Données personnelles et loi 09-08

Au Maroc, les traitements de données personnelles relèvent de la loi 09-08, sous le contrôle de la CNDP. En octobre 2026, elle reste le texte en vigueur ; une refonte est annoncée, pas adoptée. Pour un architecte d’automatisation, ses conséquences sont très concrètes.

• Déclarer les traitements à la CNDP, ou obtenir son autorisation quand la loi l’exige, avant la mise en production.
• Transferts à l’étranger : envoyer des données à un service hébergé hors du Maroc, comme une API d’IA ou un CRM en ligne, est un transfert encadré par les articles 43 et 44 ; vers un pays non reconnu comme assurant une protection suffisante, une autorisation est nécessaire. Cartographiez chaque flux qui sort du pays.
• Minimiser : n’envoyez au modèle d’IA que les champs utiles, et masquez le reste.
• Limiter la conservation : les exécutions d’n8n contiennent les données traitées. Réglez l’élagage (14 jours par défaut en auto-hébergement) et, en édition Enterprise, masquez les données des exécutions de production (Redact production execution data).