RGPD vs loi 09-08 (CNDP) : les vraies différences pour les entreprises qui envoient des SMS au Maroc

Pourtant, la loi en vigueur sur le territoire national n'est pas le RGPD européen, mais la Loi 09-08, contrôlée par la CNDP. De nombreuses startups marocaines ou filiales de groupes étrangers s'y perdent. Pensant être conformes au RGPD en utilisant des plateformes américaines ou européennes, elles se retrouvent en infraction au Maroc. Voici comment démêler ces deux cadres juridiques pour vos envois d'API SMS.

C'est la règle de territorialité.

• Si vous êtes une entreprise marocaine qui envoie des SMS à des citoyens marocains : Vous êtes soumis exclusivement à la Loi 09-08 de la CNDP. Le RGPD ne s'applique pas à vous directement.
• Si vous êtes une entreprise marocaine qui cible la diaspora en Europe, ou une plateforme de tourisme ciblant des numéros français (+33) / espagnols (+34) : Vous êtes soumis à la loi marocaine (Loi 09-08) ET au RGPD européen (en tant que sous-traitant ou responsable de traitement ciblant des résidents de l'UE).
• Si vous êtes une entreprise française qui ouvre une succursale au Maroc : Vous devez appliquer les règles strictes de la CNDP marocaine sur vos bases de données locales, et non simplement dupliquer les mentions légales de votre maison-mère.

Bien que la Loi 09-08 s'inspire largement des directives européennes pré-RGPD (notamment la loi Informatique et Libertés française), il existe des nuances pratiques.

1. L'obligation de déclaration préalable (Le fardeau administratif)
C'est la différence la plus marquante pour les DSI (Directions des Systèmes d'Information) :

• RGPD : Il n'y a plus de "déclaration préalable" à faire à la CNIL pour créer un fichier client. C'est le principe de la responsabilisation (accountability) : vous tenez un registre interne.
• CNDP (Loi 09-08) : L'approche est différente. Avant de créer une base de données de numéros de téléphone pour de la prospection, vous devez déposer une déclaration (ou une demande d'autorisation) auprès de la CNDP. Il y a un formalisme administratif strict au Maroc.

2. Le Transfert des données hors des frontières (Data Residency)
C'est le point de friction majeur pour le choix d'un fournisseur SMS (Twilio, Vonage vs EnvoiSMS).

• RGPD : Le transfert de données vers les États-Unis est très compliqué politiquement (Privacy Shield invalidé), mais très fluide au sein de l'Union Européenne.
• CNDP : Transférer un numéro de téléphone marocain (+212) vers une API dont les serveurs sont à Paris ou en Californie nécessite une autorisation préalable spécifique de transfert à l'étranger par la CNDP, qui évalue si le pays de destination offre un niveau de protection adéquat.

Conséquence pratique : Pour s'éviter des mois de paperasse juridique et de risque de rejet, les banques et grandes entreprises marocaines utilisent des passerelles SMS hébergées au Maroc pour que la donnée reste sur le territoire national.

Sur le front du marketing, le RGPD et la CNDP sont sur la même longueur d'onde.
L'Opt-in explicite (la case à cocher non pré-cochée) et le droit de désabonnement (STOP SMS) sont des principes universels aux deux textes. L'envoi de SMS B2C non sollicité (Spam) est illégal des deux côtés de la Méditerranée.

Si vous développez une plateforme SaaS au Maroc avec des ambitions internationales, la meilleure approche (Security by Design) est de viser le standard d'exigence le plus élevé (le RGPD) sur l'architecture logicielle (chiffrement, traçabilité du consentement, droit à l'oubli), tout en respectant le formalisme administratif de la CNDP (hébergement local, déclarations préalables).

L'utilisation d'une API SMS purement locale et souveraine pour vos flux marocains vous enlève une immense épine du pied lors de vos audits de conformité, en garantissant que le nœud de télécommunication (la donnée transitant vers l'opérateur) respecte nativement la juridiction de la Loi 09-08.