CNDP e sito web in Marocco: quali obblighi per i dati personali nel 2026?

La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) è l'autorità marocchina indipendente incaricata di:

✅ Ricevere le dichiarazioni e rilasciare le autorizzazioni al trattamento ✅ Controllare la conformità dei titolari del trattamento, in loco e su base documentale ✅ Istruire i reclami degli interessati ✅ Accertare le violazioni e adire la procura (parquet) ✅ Fornire consulenza alle imprese e pubblicare raccomandazioni e procedure semplificate

Fondamento giuridico: Legge n. 09-08 promulgata con il Dahir n. 1-09-15 del 18 febbraio 2009, e decreto di attuazione n. 2-09-165 del 21 maggio 2009. È in preparazione una riforma volta ad avvicinare questo quadro al RGPD europeo, ma la Legge 09-08 resta il testo applicabile nel 2026.

Sito ufficiale: www.cndp.ma (moduli di notifica, decisioni e raccomandazioni)

Qualsiasi informazione relativa a una persona fisica identificata o identificabile:

✅ Identità: cognome, nome, foto, firma, data di nascita ✅ Recapiti: e-mail, telefono, indirizzo postale ✅ Identificativi: numero di CIN, numero cliente, identificativo di cookie ✅ Dati tecnici: indirizzo IP, geolocalizzazione, identificativo del dispositivo ✅ Dati sensibili: origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, salute, dati genetici ✅ Dati bancari: RIB, numero di carta (anche parziale) ✅ Dati di navigazione: cronologia, comportamento online

Esempio: un elenco di e-mail di clienti costituisce un archivio di dati personali soggetto alla Legge 09-08.

❌ Dati anonimizzati: impossibilità di identificare la persona, anche indirettamente (es.: «il 25% dei visitatori…») ❌ Dati relativi a una persona giuridica: ragione sociale, ICE, indirizzo della sede ❌ Dati tecnici non riconducibili a una persona (tipo di browser aggregato, statistiche globali)

Se raccoglie dati personali, ogni trattamento deve essere oggetto di una dichiarazione preventiva alla CNDP. È richiesta un'autorizzazione preventiva per i trattamenti di dati sensibili, i dati relativi a reati, le interconnessioni di archivi e i cambiamenti di finalità. I trasferimenti di dati verso l'estero (hosting, CRM o strumenti di e-mailing situati al di fuori del Marocco) devono essere sottoposti alla CNDP: sono ammessi verso i paesi che figurano nel suo elenco degli Stati che assicurano una protezione sufficiente (delibera n. 465-2013, modificata nel 2015) e richiedono un'autorizzazione preventiva verso gli altri paesi, salvo le eccezioni previste dalla legge, come il consenso espresso della persona.

Casi interessati:

• ✅ Newsletter (e-mail dei clienti)
• ✅ Moduli di contatto (nome, e-mail, telefono)
• ✅ Area clienti (account con profilo)
• ✅ Cookie di misurazione dell'audience e di pubblicità
• ✅ Moduli di candidatura
• ✅ Commenti del blog, chat online

Casi non interessati:

• ❌ Sito puramente informativo, senza moduli né raccolta
• ❌ Sito che utilizza solo cookie strettamente necessari al funzionamento

Procedura di dichiarazione:

1. Preparazione della pratica: descrizione del trattamento (finalità, dati raccolti, categorie di persone, destinatari, durata di conservazione), misure di sicurezza, luogo di hosting dei dati
2. Deposito presso la CNDP: modulo ufficiale di notifica, depositato online tramite la piattaforma CNDP-FORMS (www.cndp.ma) o presso la sede della Commissione; costi: gratuito. Esistono procedure semplificate per i trattamenti ricorrenti (gestione del personale, newsletter, controllo degli accessi) e per i cookie
3. Istruttoria: la CNDP rilascia una ricevuta di dichiarazione (récépissé); per un'autorizzazione, decide entro il termine previsto dalla legge, in linea di principio due mesi
4. Ricevuta o autorizzazione: il relativo numero deve figurare sui Suoi moduli e nella Sua informativa sulla privacy

Modello di notifica CNDP:

NOTIFICA DI TRATTAMENTO (DICHIARAZIONE PREVENTIVA)

Titolare del trattamento: [Denominazione, forma giuridica, RC, ICE]
Indirizzo: [Sede legale]
Rappresentante: [Nome del dirigente o del responsabile designato]
Contatto: [E-mail / telefono]

TRATTAMENTO:
Finalità: gestione della newsletter clienti
Dati raccolti: e-mail, cognome, nome
Categorie di persone: clienti e potenziali clienti
Durata di conservazione: 3 anni dopo l'ultimo contatto
Destinatari: team marketing interno, fornitore di servizi di e-mailing
Hosting dei dati: [Marocco / paese estero: trasferimento dichiarato alla CNDP, o autorizzato se il paese non figura nel suo elenco]

MISURE DI SICUREZZA:
- Sito in HTTPS, database cifrato
- Accesso limitato alle persone autorizzate, password robuste
- Backup regolari
- Informativa sulla privacy pubblicata

Allegato: informativa sulla privacy del sito

💡 Consiglio: dichiari anche un trattamento semplice. La formalità è gratuita e la dichiarazione è il primo documento richiesto in caso di controllo.

Obbligatoria su ogni sito che raccoglie dati, concretizza il diritto all'informazione previsto dalla Legge 09-08.

Contenuto minimo:

Modello semplificato di informativa sulla privacy:

INFORMATIVA SULLA PRIVACY
[Nome del sito]

1. TITOLARE DEL TRATTAMENTO
[Denominazione sociale], [sede legale], RC n. [..], ICE n. [..]
Contatto: [e-mail]

2. DATI RACCOLTI
- E-mail, cognome e nome (moduli di contatto e di newsletter)
- Indirizzo IP e dati di navigazione (log del server, cookie)
- Dati di ordine e di consegna (negozio online)

3. FINALITÀ E BASE GIURIDICA
- Risposta alle Sue richieste (esecuzione del rapporto precontrattuale)
- Invio della newsletter (consenso)
- Misurazione dell'audience e miglioramento del sito (consenso per i cookie non essenziali)

4. DURATE DI CONSERVAZIONE
- Contatti: 1 anno dopo la richiesta
- Iscritti alla newsletter: 3 anni dopo l'ultimo contatto
- Dati degli ordini: durata del contratto, poi termini di legge di conservazione contabile (10 anni)

5. I SUOI DIRITTI
Ai sensi della Legge 09-08, Lei dispone di un diritto di accesso, di rettifica
e di opposizione, in particolare alla prospezione commerciale.
Per esercitarli: [e-mail]. Può anche rivolgersi alla CNDP (www.cndp.ma).

6. SICUREZZA
Sito in HTTPS, accesso limitato, backup regolari.

7. COOKIE
Cookie di sessione (necessari); cookie di misurazione dell'audience e di pubblicità
(soggetti al Suo consenso, modificabile in qualsiasi momento).

8. TRASFERIMENTI E FORMALITÀ
Questo trattamento è stato dichiarato alla CNDP con il n. [..]. I dati ospitati
al di fuori del Marocco sono oggetto, se del caso, di un'autorizzazione al trasferimento n. [..].

Ultimo aggiornamento: [Data]

Dove collocarla:

• ✅ Link nel piè di pagina di ogni pagina del sito
• ✅ Pagina dedicata (/informativa-privacy)
• ✅ Link su ogni modulo, prima dell'invio
• ✅ Testo leggibile e accessibile (una redazione illeggibile equivale a una mancata informazione)

Per ogni raccolta di dati, l'utente deve essere informato e, quando il trattamento si basa sul suo consenso, esprimerlo con un atto positivo. La prospezione diretta tramite e-mail o SMS è vietata senza consenso preventivo (Legge 09-08).

Tipi di consenso:

Attuazione:

✅ Modulo newsletter

☐ Accetto di ricevere la newsletter di [Nome] (consenso)
 Le informazioni raccolte sono destinate a [Nome] per l'invio della newsletter.
 Trattamento dichiarato alla CNDP con il n. [..]. Diritti di accesso, di rettifica
 e di opposizione: [e-mail]. [Leggi l'informativa sulla privacy]
 [Iscriviti]

✅ Banner dei cookie

Questo sito utilizza cookie di misurazione dell'audience e di pubblicità.
[Accetta tutti] [Rifiuta i cookie non essenziali] [Personalizza]

❌ Da evitare:

Visitando questo sito, Lei accetta i nostri cookie e la nostra informativa… (nessun consenso reale)
Casella preselezionata «Ricevere le offerte dei nostri partner» (consenso non libero)

Prova del consenso:

• Conservare i log: chi ha acconsentito, quando, con quale mezzo
• E-mail di conferma dell'iscrizione (double opt-in raccomandato)
• Registrazione delle scelte relative ai cookie, compresi i rifiuti

Il gestore di un sito commerciale deve consentire la propria identificazione, conformemente alla Legge 31-08 (informazione del consumatore nei contratti a distanza) e al Codice di commercio (indicazione del numero di Registro di Commercio sui documenti commerciali). Il modello qui sotto riporta anche l'Identificativo comune dell'impresa (ICE) e l'identificativo fiscale:

NOTE LEGALI

Editore del sito: [Denominazione sociale], [forma giuridica], capitale [..] MAD
Sede legale: [Indirizzo]
RC: [Numero e città]  |  ICE: [Numero]  |  IF: [Numero]
Responsabile della pubblicazione: [Nome]
Contatto: [E-mail / telefono]

Fornitore di hosting: [Nome e indirizzo del fornitore di hosting]

Proprietà intellettuale: i contenuti (testi, immagini, loghi) sono protetti;
qualsiasi riproduzione senza autorizzazione è vietata.

Dati personali: si veda l'informativa sulla privacy (dichiarazione CNDP n. [..]).

La Legge 09-08 impone al titolare del trattamento di adottare le misure tecniche e organizzative adeguate per proteggere i dati.

Tecniche:

✅ Cifratura HTTPS: certificato SSL valido sull'intero sito, moduli compresi ✅ Autenticazione: password robuste, autenticazione a due fattori per gli accessi di amministrazione ✅ Cifratura e segmentazione: dati sensibili cifrati, interfaccia di amministrazione separata ✅ Backup: copie regolari, archiviate in modo sicuro ✅ Aggiornamenti: CMS, estensioni e server mantenuti aggiornati

Organizzative:

✅ Politica interna: procedure scritte, sensibilizzazione del personale, accesso limitato alle persone autorizzate ✅ Contratti con i fornitori: hosting provider, web agency, soluzione di e-mailing, gateway di pagamento, con clausole di riservatezza e di sicurezza; autorizzazione CNDP per i fornitori situati in un paese non incluso nell'elenco della CNDP ✅ Gestione degli incidenti: procedura in caso di violazione dei dati; la Legge 09-08 non impone una notifica formale, ma informare la CNDP e gli interessati è fortemente raccomandato

La Legge 09-08 non impone durate quantificate: la durata è fissata dal titolare del trattamento nella sua dichiarazione e deve essere proporzionata alla finalità. Durate di riferimento comunemente ammesse:

La durata di conservazione delle fatture e dei documenti contabili rientra negli obblighi contabili delle società in Marocco.

Procedura di cancellazione:

• Eliminazione automatica alla scadenza del termine: i dati sono cancellati o anonimizzati
• Cancellazione su richiesta della persona, salvo obbligo legale di conservazione (ad esempio le fatture per 10 anni), con conferma scritta al richiedente
• Procedura documentata e verificabile

Ogni interessato dispone dei seguenti diritti:

1. Diritto all'informazione: conoscere l'identità del titolare, le finalità, i destinatari e i propri diritti al momento della raccolta
2. Diritto di accesso: ottenere la conferma che i propri dati sono trattati e riceverne una copia intelligibile
3. Diritto di rettifica: far correggere, completare, aggiornare o cancellare dati inesatti, incompleti o trattati illecitamente
4. Diritto di opposizione: opporsi, per motivi legittimi, al trattamento dei propri dati e, senza motivo, al loro utilizzo a fini di prospezione commerciale
5. Protezione contro le decisioni automatizzate: non essere sottoposto a una decisione che produca effetti giuridici fondata unicamente su un trattamento automatizzato

La Legge 09-08 non prevede un diritto alla portabilità; è tuttavia buona prassi consegnare i dati in un formato leggibile.

Procedura raccomandata:

1. Ricezione: punto di contatto unico (e-mail dedicata) indicato nell'informativa sulla privacy
2. Verifica dell'identità del richiedente prima di qualsiasi comunicazione
3. Trattamento: comunicazione dei dati, rettifica o cessazione del trattamento, senza ritardo eccessivo; un termine massimo di un mese costituisce un riferimento prudente
4. Documentazione: conservazione della richiesta e della risposta per dimostrare la conformità in caso di controllo

La CNDP può controllare qualsiasi titolare del trattamento stabilito in Marocco, indipendentemente dalle sue dimensioni:

✅ E-commerce (dati dei clienti e di consegna) ✅ SaaS e applicazioni (dati degli utenti) ✅ Blog e media (commenti, newsletter) ✅ Servizi online (prenotazioni, appuntamenti) ✅ Negozi fisici dotati di un CRM o di un programma fedeltà

Sanzioni penali previste dalla Legge 09-08 (capo delle sanzioni, articoli 52 e seguenti):

Per le persone giuridiche, le ammende sono raddoppiate, fatte salve le pene a carico dei loro dirigenti; lo sono anche in caso di recidiva. Il tribunale può inoltre ordinare la confisca del materiale e la chiusura dell'esercizio. In pratica, la CNDP invia anzitutto una diffida (mise en demeure) prima di adire la procura. Le altre sanzioni per la non conformità delle imprese (fiscali, sociali, commerciali) sono illustrate in una guida dedicata.

💡 Consiglio: una messa in conformità volontaria costa sempre meno di un controllo subito.

Se la CNDP La contatta:

1. Notifica: la CNDP informa il titolare del trattamento di un controllo su base documentale o in loco, oppure lo convoca per un'audizione
2. Preparazione: raccogliere le ricevute di dichiarazione, le autorizzazioni, l'informativa sulla privacy, i registri dei consensi e la documentazione sulla sicurezza
3. Controllo: gli agenti giurati esaminano i trattamenti, i sistemi e i contratti con i fornitori
4. Rapporto e diffida: le difformità rilevate sono oggetto di un termine di regolarizzazione
5. Seguito: controllo successivo; in mancanza di regolarizzazione, trasmissione alla procura e sanzioni penali