Héberger à l'étranger, c'est transférer : lecture des articles 43 et 44 de la loi 09-08

La question revient dans presque tous nos audits : « notre site est hébergé chez un prestataire européen, est-ce un problème ? » La réponse tient dans deux articles de la loi 09-08 et quatre articles de son décret d’application. Les voici, avec ce qu’ils impliquent.

Le principe : un niveau de protection suffisant (art. 43)

L’article 43 dispose : « Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat étranger que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet. »

Le même article confie à la CNDP le soin d’établir « la liste des Etats répondant aux critères ». Cette liste existe : c’est la délibération n° 236-2015 du 18 décembre 2015, qui compte trente-deux États. On y trouve la France, l’Allemagne, l’Espagne, le Royaume-Uni, la Suisse, le Canada et la plupart des pays de l’Espace économique européen.

On n’y trouve pas les États-Unis, ni les Émirats, ni la Turquie, ni la Chine, ni l’Inde. Interprétation : la liste est limitative ; un État absent relève du régime dérogatoire de l’article 44.

Même vers un pays adéquat, il faut notifier

C’est le point le plus souvent ignoré. L’article 1 de la délibération 236-2015 commence par « Sous réserve de notifier à la CNDP, suivant le régime approprié, tout transfert de données à caractère personnel vers l’étranger ». Et l’article 46 du décret 2-09-165 détaille le contenu de la demande de transfert « vers un pays étranger offrant un niveau de protection suffisant » : nom et adresse de l’émetteur et du destinataire, description du fichier, catégories de données, personnes concernées et leur nombre approximatif, but du traitement chez le destinataire, mode et fréquence des transferts, date du premier transfert.

Autrement dit, héberger chez un prestataire français reste un transfert à porter à la connaissance de la CNDP — aujourd’hui via le formulaire F118. L’article 49 du décret ajoute que toute modification de ces informations « doit être portée à la connaissance de la CNDP dans un délai de 8 jours ouvrables ».

Hors liste : les dérogations de l’article 44

Pour un État absent de la liste, l’article 44 prévoit trois voies :

1. le consentement exprès de la personne, ou une nécessité précise (sauvegarde de la vie, exécution d’un contrat avec l’intéressé, défense d’un droit en justice, entraide judiciaire, prévention ou diagnostic médical…) ;
2. un accord bilatéral ou multilatéral auquel le Maroc est partie ;
3. « Sur autorisation expresse et motivée de la Commission nationale lorsque le traitement garantit un niveau de protection suffisant […] notamment en raison des clauses contractuelles ou règles internes dont il fait l’objet. »

L’article 48 du décret précise que le demandeur indique alors « les mesures ou le dispositif destinés à garantir un niveau de protection suffisant ». L’article 28 du même décret fixe le délai : la CNDP se prononce dans les deux mois, prorogeables une fois ; passé ce délai, « l’autorisation est réputée accordée ».

Ce qui constitue un transfert, concrètement

Un transfert n’est pas seulement une base de données déménagée. Sont concernés, dès lors que des données personnelles y transitent :

• l’hébergement du site et de sa base de données ;
• un outil d’e-mailing ou un CRM en SaaS ;
• un service d’analyse d’audience ;
• une API d’intelligence artificielle appelée avec le contenu d’un message client ;
• une sauvegarde chez un fournisseur cloud.

Les délibérations récentes de la CNDP le rappellent systématiquement. La D-940-2025 sur les newsletters (§11) et la D-939-2025 sur les cookies (§9) disposent toutes deux que « les données collectées par le responsable du traitement ne peuvent être transférées à l’étranger sans autorisation préalable de la CNDP ».

La sanction

L’article 60 punit « d’un emprisonnement de trois mois à un an et d’une amende de 20.000 à 200.000 DH ou de l’une de ces deux peines seulement, quiconque effectue un transfert de données à caractère personnel vers un Etat étranger, en violation des dispositions des articles 43 et 44 ». Pour une société, l’article 64 double l’amende : de 40 000 à 400 000 DH, avec possibilité de confiscation et de fermeture d’établissement.

Une précision de méthode

Un serveur web situé à l’étranger ne prouve pas, à lui seul, un transfert de données personnelles. Un site statique sans formulaire n’en transmet aucune. Et derrière un CDN, l’origine réelle n’est pas observable de l’extérieur. Dans nos rapports d’audit, ce constat est donc toujours formulé au conditionnel : « si des données personnelles sont stockées ou transitent sur ce serveur, et si aucune demande de transfert n’a été déposée… ». C’est une exigence d’honnêteté, et c’est aussi ce qui rend le rapport utilisable.

Le choix qui supprime la question

Interprétation : la manière la plus simple de ne pas avoir à gérer le régime des articles 43 et 44 est de ne pas transférer. Un hébergement au Maroc — les opérateurs nationaux, plusieurs hébergeurs marocains, ou une région cloud située au Maroc — et des modèles d’IA déployés sur place ramènent le sujet aux obligations de droit commun : déclaration, information, sécurité. C’est exactement ce que nous proposons avec le déploiement d’IA locale.

Les articles traitant de sujets réglementaires constituent une analyse technique et documentaire, pas un conseil juridique. Les extraits de textes sont reproduits depuis les publications officielles ; nos interprétations sont signalées comme telles.