Loi 09-08 : déclaration ou autorisation pour votre école

Loi 09-08 école privée : un régime de formalité préalable, pas de responsabilisation interne

La loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel a été publiée au Bulletin Officiel n° 5714. Elle est appliquée par la CNDP, et elle ne fonctionne pas comme le RGPD.

Là où le règlement européen repose sur la responsabilité du responsable de traitement et sur un registre tenu en interne, la loi marocaine impose une formalité préalable auprès de la Commission. L’article 12 en pose les deux régimes : une autorisation préalable pour certaines catégories de traitements, une déclaration préalable « dans les autres cas ». La question n’est donc pas de savoir si votre école est conforme dans l’absolu, mais laquelle des deux formalités elle doit accomplir — et cela dépend des données qu’elle traite réellement.

Le piège des données de santé

C’est le point le plus utile de l’outil, et le plus mal compris.

L’article premier range les données relatives à la santé parmi les données sensibles. L’article 21 subordonne leur traitement à une autorisation de la Commission. Une école qui note « allergie : arachide » sur la fiche d’un élève traite bien une donnée de santé.

L’article 22 prévoit certes un allègement vers la simple déclaration — mais il vise le traitement « effectué par un praticien de la santé soumis au secret professionnel », dans une finalité médicale. Une secrétaire d’établissement qui consigne une allergie ne remplit pas cette condition. L’exception est étroite, et elle ne couvre pas le cas ordinaire d’une école.

Le numéro de CIN, à lui seul

L’article 12 vise nommément le numéro de la carte d’identité nationale : sa présence dans un traitement déclenche l’autorisation préalable, indépendamment de tout le reste.

Or les établissements privés recopient couramment le CIN des responsables légaux dans les contrats d’inscription — ceux-là mêmes qu’impose l’article 50 de la loi 59.21, et que couvre notre grille de conformité à la loi 59.21. Les deux obligations se rencontrent sur le même document.

Ce que cet outil ne prétend pas

Aucune sanction publiée à l’encontre d’un établissement scolaire n’a été identifiée. Les secteurs que la CNDP a désignés comme prioritaires sont l’hôtellerie, la santé, l’industrie pharmaceutique, le commerce électronique et l’enseignement supérieur. L’exposition d’une école est donc juridique, pas jurisprudentielle : l’article 57 prévoit des peines pour le traitement de données sensibles sans consentement, mais rien n’indique qu’un établissement scolaire ait été poursuivi sur ce fondement.

Un point mérite enfin d’être noté, parce qu’il surprend les lecteurs venus du RGPD : le mot « mineur » n’apparaît nulle part dans la loi 09-08. Il n’existe pas d’équivalent marocain de l’article 8 du règlement européen. Ce n’est pas l’âge de la personne concernée qui détermine le régime, mais la nature de la donnée.