Ordoconformité numérique
Vous connaissez cette petite fenêtre qui s'ouvre sur les sites européens : « Ce site utilise des cookies — Accepter / Refuser ». Elle existe parce que la loi l'impose là-bas. Ce que peu de gérants savent, c'est que la loi marocaine l'impose aussi, dans des cas précis, et que la CNDP a fixé la règle par écrit en novembre 2025.
Sur 13 912 sites marocains, 12 669 n'ont aucune fenêtre de ce genre. C'est 91,1 %.
Ce qu'est un cookie, en une phrase
Un cookie est un petit fichier que votre site dépose sur le téléphone ou l'ordinateur du visiteur pour le reconnaître à sa prochaine visite. Certains sont techniques et inoffensifs — garder un panier, rester connecté. D'autres servent à suivre la personne : d'une page à l'autre, d'une visite à l'autre, et souvent d'un site à l'autre quand ils viennent d'une régie publicitaire.
Quand la fenêtre est obligatoire
La règle de la CNDP est plus simple qu'on ne le croit. Pour compter les visites ou personnaliser le contenu, pas besoin de demander l'accord. Pour la publicité personnalisée et les boutons de partage sur les réseaux sociaux, l'accord est obligatoire avant le premier dépôt, et le visiteur doit pouvoir refuser aussi simplement qu'accepter.
Sur les 12 669 sites sans fenêtre, 6 142 déposent des cookies qui identifient le visiteur dès la première seconde — 44,1 % de tous les sites marocains — sans lui dire quoi que ce soit, alors que la loi impose d'informer dès la collecte (article 5). Et 3 917 contactent une régie publicitaire avant tout accord. Pour ceux-là, l'absence de fenêtre n'est pas un détail esthétique : c'est le manquement précis que la loi punit.
Et les sites qui ont une fenêtre ?
1 243 sites en affichent une. Mais 574 d'entre eux n'offrent qu'un seul bouton, « J'accepte » ou « OK ». La délibération de la CNDP demande des moyens qui « doivent en particulier permettre à l'internaute de refuser l'installation, l'enregistrement et le stockage sur son terminal ». Une fenêtre où l'on ne peut qu'accepter ne compte pas.
Au total, 669 sites marocains — 4,8 % — proposent un vrai choix. Et seuls 193 utilisent un outil de gestion du consentement reconnaissable. Ce n'est pas que les entreprises marocaines refusent la fenêtre : c'est que personne ne leur a jamais dit qu'elle était obligatoire.
Ce que dit la loi
La loi n° 09-08 pose la règle générale à l'article 4 : le traitement de données personnelles « ne peut être effectué que si la personne concernée a indubitablement donné son consentement ». Et l'article 56 fixe la peine pour celui qui passe outre : « un emprisonnement de trois mois à un an et une amende de 20.000 à 200.000 DH ou de l'une de ces deux peines seulement ». Pour une société, « les peines d'amende sont portées au double » (article 64).
Ce qu'il faut retenir
Un site qui ne fait que compter ses visites n'a pas besoin de cette fenêtre — mais il a d'autres obligations, et il faut être sûr que son outil de statistiques ne fait pas de publicité en douce. Un site qui utilise le moindre pixel publicitaire ou bouton de partage en a besoin, avec un vrai bouton « refuser ».
Dans quel cas est votre site ? C'est la première chose que montre le diagnostic gratuit : mon diagnostic. Votre nom de domaine, sans e-mail, et vous savez quels cookies votre site dépose, lesquels sont des traceurs, et si la fenêtre est obligatoire chez vous. Le rapport complet, ensuite, vous donne la configuration exacte à demander à votre agence.
Méthode et périmètre
Méthode
Périmètre. 15 718 noms de domaine en .ma réunis à partir des index publics du web (Common Crawl, six index successifs), sans sélection préalable, lus jusqu'au 20 septembre 2026. 13 912 d'entre eux affichaient un site lisible ; 944 n'affichaient pas de site (compte suspendu, page par défaut de l'hébergeur, domaine « parqué », domaine renvoyant vers une autre organisation), 177 étaient le doublon d'un site déjà compté, 492 opposaient un défi anti-robot et 193 ne répondaient pas. Tous les pourcentages de cette publication sont calculés sur les 13 912 sites lisibles — la même base que le baromètre.
Ce qui est observé. La page d'accueil, au premier chargement, dans un navigateur neuf, sans aucune interaction — exactement ce que voit un visiteur qui arrive pour la première fois. Sont relevés : les requêtes réseau émises et les services qu'elles contactent, les cookies déposés et leur durée, la présence d'une bannière et de ses boutons, les formulaires visibles, le certificat de sécurité, l'opérateur et le pays qui servent le site, et le texte des pages « mentions légales », « confidentialité » et « contact » quand un lien y mène depuis l'accueil.
Ce qui n'est pas observé. Ce qui se passe après un clic sur la bannière, les pages accessibles seulement après connexion, les traitements internes de l'organisation, et le contenu des contrats qu'elle a pu signer avec ses prestataires. Un serveur situé à l'étranger n'établit pas à lui seul qu'un transfert de données personnelles a lieu : le texte le dit sous condition (« si »).
Les secteurs sont attribués à partir de ce que la page affiche (titre, activité annoncée, signaux de formulaires) ; aucun secteur de moins de 50 sites n'est publié.
Les textes cités sont la loi n° 09-08, le décret n° 2-09-165, la loi n° 31-08 (traduction de travail, le texte arabe faisant foi) et les délibérations de la CNDP, en particulier la délibération D-939-2025 sur les cookies. Les citations sont reproduites à l'identique.
Aucune organisation n'est nommée. Les chiffres sont des agrégats. Toute organisation peut voir gratuitement ce que son propre site montre : mon diagnostic.
Votre site est-il dans ces chiffres ?
Diagnostic gratuit, sans e-mail, sans rien installer : entrez votre nom de domaine et vous voyez ce que votre site fait, point par point, avec le texte de loi en face de chacun. Le rapport complet, ensuite, vous dit exactement quoi changer.
Diagnostic gratuit — sans e-mail