98 % des sites marocains ne respectent pas une obligation de la loi. Le vôtre aussi, probablement.

Votre site a un formulaire de contact. Ou une boutique. Ou simplement un outil qui compte les visites. Dans les trois cas, il collecte des données personnelles, et la loi marocaine lui impose des règles précises. La question n'est pas de savoir si votre site est concerné — il l'est — mais s'il respecte ces règles. Pour 98 % des sites marocains, la réponse est non sur au moins un point.

Ce que nous avons fait

Nous avons pris tous les noms de domaine en .ma que l'on peut trouver sur le web — 15 716 — et nous avons ouvert chacun d'eux dans un navigateur, exactement comme le ferait un visiteur qui arrive pour la première fois. Sans cliquer sur rien. Sans trier. 13 961 affichaient un site qui fonctionne ; ce sont eux que comptent tous les chiffres qui suivent.

Nous n'avons rien demandé à personne et rien deviné : nous avons noté ce que chaque site fait tout seul dans les premières secondes. Qui il contacte. Ce qu'il dépose sur le téléphone du visiteur. Où se trouve l'ordinateur qui le fait tourner. Ce que disent ses pages « mentions légales » et « confidentialité ».

Ce que ça donne

98,1 % des sites n'affichent pas le numéro de récépissé de la CNDP. La CNDP, c'est l'autorité marocaine chargée des données personnelles. Quand une entreprise lui déclare qu'elle collecte des données — un formulaire, des cookies, un fichier clients —, elle reçoit un récépissé, avec un numéro. La loi n° 09-08 dit que ce numéro « doit figurer dans toutes les opérations de collecte ou de transmission des données » (article 19). Sur 13 961 sites, 267 le font.

91,1 % ne demandent jamais l'accord de leurs visiteurs. Aucune petite fenêtre « accepter / refuser ». 44 % déposent pourtant des traceurs dès la première seconde sans rien dire, et pour 32 % — ceux qui contactent une régie publicitaire — cette fenêtre est obligatoire.

32,1 % envoient les données de leurs visiteurs à Google, Facebook ou TikTok sans rien demander. C'est le cas le plus grave : la loi prévoit de la prison.

70,4 % sont stockés à l'étranger — l'ordinateur qui fait tourner le site, et qui reçoit ce que les clients y tapent, est aux États-Unis, en Allemagne ou en France. 3,7 % sont au Maroc.

42,6 % gardent la trace de leurs visiteurs plus longtemps que la loi ne l'autorise.

Et un chiffre qui rassure : 67,1 % des sites ne contactent aucune régie publicitaire. Deux sites sur trois ne surveillent personne. Ils ont simplement oublié les formalités.

Ce que ça coûte

La loi n° 09-08 n'est pas une recommandation. Ne pas déclarer un traitement de données : « une amende de 10.000 à 100.000 DH » (article 52). Traiter des données sans le consentement de la personne : « un emprisonnement de trois mois à un an et une amende de 20.000 à 200.000 DH » (article 56). Et pour une société, « les peines d'amende sont portées au double » (article 64) — 200 000 et 400 000 dirhams. La CNDP a des agents assermentés qui « peuvent rechercher et constater, par procès-verbal, les infractions » et transmettre au procureur du Roi (article 66).

Ce qu'il faut savoir

Rien de tout cela n'est hors de portée : le récépissé est délivré par la CNDP « dans un délai de 24 heures » (article 19), et les autres points se règlent en quelques jours quand on sait exactement quoi changer. Ce qui manque, dans 98 % des cas, ce n'est pas la volonté : c'est de savoir ce que son propre site fait réellement — et personne ne vous l'a jamais montré.

Nous le montrons gratuitement, en quelques minutes : mon diagnostic. Entrez votre nom de domaine — sans e-mail, sans compte — et vous voyez ce que votre site fait, point par point, avec le texte de loi qui s'applique à chacun. Le rapport complet, ensuite, vous dit exactement quoi changer, où, et dans quel ordre.

Les publications suivantes reprennent chacun de ces chiffres, un par un.