Données scolaires au Maroc : checklist CNDP

La protection des données scolaires au Maroc ne se joue pas sur la page « confidentialité » de l’application. Elle se joue sur un dossier que l’établissement doit lui-même être capable de produire.

Avant de signer avec une application de communication école-parents, un établissement marocain doit disposer d’un dossier remettable à la CNDP. Ce dossier comporte trois pièces : une déclaration préalable couvrant le traitement, des extraits du contrat de sous-traitance attestant des mesures de sécurité technique et d’organisation, et — si l’éditeur stocke quoi que ce soit hors du Maroc — une autorisation préalable au titre des articles 43 et 44 de la loi 09-08. La deuxième pièce n’est exigée que « le cas échéant », selon les termes du régulateur lui-même (CNDP).

Sous l’empire de la loi 09-08, l’obligation de déclaration pèse sur le responsable de traitement ; dans l’enseignement public, ce responsable peut être légalement représenté à l’échelle de l’établissement. Un guide conjoint CNDP–ministère de l’Éducation nationale publié en 2023, consacré à la vidéosurveillance, cite « Le Directeur au niveau des établissements scolaires » aux côtés du ministre, du directeur de l’AREF et du délégué provincial parmi les représentants légaux possibles (CNDP/MEN). Le rôle de l’éditeur est de rendre votre déclaration possible. Voici comment vérifier qu’il en est capable.

Protection des données scolaires au Maroc : six vérifications avant de signer

Passez ces six points au crible pour chaque éditeur présélectionné. Chacun correspond à un document que la CNDP peut vous demander, à vous, l’établissement.

#	Vérification	Ce que la loi 09-08 demande à l’établissement	Ce qu’il faut demander à l’éditeur
1	Voie de déclaration	Tout traitement exige une déclaration préalable, sauf s’il est hors champ, exempté ou requalifié en autorisation préalable	« Quel formulaire s’applique à un déploiement de communication école-parents, et pouvez-vous fournir la description du traitement que nous allons déclarer ? »
2	Extraits du contrat de sous-traitance	Le dossier peut exiger des « extraits de contrat de sous-traitance garantissant les mesures de sécurité technique et d’organisation »	« Envoyez le jeu de clauses nommant notre établissement, avant la signature du contrat, pas après »
3	Lieu d’hébergement	Le transfert transfrontalier relève des articles 43 et 44 ; en pratique, la CNDP exige une autorisation préalable pour toutes les destinations	« Où se trouvent les bases de données, les sauvegardes et les accès de l’équipe support ? »
4	Limitation des finalités	Exploiter les données au-delà de la finalité déclarée constitue un détournement de finalité	« Des données d’élèves ou de parents servent-elles à des analyses, à l’entraînement de modèles ou à du marketing ? »
5	Durée de conservation	Les décisions rendues par la CNDP en 2025 rattachent la conservation à la nécessité — sa décision sur les cookies plafonne ces données à six mois	« Quel est le calendrier de suppression par type de données, et qui le déclenche ? »
6	Gestion des violations	La loi 09-08 ne vous impose aucune obligation de notification — c’est donc au contrat de la créer	« Sous quel délai nous prévenez-vous, par écrit, et avec quel niveau de détail ? »

Trois de ces lignes désignent des documents que la plupart des établissements n’ont jamais vus. À quoi ils ressemblent concrètement :

• Ligne 1 — la description du traitement. Une demi-page fournie par l’éditeur et que vous recopiez dans la déclaration : finalité (« communication établissement–parents : annonces, absences, réunions »), catégories de données (nom et prénom de l’élève, classe, nom du parent, un numéro de mobile, une adresse e-mail), destinataires (les professeurs de la classe, le chef d’établissement, l’éditeur en tant que sous-traitant), durée de conservation (suppression 12 mois après le départ de l’élève) et, en une ligne, le pays d’hébergement.
• Ligne 2 — les extraits du contrat de sous-traitance. Une annexe de deux pages qui nomme votre établissement en en-tête — pas l’AREF, pas le ministère — et détaille le chiffrement au repos et en transit, les rôles nommés disposant d’un accès à la base, la liste des sous-traitants ultérieurs et une clause de restitution ou de destruction en fin de contrat. Réclamez-la dès l’appel d’offres : une fois le contrat signé, l’éditeur n’a plus aucune raison de rouvrir le dossier.
• Ligne 6 — la clause de violation que la loi n’impose pas. Une phrase suffit : « Le sous-traitant informe l’établissement par écrit dans les 48 heures suivant la confirmation de tout accès non autorisé ou de toute divulgation de données d’élèves ou de parents, en précisant le nombre d’enregistrements concernés, les catégories de données en cause et les mesures correctives engagées. » Sa place est dans le contrat, puisque la loi 09-08 ne vous donne rien ici.

Attendez-vous à ce que les vérifications 3 et 6 soient les plus difficiles à satisfaire pour un éditeur, et considérez qu’une réponse floue est déjà une réponse : qui ne sait pas vous dire dans quel pays reposent ses sauvegardes ne vous aidera pas à rédiger une demande de transfert. La ligne 5 est celle où un module documents prend tout son sens — un calendrier de suppression ne tient que si quelqu’un peut voir ce qui est stocké, et pour combien de temps.

Le calendrier de dépôt à la CNDP : 24 heures, 8 jours, 2 mois

Les mécanismes se résument vite. La CNDP délivre le récépissé de déclaration sous 24 heures. Elle dispose de 8 jours pour vous notifier qu’elle requalifie le traitement en autorisation préalable, si elle estime qu’il présente des dangers manifestes pour la vie privée et les libertés fondamentales. L’avis d’autorisation est notifié sous 2 mois — un délai que la CNDP peut prolonger une fois, et qui ne court qu’à partir du moment où votre dossier est complet, un dossier incomplet ne déclenchant le compte à rebours qu’à réception des pièces demandées (CNDP). Des modèles de déclaration existent depuis 2015 pour les traitements clients, fournisseurs et RH (Digital Policy Alert) ; aucun des trois ne couvre la communication aux parents ni les données d’élèves. Ils prouvent que la machinerie déclarative fonctionne, sans vous offrir de formulaire prêt à l’emploi pour ce traitement.

Deux mois : c’est le chiffre qui compte pour vos achats, et c’est un plancher, pas un plafond. Si l’éditeur retenu héberge à l’étranger, l’autorisation de transfert des articles 43 et 44 s’applique — une autorisation distincte de la déclaration de traitement, exigée pour chaque traitement déclaré ou autorisé selon le guide Chambers. Ce délai tombe entre votre signature et votre mise en service, pas après.

Ce qui a changé à la CNDP en 2025

Pendant une quinzaine d’années, la CNDP a tenu un rôle pédagogique. Le guide Chambers 2026 consacré au Maroc, rédigé par le bureau casablancais de DLA Piper, le décrit précisément : le régulateur « s’est attaché, pendant plus d’une décennie, à familiariser les acteurs avec la réglementation applicable en matière de protection des données » et n’a commencé qu’« au cours des derniers mois » à adresser des avertissements aux grands responsables de traitement et à ouvrir des enquêtes (Chambers). Ces avertissements ont visé des hôtels, des laboratoires pharmaceutiques, des universités publiques et d’autres organismes publics.

La séquence sectorielle a été rapportée en mai 2025 : la santé d’abord, avec environ 3 000 pharmaciens engagés dans une mise en conformité, puis les avocats, les notaires, les greffiers et les médias. Les courriers s’accompagnent de plans d’action étalés sur plusieurs mois et d’un avertissement explicite : tout retard expose à des sanctions. Le régulateur a d’ailleurs annoncé la suite : « la CNDP prévoit d’élargir le programme de conformité à l’éducation, à la banque, à l’assurance, au commerce électronique et aux services numériques dans les mois à venir » (Hespress). Lisez bien la date : « les mois à venir », c’était en mai 2025, soit une quinzaine de mois avant cet article, et aucune source publique ne documente le démarrage effectif de la phase éducation.

Il s’agit donc d’une annonce, pas d’un dossier scolaire documenté. Aucune action répressive contre un établissement marocain nommément désigné ou un éditeur d’application scolaire identifié ne figure au dossier public. Ce qui y figure, en revanche, c’est que la méthode sectorielle de la CNDP continue de tourner : conventions DATA-TIKA avec Crédit Agricole du Maroc et le ministère de l’Agriculture en avril 2026, l’Ordre des experts-comptables en avril 2026, l’Ordre national des huissiers de justice reçu en juin 2026 (CNDP). Une profession ou un ministère à la fois, avec des dates. Selon notre lecture, cette cadence rend le « l’éducation est la prochaine étape » digne d’être anticipé.

Les pouvoirs d’inspection, eux, sont énoncés sans détour. La page « missions » de la CNDP indique que ses agents « peuvent accéder directement à tous les éléments intervenant dans les processus de traitement (les données, les équipements, les locaux, les supports d’information) », et que ces contrôles peuvent déboucher sur des sanctions administratives, financières ou pénales (CNDP). Ce que documente la couverture de 2025, c’est un changement d’activité — des avertissements et des enquêtes là où il n’y avait que de la sensibilisation — sur la base d’un mandat que le régulateur décrivait déjà sur son propre site.

Ce qu’exige la loi 09-08, et ce qu’elle laisse de côté

C’est ici que les établissements formés au RGPD se trompent. La loi 09-08, promulguée en 2009, reprend la logique de la directive 95/46/CE. Elle est déclarative et fondée sur l’autorisation, construite sur le contrôle préalable du régulateur plutôt que sur une responsabilisation continue de l’organisation. Une analyse juridique publiée en décembre 2025 énumère ce qui lui manque de ce fait : « accountability, analyse d’impact (DPIA), privacy by design/by default, portabilité des données, registre interne des traitements, notification des violations de données » (Village de la Justice). Chacun de ces éléments compte parmi ceux qu’un établissement venu d’un cadre européen s’attend à trouver, et notre guide de la communication scolaire conforme au RGPD détaille ce que recouvrent ces obligations là où elles s’appliquent. Le guide Chambers dit la même chose sur les violations de données : responsables et sous-traitants ne sont pas tenus de notifier l’autorité, même si la démarche est vivement recommandée.

Deux conséquences pratiques pour vos achats.

D’abord, si l’obligation est une déclaration marocaine et que le Maroc n’a pas obtenu de décision d’adéquation de l’UE, le label « conforme RGPD » affiché par un éditeur répond à une autre question que celle posée par votre dossier. Rien dans les sources ne fait de l’un la preuve de l’autre. Ensuite, comme aucune disposition de la loi ne vous oblige à tenir un registre interne ni à mener une analyse d’impact, toute votre position probatoire tient dans la déclaration et le contrat. S’ils sont minces, vous n’aurez rien d’autre à produire.

Là où les éditeurs échouent sur les données d’élèves au Maroc

Les groupes de messagerie grand public. Prenez la vérification 2 à l’envers pour un établissement qui fait passer sa communication aux parents par un groupe WhatsApp ou Telegram grand public. Si la CNDP réclame des extraits d’un contrat de sous-traitance, l’établissement devra disposer d’un tel contrat avec le fournisseur de messagerie pour en extraire des clauses — et savoir dire où sont stockés le contenu des messages et les numéros de téléphone des parents. Aucune source du dossier ne documente la manière dont ces fournisseurs contractent avec les établissements marocains : posez donc la question pour votre propre dossier. La commodité est réelle ; reste à établir si la déclaration peut se construire dessus. L’alternative, c’est un canal de messagerie délimité dont vous pouvez décrire sur un formulaire les participants, la durée de conservation et le lieu de stockage, complété par le SMS pour les parents qui n’installeront jamais rien — précisément ceux qui ramènent le plus souvent un établissement vers un groupe grand public sans limites.

Les applications parents internationales. Si votre présélection comprend une application parents internationale — ClassDojo, Seesaw et Remind sont les noms qui reviennent le plus souvent —, la question à poser à chacune est simple : dans quel pays se trouvent sa base de données principale, ses sauvegardes et les accès de son support ? Ces produits sont généralement hébergés hors du Maroc, et le pays concerné doit être confirmé éditeur par éditeur. Si la réponse est l’Union européenne, le cas est plus simple : la liste approuvée par la CNDP couvre les États membres de l’UE, l’Islande, le Liechtenstein, la Norvège, la Suisse, le Canada et le Royaume-Uni (Digital Policy Alert). Mais « approuvé » ne veut pas dire « automatique » : le guide Chambers rapporte qu’en pratique, la CNDP exige une autorisation préalable pour les transferts vers tous les pays, l’accord étant simplement plus facile à obtenir pour les destinations listées. Pour les destinations non listées, la demande doit mentionner les noms et adresses de l’expéditeur et du destinataire, les catégories de données, les personnes concernées, ainsi que la finalité, les modalités et la fréquence du transfert (Digital Policy Alert) — et puisque l’autorisation est en pratique sollicitée pour tous les pays, c’est ce jeu d’informations qu’il faut collecter auprès de tout éditeur, quel que soit son lieu d’hébergement.

Les suites de gestion scolaire et de notes. Dès qu’une suite traite plus que des messages — notes, absences, informations de santé, données de contrôle d’accès —, la finalité déclarée doit être assez large pour tout couvrir. Cela vaut pour toute plateforme de gestion scolaire figurant sur votre liste, logiciels de notes de type Pronote compris. La logique du régime est simple : le détournement de finalité se définit par l’écart entre ce qui a été déclaré et ce qui est fait ; plus le périmètre déclaré est large, plus la surface sur laquelle cet écart peut s’ouvrir est grande. Confronter les processus qu’un établissement fait réellement tourner à la finalité que vous comptez déclarer reste le moyen le moins coûteux de repérer cet écart avant la CNDP.

Le volet financier. Le non-respect de la loi 09-08 est puni d’une amende de 10 000 à 600 000 MAD et/ou d’un emprisonnement de trois mois à quatre ans, selon le guide Chambers. Le guide CNDP–ministère de l’Éducation nationale de 2023 précise la peine de l’article 54 propre au détournement de finalité : trois mois à un an d’emprisonnement et une amende de 20 000 à 200 000 DH, ou l’une de ces deux peines seulement. À noter : les sources divergent sur la voie de sanction — la page « missions » de la CNDP indique que ses contrôles peuvent donner lieu à des sanctions administratives, financières ou pénales, tandis que l’analyse juridique de décembre 2025 décrit un cadre dépourvu d’amendes administratives.

Le regard lucide : les autres raisons de ce virage en 2025

Ce tournant répressif ne tient pas qu’à la maturation d’un régulateur, et l’établissement qui s’y prépare a intérêt à connaître les autres forces en jeu. Le Maroc se positionne en référence continentale de la gouvernance des données tout en poursuivant une décision d’adéquation européenne qu’il n’a pas encore obtenue (Chambers). Et la protection des données n’est qu’un fil d’une poussée numérique gouvernementale d’ensemble : la stratégie Digital Morocco 2030, la loi sur la cybersécurité entrée en application en juillet 2020, un projet de loi créant une agence nationale de gouvernance de l’IA (Digital Policy Alert). Chacun de ces éléments peut faire varier le rythme d’une campagne sectorielle. Aucun ne fait disparaître l’obligation déclarative de l’établissement, car elle leur est antérieure à tous.

À faire avant le prochain renouvellement de contrat

1. Mettez les six vérifications dans l’appel d’offres, pas dans la négociation. Concrètement : une annexe d’une page jointe à chaque consultation que vous lancez, reprenant les six questions ci-dessus, exigeant une réponse écrite pour chacune, avec une règle claire — une ligne sans réponse élimine —, déclenchée automatiquement dès qu’un outil de communication est ajouté ou renouvelé.

2. Obtenez par écrit la réponse sur l’hébergement, avant la présélection. Concrètement : un seul e-mail, envoyé au premier contact, demandant le pays de stockage principal, le pays des sauvegardes et le pays depuis lequel le support peut lire les données de l’établissement — avec un délai de réponse de 5 jours ouvrés, puisqu’un avis d’autorisation court sur deux mois et peut être prolongé une fois.

Dans le même e-mail, demandez les informations que la CNDP exigera de vous dans une demande de transfert : noms et adresses de l’expéditeur et du destinataire, catégories de données, personnes concernées, finalité, modalités et fréquence du transfert. Un éditeur capable de vous les fournir en une semaine est un éditeur déclarable ; celui qui en est incapable vous coûtera deux fois le délai de deux mois.

3. Désignez le responsable de traitement en interne. Concrètement : le nom du chef d’établissement inscrit dans le dossier de déclaration, et une passation de vingt minutes en début d’année scolaire, portant sur ce qui a été déclaré, pour quelle finalité, et sur qui détient le récépissé.

4. Faites créer par l’éditeur l’obligation de notification que la loi ne crée pas. Concrètement : une clause contractuelle imposant une notification écrite à l’établissement dans les 48 heures suivant un incident confirmé, avec le nombre d’enregistrements touchés et les mesures correctives — revue une fois par an au renouvellement.

L’exigence est étroite, et elle est documentaire : un établissement marocain doit pouvoir montrer, sur demande, ce qu’il a déclaré, ce que garantit son sous-traitant et où les données reposent physiquement. Ce que vous devez donc attendre d’une plateforme : un hébergement que vous pouvez nommer sur un formulaire, des conditions de sous-traitance établies au nom de votre établissement et dont vous pouvez extraire des clauses, et une collecte de données limitée à la finalité déclarée. BeeNet est une voie de mise en œuvre parmi d’autres ; le bon test reste de savoir si un éditeur sait remplir vos six lignes par écrit. Notre page sécurité indique la région d’hébergement — l’Union européenne, qui figure sur la liste approuvée par la CNDP, même si, comme vu plus haut, « approuvé » implique toujours de demander l’autorisation — ainsi que le contenu des conditions de sous-traitance ; une démonstration de 15 minutes parcourt les six lignes une par une.

Notre diagnostic de préparation aux urgences transforme cette même question en un score exploitable.

La CNDP a annoncé en mai 2025 que l’éducation serait la prochaine étape. Reste à savoir si votre dossier sera prêt à l’arrivée du courrier, ou rédigé dans l’urgence après.

Références

Pour les références et sources, voir la version anglaise de cet article.