Loi 09-08 : votre site web collecte des données. Êtes-vous en règle ?

Ce que la loi couvre

La loi 09-08 protège les personnes physiques à l'égard du traitement de leurs données à caractère personnel : toute information qui permet d'identifier quelqu'un, directement ou non — un nom, un téléphone, une adresse e-mail, et jusqu'aux traces de navigation qui suivent un visiteur.

L'autorité qui veille sur son application est la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel. C'est auprès d'elle que les traitements se déclarent, et c'est vers elle qu'un citoyen peut se tourner en cas d'abus.

Votre site collecte plus que vous ne le pensez

Beaucoup de dirigeants pensent « nous ne collectons rien » parce qu'ils ne vendent pas en ligne. Faites l'inventaire réel :

• le formulaire de contact enregistre nom, e-mail, téléphone — une collecte au sens plein ;
• l'outil de statistiques de visite dépose des traceurs et suit les parcours ;
• les traceurs publicitaires — quand vous faites de la publicité en ligne — relient la visite à un profil ;
• une inscription à une lettre d'information constitue un fichier de prospection.

Ce que la loi attend, en pratique

Ramenées au concret d'un site d'entreprise, les obligations tiennent en cinq points :

• Informer clairement : qui collecte, pourquoi, et quels droits a le visiteur — c'est le rôle d'une politique de confidentialité qui décrit VOTRE réalité, pas celle d'un modèle copié.
• Demander l'accord avant de tracer : les traceurs qui ne sont pas nécessaires au fonctionnement du site attendent le consentement du visiteur — pas l'inverse.
• Déclarer les traitements auprès de la CNDP, selon les procédures qu'elle prévoit.
• Sécuriser ce qui est collecté : un formulaire dont les messages traînent dans une boîte partagée sans mot de passe n'est pas conforme, quelle que soit la bannière.
• Respecter les droits des personnes : accès, rectification, opposition — encore faut-il qu'une adresse de contact existe pour les exercer.

À quoi ressemble un site en règle

Un site conforme se reconnaît à trois signes. Sa politique de confidentialité dit la vérité — ce qui est réellement collecté, par quels outils, pour combien de temps. Sa bannière de consentement bloque réellement les traceurs tant que le visiteur n'a pas choisi : une bannière qui s'affiche pendant que les traceurs tournent déjà est un décor, pas une conformité. Et ses formulaires ne demandent que le nécessaire — chaque champ superflu est une donnée de plus à protéger.

C'est ainsi que notre propre site fonctionne : rien ne part vers les outils de mesure ou de publicité avant l'accord du visiteur, et le lien « préférences cookies » du pied de page permet de changer d'avis à tout moment. Nous appliquons à nos clients ce que nous nous appliquons à nous-mêmes.

Les trois erreurs que nous voyons le plus

La première : la politique de confidentialité copiée d'un site étranger, qui promet des droits d'un autre cadre juridique et renvoie vers des autorités qui ne sont pas compétentes au Maroc — un document qui contredit la réalité vaut pire que son absence.

La deuxième : la bannière décorative, posée après coup sur un site dont les traceurs se chargent dès la première seconde. Elle rassure le dirigeant, pas le droit.

La troisième : le fichier de prospection sauvage — des adresses récoltées au fil des contacts, puis arrosées de messages commerciaux sans que personne n'ait rien demandé. C'est précisément le genre de pratique que la loi encadre.

La conformité n'est pas qu'une contrainte : un site qui respecte ses visiteurs le montre, et cela se voit dans la confiance qu'il inspire — particulièrement quand vos clients sont eux-mêmes des entreprises.