CNDP y sitio web en Marruecos: ¿qué obligaciones hay sobre los datos personales en 2026?

La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) es la autoridad marroquí independiente encargada de:

✅ Recibir las declaraciones y expedir las autorizaciones de tratamiento ✅ Controlar la conformidad de los responsables del tratamiento, in situ y documentalmente ✅ Tramitar las reclamaciones de las personas afectadas ✅ Constatar las infracciones y recurrir a la fiscalía (parquet) ✅ Asesorar a las empresas y publicar recomendaciones y procedimientos simplificados

Fundamento legal: Ley n.º 09-08 promulgada por el Dahir n.º 1-09-15 de 18 de febrero de 2009, y decreto de aplicación n.º 2-09-165 de 21 de mayo de 2009. Se está preparando una reforma destinada a acercar este marco al RGPD europeo, pero la Ley 09-08 sigue siendo el texto aplicable en 2026.

Sitio oficial: www.cndp.ma (formularios de notificación, decisiones y recomendaciones)

Toda información relativa a una persona física identificada o identificable:

✅ Identidad: apellidos, nombre, foto, firma, fecha de nacimiento ✅ Datos de contacto: correo electrónico, teléfono, dirección postal ✅ Identificadores: número de CIN, número de cliente, identificador de cookie ✅ Datos técnicos: dirección IP, geolocalización, identificador del dispositivo ✅ Datos sensibles: origen racial o étnico, opiniones políticas, convicciones religiosas, afiliación sindical, salud, datos genéticos ✅ Datos bancarios: RIB, número de tarjeta (incluso parcial) ✅ Datos de navegación: historial, comportamiento en línea

Ejemplo: una lista de correos electrónicos de clientes constituye un fichero de datos personales sujeto a la Ley 09-08.

❌ Datos anonimizados: imposibilidad de identificar a la persona, ni siquiera indirectamente (p. ej.: «el 25 % de los visitantes…») ❌ Datos relativos a una persona jurídica: razón social, ICE, dirección del domicilio social ❌ Datos técnicos no vinculables a una persona (tipo de navegador agregado, estadísticas globales)

Si usted recoge datos personales, cada tratamiento debe ser objeto de una declaración previa a la CNDP. Se requiere una autorización previa para los tratamientos de datos sensibles, los datos relativos a infracciones, las interconexiones de ficheros y los cambios de finalidad. Las transferencias de datos al extranjero (alojamiento, CRM o herramientas de e-mailing situados fuera de Marruecos) deben someterse a la CNDP: se admiten hacia los países que figuran en su lista de Estados que garantizan una protección suficiente (deliberación n.º 465-2013, modificada en 2015) y exigen una autorización previa hacia los demás países, salvo las excepciones previstas por la ley, como el consentimiento expreso de la persona.

Supuestos afectados:

• ✅ Newsletter (correos electrónicos de clientes)
• ✅ Formularios de contacto (nombre, correo electrónico, teléfono)
• ✅ Área de cliente (cuenta con perfil)
• ✅ Cookies de medición de audiencia y de publicidad
• ✅ Formularios de candidatura
• ✅ Comentarios de blog, chat en línea

Supuestos no afectados:

• ❌ Sitio puramente informativo, sin formulario ni recogida de datos
• ❌ Sitio que solo utiliza cookies estrictamente necesarias para su funcionamiento

Procedimiento de declaración:

1. Preparación del expediente: descripción del tratamiento (finalidad, datos recogidos, categorías de personas, destinatarios, plazo de conservación), medidas de seguridad, lugar de alojamiento de los datos
2. Presentación ante la CNDP: formulario oficial de notificación, presentado en línea a través de la plataforma CNDP-FORMS (www.cndp.ma) o en la sede de la Comisión; coste: gratuito. Existen procedimientos simplificados para los tratamientos habituales (gestión del personal, newsletters, control de acceso) y para las cookies
3. Tramitación: la CNDP expide un acuse de recibo de la declaración (récépissé); en el caso de una autorización, resuelve en el plazo previsto por la ley, en principio dos meses
4. Acuse de recibo o autorización: su número debe figurar en sus formularios y en su política de privacidad

Modelo de notificación CNDP:

NOTIFICACIÓN DE TRATAMIENTO (DECLARACIÓN PREVIA)

Responsable del tratamiento: [Denominación, forma jurídica, RC, ICE]
Dirección: [Domicilio social]
Representante: [Nombre del directivo o del responsable designado]
Contacto: [Correo electrónico / teléfono]

TRATAMIENTO:
Finalidad: gestión de la newsletter de clientes
Datos recogidos: correo electrónico, apellidos, nombre
Categorías de personas: clientes y clientes potenciales
Plazo de conservación: 3 años después del último contacto
Destinatarios: equipo de marketing interno, proveedor de e-mailing
Alojamiento de los datos: [Marruecos / país extranjero: transferencia declarada a la CNDP, o autorizada si el país no figura en su lista]

MEDIDAS DE SEGURIDAD:
- Sitio en HTTPS, base de datos cifrada
- Acceso limitado a las personas autorizadas, contraseñas robustas
- Copias de seguridad periódicas
- Política de privacidad publicada

Adjunto: política de privacidad del sitio

💡 Consejo: declare incluso un tratamiento sencillo. La formalidad es gratuita y la declaración es el primer documento que se solicita en un control.

Obligatoria en todo sitio que recoja datos, materializa el derecho a la información previsto por la Ley 09-08.

Contenido mínimo:

Modelo simplificado de política de privacidad:

POLÍTICA DE PRIVACIDAD
[Nombre del sitio]

1. RESPONSABLE DEL TRATAMIENTO
[Denominación social], [domicilio social], RC n.º [..], ICE n.º [..]
Contacto: [correo electrónico]

2. DATOS RECOGIDOS
- Correo electrónico, apellidos y nombre (formularios de contacto y de newsletter)
- Dirección IP y datos de navegación (registros del servidor, cookies)
- Datos de pedido y de entrega (tienda en línea)

3. FINALIDADES Y BASE JURÍDICA
- Respuesta a sus solicitudes (ejecución de la relación precontractual)
- Envío de la newsletter (consentimiento)
- Medición de audiencia y mejora del sitio (consentimiento para las cookies no esenciales)

4. PLAZOS DE CONSERVACIÓN
- Contactos: 1 año después de la solicitud
- Suscriptores de la newsletter: 3 años después del último contacto
- Datos de pedido: duración del contrato y, después, plazos legales de conservación contable (10 años)

5. SUS DERECHOS
De conformidad con la Ley 09-08, usted dispone de un derecho de acceso, de rectificación
y de oposición, en particular a la prospección comercial.
Para ejercerlos: [correo electrónico]. También puede dirigirse a la CNDP (www.cndp.ma).

6. SEGURIDAD
Sitio en HTTPS, acceso restringido, copias de seguridad periódicas.

7. COOKIES
Cookies de sesión (necesarias); cookies de medición de audiencia y de publicidad
(sujetas a su consentimiento, modificable en cualquier momento).

8. TRANSFERENCIAS Y FORMALIDADES
Este tratamiento se ha declarado a la CNDP con el n.º [..]. Los datos alojados
fuera de Marruecos son objeto, en su caso, de una autorización de transferencia n.º [..].

Última actualización: [Fecha]

Dónde colocarla:

• ✅ Enlace en el pie de página de cada página del sitio
• ✅ Página dedicada (/politica-de-privacidad)
• ✅ Enlace en cada formulario, antes de la validación
• ✅ Texto legible y accesible (una redacción ilegible equivale a una falta de información)

En toda recogida de datos, el usuario debe ser informado y, cuando el tratamiento se basa en su consentimiento, expresarlo mediante un acto positivo. La prospección directa por correo electrónico o SMS está prohibida sin consentimiento previo (Ley 09-08).

Tipos de consentimiento:

Puesta en práctica:

✅ Formulario de newsletter

☐ Acepto recibir la newsletter de [Nombre] (consentimiento)
 La información recogida está destinada a [Nombre] para el envío de la newsletter.
 Tratamiento declarado a la CNDP con el n.º [..]. Derechos de acceso, de rectificación
 y de oposición: [correo electrónico]. [Leer la política de privacidad]
 [Suscribirse]

✅ Banner de cookies

Este sitio utiliza cookies de medición de audiencia y de publicidad.
[Aceptar todo] [Rechazar las cookies no esenciales] [Configurar]

❌ Qué evitar:

Al visitar este sitio, usted acepta nuestras cookies y nuestra política… (ningún consentimiento real)
Casilla premarcada «Recibir nuestras ofertas de socios» (consentimiento no libre)

Prueba del consentimiento:

• Conservar los registros: quién ha consentido, cuándo y por qué medio
• Correo electrónico de confirmación de la suscripción (se recomienda el doble opt-in)
• Registro de las elecciones sobre cookies, incluidos los rechazos

El explotador de un sitio comercial debe permitir su identificación, de conformidad con la Ley 31-08 (información al consumidor en los contratos a distancia) y con el Código de Comercio (mención del número del Registro Mercantil en los documentos comerciales). El modelo siguiente recoge también el Identificador Común de la Empresa (ICE) y el identificador fiscal:

AVISO LEGAL

Editor del sitio: [Denominación social], [forma jurídica], capital [..] MAD
Domicilio social: [Dirección]
RC: [Número y ciudad]  |  ICE: [Número]  |  IF: [Número]
Responsable de la publicación: [Nombre]
Contacto: [Correo electrónico / teléfono]

Proveedor de alojamiento: [Nombre y dirección del proveedor de alojamiento]

Propiedad intelectual: los contenidos (textos, imágenes, logotipos) están protegidos;
queda prohibida cualquier reproducción sin autorización.

Datos personales: véase la política de privacidad (declaración CNDP n.º [..]).

La Ley 09-08 obliga al responsable del tratamiento a adoptar las medidas técnicas y organizativas apropiadas para proteger los datos.

Técnicas:

✅ Cifrado HTTPS: certificado SSL válido en todo el sitio, formularios incluidos ✅ Autenticación: contraseñas robustas, doble autenticación para los accesos de administración ✅ Cifrado y compartimentación: datos sensibles cifrados, interfaz de administración separada ✅ Copias de seguridad: copias periódicas, almacenadas de forma segura ✅ Actualizaciones: CMS, extensiones y servidores mantenidos al día

Organizativas:

✅ Política interna: procedimientos escritos, sensibilización del personal, acceso limitado a las personas autorizadas ✅ Contratos con los proveedores: proveedor de alojamiento, agencia web, solución de e-mailing, pasarela de pago, con cláusulas de confidencialidad y de seguridad; autorización de la CNDP para los proveedores situados en un país que no figura en la lista de la CNDP ✅ Gestión de incidentes: procedimiento en caso de violación de datos; la Ley 09-08 no impone una notificación formal, pero es muy recomendable informar a la CNDP y a las personas afectadas

La Ley 09-08 no impone plazos cifrados: el plazo lo fija el responsable del tratamiento en su declaración y debe ser proporcionado a la finalidad. Plazos de referencia comúnmente admitidos:

El plazo de conservación de las facturas y de los justificantes contables se rige por las obligaciones contables de las sociedades en Marruecos.

Procedimiento de supresión:

• Purga automática al expirar el plazo: los datos se suprimen o se anonimizan
• Supresión a petición de la persona, salvo obligación legal de conservación (por ejemplo, las facturas durante 10 años), con confirmación por escrito al solicitante
• Procedimiento documentado y verificable

Toda persona afectada dispone de los siguientes derechos:

1. Derecho de información: conocer la identidad del responsable, las finalidades, los destinatarios y sus derechos en el momento de la recogida
2. Derecho de acceso: obtener la confirmación de que sus datos se están tratando y recibir una copia inteligible de ellos
3. Derecho de rectificación: hacer corregir, completar, actualizar o suprimir los datos inexactos, incompletos o tratados ilícitamente
4. Derecho de oposición: oponerse, por motivos legítimos, al tratamiento de sus datos y, sin motivo, a su utilización con fines de prospección
5. Protección frente a las decisiones automatizadas: no ser objeto de una decisión que produzca efectos jurídicos basada únicamente en un tratamiento automatizado

La Ley 09-08 no prevé un derecho a la portabilidad; no obstante, es una buena práctica entregar los datos en un formato legible.

Procedimiento recomendado:

1. Recepción: punto de contacto único (correo electrónico específico) indicado en la política de privacidad
2. Verificación de la identidad del solicitante antes de cualquier comunicación
3. Tramitación: comunicación de los datos, rectificación o cese del tratamiento, sin demora excesiva; un plazo de un mes como máximo constituye una referencia prudente
4. Documentación: conservación de la solicitud y de la respuesta para justificar la conformidad en caso de control

La CNDP puede controlar a cualquier responsable del tratamiento establecido en Marruecos, sea cual sea su tamaño:

✅ Comercio electrónico (datos de clientes y de entrega) ✅ SaaS y aplicaciones (datos de usuarios) ✅ Blogs y medios de comunicación (comentarios, newsletters) ✅ Servicios en línea (reservas, citas) ✅ Comercios físicos que dispongan de un CRM o de un programa de fidelización

Sanciones penales previstas por la Ley 09-08 (capítulo de las sanciones, artículos 52 y siguientes):

Para las personas jurídicas, las multas se duplican, sin perjuicio de las penas en que incurran sus directivos; también se duplican en caso de reincidencia. Además, el tribunal puede ordenar el decomiso del material y el cierre del establecimiento. En la práctica, la CNDP envía primero un requerimiento (mise en demeure) antes de recurrir a la fiscalía. Las demás sanciones por incumplimiento normativo de las empresas (fiscales, sociales, mercantiles) se presentan en una guía específica.

💡 Consejo: una adecuación voluntaria siempre cuesta menos que un control sufrido.

Si la CNDP se pone en contacto con usted:

1. Notificación: la CNDP informa al responsable del tratamiento de un control documental o in situ, o lo cita para una audiencia
2. Preparación: reunir los acuses de recibo de las declaraciones, las autorizaciones, la política de privacidad, los registros de consentimiento y la documentación de seguridad
3. Control: los agentes juramentados examinan los tratamientos, los sistemas y los contratos con los proveedores
4. Informe y requerimiento: las deficiencias constatadas son objeto de un plazo de regularización
5. Consecuencias: control de seguimiento; a falta de regularización, remisión a la fiscalía y sanciones penales