Déclaration CNDP pour entreprises et sites web : formulaires et étapes

Mis à jour le 28/09/2026

Rédigé par l'équipe Wadifa Info

Toute entreprise ou site web qui traite des données personnelles (clients, utilisateurs, salariés, caméras, cookies) doit le notifier à la CNDP avant de commencer : formulaire F211 (normal) ou F214 (conforme à une délibération-type), ou demande d'autorisation F112/F113 pour les données sensibles ou le numéro de CIN, et F118 pour un transfert à l'étranger. Récépissé sous 24 heures, autorisation sous 2 mois. Traiter sans déclaration expose à une amende de 10 000 à 100 000 DH.

Qui doit déclarer ?

Selon la CNDP, tout traitement de données personnelles (fichier clients, formulaire d'inscription d'un site, gestion du personnel, vidéosurveillance, e-mailing…) doit faire l'objet d'une déclaration préalable, sauf s'il est exclu du champ de la loi 09-08, dispensé ou soumis à autorisation préalable. Aucun traitement ne peut être mis en œuvre avant réception du récépissé ou de l'autorisation. Les traitements notifiés sont inscrits au registre public de la Commission.

Déclaration ou autorisation ?

• Déclaration normale : formulaire F211.
• Déclaration conformément à une décision (simplifiée) : formulaire F214, quand une délibération-type existe, par exemple la vente en ligne (délibération 508-AU-2014 du 14 novembre 2014), les cookies des sites web (délibération D-939-2025 du 28 novembre 2025) et la vidéosurveillance (350-2013).
• Autorisation préalable : formulaire F112 (normale) ou F113 (conformément à une décision, p. ex. gestion des ressources humaines, délibération 298-AU-2014), obligatoire pour les données sensibles (origine raciale ou ethnique, opinions politiques, convictions religieuses, appartenance syndicale, santé), les données génétiques, les infractions et condamnations, l'usage à d'autres fins que celles de la collecte, l'interconnexion de fichiers et les traitements comportant le numéro de CIN.
• Transfert à l'étranger : formulaire F118.

Pièces à fournir

1. Le formulaire adéquat rempli (les champs marqués d'un astérisque sont repris dans le récépissé).
2. Le document autorisant le signataire à engager la personne morale (modèle J du RC, statuts…).
3. Selon le cas : mention d'information ou document de recueil du consentement, pictogramme de vidéosurveillance, contrat de sous-traitance avec clauses de confidentialité, modèle de contrat de travail avec clause de protection des données.

Délais

• Récépissé de déclaration : sous 24 heures.
• Sous 8 jours, la CNDP peut vous notifier que le traitement passe au régime de l'autorisation s'il présente des dangers manifestes pour la vie privée.
• Autorisation ou transfert à l'étranger : avis sous 2 mois, prorogeable une fois.

Site web : la check-list

• Déclarez chaque traitement : formulaire de contact ou d'inscription, newsletter, vente en ligne, cookies.
• Placez sur chaque formulaire la mention d'information exigée par l'article 5 (identité du responsable, finalités, destinataires, droits d'accès, de rectification et d'opposition) avec le numéro de récépissé ou d'autorisation délivré par la CNDP.
• L'e-mailing commercial exige un consentement préalable — voir les règles de prospection directe.
• Un hébergement ou des outils hors du Maroc peuvent constituer un transfert à l'étranger : permis vers les pays de la liste de la CNDP, avec le consentement exprès de la personne ou sur autorisation de la Commission, laquelle n'est accordée que si le traitement sous-jacent a été déclaré ou autorisé.

Sanctions

L'article 52 de la loi 09-08 punit d'une amende de 10 000 à 100 000 DH quiconque met en œuvre un fichier de données personnelles sans la déclaration ou l'autorisation exigée, ou poursuit malgré le retrait du récépissé ou de l'autorisation. Pour démarrer : registre de commerce puis auto-entrepreneur pour une petite activité. Page informative : formulaires officiels et mises à jour sur cndp.ma.