⚖ Conformité

Conformité CNDP & Loi 09-08

Vidéosurveillance, biométrie et données personnelles au Maroc

La loi 09-08 encadre au Maroc le traitement des données à caractère personnel. Toute vidéosurveillance ou tout contrôle d'accès biométrique doit être déclaré à la CNDP, faire l'objet d'un affichage visible, limiter la conservation des données à la durée nécessaire et restreindre l'accès aux images à des personnes nommément désignées.

Demander un devis gratuit

Cadre légal

Ce que Dit la Loi 09-08

Promulguée en 2009, la loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel institue la CNDP, autorité chargée de vérifier que les traitements respectent les libertés et droits fondamentaux. Une caméra qui filme des personnes identifiables constitue un tel traitement.

Obligations issues de la loi 09-08 applicables à un dispositif de vidéosurveillance d'entreprise. Ce tableau est une synthèse pédagogique et ne constitue pas un avis juridique.
Obligation	Ce que cela implique concrètement	Qui la porte
Déclaration préalable	Dépôt d'un dossier décrivant finalité, catégories de données, destinataires et durée de conservation, avant la mise en service, sur le portail officiel cndp-forms.ma. Attention : la vidéosurveillance relève de la déclaration, mais la biométrie relève de l'autorisation préalable.	Le responsable de traitement (l'entreprise)
Finalité déterminée	Une caméra installée pour la sécurité des biens ne peut pas servir à évaluer le rendement des salariés. Chaque nouvelle finalité suppose une nouvelle déclaration.	Le responsable de traitement
Proportionnalité	Pas de caméra en vestiaire, sanitaire, salle de pause ou de prière. Pas de plan rapproché continu sur un poste de travail.	Concepteur et exploitant
Information des personnes	Panneaux visibles à chaque accès indiquant l'existence du dispositif, la finalité, le responsable et les modalités d'exercice des droits.	L'exploitant
Durée limitée	Conservation restreinte à ce qui est nécessaire — en pratique 30 jours pour la sécurité — puis écrasement automatique.	L'exploitant, paramétrage à l'installation
Sécurité et accès restreint	Comptes nominatifs, mots de passe individuels, journalisation des consultations, chiffrement des flux.	Intégrateur et exploitant
Droits des personnes	Droit d'accès aux images les concernant, droit de rectification et d'opposition pour motif légitime.	Le responsable de traitement

Conservation

Combien de Temps Garder les Images ?

C'est la question qui revient le plus souvent, et la réponse n'est pas un chiffre absolu : la durée doit être celle qui est nécessaire à la finalité déclarée, et pas davantage.

Durées de conservation usuellement retenues dans les déclarations. La durée doit toujours être justifiée par la finalité, non choisie par confort.
Type de données	Durée usuelle	Justification
Images de vidéosurveillance de sécurité	30 jours	Délai de découverte d'un incident et de dépôt de plainte
Images d'un site sous exigence donneur d'ordre	45 à 90 jours	Exigence contractuelle documentée
Séquence extraite après incident	Durée de la procédure	Conservation tracée, séparée du flux courant
Journaux de contrôle d'accès	6 à 12 mois	Enquête interne, audit de sécurité
Gabarits biométriques	Durée du contrat de travail	Suppression au départ du salarié
Données de pointage	Selon obligations sociales	Conservation légale des éléments de paie

Interdits

Ce Qui N'Est Jamais Autorisé

🚫

Vestiaires et sanitaires

Aucune caméra, sous aucun prétexte. Cela vaut aussi pour les salles de pause, les salles de prière et les infirmeries.

🚫

Surveillance continue d'un poste

Filmer un salarié en plan rapproché toute la journée est disproportionné. Les caméras visent les accès, circulations, stocks et caisses.

🚫

Dispositif caché

Une caméra dissimulée sans information préalable rend les images inexploitables en justice et expose à des sanctions.

🚫

Détournement de finalité

Utiliser des images déclarées pour la sécurité afin de sanctionner des retards constitue un détournement de finalité.

🚫

Accès ouvert aux images

Un compte partagé entre plusieurs agents rend impossible de savoir qui a consulté quoi. Chaque accès doit être nominatif.

🚫

Conservation illimitée

Garder les images « au cas où » sans durée paramétrée est l'irrégularité la plus fréquente que nous constatons en audit.

Démarche

Les Six Étapes de la Mise en Conformité

Recenser les traitements

Vidéosurveillance, contrôle d'accès, pointage, LPR : chacun est un traitement distinct avec sa propre finalité.

Définir finalité et durée

Écrire pourquoi chaque dispositif existe et combien de temps les données sont gardées. C'est la base du dossier.

Vérifier la proportionnalité

Passer en revue le plan caméras et retirer ou masquer ce qui dépasse la finalité déclarée.

Déposer la déclaration

Constituer et transmettre le dossier à la CNDP avant la mise en service du dispositif.

Afficher et informer

Poser les panneaux aux accès, informer les salariés et leurs représentants, mettre à jour le règlement intérieur.

Sécuriser et tracer

Comptes nominatifs, journalisation des consultations, procédure écrite d'extraction de séquences.

Notre rôle

Ce que NAZER TECH Prend en Charge

Nous ne sommes pas un cabinet juridique et nous ne nous substituons pas au responsable de traitement, qui reste l'entreprise cliente. En revanche, la conformité se joue en grande partie au moment de la conception technique, et c'est là que nous intervenons.

Concrètement : nous concevons le plan caméras en excluant les zones interdites, nous paramétrons les masques de confidentialité sur les parties privatives visibles depuis le site, nous configurons l'écrasement automatique à la durée retenue, nous créons des comptes nominatifs avec journalisation, et nous fournissons les panneaux d'information conformes.

Nous aidons également à constituer le dossier de déclaration : description technique du dispositif, cartographie des caméras, durées de conservation, mesures de sécurité mises en œuvre. Ces éléments techniques constituent l'essentiel du dossier ; la partie juridique et la signature restent du ressort du client, éventuellement avec son conseil.

Pour aller plus loin, notre article de fond Vidéosurveillance & loi 09-08 détaille les cas particuliers, et la page norme EN 62676 traite des exigences techniques souvent associées en marché public.

FAQ

Questions Fréquentes

Faut-il déclarer ses caméras de surveillance à la CNDP ?

Oui. Dès lors qu'un dispositif de vidéosurveillance filme des personnes identifiables, il constitue un traitement de données à caractère personnel soumis à la loi 09-08 et doit être déclaré à la CNDP avant sa mise en service. La déclaration décrit la finalité poursuivie, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité.

Quelle durée de conservation pour les images de vidéosurveillance ?

La loi impose une conservation limitée à la durée nécessaire à la finalité déclarée. La référence marocaine plafonne la conservation à trois mois au maximum ; l'usage courant pour la vidéosurveillance de sécurité se situe autour de trente jours, qui correspondent au délai moyen de découverte d'un incident. Au-delà, les images doivent être écrasées automatiquement. Une séquence extraite après incident peut être conservée le temps de la procédure, dans un cadre tracé.

Puis-je filmer mes salariés à leur poste de travail ?

Non, pas en surveillance permanente et ciblée : ce serait disproportionné. Les caméras doivent viser la sécurité des biens et des personnes — accès, circulations, stocks, caisses. Sont exclus les vestiaires, sanitaires, salles de pause et de prière. Les salariés et leurs représentants doivent être informés du dispositif, de sa finalité et de leurs droits. Un dispositif proportionné protège l'employeur ; un dispositif intrusif se retourne contre lui.

La biométrie est-elle autorisée pour le contrôle d'accès ?

Oui, mais les données biométriques sont des données sensibles : leur traitement suppose une déclaration à la CNDP, une finalité proportionnée au risque et une information claire des personnes. La bonne pratique consiste à stocker un gabarit mathématique chiffré et non reconstructible plutôt que l'image d'empreinte elle-même, et à supprimer le gabarit au départ du salarié.

Que risque-t-on en cas de non-conformité ?

La loi 09-08 prévoit des sanctions administratives et pénales, avec des amendes pouvant atteindre 300 000 DH, plus lourdes encore pour les traitements illicites de données sensibles. Mais le risque le plus immédiat est probatoire : des enregistrements issus d'un dispositif non déclaré ou disproportionné peuvent être écartés en justice, privant l'entreprise de ses preuves au moment où elle en a le plus besoin. S'ajoute le risque réputationnel vis-à-vis des salariés et des clients.

Qui est responsable, l'installateur ou l'entreprise ?

Le responsable de traitement est l'entreprise qui exploite le dispositif et définit sa finalité : c'est elle qui déclare et qui répond des manquements. L'installateur est sous-traitant technique : il doit concevoir un dispositif qui permette la conformité — zones exclues, masques, écrasement automatique, comptes nominatifs — et fournir les éléments techniques du dossier. Les deux rôles sont complémentaires et distincts.