OpenVPN : débordement de pile dans le service interactif sous Windows (CVE-2024-27459)Google Chrome : faille critique dans libwebp exploitée activement (CVE-2023-4863)Ruby on Rails : exécution de code à distance via le parsing XML (CVE-2013-0156)

Loi 09-08 : ce que la protection des données impose aux entreprises marocaines

· Conformité

Adoptée en 2009, la loi 09-08 encadre au Maroc la protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel. Elle a créé la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel), chargée de veiller à son application. Toute entreprise qui gère des fichiers clients, des dossiers RH ou une liste de prospects est concernée.

Les obligations essentielles

  • Formalités préalables : la plupart des traitements doivent être déclarés à la CNDP, et certains (données sensibles, interconnexions, transferts) nécessitent une autorisation.
  • Information des personnes : identité du responsable, finalité du traitement, destinataires et droits doivent être communiqués au moment de la collecte.
  • Droits des personnes : accès, rectification et opposition doivent pouvoir s’exercer simplement.
  • Sécurité : le responsable du traitement doit mettre en œuvre des mesures techniques et organisationnelles adaptées pour protéger les données contre la perte, l’altération ou l’accès non autorisé.
  • Transferts à l’étranger : ils sont encadrés et ne sont possibles que vers des pays assurant un niveau de protection suffisant, ou avec l’autorisation de la CNDP — un point clé pour l’hébergement cloud.

Et la cybersécurité dans tout ça ?

L’obligation de sécurité est la plus souvent négligée. Un incident — rançongiciel, fuite d’une base clients, accès d’un ancien salarié — est aussi un manquement à la loi 09-08. Par ailleurs, la loi 05-20 relative à la cybersécurité fixe des exigences supplémentaires pour les administrations, les infrastructures d’importance vitale et certains opérateurs, sous la supervision de la DGSSI.

Par où commencer

  1. Recenser les traitements de données personnelles (clients, RH, vidéosurveillance, marketing).
  2. Vérifier leur déclaration auprès de la CNDP.
  3. Évaluer les mesures de sécurité réellement en place : contrôle des accès, sauvegardes, chiffrement, journalisation.

Notre checklist de conformité cybersécurité, disponible dans la rubrique Outils, vous aide à faire ce premier état des lieux.