CNDP en website in Marokko: welke verplichtingen gelden in 2026 voor persoonsgegevens?

De CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) is de onafhankelijke Marokkaanse autoriteit die belast is met:

✅ Het ontvangen van de aangiften en het verlenen van de machtigingen voor verwerking ✅ Het controleren van de conformiteit van de verwerkingsverantwoordelijken, ter plaatse en op stukken ✅ Het onderzoeken van de klachten van de betrokkenen ✅ Het vaststellen van de inbreuken en het aanhangig maken ervan bij het parket ✅ Het adviseren van de ondernemingen en het publiceren van aanbevelingen en vereenvoudigde procedures

Wettelijke basis: Wet nr. 09-08 afgekondigd bij Dahir nr. 1-09-15 van 18 februari 2009, en uitvoeringsdecreet nr. 2-09-165 van 21 mei 2009. Een hervorming die dit kader dichter bij de Europese AVG moet brengen, is in voorbereiding, maar Wet 09-08 blijft in 2026 de toepasselijke tekst.

Officiële website: www.cndp.ma (kennisgevingsformulieren, beslissingen en aanbevelingen)

Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon:

✅ Identiteit: naam, voornaam, foto, handtekening, geboortedatum ✅ Contactgegevens: e-mail, telefoon, postadres ✅ Identificatoren: CIN-nummer, klantnummer, cookie-ID ✅ Technische gegevens: IP-adres, geolocatie, apparaat-ID ✅ Gevoelige gegevens: raciale of etnische afkomst, politieke opvattingen, religieuze overtuigingen, vakbondslidmaatschap, gezondheid, genetische gegevens ✅ Bankgegevens: RIB, kaartnummer (zelfs gedeeltelijk) ✅ Surfgegevens: geschiedenis, onlinegedrag

Voorbeeld: een lijst met e-mailadressen van klanten vormt een bestand met persoonsgegevens dat onder Wet 09-08 valt.

❌ Geanonimiseerde gegevens: onmogelijk om de persoon te identificeren, zelfs niet onrechtstreeks (bv.: "25 % van de bezoekers…") ❌ Gegevens over een rechtspersoon: firmanaam (raison sociale), ICE, adres van de zetel ❌ Technische gegevens die niet kunnen worden gekoppeld aan een persoon (geaggregeerd browsertype, globale statistieken)

Als u persoonsgegevens verzamelt, moet elke verwerking het voorwerp uitmaken van een voorafgaande aangifte bij de CNDP. Een voorafgaande machtiging is vereist voor verwerkingen van gevoelige gegevens, gegevens over inbreuken, onderlinge koppelingen van bestanden en wijzigingen van doeleinde. Doorgiften van gegevens naar het buitenland (hosting, CRM- of e-mailingtools buiten Marokko) moeten aan de CNDP worden voorgelegd: ze zijn toegestaan naar de landen die op haar lijst staan van Staten die een toereikende bescherming bieden (beraadslaging nr. 465-2013, gewijzigd in 2015) en vereisen een voorafgaande machtiging naar de andere landen, behoudens de door de wet bepaalde uitzonderingen, zoals de uitdrukkelijke toestemming van de persoon.

Betrokken gevallen:

• ✅ Nieuwsbrief (e-mailadressen van klanten)
• ✅ Contactformulieren (naam, e-mail, telefoon)
• ✅ Klantenruimte (account met profiel)
• ✅ Cookies voor publieksmeting en advertenties
• ✅ Sollicitatieformulieren
• ✅ Blogreacties, onlinechat

Niet-betrokken gevallen:

• ❌ Zuiver informatieve website, zonder formulier of gegevensverzameling
• ❌ Website die alleen cookies gebruikt die strikt noodzakelijk zijn voor de werking

Aangifteprocedure:

1. Voorbereiding van het dossier: beschrijving van de verwerking (doeleinde, verzamelde gegevens, categorieën van personen, ontvangers, bewaartermijn), beveiligingsmaatregelen, plaats van hosting van de gegevens
2. Indiening bij de CNDP: officieel kennisgevingsformulier, online ingediend via het platform CNDP-FORMS (www.cndp.ma) of op de zetel van de Commissie; kosten: gratis. Er bestaan vereenvoudigde procedures voor courante verwerkingen (personeelsbeheer, nieuwsbrieven, toegangscontrole) en voor cookies
3. Onderzoek: de CNDP levert een ontvangstbewijs van aangifte af; voor een machtiging beslist zij binnen de door de wet bepaalde termijn, in principe twee maanden
4. Ontvangstbewijs of machtiging: het nummer ervan moet op uw formulieren en in uw privacybeleid worden vermeld

Model van CNDP-kennisgeving:

KENNISGEVING VAN VERWERKING (VOORAFGAANDE AANGIFTE)

Verwerkingsverantwoordelijke: [Naam, rechtsvorm, RC, ICE]
Adres: [Maatschappelijke zetel]
Vertegenwoordiger: [Naam van de bestuurder of van de aangewezen verantwoordelijke]
Contact: [E-mail / telefoon]

VERWERKING:
Doeleinde: beheer van de nieuwsbrief voor klanten
Verzamelde gegevens: e-mail, naam, voornaam
Categorieën van personen: klanten en prospecten
Bewaartermijn: 3 jaar na het laatste contact
Ontvangers: intern marketingteam, e-mailingdienstverlener
Hosting van de gegevens: [Marokko / buitenland: doorgifte aangegeven bij de CNDP, of gemachtigd als het land niet op haar lijst staat]

BEVEILIGINGSMAATREGELEN:
- Website in HTTPS, versleutelde database
- Toegang beperkt tot gemachtigde personen, sterke wachtwoorden
- Regelmatige back-ups
- Gepubliceerd privacybeleid

Bijlage: privacybeleid van de website

💡 Tip: geef ook een eenvoudige verwerking aan. De formaliteit is gratis en de aangifte is het eerste stuk dat bij een controle wordt gevraagd.

Verplicht op elke website die gegevens verzamelt; het geeft concreet vorm aan het recht op informatie waarin Wet 09-08 voorziet.

Minimale inhoud:

Vereenvoudigd model van privacybeleid:

PRIVACYBELEID
[Naam van de website]

1. VERWERKINGSVERANTWOORDELIJKE
[Maatschappelijke naam], [maatschappelijke zetel], RC nr. [..], ICE nr. [..]
Contact: [e-mail]

2. VERZAMELDE GEGEVENS
- E-mail, naam en voornaam (contact- en nieuwsbriefformulieren)
- IP-adres en surfgegevens (serverlogs, cookies)
- Bestel- en leveringsgegevens (webwinkel)

3. DOELEINDEN EN RECHTSGROND
- Beantwoording van uw verzoeken (uitvoering van de precontractuele relatie)
- Verzending van de nieuwsbrief (toestemming)
- Publieksmeting en verbetering van de website (toestemming voor niet-essentiële cookies)

4. BEWAARTERMIJNEN
- Contacten: 1 jaar na het verzoek
- Abonnees van de nieuwsbrief: 3 jaar na het laatste contact
- Bestelgegevens: duur van de overeenkomst en daarna de wettelijke boekhoudkundige bewaartermijnen (10 jaar)

5. UW RECHTEN
Overeenkomstig Wet 09-08 beschikt u over een recht van toegang, rectificatie
en verzet, met name tegen commerciële prospectie.
Om deze rechten uit te oefenen: [e-mail]. U kunt zich ook wenden tot de CNDP (www.cndp.ma).

6. BEVEILIGING
Website in HTTPS, beperkte toegang, regelmatige back-ups.

7. COOKIES
Sessiecookies (noodzakelijk); cookies voor publieksmeting en advertenties
(onderworpen aan uw toestemming, op elk moment te wijzigen).

8. DOORGIFTEN EN FORMALITEITEN
Deze verwerking werd bij de CNDP aangegeven onder nr. [..]. Voor de gegevens die buiten
Marokko worden gehost, is in voorkomend geval een machtiging voor doorgifte nr. [..] verleend.

Laatst bijgewerkt: [Datum]

Waar het te plaatsen:

• ✅ Link in de voettekst van elke pagina van de website
• ✅ Specifieke pagina (/privacybeleid)
• ✅ Link op elk formulier, vóór de bevestiging
• ✅ Leesbare en toegankelijke tekst (een onleesbare tekst staat gelijk aan een gebrek aan informatie)

Bij elke verzameling van gegevens moet de gebruiker worden geïnformeerd en, wanneer de verwerking op zijn toestemming berust, die toestemming geven door een positieve handeling. Rechtstreekse prospectie per e-mail of sms is verboden zonder voorafgaande toestemming (Wet 09-08).

Soorten toestemming:

Uitvoering:

✅ Nieuwsbriefformulier

☐ Ik ga ermee akkoord de nieuwsbrief van [Naam] te ontvangen (toestemming)
 De verzamelde gegevens zijn bestemd voor [Naam] voor de verzending van de nieuwsbrief.
 Verwerking aangegeven bij de CNDP onder nr. [..]. Recht van toegang, rectificatie
 en verzet: [e-mail]. [Het privacybeleid lezen]
 [Inschrijven]

✅ Cookiebanner

Deze website gebruikt cookies voor publieksmeting en advertenties.
[Alles accepteren] [Niet-essentiële cookies weigeren] [Instellen]

❌ Te vermijden:

Door deze website te bezoeken, aanvaardt u onze cookies en ons beleid… (geen echte toestemming)
Vooraf aangevinkt vakje "Onze partneraanbiedingen ontvangen" (geen vrije toestemming)

Bewijs van de toestemming:

• De logs bewaren: wie toestemming heeft gegeven, wanneer, op welke wijze
• Bevestigingsmail van de inschrijving (double opt-in aanbevolen)
• Registratie van de cookiekeuzes, met inbegrip van de weigeringen

De exploitant van een commerciële website moet zijn identificatie mogelijk maken, overeenkomstig Wet 31-08 (informatie van de consument bij overeenkomsten op afstand) en het Wetboek van Koophandel (Code de commerce) (vermelding van het nummer van het handelsregister (Registre du Commerce) op de handelsdocumenten). Het onderstaande model vermeldt ook het gemeenschappelijk ondernemingsnummer (Identifiant commun de l'entreprise, ICE) en het fiscaal identificatienummer:

WETTELIJKE VERMELDINGEN

Uitgever van de website: [Maatschappelijke naam], [rechtsvorm], kapitaal [..] MAD
Maatschappelijke zetel: [Adres]
RC: [Nummer en stad]  |  ICE: [Nummer]  |  IF: [Nummer]
Verantwoordelijke uitgever: [Naam]
Contact: [E-mail / telefoon]

Hostingprovider: [Naam en adres van de hostingprovider]

Intellectuele eigendom: de inhoud (teksten, afbeeldingen, logo's) is beschermd;
elke reproductie zonder toestemming is verboden.

Persoonsgegevens: zie het privacybeleid (CNDP-aangifte nr. [..]).

Wet 09-08 verplicht de verwerkingsverantwoordelijke de passende technische en organisatorische maatregelen te nemen om de gegevens te beschermen.

Technisch:

✅ HTTPS-versleuteling: geldig SSL-certificaat op de hele website, formulieren inbegrepen ✅ Authenticatie: sterke wachtwoorden, tweefactorauthenticatie voor beheerderstoegang ✅ Versleuteling en afscherming: gevoelige gegevens versleuteld, gescheiden beheerinterface ✅ Back-ups: regelmatige kopieën, op beveiligde wijze opgeslagen ✅ Updates: CMS, extensies en servers up-to-date gehouden

Organisatorisch:

✅ Intern beleid: schriftelijke procedures, sensibilisering van het personeel, toegang beperkt tot gemachtigde personen ✅ Contracten met de dienstverleners: hostingprovider, webbureau, e-mailingoplossing, betalingsgateway, met vertrouwelijkheids- en beveiligingsclausules; machtiging van de CNDP voor dienstverleners in een land dat niet op de lijst van de CNDP staat ✅ Incidentbeheer: procedure bij een inbreuk op de gegevens; Wet 09-08 legt geen formele melding op, maar het wordt sterk aanbevolen de CNDP en de betrokkenen te informeren

Wet 09-08 legt geen becijferde termijnen op: de termijn wordt vastgesteld door de verwerkingsverantwoordelijke in zijn aangifte en moet evenredig zijn met het doeleinde. Gangbaar aanvaarde referentietermijnen:

De bewaartermijn van facturen en boekhoudkundige stukken valt onder de boekhoudkundige verplichtingen van vennootschappen in Marokko.

Verwijderingsprocedure:

• Automatische verwijdering bij het verstrijken van de termijn: de gegevens worden verwijderd of geanonimiseerd
• Verwijdering op verzoek van de persoon, behoudens wettelijke bewaarplicht (bijvoorbeeld de facturen gedurende 10 jaar), met schriftelijke bevestiging aan de verzoeker
• Gedocumenteerde en controleerbare procedure

Elke betrokkene beschikt over de volgende rechten:

1. Recht op informatie: bij de verzameling de identiteit van de verantwoordelijke, de doeleinden, de ontvangers en zijn rechten kennen
2. Recht van toegang: de bevestiging verkrijgen dat zijn gegevens worden verwerkt en er een begrijpelijke kopie van ontvangen
3. Recht op rectificatie: onjuiste, onvolledige of onrechtmatig verwerkte gegevens laten verbeteren, aanvullen, bijwerken of wissen
4. Recht van verzet: zich om gerechtvaardigde redenen verzetten tegen de verwerking van zijn gegevens en, zonder opgave van redenen, tegen het gebruik ervan voor prospectiedoeleinden
5. Bescherming tegen geautomatiseerde beslissingen: niet worden onderworpen aan een beslissing met rechtsgevolgen die uitsluitend gebaseerd is op een geautomatiseerde verwerking

Wet 09-08 voorziet niet in een recht op overdraagbaarheid; het is echter een goede praktijk de gegevens in een leesbaar formaat te bezorgen.

Aanbevolen procedure:

1. Ontvangst: één aanspreekpunt (specifiek e-mailadres) vermeld in het privacybeleid
2. Verificatie van de identiteit van de verzoeker vóór elke mededeling
3. Behandeling: mededeling van de gegevens, rectificatie of stopzetting van de verwerking, zonder buitensporige vertraging; een termijn van ten hoogste één maand vormt een voorzichtige referentie
4. Documentatie: bewaring van het verzoek en van het antwoord om de conformiteit bij een controle te kunnen aantonen

De CNDP kan elke in Marokko gevestigde verwerkingsverantwoordelijke controleren, ongeacht zijn omvang:

✅ E-commerce (klant- en leveringsgegevens) ✅ SaaS en apps (gebruikersgegevens) ✅ Blogs en media (reacties, nieuwsbrieven) ✅ Onlinediensten (reserveringen, afspraken) ✅ Fysieke winkels met een CRM of een klantenkaartprogramma

Strafrechtelijke sancties waarin Wet 09-08 voorziet (hoofdstuk over de sancties, artikelen 52 en volgende):

Voor rechtspersonen worden de geldboeten verdubbeld, onverminderd de straffen die hun bestuurders oplopen; ze worden ook verdubbeld bij herhaling. De rechtbank kan bovendien de verbeurdverklaring van het materiaal en de sluiting van de inrichting bevelen. In de praktijk stuurt de CNDP eerst een ingebrekestelling voordat zij de zaak bij het parket aanhangig maakt. De andere sancties bij niet-naleving voor ondernemingen (fiscale, sociale, commerciële) worden toegelicht in een afzonderlijke gids.

💡 Tip: een vrijwillige conformering kost altijd minder dan een opgelegde controle.

Als de CNDP contact met u opneemt:

1. Kennisgeving: de CNDP stelt de verwerkingsverantwoordelijke in kennis van een controle op stukken of ter plaatse, of roept hem op voor een verhoor
2. Voorbereiding: de ontvangstbewijzen van aangifte, de machtigingen, het privacybeleid, de toestemmingsregisters en de beveiligingsdocumentatie verzamelen
3. Controle: de beëdigde ambtenaren onderzoeken de verwerkingen, de systemen en de contracten met de dienstverleners
4. Verslag en ingebrekestelling: voor de vastgestelde tekortkomingen wordt een regularisatietermijn toegekend
5. Gevolgen: opvolgingscontrole; bij gebrek aan regularisatie, doorverwijzing naar het parket en strafrechtelijke sancties