Durée de conservation des numéros de téléphone : ce que dit la CNDP au Maroc

C'est totalement faux. La collecte du numéro de téléphone n'est pas un transfert de propriété perpétuel, c'est un "prêt" conditionné à un usage précis (le traitement) et limité dans le temps.

La loi 09-08 (CNDP) encadre strictement la durée pendant laquelle vous avez le droit de stocker le numéro (+212) d'un prospect ou d'un client dans votre base CRM ou dans votre plateforme d'envoi de SMS (Bulk). Garder des données indéfiniment sans justification ("Au cas où") est une infraction.

L'article 3 de la loi 09-08 précise que les données à caractère personnel doivent être "conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et traitées".

En termes clairs : Si vous avez demandé un numéro pour prévenir un client que sa commande e-commerce est prête, une fois la commande livrée, la finalité est atteinte. Vous ne pouvez pas, trois ans plus tard, ressortir ce numéro pour lui envoyer des promos pour le Black Friday.

La loi marocaine ne fixe pas de nombre de mois figé dans le texte fondateur (cela dépend du type de données), mais la CNDP suit les standards de l'industrie (alignés sur les normes européennes et les meilleures pratiques).

En matière de Marketing Direct (SMS, Emailing), la règle de doctrine retenue est souvent la règle des 3 ans d'inactivité.

• Pour un Client Actif : Tant que la personne achète chez vous ou utilise vos services de manière régulière, le contrat court, et vous pouvez conserver le numéro.
• Pour un Client Inactif ou un Prospect : Si la personne n'a répondu à aucune sollicitation, n'a pas cliqué sur vos SMS, ni acheté de produit depuis 3 ans (à compter de la fin de la relation commerciale ou du dernier contact), son numéro doit être purement et simplement supprimé ou anonymisé de vos bases de données d'envoi.

Les développeurs qui conçoivent des CRM ou utilisent des plateformes d'API SMS doivent intégrer la notion de "Cycle de vie de la donnée".
Laissée au travail humain, la purge n'est jamais faite. Vous devez créer une tâche CRON (script automatisé).

Exemple de logique de purge :

-- Requête mensuelle pour supprimer les numéros des clients inactifs 
-- depuis plus de 36 mois (3 ans) qui n'ont fait aucune transaction.
DELETE FROM contacts_marketing 
WHERE last_activity_date < DATE_SUB(NOW(), INTERVAL 36 MONTH)
AND has_active_contract = FALSE;

En anonymisant ces données, vous protégez votre entreprise en cas d'audit de la CNDP.

Outre la loi, il y a la logique de rentabilité. Envoyer des campagnes SMS sur une base qui n'a pas été nettoyée depuis 5 ans est un suicide financier.

Au Maroc, le renouvellement des cartes SIM prépayées (churn opérateur) est massif. Un numéro inactif depuis 2 ans a de fortes chances d'avoir été recyclé par Maroc Telecom, Orange ou inwi, et réattribué à une personne complètement différente (qui se plaindra de recevoir du spam).
Votre taux de délivrance (Hard Bounces) s'effondrera, et l'opérateur finira par bloquer votre Sender ID pour cause de trafic de mauvaise qualité.

La recommandation technique :

1. Si un SMS retourne un statut DLR REJECTED ou UNDELIVERABLE (numéro désattribué) lors d'une campagne, configurez un Webhook qui supprime immédiatement ce numéro de votre base de prospection.
2. N'attendez pas 3 ans pour agir. Une base de contacts SMS âgée de plus de 12 mois sans aucune interaction doit être considérée comme "froide" et nécessiterait idéalement une campagne de ré-engagement avant purge.