Projet conversationnel : les etapes legales conformité réglementaire en 2026

Deployer un service conversationnel au Maroc, qu'il s'agisse d'un chatbot WhatsApp, d'une plateforme OTP ou d'une solution CRM integree, implique le traitement de donnees personnelles. La loi 09-08 et l'autorite qui la fait respecter, la conformité réglementaire (Commission Nationale de controle de la protection des Donnees a caractere Personnel), encadrent strictement ces traitements. Voici les etapes legales incontournables en 2026.

Le cadre juridique en bref

La loi 09-08 promulguee en 2009 et son decret d'application definissent les obligations des responsables de traitement. Elle s'applique des lors qu'une entreprise collecte, stocke, transmet ou analyse des donnees a caractere personnel de personnes physiques residant au Maroc. Le numero de telephone, un identifiant unique, un historique de conversation, un email : tous entrent dans le champ.

Etape 1 : cartographier les traitements

Avant toute demarche conformité réglementaire, l'entreprise doit dresser une cartographie interne :

• Quelles donnees sont collectees (numero, nom, prenom, historique, geolocalisation, transactions) ?
• Pour quelles finalites (OTP, marketing, support, analytics) ?
• Ou sont-elles stockees (serveurs Maroc, UE, USA) ?
• Qui y a acces (equipe interne, sous-traitants, BSP) ?
• Combien de temps sont-elles conservees ?

Etape 2 : declaration ou autorisation prealable

Selon la nature du traitement, la réglementation applicable exige :

Declaration simple

Pour les traitements standards (base clients, marketing, support), une declaration en ligne suffit. Elle est generalement traitee sous quelques semaines.

Autorisation prealable

Pour les traitements sensibles (donnees de sante, biometrie, opinions, prospection sans consentement, transferts internationaux structures), une autorisation formelle est requise avant tout demarrage.

Cas WhatsApp Business

Le deploiement WhatsApp Business avec Meta implique un transfert de donnees hors Maroc, principalement vers les datacenters Meta situes aux USA et en Irlande. Ce transfert doit etre declare et documente. La conformité réglementaire demande generalement de justifier le niveau de protection equivalent chez le sous-traitant.

Etape 3 : consentement et information

Chaque collecte doit reposer sur une base legale claire :

• Consentement explicite pour le marketing et les cookies non essentiels.
• Execution d'un contrat pour les OTP lies a une commande ou un compte.
• Interet legitime pour certaines finalites securite et anti-fraude.
• Obligation legale pour les registres KYC bancaires.

L'utilisateur doit recevoir une information claire : identite du responsable, finalites, destinataires, duree de conservation, droits (acces, rectification, opposition, suppression) et modalites d'exercice.

Etape 4 : designer un correspondant conformité réglementaire ou responsable de la protection des données

Meme si la loi 09-08 n'impose pas formellement un responsable de la protection des données pour toutes les entreprises, la pratique conformité réglementaire recente encourage tres fortement la nomination d'un correspondant a la protection des donnees. Cette personne devient l'interlocuteur unique en cas d'audit ou de plainte utilisateur.

Etape 5 : contractualiser avec les sous-traitants

Le BSP WhatsApp, l'hebergeur cloud, la plateforme CRM sont des sous-traitants au sens de la loi. Un accord de sous-traitance (Data Processing Agreement) doit encadrer :

• La nature et la duree du traitement confie.
• Les mesures de securite techniques et organisationnelles.
• Les conditions de sous-sous-traitance.
• Les obligations de notification en cas de violation.
• La restitution ou destruction des donnees en fin de contrat.

Etape 6 : securiser techniquement

La conformité réglementaire evalue de plus en plus la reelle securite des systemes :

• Chiffrement au repos et en transit (TLS 1.2+ minimum).
• Gestion des acces par role, authentification forte pour les admins.
• Journalisation des acces aux donnees personnelles.
• Sauvegardes testees regulierement.
• Plan de reponse aux incidents documente.

Etape 7 : gerer les droits des personnes

Toute personne doit pouvoir exercer ses droits gratuitement, dans un delai de 30 jours maximum. Une adresse email dediee (par ex. [email protected]) et un workflow interne clair sont indispensables.

Etape 8 : notifier les violations

En cas de faille de securite ayant expose des donnees personnelles, la réglementation applicable doit etre notifiee dans les meilleurs delais, avec description de l'incident, categories de donnees et de personnes concernees, mesures prises. Les personnes affectees doivent egalement etre informees en cas de risque eleve.

Sanctions encourues

Le non-respect de la loi 09-08 expose a des amendes administratives et penales pouvant atteindre plusieurs centaines de milliers de dirhams, sans compter le prejudice reputationnel. La conformité réglementaire publie regulierement les entreprises sanctionnees.

Conclusion

La conformite conformité réglementaire n'est pas un obstacle a l'innovation conversationnelle mais un cadre qui protege l'entreprise autant que ses utilisateurs. Traite tot dans le projet, il devient un atout differenciant, particulierement dans les secteurs sensibles (banque, sante, education). Le reflex a adopter : integrer la réglementation applicable au meme titre que la securite ou l'UX, des les premieres specifications du projet.