne concerne pourra exercer, le cas chant, les droits qui lui
sont reconnus par les dispositions de la prsente loi, ainsi que les mesures prises pour faciliter
l'exercice de ceux-ci ;

h) une description gnrale permettant d'apprcier de faon prliminaire le caractre appropri des
mesures prises pour assurer la confidentialit et la scurit du traitement en application des
dispositions des articles 23 et 24 ci-dessous ;

i) les recoupements, les interconnexions, ou toutes autres formes de rapprochement des donnes
ainsi que leur cession, sous-traitance, sous toute forme, des tiers, titre gratuit ou onreux.

Toute modification aux informations ci-dessus et toute suppression de traitement doivent tre
portes, sans dlai, la connaissance de la Commission nationale.

En cas de cession d'un fichier de donnes, le cessionnaire est tenu de remplir les formalits de
dclaration prvues par la prsente loi.

Les modalits de la dclaration la Commission nationale des changements affectant les

informations vises l'alina ci-dessus sont fixes par le gouvernement, aprs avis de ladite
commission.

Article 16 :

9
Donnes personnelles

La Commission nationale fixe la liste des catgories de traitements de donnes caractre

personnel qui, compte tenu des donnes traiter, ne sont pas susceptibles de porter atteinte aux
droits et liberts des personnes concerns, et pour lesquelles la dclaration doit prciser
uniquement les lments prvus aux b), c), d), e) et f) de l'article 15 ci-dessus.

La dcision de la Commission nationale est soumise homologation du gouvernement.

Article 17 :
La Commission nationale fixe la liste des traitements non automatiss de donnes caractre
personnel qui peuvent faire l'objet d'une dclaration simplifie, dont elle prcise les lments par
une dcision homologue par le gouvernement.

Article 18 :
L'obligation de dclaration ne s'applique pas aux traitements ayant pour seul objet la tenue d'un
registre qui est, en vertu de dispositions lgislatives ou rglementaires, destine l'information du
public et ouvert la consultation du public ou de toute personne justifiant d'un intrt lgitime.

Toutefois, dans ce cas, il doit tre dsign un responsable du traitement des donnes dont l'identit
est rendue publique et notifie la Commission nationale et qui est responsable de l'application
des dispositions du chapitre II de la prsente loi vis--vis des personnes concernes.

Le responsable du traitement dispens de dclaration doit communiquer toute personne qui en

fait la demande les informations relatives la dnomination et la finalit du traitement,
l'identit du responsable, aux donnes traites, leurs destinataires et, le cas chant, aux
transferts envisags destination de l'changer.

La Commission national fixe la liste des traitements rpondant la dfinition prvue ci-dessus par
une dcision soumise l'homologation du gouvernement.

Article 19 :
La Commission nationale dlivre, dans un dlai de 24 heures courant compter de la date du dpt
de la dclaration un rcpiss de ladite dclaration, dont les caractristiques doivent figurer dans
toutes les oprations de collecte ou de transmission des donnes. Le responsable du traitement
peut mettre ledit traitement en oeuvre ds rception dudit rcpiss.

Article 20 :
Lorsqu'il apparat la Commission nationale, l'examen de la dclaration qui lui est fournie, que le
traitement envisag prsente des dangers manifestes pour le respect et la protection de la vie
prive et des liberts et droits fondamentaux des personnes l'gard du traitement dont ces
donnes font l'objet ou peuvent faire l'objet, elle dcide de soumettre ledit traitement au rgime
d'autorisation pralable prvu ci-aprs.

Sa dcision, motive, est notifie au dclarant dans les huit jours suivant celui du dpt de la
dclaration.

Section 2 : Autorisation pralable

Article 21 :
1. Le traitement des donnes sensibles est subordonn une autorisation de la loi qui en fixe les
conditions. A dfaut, il doit tre autoris par la Commission nationale ;

2. Cette autorisation est accorde au vu du consentement exprs de la personne concerne ou

lorsque le traitement des donnes est indispensable l'exercice des fonctions lgales ou statutaires

10
Donnes personnelles

du responsable du traitement ;

3. Outre l'ordre de la loi, le consentement exprs de la personne concerne ou l'obligation lgale ou

statutaire du responsable, l'autorisation pralable de la Commission nationale peut galement tre
accorde dans les cas o :

a) le traitement est ncessaire la dfense d'intrts vitaux de la personne concerne ou d'une

autre personne et si la personne concerne se trouve dans l'incapacit physique ou juridique de
donner son consentement ;

b) le traitement porte sur des donnes manifestement rendues publiques par la personne
concerne et que son consentement au traitement des donnes peut lgitimement tre dduit de
ses dclarations ;

c) le traitement est ncessaire la reconnaissance, l'exercice ou la dfense d'un droit en justice et

est effectu exclusivement cette fin.

Article 22 :
Par drogation aux dispositions de l'article 21 ci-dessus, le traitement des donnes relatives la
sant est subordonn une dclaration la Commission nationale, lorsqu'il a pour seule finalit :

- la mdecine prventive, les diagnostics mdicaux, l'administration de soins ou de traitements ou

la gestion des services de sant et qu'il est effectu par un praticien de la sant soumis au secret
professionnel ou par toute autre personne galement soumise une obligation de secret ;

- de slectionner les personnes susceptibles de bnficier d'un droit, d'une prestation ou d'un
contrat, ds lors qu'elles n'en sont exclues par aucune disposition lgale ou rglementaire.

Section 3 : Des obligations de confidentialit et de scurit des traitements et

de secret professionnel

Article 23 :
1. Le responsable du traitement doit mettre en oeuvre les mesures techniques et organisationnelles
appropries pour protger les donnes caractre personnel contre la destruction accidentelle ou
illicite, la perte accidentelle, l'altration, la diffusion ou l'accs non autoris, notamment lorsque le
traitement comporte des transmissions de donnes dans un rseau, ainsi que contre toute autre
forme de traitement illicite. Ces mesures doivent assurer, compte tenu de l'tat de l'art et des cots
lis leur mise en oeuvre, un niveau de scurit appropri au regard des risques prsents par le
traitement et de la nature des donnes protger ;

2. Le responsable du traitement, lorsque le traitement est effectu pour son compte, doit choisir un
sous-traitant qui apporte des garanties suffisantes au regard des mesures de scurit technique et
d'organisation relatives aux traitements effectuer et il doit veiller au respect de ces mesures ;

3. La ralisation de traitements en sous-traitance doit tre rgie par un contrat ou un acte juridique
qui lie le sous-traitant au responsable du traitement et qui prvoit notamment que le sous-traitant
n'agit que sous la seule instruction du responsable du traitement et que les obligations vises au
paragraphe 1 ci-dessus lui incombent galement ;

4. Aux fins de la conservation des preuves, les lments du contrat ou de l'acte juridique relatif la
protection des donnes et les exigences portant sur les mesures vises au paragraphe 1 ci-dessus
sont consigns par crit ou sous une autre forme quivalente.

Article 24 :
1. Les responsables du traitement des donnes sensibles ou relatives la sant doivent prendre les

11
Donnes personnelles

mesures appropries pour :

a) empcher l'accs de toute personne non autorise aux installations utilises pour le traitement
de ces donnes (contrle de l'entre dans les installations) ;

b) empcher que les supports de donnes puissent tre lus, copis, modifis ou retirs par des
personnes non autorises (contrle des supports de donnes) ;

c) empcher l'introduction non autorise, ainsi que la prise de connaissance, la modification ou

l'limination non autorises de donnes caractre personnel introduites (contrle de l'insertion) ;

d) empcher que les systmes de traitement automatiss de donnes puissent tre utiliss par des
personnes non autorises au moyen d'installations de transmission de donnes (contrle de
l'utilisation) ;

e) garantir que seules les personnes autorises puissent avoir accs aux donnes vises par
l'autorisation (contrle de l'accs) ;

f) garantir la vrification des entits auxquelles les donnes caractre personnel peuvent tre
transmises par des installations de transmission de donnes (contrle de la transmission) ;

g)garantir qu'il soit possible de vrifier a posteriori, dans un dlai appropri en fonction de la nature
du traitement fixer dans la rglementation applicable chaque secteur particulier, quelles
donnes caractre personnel sont introduites, quand elles l'ont t et pour qui (contrle de
l'introduction) ;

h) empcher que lors de la transmission de donnes caractre personnel et du transport des

supports, les donnes puissent tre lues, reproduites, modifies ou limines sans autorisation
(contrle du transport).

2. Suivant la nature des organismes responsables du traitement et du type d'installations avec

lequel il est effectu, la Commission nationale peut dispenser de certaines mesures de scurit,
condition que le respect des droits, liberts et garanties des personnes concernes soit assur.

Article 25 :
Toute personne agissant sous l'autorit du responsable du traitement ou de celle du sous-traitant ,
ainsi que le sous-traitant lui-mme qui accde des donnes caractre personnel ne peut les
traiter que sur instruction du responsable du traitement, sauf en vertu d'obligations lgales.

Article 26 :
Le responsable du traitement de donnes caractre personnel, ainsi que les personnes qui, dans
l'exercice de leurs fonctions, ont connaissance de donnes caractre personnel traites, sont
tenues de respecter le secret professionnel mme aprs avoir cess d'exercer leurs fonctions, dans
les termes prvus par la loi pnale.

Les dispositions de l'alina premier ci-dessus n'exemptent pas de l'obligation de fournir des
informations, conformment aux dispositions lgales applicables aux fichiers en cause ou
conformment la lgislation de droit commun,

Chapitre IV : De la Commission nationale de contrle de la protection des

donnes caractre personnel

Section premire : Institution, pouvoirs et attributions

12
Donnes personnelles

Article 27 :
Il est institu auprs du Premier ministre une Commission nationale de contrle de la protection des
donnes caractre personnel, charge de mettre en oeuvre et de veiller au respect des
dispositions de la prsente loi et des textes pris pour son application.

A cet effet, elle est charge de :

A. - Donner son avis :

1. au gouvernement ou au parlement sur les projets ou propositions de lois ou projets de

rglements relatifs au traitement de donnes caractre personnel dont elle est saisie ;

2. l'autorit comptente sur les projets de rglements crant des fichiers relatifs aux donnes
caractre personnel recueillies et traites des fins de prvention et de rpression des crimes et
dlits, l'avis demand, dans le cas d'espce, vaut dclaration ;

3. l'autorit comptente sur les projets et propositions de lois portant cration et traitement des
donnes relatives aux enqutes et donnes statistiques recueillies et traites par des autorits
publiques ;

4. au gouvernement sur les modalits de la dclaration prvue au paragraphe 2 de l'article 12 ci-

dessus ;

5. au gouvernement sur les modalits d'inscription au registre national institu par l'article 45 de la
prsente loi ;

6. au gouvernement sur les rgles de procdure et de protection des donnes des traitements de
fichiers scurit qui doivent faire l'objet d'un enregistrement.

B. - Recevoir :

1. notification de l'identit du reprsentant install au Maroc qui se substitue au responsable du

traitement rsidant l'tranger ;

2. les dclarations prvues aux articles 12 (paragraphe 2) et 13 et dlivrer rcpiss de la

dclaration ;

3. l'identit du responsable du traitement des registres tenus pour tre ouverts au public, prvu
l'article 19 ci-dessus.

Article 28 :
Aux fins prvues l'article 27 (1er alina) ci-dessus, la Commission nationale est habilite :

1. autoriser la conservation des donnes au-del d'une dure prvue ;

2. accorder au responsable du traitement un dlai supplmentaire pour rpondre aux demandes de

communication prsente par la personne concerne ;

3. faire procder aux rectifications justifies lorsque le responsable du traitement refuse d'y
procder la demande de l'intress ;

4. instruire et dlivrer les autorisations prvues l'article 12 ci-dessus ;

5. fixer la liste des catgories de traitements bnficiant d'une dclaration simplifie ;

6. fixer la liste des traitements non automatiss soumis dclaration simplifie ;

7. fixer la liste des traitements correspondant la dfinition de l'article 18 de la prsente loi ;

13
Donnes personnelles

8. dlivrer rcpiss de la dclaration prvue l'article 13, en prcisant le contenu ;

9. dlivrer les autorisations prvues l'article 21 ci-dessus ;

10. tablir la liste des pays lgislation adquate en matire de protection des personnes
physiques l'gard du traitement des donnes caractre personnel ;

11. autoriser les transferts de donnes dans les cas prvus l'article 43 ci-dessous ;

12. assurer la tenue du registre national de la protection des donnes prvu l'article 45 ci-dessous
;

13. accorder les dispenses des mesures de scurit eu gard la qualit du responsable du
traitement et du type d'installations avec lequel ce traitement est effectu ;

14. dcider de soumettre autorisation un traitement lgalement soumis dclaration

conformment l'article 20 ci-dessus ;

15. procder au retrait du rcpiss ou de l'autorisation conformment aux dispositions de l'article

51 de la prsente loi.

La Commission nationale est galement comptente pour :

1. recevoir les plaintes de toute personne concerne estimant tre lse par la publication d'un
traitement de donnes caractre personnel, de les instruire et de leur donner suite en ordonnant
la publication de rectificatifs ou/et la saisine du procureur du Roi aux fins de poursuites ;

2. expertiser, la demande des autorits publiques, notamment des autorits judiciaires, les
lments soumis leur apprciation lors des contentieux ns de l'application de la prsente loi ou
des textes pris pour son application ;

3. assister le gouvernement dans la prparation et la dfinition de la position marocaine lors des

ngociations internationales dans le domaine de la protection des donnes caractre personnel ;

4. cooprer avec les organismes similaires de contrle du traitement des donnes caractre
personnel dans les Etats trangers.

Article 29 :
Afin de permettre une mise en application approprie de la protection des donnes, la Commission
nationale mne une mission permanente d'information du public et des personnes concernes sur
les droits et obligations dicts par la prsente loi et les textes pris pour son application.

Article 30 :
La Commission nationale est dote :

1. des pouvoirs d'investigation et d'enqute permettant ses agents, rgulirement commissionns

cet effet par le prsident, d'avoir accs aux donnes faisant l'objet de traitement, de requrir
l'accs direct aux locaux au sein desquels le traitement est effectu, de recueillir et de saisir toutes
les informations et tous documents ncessaires pour remplir les fonctions de contrle, le tout
conformment aux termes de la commission qu'ils excutent ;

2. du pouvoir d'ordonner que lui soient communiqus, dans les dlais et selon les modalits ou
sanctions ventuelles qu'elle fixe, les documents de toute nature ou sur tous supports lui
permettant d'examiner les faits concernant les plaintes dont elle est saisie ;

3. du pouvoir d'ordonner ou de procder ou de faire procder aux modificatifs ncessaires pour une

14
Donnes personnelles

tenue loyale des donnes contenues dans le fichier ;

4. du pouvoir d'ordonner le verrouillage, l'effacement ou la destruction de donnes et celui

d'interdire provisoirement ou dfinitivement, le traitement de donnes caractre personnel,
mme de celles incluses dans des rseaux ouverts de transmission de donnes partir de serveurs
situs sur le territoire national.

Article 31 :
L'exercice des pouvoirs viss aux paragraphes 2 et 4 de l'article 30 ci-dessus est subordonn au
respect d'une procdure disciplinaire garantissant les droits de la dfense et notamment le principe
du contradictoire prcis dans le rglement intrieur de la Commission nationale et applicable
toutes les autres procdures mises en oeuvre par la Commission nationale et prsentant un
caractre disciplinaire.

Section 2 : Composition de la commission nationale

Article 32 :
La Commission nationale de contrle de la protection des donnes caractre personnel se
compose de sept membres :

- un prsident nomm par Sa Majest le Roi ;

- six membres nomms galement par Sa Majest le Roi, sur proposition :

* du Premier ministre ;

* du prsident de la Chambre des reprsentants ;

* du prsident de la Chambre des conseillers.

La dure du mandat des membres de la Commission nationale est de cinq ans renouvelable une
seule fois.

Les modalits et les conditions de nomination des membres de la Commission nationale sont fixes
par dcret.

Section 3 : Organisation et fonctionnement de la Commission nationale

Article 33 :
La Commission nationale se runit sur convocation de son prsident, agissant de sa propre initiative
ou la demande de la moiti des membres. Le prsident fixe l'ordre du jour de la runion.

Article 34 :
Les runions de la Commission nationale se tiennent valablement lorsque les deux tiers au moins
des membres sont prsents. Les dcisions sont prises valablement la majorit des membres
prsents la voix du prsident tant prpondrante en cas de partage gal des voix.

Section 4 : Statut des membres

Article 35 :
Les fonctions de membre de la Commission nationale sont incompatibles avec celles
d'administrateur, de grant, de membre du directoire ou de directeur gnral unique ou de membre
du conseil de surveillance d'une socit de traitement de donnes caractre personnel.

15
Donnes personnelles

Un membre de la Commission nationale ne peut participer une dlibration ou des vrifications

relatives un organisme au sein duquel il a dtenu un intrt, direct ou indirect, ou a exerc un
mandat ou une fonction, si un dlai de cinq ans ne s'est coul entre la date o est intervenue la
cessation de fonction, la fin du mandat ou de la disposition de l'intrt et la date de sa nomination
au sein de la Commission nationale.

Si l'incompatibilit dicte par l'alina prcdent concerne le prsident de la Commission nationale,

il dsigne un membre de la Commission nationale pour exercer la plnitude de ses comptences
lorsque l'affaire concernant l'organisme en cause est appele devant la Commission nationale. La
dcision du prsident est publie au " Bulletin officiel ".

Article 36 :
Les membres de la Commission nationale sont tenus au secret professionnel pour les faits, actes et
informations dont ils ont pu avoir connaissance l'occasion de l'accomplissement de leurs
fonctions. Ils sont soumis la mme obligation, mme aprs la fin de leur mandat.

Les fonctionnaires, agents ou techniciens qui exercent des fonctions au sein de la Commission
nationale ou auprs de ses membres sont galement soumis l'obligation de respecter le secret
professionnel.

Article 37 :
Les membres et les fonctionnaires ou agents et techniciens de la Commission nationale sont
protgs contre les outrages ou les atteintes leur personne dans les termes des articles 265 et
267 du code pnal.

Article 38 :
Lorsque la Commission nationale dlibre sur une question mettant en cause une administration,
les membres reprsentants du gouvernement participent aux dlibrations avec voix consultative.

Article 39 :
La Commission nationale labore et approuve son rglement intrieur, qui est soumis
l'homologation du gouvernement avant sa publication au " Bulletin officiel ".

Section 5 : Administration

Article 40 :
Le prsident est assist, dans l'exercice de ses fonctions administratives et financires, par un
secrtaire gnral nomm par le gouvernement sur proposition du prsident.

Le secrtaire gnral, outre les pouvoirs qu'il exerce par dlgation du prsident, est charg :

- de grer le personnel recrut ou dtach selon les dcisions du prsident ;

- de prparer et d'excuter le budget de la Commission nationale dont il est sous-ordonnateur ;

- de prparer et de passer les marchs de la Commission nationale ;

- de prparer les documents de travail des runions de la Commission nationale et de tenir le

registre de ses dcisions ;

- de suivre les travaux des comits mis en place par la Commission nationale et de mettre leur
disposition les moyens matriels et humains ncessaires l'accomplissement de leurs missions.

16
Donnes personnelles

Article 41 :
Le secrtaire gnral dispose, pour l'exercice de ses attributions, d'un personnel administratif et
technique compos de fonctionnaires des administrations publiques ou d'agents publics, dtachs
auprs de la Commission nationale, et d'un personnel recrut conformment aux procdures
applicables en la matire, notamment par voie contractuelle.

Article 42 :
La Commission nationale cre les comits permanents ou ad hoc ncessaires l'accomplissement
de ses missions par des dispositions du rglement intrieur.

Elle fixe dans le mme rglement les modalits de fonctionnement et d'organisation de ces
comits, qui doivent tre prsids par un membre de la Commission nationale, mais peuvent tre
composs de personnalits choisies en dehors des membres de la Commission nationale ou faisant
partie de son personnel.

Chapitre V : Du transfert de donnes vers un pays tranger

Article 43 :
Le responsable d'un traitement ne peut transfrer des donnes caractre personnel vers un Etat
tranger que si cet Etat assure un niveau de protection suffisant de la vie prive et des liberts et
droits fondamentaux des personnes l'gard du traitement dont ces donnes font l'objet ou
peuvent faire l'objet.

Le caractre suffisant du niveau de protection assur par un Etat s'apprcie notamment en fonction
des dispositions en vigueur dans cet Etat, des mesures de scurit qui y sont appliques, des
caractristiques propres du traitement telles que ses fins et sa dure, ainsi que de la nature, de
l'origine et de la destination des donnes traites.

La Commission nationale tablit la liste des Etats rpondant aux critres dfinis aux alinas 1 et 2
ci-dessus.

Article 44 :
Par drogation aux dispositions de l'article 43 ci-dessus, le responsable d'un traitement peut
transfrer des donnes caractre personnel vers un Etat ne rpondant pas aux conditions prvues
l'article ci-dessus, si la personne laquelle se rapportent les donnes a consenti expressment
leur transfert ou :

1. Si le transfert est ncessaire :

a) la sauvegarde de la vie de cette personne ;

b) la prservation de l'intrt public ;

c) au respect d'obligations permettant d'assurer la constatation, l'exercice ou la dfense d'un droit

en justice ;

d) l'excution d'un contrat entre le responsable du traitement et l'intress, ou de mesures

prcontractuelles prises la demande de celui-ci ;

e) la conclusion ou l'excution d'un contrat conclu ou conclure, dans l'intrt de la personne

concerne, entre le responsable du traitement et un tiers ;

f) l'excution d'une mesure d'entraide judiciaire internationale ;

17
Donnes personnelles

g) la prvention, le diagnostic ou le traitement d'affections mdicales.

2. Si le transfert s'effectue en application d'un accord bilatral ou multilatral auquel le Royaume

du Maroc est partie ;

3. Sur autorisation expresse et motive de la Commission nationale lorsque le traitement garantit

un niveau de protection suffisant de la vie prive ainsi que des liberts et droits fondamentaux des
personnes, notamment en raison des clauses contractuelles ou rgles internes dont il fait l'objet.

Chapitre VI : Du registre national de la protection des donnes caractre

personnel et des limites la cration ou l'usage de registres centraux et de
fichiers

Article 45 :
Il est institu un registre national de la protection des donnes caractre personnel, dsign ci-
aprs par registre national, dont la tenue est dvolue la commission, qui en assure la mise
disposition du public.

Article 46 :
Sont inscrits au registre national :

a) les fichiers dont sont responsables du traitement les autorits publiques ;

b) les fichiers dont le traitement est effectu par des personnes prives ;

c) les rfrences aux lois ou rglements publis portant cration de fichiers publics ;

d) Ies autorisations dlivres en application de la prsente loi et des textes pris pour son
application ;

e) les donnes relatives aux fichiers qui sont ncessaires pour permettre aux personnes concernes
d'exercer les droits d'information, d'accs, de rectification, de suppression et d'opposition prvus
par la prsente loi, notamment les prcisions que comporte la dclaration, fixes aux a) e) de
l'article 15 ci-dessus.

Article 47 :
Les fichiers dont le traitement a pour seul objet la tenue d'un registre qui, en vertu de dispositions
lgislatives ou rglementaires, est destin l'information du public et est ouvert la consultation
du public sont dispenss de l'inscription au registre national.

Toutefois, doit figurer audit registre national l'identit de la personne responsable du traitement aux
fins d'exercice par les personnes concernes des droits prvus au chapitre Il de la prsente loi.

Article 48 :
Les modalits d'inscription des donnes prvues l'article 46 ci-dessus au registre national et
celles de sa tenue jour sont fixes par le gouvernement, aprs avis de la Commission nationale.

Article 49 :
Les traitements de donnes caractre personnel relatives aux infractions, condamnations et
mesures de sret ne peuvent tre mis en oeuvre que par :

- les juridictions, les autorits publiques et les personnes morales grant un service public, agissant

18
Donnes personnelles

dans le cadre de leurs attributions lgales ;

- les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confies
par la loi ;

- l'organisme charg de la protection des droits d'auteur et des droits voisins vis l'article 11 (2 e
alina) de la loi n 34-05 modifiant et compltant la loi n 2-00 relative aux droits d'auteur et droits
voisins.

Article 50 :
La cration, la tenue et le traitement de registres centraux concernant les personnes souponnes
d'activits illicites, de dlits et d'infractions administratives et les dcisions prvoyant des peines,
des mesures de sret, des amendes et des sanctions accessoires relvent des seuls services
publics qui ont une comptence expresse en vertu de la loi d'organisation et de fonctionnement et
qui doivent respecter les rgles de procdure et de protection des donnes prvues par la loi, aprs
avis de la Commission nationale.

Chapitre VII : Des sanctions

Article 51 :
Sans prjudice des sanctions pnales, lorsqu'il apparat, la suite de la mise en oeuvre du
traitement objet de la dclaration ou de l'autorisation prvue l'article 12 de la prsente loi, que ce
traitement porte atteinte la sret ou l'ordre public ou est contraire la morale et aux bonnes
moeurs, la Commission nationale peut, sans dlais, retirer, selon le cas, le rcpiss de la
dclaration ou l'autorisation.

Article 52 :
Sans prjudice de la responsabilit civile l'gard des personnes ayant subi des dommages du fait
de l'infraction, est puni d'une amende de 10.000 100.000 DH, quiconque aura mis en oeuvre un
fichier de donnes caractre personnel sans la dclaration ou l'autorisation exige l'article 12
ci-dessus ou aura continu son activit de traitement de donnes caractre personnel malgr le
retrait du rcpiss de la dclaration ou de l'autorisation.

Article 53 :
Est puni d'une amende de 20.000 200.000 DH par infraction, tout responsable de traitement de
donnes caractre personnel refusant les droits d'accs, de rectification ou d'opposition prvus
aux articles 7, 8 et 9 ci-dessus.

Article 54 :
Est puni d'un emprisonnement de trois mois un an et d'une amende de 20.000 200.000 DH ou
de l'une de ces deux peines seulement quiconque, en violation des a), b) et c) de l'article 3 de la
prsente loi, collecte des donnes caractre personnel par un moyen frauduleux, dloyal ou
illicite, met en oeuvre un traitement des fins autres que celles dclares ou autorises ou soumet
les donnes prcites un traitement ultrieur incompatible avec les finalits dclares ou
autorises.

Article 55 :
Est puni d'un emprisonnement de trois mois un an et d'une amende de 20.000 200.000 DH ou
de l'une de ces deux peines seulement quiconque :

- conserve des donnes caractre personnel au-del de la dure prvue par la lgislation en
vigueur ou celle prvue dans la dclaration ou l'autorisation ;

19
Donnes personnelles

- conserve les donnes prcites en violation des dispositions du e) de l'article 3 de la prsente loi.

Est puni des mmes peines le fait de traiter des fins autres qu'historiques, statistiques ou
scientifiques des donnes caractre personnel conserves au-del de la dure mentionne au
premier alina ci-dessus.

Article 56 :
Est puni d'un emprisonnement de trois mois un an et d'une amende de 20.000 200.000 DH ou
de l'une de ces deux peines seulement quiconque procde un traitement de donnes caractre
personnel en violation des dispositions de l'article 4 ci-dessus.

Article 57 :
Est puni d'un emprisonnement de six mois deux ans et d'une amende de 50.000 300.000 DH ou
de l'une de ces deux peines seulement quiconque procde, sans le consentement exprs des
personnes intresses, au traitement des donnes caractre personnel qui, directement ou
indirectement, font apparatre les origines raciales ou ethniques, les opinions politiques,
philosophiques ou religieuses, les appartenances syndicales des personnes ou qui sont relatives
la sant de celles-ci.

Est puni des mmes peines quiconque procde au traitement des donnes caractre personnel
concernant des infractions, des condamnations ou des mesures de sret.

Article 58 :
Est puni d'un emprisonnement de trois mois un an et d'une amende de 20.000 200.000 DH ou
de l'une de ces deux peines seulement, quiconque aura procd ou fait procder un traitement
de donnes caractre personnel sans mettre en oeuvre les mesures visant prserver la scurit
des donnes prvues aux articles 23 et 24 ci-dessus.

Article 59 :
Est puni d'un emprisonnement de trois mois un an et d'une amende de 20.000 200.000 DH ou
de l'une de ces deux peines seulement, quiconque procde un traitement de donnes caractre
personnel concernant une personne physique malgr l'opposition de cette personne, lorsque cette
opposition est fonde sur des motifs lgitimes ou lorsque ce traitement rpond des fins de
prospection, notamment commerciale, tel que mentionn l'article 9 ou par voie lectronique tel
que prvu l'article 10 de la prsente loi.

Article 60 :
Est puni d'un emprisonnement de trois mois un an et d'une amende de 20.000 200.000 DH ou
de l'une de ces deux peines seulement, quiconque effectue un transfert de donnes caractre
personnel vers un Etat tranger, en violation des dispositions des articles 43 et 44 de la prsente
loi.

Article 61 :
Est puni d'un emprisonnement de six mois un an et d'une amende de 20.000 300.000 DH ou de
l'une de ces deux peines seulement, tout responsable de traitement, tout sous-traitant et toute
personne qui, en raison de ses fonctions, est charg (e) de traiter des donnes caractre
personnel et qui, mme par ngligence, cause ou facilite l'usage abusif ou frauduleux des donnes
traites ou reues ou les communique des tiers non habilits.

Le tribunal pourra, en outre, prononcer la saisie du matriel ayant servi commettre l'infraction
ainsi que l'effacement de tout ou partie des donnes caractre personnel faisant l'objet du

20
Donnes personnelles

traitement ayant donn lieu l'infraction.

Article 62 :
Est puni d'un emprisonnement de trois six mois et d'une amende de 10.000 50.000 DH ou de
l'une de ces deux peines seulement, quiconque :

- entrave l'exercice des missions de contrle de la Commission nationale ;

- refuse de recevoir les contrleurs et de les laisser remplir leurs commissions ;

- refuse d'envoyer les documents ou informations demand (e) s ;

- refuse de transmettre les documents prvus par la loi.

Article 63 :
Tout responsable qui refuse d'appliquer les dcisions de la Commission nationale est passible d'un
emprisonnement de trois mois un an et d'une amende de 10.000 100.000 DH ou de l'une de ces
deux peines seulement.

Article 64 :
Lorsque l'auteur de l'une des infractions prvues et sanctionnes au titre du prsent chapitre est
une personne morale et sans prjudice des peines qui peuvent tre appliques ses dirigeants
auteurs de l'une des infractions prvues ci-dessus, les peines d'amende sont portes au double.

En outre, la personne morale peut tre punie de l'une des peines suivantes :

- la confiscation partielle de ses biens ;

- la confiscation prvue l'article 89 du code pnal ;

- la fermeture du ou des tablissements de la personne morale o l'infraction a t commise.

Article 65 :
En cas de rcidive, les sanctions prvues au prsent chapitre sont portes au double.

Est en tat de rcidive, toute personne ayant t condamne par dcision de justice devenue
irrvocable pour l'une des infractions prvues au prsent chapitre a commis une infraction de
mme nature dans l'anne qui suit le prononc d'une telle dcision.

Article 66 :
Outre les officiers de police judiciaire, les agents de la Commission nationale spcialement
commissionns cet effet par le prsident et asserments dans les formes du droit commun
peuvent rechercher et constater, par procs-verbal, les infractions aux dispositions de la prsente
loi et des textes pris pour son application. Leurs procs-verbaux sont adresss au procureur du Roi
dans les cinq jours suivant les oprations de recherche et de constatation.

Chapitre VIII : Dispositions transitoires

Article 67 :
Les personnes physiques ou morales dont l'activit consistait, avant la date de publication de la
prsente loi au Bulletin officiel effectuer, titre principal ou accessoire, des traitements de
donnes caractre personnel rpondant la dfinition prvue l'article premier ci-dessus,
disposent d'un dlai maximum de deux ans, courant compter de la date d'installation de la

21
Donnes personnelles

Commission nationale qui sera constate par un acte administratif publi au Bulletin officiel, pour
rgulariser leur situation en conformit avec les dispositions de la prsente loi.

A dfaut de cette rgularisation dans le dlai prcit, leurs activits sont rputes tre exerces
sans dclaration ou sans autorisation. Le contrevenant s'expose, dans ce cas, aux sanctions
prvues par la prsente loi.

_________
Le texte en langue arabe a t publi dans l'dition gnrale du " Bulletin officiel " n 5711 du 27
safar 1430 (23 fvrier 2009).

22
Donnes personnelles

Dcret n 2-09-165 du 25 joumada I 1430 pris pour l'application de la loi n

09-08 relative la protection des personnes physiques l'gard des
traitements des donnes caractre personnel. (B.O. n 5744 du 18 juin
2009).

Vu la loi 09-08 relative la protection des personnes physiques l'gard des traitements des
donnes caractre personnel, promulgue par le dahir n 1-09-15 du 22 safar 1430 (18 fvrier
2009) ;

Aprs examen par le conseil des ministres, runi le 11 joumada I 1430 (7 mai 2009),

Chapitre premier : La Commission nationale de contrle de la protection des

donnes caractre personnel (CNDP)

Section 1 : Conditions et modalits de dsignation des membres de la CNDP

Article premier : La Commission nationale de contrle de la protection des donnes caractre
personnel cre en vertu de l'article 27 de la loi n 09-08 est dsigne en abrg par la " CNDP ".

Article 2 : En application de l'article 32 de la loi n 09-08, la CNDP est compose de sept (7)
membres dont le prsident est nomm par le Roi et six (6) membres nomms galement par le Roi
et proposs comme suit

- deux membres par le Premier ministre ;

- deux membres par le prsident de la Chambre des reprsentants ;
- deux membres par le prsident de la Chambre des conseillers.

Article 3 : Outre le prsident, les membres de la CNDP proposs en vue de leur dsignation
conformment aux dispositions de l'article 32 de la loi n 09-08, sont choisis parmi des
personnalits du secteur public ou priv qualifies.

La CNDP doit comprendre parmi ses membres des personnalits qualifies pour leur comptence
dans les domaines juridique et judiciaire, des personnalits justifiant d'une grande expertise en
matire informatique ainsi que des personnalits reconnues pour leur connaissance des questions
touchant aux liberts individuelles.

Les membres de la CNDP sont choisis parmi les personnalits notoirement connues pour leur
impartialit, leur probit morale, leur expertise et leur comptence.

Article 4 : En cas de vacance, d'empchement ou d'absence pour quelque cause que ce soit d'un
membre de la Commission, il est pourvu dans les mmes conditions, son remplacement dans les
30 jours suivant celui o la vacance est constate par le prsident de la CNDP.

Les membres de la CNDP nomms en remplacement de ceux dont le mandat a pris fin avant son
terme normal, achvent le mandat des membres auxquels ils succdent.

Article 5 : Le prsident de la CNDP peut dlguer une partie de ses fonctions un autre membre
et au secrtaire gnral de la CNDP. Il prside les runions de la CNDP ou dlgue un autre membre
cette fin et le reprsente.

Section 2 : Rgles de fonctionnement de la CNDP

23
Donnes personnelles

Article 6 : La CNDP se runit sur convocation de son prsident, agissant de sa propre initiative ou
la demande de la moiti des membres, selon une priodicit prcise par son rglement intrieur
et, en tout cas, au moins une fois par mois.

Article 7 : Conformment l'article 39 de la loi n 09-08 susvise, la CNDP tablit son rglement
intrieur qui fixe notamment les conditions de son fonctionnement et de son organisation, et ce
dans un dlai d'un mois aprs son installation et le communique au premier ministre ou l'autorit
gouvernementale qu'il dsigne, pour approbation et publication au " Bulletin officiel ".

Article 8 : Les crdits ncessaires l'accomplissement des missions de la CNDP sont inscrits au
budget du Premier ministre.

Article 9 : La CNDP peut bnficier de dons et legs d'organismes nationaux et internationaux

publics ou privs.

Article 10 : Le projet de budget de la CNDP est prpar par le secrtaire gnral. Avant son
approbation par la CNDP, le projet de budget est soumis par le prsident de la CNDP au Premier
ministre.

Article 11 : Le prsident de la CNDP est ordonnateur de son budget. Il est assist par le secrtaire
gnral qui est sous ordonnateur pour les missions qui lui sont confies par la loi n 09-08.

Section 3 : Administration de la CNDP

Article 12 : L'administration de la CNDP est assure par un secrtaire gnral sous l'autorit de
son prsident.

Article 13 : Le secrtaire gnral dirige les services administratifs et financiers de la CNDP et peut
ce titre, outre les pouvoirs qu'il exerce par dlgation du prsident de la CNDP, signer tous actes
et dcisions d'ordre administratif. Il prpare et soumet pour approbation du prsident, le projet de
budget de la CNDP.

Article 14 : Le secrtaire gnral est charg de prendre toute mesure ncessaire la prparation
et l'organisation des travaux de la CNDP. Il est responsable de la tenue et de la conservation des
dossiers et archives de la CNDP.

Article 15 : Afin d'assurer la gestion de la CNDP, le secrtaire gnral dispose selon l'article 41 de
la loi n 09-08 d'un personnel administratif et technique compos de fonctionnaires des
administrations publiques ou d'agents publics, qui peuvent tre placs en position de dtachement
auprs de la CNDP, sur dcision conjointe de l'autorit gouvernementale dont ils relvent et du
prsident de la CNDP.

Les contrats de travail sont soumis l'approbation du premier ministre pour le personnel recrut
par voie contractuelle.

Section 4 : Des pouvoirs d'investigation et de contrle de la CNDP

Article 16 : Pour l'accomplissement des pouvoirs d'investigation et d'enqute dont elle est investie
en vertu de l'article 30 de la loi n 09-08, la CNDP charge ses agents rgulirement commissionns
par le prsident et placs sous son autorit, de rechercher et contrler, par procs-verbal, les
infractions aux dispositions de la loi susvise et des textes pris pour son application.

Article 17 : L'opration de contrle, fait l'objet d'une dcision de la CNDP qui prcise :

1) le nom et l'adresse du responsable du traitement concern ;

2) le nom de l'agent commissionn ou des agents chargs de l'opration ;
3) l'objet ainsi que la dure de l'opration.

Article 18 : Aucun agent ne peut tre dsign pour effectuer un contrle auprs d'un organisme

24
Donnes personnelles

au sein duquel il a, au cours des 5 annes prcdant le contrle, dtenu un intrt direct ou
indirect, exerc des fonctions, une activit professionnelle ou un mandat lectif.

Article 19 : En cas d'opration de contrle, le procureur du Roi territorialement comptent en est

pralablement inform au plus tard vingt-quatre (24) heures avant la date laquelle doit avoir lieu
le contrle sur place. Cet avis prcise la date, l'heure, le lieu et l'objet du contrle.

Les personnes charges du contrle doivent prsenter leur ordre de mission et, le cas chant, leur
habilitation procder auxdits contrles.

Article 20 : En application de l'article 66 de la loi n 09-08 chaque contrle, doit faire l'objet d'un
procs-verbal qui nonce la nature, le jour, l'heure et le lieu des contrles effectus. Le procs-
verbal indique l'objet de l'opration, les membres de la CNDP ayant particip celle-ci, les
personnes rencontres, le cas chant, leurs dclarations, les demandes formules par les
contrleurs ainsi que les ventuelles difficults rencontres.

L'inventaire des pices et documents dont, les personnes charges du contrle ont pris copie, est
annex au procs-verbal sign par les personnes charges du contrle et par le responsable soit
des lieux, soit des traitements, soit par toute personne dsigne par celui-ci.

Article 21 : Les agents de la CNDP peuvent galement, sur autorisation du procureur du Roi,
procder la saisie des matriels objets de l'infraction.

La demande de l'autorisation prcite doit comporter tous les lments d'information de nature
justifier la saisie. Celle-ci s'effectue sous l'autorit et le contrle du procureur du Roi qui l'a
autorise.

Article 22 : Les personnes charges du contrle peuvent convoquer et entendre toute personne
susceptible de leur fournir toute information ou justification utiles pour l'accomplissement de leur
mission.

La convocation, adresse par lettre recommande ou remise en main propre contre dcharge, doit
parvenir au moins sept jours avant la date de l'audition.

La convocation rappelle la personne convoque qu'elle est en droit de se faire assister d'un
conseil de son choix.

Le refus de rpondre une convocation des personnes charges du contrle doit tre mentionn
sur procs-verbal.

Chapitre II : Des avis, des autorisations et des dclarations

Section 1 : Dispositions gnrales

Article 23 : La CNDP dfinit des modles de dclaration, de demande d'avis et de demande
d'autorisation et fixe la liste des annexes qui, le cas chant, doivent tre jointes.

Article 24 : Les dclarations, demandes d'avis et demandes d'autorisation sont prsentes par le
responsable du traitement ou par la personne ayant qualit pour le reprsenter. Lorsque le
responsable du traitement est une personne physique ou un service, la personne morale ou
l'autorit publique dont il relve doit tre mentionne.

Les dclarations et demandes d'avis et d'autorisations sont adresses la CNDP :

1) soit par lettre recommande ;

2) soit remises au secrtariat de la commission contre reu ;
3) soit par voie lectronique, avec accus de rception qui peut tre adress par la mme voie.

La date de l'avis de rception, du reu ou de l'accus de rception lectronique fixe le point de

25
Donnes personnelles

dpart du dlai :

- de 24 heures dont dispose la CNDP pour dlivrer le rcpiss de la dclaration en application de

l'article 19 de la loi n 09-08 susvise ;

- de deux mois pour notifier son avis conformment l'article 25 du prsent dcret. La dcision par
laquelle le prsident renouvelle ce dlai est notifie au responsable du traitement par lettre remise
contre signature ;

- de deux mois fix par l'article 28 du prsent dcret la CNDP pour accorder l'autorisation
mentionne dans les articles 12 et 21 de la loi n 09-08 susvise ;

- de 8 jours dont dispose la CNDP pour notifier sa dcision de soumettre le traitement au rgime de
la dclaration en application de l'article 20 de la loi n 09-08 susvise.

Section 2 : Des avis de la CNDP

Article 25 : La CNDP saisie dans le cadre de l'alina A de l'article 27 ainsi que dans le cadre de
l'article 50 de la loi n 09-08 susvise, se prononce dans le dlai de deux mois compter de la date
du jour de rception de la demande d'avis. Ce dlai peut tre prolong d'un mois sur dcision
motive du prsident de la CNDP.

En cas d'urgence, ce dlai est ramen un mois la demande du gouvernement ou du parlement.

Section 3 : De la dclaration
Article 26 : Lorsque la dclaration satisfait aux prescriptions de la loi n 09-08 et de ses textes
d'application. La CNDP dlivre le rcpiss prvu l'article 19 de la loi susvise.

La CNDP peut dlivrer le rcpiss de la dclaration pralable par voie lectronique avec accus de
rception par la mme voie.

Lorsque le rcpiss est dlivr par voie lectronique, le responsable du traitement peut en
demander une copie sur support papier.

Section 4 : Des autorisations

Article 27 : En application de l'article 21 de la loi n 09-08 susvise, les demandes d'autorisations
pralables doivent prciser :

1) l'identit et l'adresse du responsable du traitement ou, si celui-ci n'est pas tabli sur le territoire
national, celles de son reprsentant dment mandat ;

2) la ou les finalits du traitement envisag ainsi que sa dnomination et ses caractristiques ;

3) les interconnexions envisages ou toutes autres formes de mise en relation avec d'autres
traitements ;

4) les donnes caractre personnel traites, leur origine et les catgories de personnes
concernes par le traitement ;

5) la dure de conservation des informations traites ;

6) le ou les services chargs de mettre en oeuvre le traitement ainsi que les catgories de
personnes qui, en raison de leurs fonctions ou pour les besoins du service, ont directement accs
aux donnes enregistres ;

7) les destinataires habilits recevoir communication des donnes ;

26
Donnes personnelles

8) la fonction de la personne ou le service auprs duquel s'exerce le droit d'accs ;

9) les dispositions prises pour assurer la scurit des traitements et des donnes ;

10) l'indication du recours un sous-traitant ;

11) les transferts de donnes caractre personnel envisags destination d'un pays tranger.

Le responsable d'un traitement dj dclar ou autoris introduit une nouvelle demande auprs de
la CNDP, en cas de changement affectant les informations mentionnes l'alina prcdent. En
outre, il doit informer la CNDP en cas de suppression du traitement.

Article 28 : La CNDP se prononce dans un dlai de deux mois (2) compter de la rception de la
demande d'autorisation. Toutefois, ce dlai peut tre prorog une fois sur dcision motive de la
CNDP. Lorsque la CNDP ne s'est pas prononce dans ces dlais, l'autorisation est rpute accorde.

Chapitre III : Dispositions particulires certaines catgories de traitements

Section 1 : Les conditions de traitement des donnes gntiques et celles

relatives la sant
Article 29 : En application de l'article 12 alinas 1-a et 1-c, et de l'article 21 alina 1 de la loi n
09-08 susvise, les traitements portant sur des donnes gntiques et celles relatives la sant
doivent faire l'objet d'une autorisation de la CNDP.

Article 30 : Les dossiers de demandes d'autorisation de traitements de donnes relatives la

sant adresss la CNDP doivent comprendre :

1) l'identit et l'adresse du responsable du traitement et de la personne responsable du traitement,

leurs titres, expriences et fonctions, les catgories de personnes qui seront appeles mettre en
oeuvre le traitement ainsi que celles qui auront accs aux donnes collectes ;

2) lorsqu'il s'agit de recherche dans le domaine mdical, le protocole de recherche ou ses lments
utiles, indiquant notamment l'objectif de la recherche, les catgories de personnes intresses, la
mthode d'observation ou d'investigation retenue, l'origine et la nature des donnes caractre
personnel recueillies et la justification du recours celles-ci, la dure et les modalits d'organisation
de la recherche, la mthode d'analyse des donnes ;

3) le cas chant, les avis rendus antrieurement par des instances scientifiques ou thiques ;

4) les caractristiques du traitement envisag ;

5) l'engagement du responsable du traitement de coder les donnes permettant l'identification des

personnes intresses ;

6) le cas chant, la justification scientifique et technique de toute demande de drogation

l'obligation de codage des donnes permettant l'identification des personnes intresses, et la
justification de toute demande de drogation l'interdiction de conservation desdites donnes au-
del de la dure ncessaire la recherche.

Toute modification de ces lments est porte la connaissance de la CNDP.

Section 2 : Traitement ultrieur de donnes caractre personnel des fins

historiques, statistiques ou scientifiques
Article 31 : En application de l'article 12 alina 1-b de la loi n 09-08 susvise, lorsque le
responsable d'un traitement des donnes caractre personnel communique ces dites donnes
un tiers, en vue d'un traitement ultrieur des fins historiques, statistiques ou scientifiques,

27
Donnes personnelles

lesdites donnes sont, pralablement leur communication, rendues anonymes ou codes par ledit
responsable ou par tout organisme comptent.

Article 32 : Les rsultats du traitement des donnes caractre personnel des fins historiques,
statistiques ou scientifiques ne peuvent tre rendus publics sous une forme qui permet
l'identification de la personne concerne, sauf si :

1) la personne concerne a donn expressment son consentement ;

2) la publication des donnes caractre personnel non anonymes et non codes est limite des
donnes manifestement rendues publiques par la personne concerne.

Article 33 : La CNDP est comptente pour se prononcer sur le caractre historique, statistique ou
scientifique des donnes caractre personnel.

Chapitre IV : Des droits des personnes

Section 1 : Dispositions communes

Article 34 : 1) Les informations fournir par le responsable du traitement, en application de
l'article 5 de la loi n 09-08 susvise, peuvent tre dlivres par tous moyens, notamment par :

- courrier lectronique ou sur support papier ;

- affichage ou formulaire lectronique ;
- annonce dans un support appropri ;
- ou bien, au cours d'un entretien individuel.

2) les codes, sigles et abrviations figurant dans les documents dlivrs par le responsable de
traitement en rponse une demande doivent tre explicits, si ncessaire sous la forme d'un
lexique.

Article 35 : 1) Les demandes tendant la mise en oeuvre des droits prvus aux articles 7 9 de la
loi n 09-08 susvise peuvent tre prsentes au responsable du traitement par crit, par voie
lectronique ou sur place.

2) lorsqu'elles sont prsentes par crit au responsable du traitement, elles doivent tre signes et
accompagnes de la photocopie d'une pice d'identit et prciser avec exactitude l'objet de la
demande.

3) lorsque le responsable du traitement n'est pas connu du demandeur, celui-ci peut adresser sa
demande au sige de la personne morale, de l'autorit publique, du service ou de l'organisme dont
il relve. La demande est transmise immdiatement au responsable du traitement.

Article 36 : 1) Lorsqu'une demande est prsente sur place, l'intress justifiant de son identit
auprs du responsable du traitement, peut se faire assister d'un conseil de son choix.

La demande peut tre galement prsente par une personne spcialement mandate cet effet
par l'intress, aprs justification de son mandat, de son identit et de l'identit du mandant.

2) Lorsque la demande relative au droit d'accs ne peut tre satisfaite immdiatement

conformment l'article 7 de la loi n 09-08 susvise, il est dlivr son auteur un avis de
rception, dat et sign avec la mention du motif du report de la rponse et le responsable du
traitement saisit immdiatement la CNDP pour la fixation d'un dlai de rponse.

3) Lorsque la demande rectification ne peut tre satisfaite dans le dlai de 10 jours conformment
l'alina a de l'article 8 de la loi n 09-08 susvise, il est dlivr au demandeur un avis de rception,
dat et sign et contenant le motif du report de la rponse. Dans ce cas le responsable du
traitement saisit immdiatement la CNDP pour la fixation d'un dlai de rponse.

28
Donnes personnelles

Article 37 : Si la demande est imprcise ou ne comporte pas tous les lments permettant au
responsable du traitement de procder aux oprations qui lui sont demandes, celui-ci invite le
demandeur les lui fournir avant l'expiration des dlais fixs dans l'article 7 et l'alina a de l'article
8 de la loi n 09-08 et des textes pris pour son application.

La demande de complments d'information suspend les dlais mentionns l'alina prcdent.

Section 2 : Du droit d'accs

Article 38 : En application de l'article 7 de la loi n 09-08, toute personne justifiant de son identit,
a le droit d'tre informe, sur les donnes la concernant faisant l'objet d'un traitement, soit en
s'adressant directement au responsable du traitement, soit en adressant ce dernier une demande
crite d'accs aux informations, signe et date, quel que soit le support :

La demande crite doit contenir : le nom, le prnom, la date de naissance, ainsi qu'une photocopie
de la carte d'identit.

La demande d'accs aux informations contient en outre et dans la mesure o le demandeur dispose
de ces informations :

1) tous les lments pertinents concernant les donnes, tels que leur nature, les circonstances ou
l'origine de la prise de connaissance du traitement de ces donnes ;

2) la dsignation de l'autorit ou du service concern.

Article 39 : Si plusieurs responsables de traitement des donnes grent en commun un ou

plusieurs fichiers, le droit d'accs aux informations peut tre exerc auprs de chacun d'eux,
moins que l'un d'eux soit considr comme responsable de l'ensemble des traitements.

Si la personne sollicite n'est pas autorise communiquer les informations demandes, elle doit
transmettre la requte qui de droit dans les meilleurs dlais.

Section 3 : Du droit de rectification

Article 40 : En application de l'article 8 de la loi n 09-08 toute personne justifiant de son identit
dispose d'un droit de rectification des donnes personnelles la concernant, soit en s'adressant
directement au responsable du traitement, soit en adressant la CNDP une demande crite de
rectification signe et date, quel que soit le support :

La demande crite doit contenir : le nom, le prnom, la date de naissance, ainsi qu'une photocopie
de la carte d'identit du demandeur et noncer clairement l'objet de la rectification.

La demande rectification des informations contient en outre et dans la mesure o le demandeur

dispose de ces informations :

- tous les lments pertinents concernant les donnes contestes, tels que leur nature, les
circonstances ou l'origine de la prise de connaissance des donnes contestes, ainsi que les
rectifications ventuellement souhaites ;

- la dsignation de l'autorit ou du service concern.

Article 41 : Lorsqu'une personne fait une demande en vue de rectifier ou de supprimer des
donnes la concernant, le responsable du traitement ou la CNDP doit l'informer par crit des
dispositions prises.

Article 42 : L'hritier d'une personne dcde qui souhaite la mise jour des donnes concernant
le dfunt doit, lors de sa demande, outre la justification de son identit, apporter la preuve de sa
qualit d'hritier par la production d'un acte notari ou d'un livret de famille.

29
Donnes personnelles

Section 4 : Du droit d'opposition

Article 43 : Lorsque des donnes caractre personnel sont collectes par crit auprs de la
personne concerne, le responsable du traitement demande celle-ci, sur le document lui servant
de support pour collecter les donnes, si elle souhaite exercer le droit d'opposition prvu l'article
9 de la loi n 09-08 susvise.

La personne concerne doit tre en mesure d'exprimer son choix avant la validation dfinitive de
ses rponses.

Article 44 : Lorsque les donnes caractre personnel sont collectes auprs de la personne
concerne autrement que par crit, le responsable du traitement demande celle-ci, avant la fin de
la collecte si elle souhaite exercer le droit d'opposition. Dans cette hypothse, le responsable du
traitement doit conserver la preuve que la personne concerne a eu la possibilit d'exercer son
droit d'opposition.

Article 45 : Le responsable du traitement auprs duquel le droit d'opposition a t exerc, informe

sans dlai de cette opposition tout autre responsable de traitement qu'il a rendu destinataire des
donnes caractre personnel qui font l'objet de l'opposition.

Chapitre V : Du transfert des donnes caractre personnel vers un pays

tranger
Article 46 : Les demandes de transfert des donnes caractre personnel vers un pays tranger
offrant un niveau de protection suffisant au sens de l'article 43 de la loi n 09-08 susvise doivent
contenir, les indications suivantes :

1) les nom et adresse de la personne communiquant les donnes ;

2) les nom et adresse du destinataire des donnes ;
3) le nom et la description complte du fichier ;
4) les catgories de donnes personnelles transfres ;
5) les personnes concernes et leur nombre approximatif ;
6) le but du traitement des donnes effectu par le destinataire ;
7) le mode et la frquence des transferts envisags ;
8) la date du premier transfert.

Article 47 : Lorsqu'en vertu de l'article 44 de la loi n 09-08 susvise, le responsable du traitement

envisage un transfert de donnes caractre personnel vers un pays qui ne figure pas dans la liste
fixe par la CNDP prvue l'article 43 de la mme loi et qu'il invoque pour justifier ce transfert
l'une des drogations prvues aux I et 2e alina de l'article 44 de la loi n 09-08 susvise, il
indique la CNDP, outre les informations prvues l'article prcdent, le cas prcis de drogation
qu'il invoque l'appui de sa demande.

Article 48 : Lorsqu'en application du 3e alina de l'article 44 de la loi n 09-08 susvise, le

responsable du traitement envisage un transfert de donnes caractre personnel qui requiert une
autorisation expresse de la CNDP, il prcise la CNDP, outre les informations prvues l'article 44
du prsent dcret, les mesures ou le dispositif destins garantir un niveau de protection suffisant
de la vie prive ainsi que des liberts et droits fondamentaux des personnes.

Concernant les autorisations de transfert, la CNDP se prononce, selon la procdure rgissant les
autorisations, prvue par la loi n 09-08 susvises et ces textes d'application.

Article 49 : Toute modification des informations mentionnes aux articles 46, 47 et 48 du prsent
dcret doit tre porte la connaissance de la CNDP dans un dlai de 8 jours ouvrables.

Article 50 : Le transfert, prvu au sein d'un groupe d'entreprises ou l'adresse de plusieurs

destinataires pour les mmes catgories de donnes et les mmes finalits, peut faire l'objet d'une
dclaration commune.

30
Donnes personnelles

Article 51 : Le ministre de l'industrie, du commerce et des nouvelles technologies et le ministre de

l'conomie et des finances sont chargs, chacun en ce qui le concerne, de l'excution du prsent
dcret, qui sera publi au Bulletin officiel.

31