Ordoconformité numérique
Quand un client remplit le formulaire de votre site — son nom, son téléphone, sa demande —, ces informations partent vers un ordinateur. Cet ordinateur s'appelle un serveur, et c'est lui qui « héberge » votre site. La question que presque personne ne pose : où est-il ?
Pour 70,3 % des sites marocains, la réponse est : à l'étranger. 23,5 % aux États-Unis, 22,5 % en Allemagne, 15,3 % en France. 20,4 % de plus sont derrière un réseau de diffusion (CDN) qui masque l'origine, presque toujours américain. 3,7 % des sites marocains sont stockés au Maroc. Cinq cent dix sites sur 13 912.
Pourquoi ça compte
Parce que la loi marocaine ne traite pas tous les pays de la même façon. L'article 43 de la loi n° 09-08 dit qu'une entreprise « ne peut transférer des données à caractère personnel vers un Etat étranger que si cet Etat assure un niveau de protection suffisant ». Et c'est la CNDP qui « établit la liste des Etats répondant aux critères ».
Cette liste existe. Elle compte 32 pays : les pays de l'Union européenne sauf la Croatie, plus le Royaume-Uni, la Suisse, la Norvège, l'Islande, le Liechtenstein et le Canada. Les États-Unis n'y sont pas. Ni la Turquie, ni les Émirats, ni l'Inde.
Sur les 9 780 sites stockés à l'étranger, 6 239 sont dans un pays de la liste — l'Allemagne, la France. Pour eux, une formalité auprès de la CNDP suffit, avec huit informations précises (décret n° 2-09-165, article 46). 3 541 sont dans un pays hors liste, les États-Unis en tête. Pour eux, la loi exige une « autorisation expresse et motivée de la Commission nationale » (article 44), ou l'une des exceptions qu'elle énumère.
Ce que ça coûte
Transférer des données à l'étranger sans respecter ces règles : « un emprisonnement de trois mois à un an et une amende de 20.000 à 200.000 DH ou de l'une de ces deux peines seulement » (article 60). Doublé pour une société (article 64) : 400 000 dirhams.
Une précision que nous devons à l'honnêteté : un serveur à l'étranger ne prouve pas à lui seul que des données personnelles y transitent. Un site vitrine sans formulaire ni traceur ne transfère peut-être rien. Mais dès qu'il y a un formulaire, un compte client, une commande — c'est-à-dire pour la grande majorité des sites d'entreprise —, ce que le client tape part vers ce serveur. C'est pour cela que nous écrivons « si », et que l'audit vérifie précisément ce point avant d'affirmer quoi que ce soit.
Qui est le plus concerné
Le commerce local (80,0 % à l'étranger), l'industrie (79,4 %), les services aux entreprises (76,5 %), l'hôtellerie (76,4 %), le transport (75,7 %), la santé (74,9 %). Seuls deux secteurs font mieux : le secteur public (42,6 % à l'étranger, 31,0 % au Maroc) et la finance (51,3 % à l'étranger, 17,5 % au Maroc). Ce sont les deux secteurs les plus contrôlés du pays. Ce n'est pas un hasard.
Ce qu'il faut retenir
Vous ne choisissez pas où est votre serveur : votre agence l'a fait, il y a des années, en prenant l'offre la moins chère — presque toujours en Europe ou aux États-Unis. Vos clients l'ignorent. Vous aussi, probablement, jusqu'à aujourd'hui.
Savoir dans quel pays sont les données de vos clients, et quelle formalité s'applique à votre cas, prend quelques minutes, sans e-mail : mon diagnostic. Le rapport complet, ensuite, établit ce qui transite réellement, vers où, et vous dit exactement quel dossier déposer — ou quoi rapatrier.
Méthode et périmètre
Méthode
Périmètre. 15 718 noms de domaine en .ma réunis à partir des index publics du web (Common Crawl, six index successifs), sans sélection préalable, lus jusqu'au 20 septembre 2026. 13 912 d'entre eux affichaient un site lisible ; 944 n'affichaient pas de site (compte suspendu, page par défaut de l'hébergeur, domaine « parqué », domaine renvoyant vers une autre organisation), 177 étaient le doublon d'un site déjà compté, 492 opposaient un défi anti-robot et 193 ne répondaient pas. Tous les pourcentages de cette publication sont calculés sur les 13 912 sites lisibles — la même base que le baromètre.
Ce qui est observé. La page d'accueil, au premier chargement, dans un navigateur neuf, sans aucune interaction — exactement ce que voit un visiteur qui arrive pour la première fois. Sont relevés : les requêtes réseau émises et les services qu'elles contactent, les cookies déposés et leur durée, la présence d'une bannière et de ses boutons, les formulaires visibles, le certificat de sécurité, l'opérateur et le pays qui servent le site, et le texte des pages « mentions légales », « confidentialité » et « contact » quand un lien y mène depuis l'accueil.
Ce qui n'est pas observé. Ce qui se passe après un clic sur la bannière, les pages accessibles seulement après connexion, les traitements internes de l'organisation, et le contenu des contrats qu'elle a pu signer avec ses prestataires. Un serveur situé à l'étranger n'établit pas à lui seul qu'un transfert de données personnelles a lieu : le texte le dit sous condition (« si »).
Les secteurs sont attribués à partir de ce que la page affiche (titre, activité annoncée, signaux de formulaires) ; aucun secteur de moins de 50 sites n'est publié.
Les textes cités sont la loi n° 09-08, le décret n° 2-09-165, la loi n° 31-08 (traduction de travail, le texte arabe faisant foi) et les délibérations de la CNDP, en particulier la délibération D-939-2025 sur les cookies. Les citations sont reproduites à l'identique.
Aucune organisation n'est nommée. Les chiffres sont des agrégats. Toute organisation peut voir gratuitement ce que son propre site montre : mon diagnostic.
Votre site est-il dans ces chiffres ?
Diagnostic gratuit, sans e-mail, sans rien installer : entrez votre nom de domaine et vous voyez ce que votre site fait, point par point, avec le texte de loi en face de chacun. Le rapport complet, ensuite, vous dit exactement quoi changer.
Diagnostic gratuit — sans e-mail