Loi 09-08 Maroc : guide pour les conciergeries en 2026

Qu'est-ce que la loi 09-08 ?

La loi 09-08 est le texte marocain qui encadre la collecte et l'utilisation des données à caractère personnel. Promulguée par le dahir n°1-09-15 du 18 février 2009 et entrée en vigueur en 2011 avec la mise en place de son autorité de contrôle, elle impose à toute entreprise, association ou administration qui traite des données de particuliers de respecter un socle de règles précises, sous peine de sanctions pénales.

Une donnée à caractère personnel est toute information qui permet d'identifier une personne physique, directement ou indirectement : nom, adresse, numéro de téléphone, email, numéro de CIN ou de passeport, coordonnées bancaires, données biométriques ou de géolocalisation. Certaines catégories sont dites sensibles (santé, origine, opinions politiques ou religieuses, données biométriques) et bénéficient d'une protection renforcée.

Le traitement désigne toute opération sur ces données : collecte, enregistrement, stockage, consultation, transmission. Celui qui décide pourquoi et comment ces données sont traitées est le responsable de traitement ; celui qui les traite pour son compte (un logiciel de gestion locative, par exemple) est un sous-traitant. L'autorité chargée de faire appliquer la loi est la CNDP, la Commission Nationale de contrôle de la protection des Données à caractère Personnel, une instance indépendante basée à Rabat.

Pourquoi une conciergerie est directement concernée

Une conciergerie Airbnb collecte, par nature, des données personnelles à chaque réservation : celles du voyageur et celles du propriétaire dont elle gère le bien. Elle est donc responsable de traitement au sens de la loi, quelle que soit sa taille, dès son premier mandat.

C'est souvent là que le bât blesse. La plupart des conciergeries se pensent trop petites pour être concernées, ou confondent la fiche de police exigée par la réglementation touristique marocaine avec une autorisation implicite de tout faire de ces informations ensuite. Ce sont deux obligations distinctes : la fiche de police répond à une exigence de sécurité publique, la loi 09-08 encadre séparément ce que la conciergerie a le droit de faire de ces données une fois collectées, combien de temps les garder, et avec qui elle peut les partager. D'après l'annuaire dar-bnb, qui référence des conciergeries dans 17 villes marocaines, la quasi-totalité des structures actives traitent aujourd'hui des données de voyageurs internationaux, dont beaucoup originaires de pays où le RGPD s'applique, ce qui rend la question encore plus sensible pour l'image de l'agence en cas de litige.

Les données qu'une conciergerie collecte, concrètement

Une conciergerie manipule plusieurs catégories de données personnelles au fil d'une réservation, du premier message à la remise des clés. Les identifier permet de savoir précisément ce que la loi 09-08 couvre dans votre activité quotidienne.

Chacune de ces catégories doit être collectée pour une finalité précise (gérer la réservation, respecter une obligation légale, sécuriser le bien) et ne peut pas être réutilisée librement pour un autre usage, comme une campagne commerciale, sans en informer la personne concernée.

Les obligations légales à respecter

La loi 09-08 impose un socle d'obligations à toute conciergerie dès qu'elle traite des données de voyageurs ou de propriétaires. Elles s'articulent en six points, valables quelle que soit la taille de la structure.

1. Déclarer ou faire autoriser le traitement auprès de la CNDP avant de démarrer (voir la procédure détaillée ci-dessous).
2. Recueillir un consentement libre et informé pour tout traitement qui ne repose pas sur une obligation légale (fiche de police) ou l'exécution d'un contrat (réservation).
3. Informer les personnes concernées : mentions claires sur ce qui est collecté, pourquoi, combien de temps, et comment exercer leurs droits.
4. Limiter la durée de conservation aux besoins réels de l'activité, sans stockage indéfini de fiches clients ou de copies de CIN.
5. Sécuriser les données par des mesures techniques et organisationnelles adaptées (accès restreint, sauvegardes, mots de passe).
6. Respecter les cinq droits reconnus aux personnes : accès, rectification, opposition, suppression et portabilité de leurs données.

Une conciergerie qui conserve indéfiniment les copies de CIN de ses anciens voyageurs sur un disque partagé, sans limite de durée ni contrôle d'accès, est en infraction même si elle n'a jamais eu de fuite de données : la loi 09-08 sanctionne l'absence de mesures adaptées, pas seulement l'incident lui-même.

Se déclarer à la CNDP, étape par étape

Toute conciergerie qui traite des données personnelles doit, sauf dispense, notifier son traitement à la CNDP avant de démarrer son activité. La procédure se fait directement sur cndp.ma et reste gratuite.

1. Identifier le bon formulaire. Une déclaration normale (formulaire F211) couvre la majorité des cas d'une conciergerie (fiches clients, gestion locative). Une déclaration simplifiée (formulaire F214) suffit pour des traitements courants et peu risqués déjà listés par la CNDP.
2. Rassembler les pièces : le formulaire rempli, le pouvoir du signataire à engager la structure, et tout document utile décrivant le traitement (nature des données, finalité, durée de conservation prévue).
3. Déposer la déclaration en ligne via le site de la CNDP, ou par dépôt physique au siège à Rabat.
4. Recevoir un récépissé, délivré sous 24 heures une fois le dossier complet, qui vaut preuve de la démarche en cas de contrôle.
5. Demander une autorisation préalable (formulaire F112 normal ou F113 simplifié) si le traitement porte sur des données sensibles, des numéros de CIN utilisés comme identifiant, des données génétiques, ou une interconnexion de fichiers. Le délai d'instruction est de deux mois, prorogeable une fois.
6. Déclarer tout transfert de données à l'étranger (formulaire F118) si votre logiciel de gestion locative ou votre solution de paiement héberge les données hors du Maroc, sauf si le pays de destination figure sur la liste des pays offrant une protection jugée adéquate par la CNDP. Délai d'instruction : deux mois.

Pour une conciergerie qui préfère déléguer cette démarche plutôt que de la mener seule, deux options existent.

• La CNDP elle-même propose une demande d'accompagnement gratuite : un formulaire en ligne pour se faire aider dans la préparation d'une déclaration ou d'une autorisation, accessible aussi par téléphone (3020 ou +212 537 57 11 24) et par email (contact@cndp.ma).
• Des cabinets spécialisés accompagnent la mise en conformité de bout en bout moyennant honoraires, parmi lesquels Upsilon Consulting, RGPD Conseil Maroc, ou le cabinet d'avocats Fassi Fihri Avocats. Comparez plusieurs devis avant de vous engager, comme pour tout prestataire externe.

Sanctions en cas de non-conformité

Le non-respect de la loi 09-08 expose à des sanctions pénales, pas seulement à une amende administrative. Les montants varient selon la gravité de l'infraction, et sont doublés lorsque l'auteur est une personne morale (une société plutôt qu'un auto-entrepreneur individuel).

Concrètement, une conciergerie qui gère les données de dizaines de voyageurs sans jamais s'être déclarée à la CNDP encourt, en tant que personne morale, jusqu'à 200 000 DH d'amende pour ce seul motif, sans compter les infractions annexes qui peuvent s'y ajouter (absence de mesures de sécurité, conservation excessive). La CNDP peut aussi, en amont d'une éventuelle poursuite pénale, adresser un avertissement avec un délai de mise en conformité, ou suspendre un traitement jusqu'à trois mois en cas de manquement grave.

Loi 09-08 et RGPD : ce qui change pour une clientèle internationale

Les principaux marchés émetteurs de voyageurs vers le Maroc, la France, l'Espagne et le Royaume-Uni en tête, sont soumis au RGPD européen. Une conciergerie qui accueille cette clientèle traite donc des données de personnes habituées à un cadre plus strict, ce qui influence leurs attentes même si c'est la loi marocaine qui s'applique sur le territoire.

Sur les principes fondateurs, licéité du traitement, loyauté, limitation des finalités, minimisation des données, la loi 09-08 et le RGPD se rejoignent largement. Les écarts se situent ailleurs : le RGPD impose un délégué à la protection des données (DPO) obligatoire pour certaines structures, un principe d'accountability documentée (registre détaillé, analyses d'impact), et une notification obligatoire des violations de données à l'autorité sous 72 heures, un mécanisme que la loi 09-08 ne prévoit pas de façon aussi formalisée à ce jour. Les amendes RGPD sont également calculées en proportion du chiffre d'affaires mondial de l'entreprise, alors que la loi 09-08 fixe des montants fixes en dirhams.

Pour une conciergerie, la conséquence pratique est simple : respecter la loi 09-08 couvre l'essentiel des attentes d'un voyageur européen sur le fond (transparence, sécurité, droits d'accès), mais ne dispense pas d'expliquer clairement, si un voyageur le demande, que le traitement de ses données répond au droit marocain et non au RGPD.

Une réforme en préparation

Un chantier de modernisation de la loi 09-08 est discuté depuis plusieurs années au Maroc, dans l'objectif déclaré de la rapprocher davantage du RGPD sur les bases légales du traitement, l'accountability et le niveau des sanctions. Plusieurs analyses juridiques publiées sur ce sujet, dont celle du doctorant Yasser Elkouri sur Village Justice, documentent cette réflexion, sans qu'un texte définitif n'ait encore été adopté à la date de publication de cet article.

Dans cette attente, la loi 09-08 dans sa version actuelle reste seule applicable, et c'est elle que la CNDP continue de faire respecter dans ses contrôles. Une conciergerie n'a donc aucun intérêt à attendre une hypothétique réforme pour se mettre en conformité : les obligations décrites dans ce guide s'appliquent dès aujourd'hui.

Checklist de mise en conformité

Pour transformer ce guide en plan d'action, voici les étapes concrètes à cocher, dans l'ordre où une conciergerie qui démarre ou qui régularise sa situation doit généralement les traiter.

1. Lister précisément les données personnelles traitées (voyageurs, propriétaires, éventuellement salariés) et leur finalité.
2. Déterminer si une déclaration normale (F211) ou simplifiée (F214) suffit, ou si une autorisation préalable est nécessaire.
3. Déposer la déclaration sur cndp.ma et conserver le récépissé.
4. Rédiger une politique de confidentialité claire, accessible aux voyageurs et aux propriétaires avant toute collecte.
5. Fixer une durée de conservation par type de donnée, et programmer leur suppression effective.
6. Restreindre l'accès aux fiches clients et copies de pièces d'identité au strict nécessaire dans l'équipe.
7. Vérifier si votre logiciel de gestion locative ou votre solution de paiement héberge des données hors du Maroc, et déclarer le transfert si besoin.
8. Former l'équipe qui accueille les voyageurs sur ce qu'elle a le droit de faire, ou non, des documents d'identité collectés.

Avant de vous lancer, comparer les conciergeries déjà actives dans votre région reste aussi le meilleur moyen de vérifier comment les structures sérieuses présentent ces garanties à leurs propriétaires, plutôt que de partir de zéro.

La conformité à la loi 09-08 devient un vrai argument commercial face à des propriétaires de plus en plus attentifs à qui ils confient leur bien : nous détaillons plus largement les critères qu'un propriétaire doit vérifier avant de signer dans un article dédié. Cette rigueur s'inscrit aussi dans le cadre légal et fiscal plus large que nous abordons dans notre guide sur l'ouverture d'une conciergerie au Maroc. dar-bnb applique d'ailleurs ces principes à son propre traitement des données de ses utilisateurs, détaillé dans notre politique de confidentialité.

Questions fréquentes