CNDP et chatbot WhatsApp au Maroc : ce que la loi 09-08 exige vraiment

Un chatbot WhatsApp traite des données personnelles au sens de la loi 09-08 : numéro de téléphone, nom, contenu des conversations. Avant sa mise en service, l'entreprise marocaine doit notifier ce traitement à la CNDP (déclaration préalable, voire autorisation), informer ses clients, recueillir un consentement avant toute prospection, et sécuriser les données. Voici ce que la loi exige concrètement, et comment s'y conformer sans bloquer votre projet.

L'essentiel : la loi 09-08 s'applique à tout traitement de données personnelles d'une entreprise établie au Maroc, chatbot WhatsApp compris. En pratique : notification à la CNDP avant le lancement, demande de transfert si les données sont hébergées à l'étranger, information des personnes, consentement préalable avant la prospection, et désinscription possible à chaque envoi. Le défaut de déclaration est passible d'une amende de 10 000 à 100 000 DH (article 52), doublée pour les personnes morales. Côté Meta, l'opt-in et une escalade vers un humain sont aussi exigés.

Faut-il déclarer son chatbot WhatsApp à la CNDP ?

Oui, avant sa mise en service. La CNDP indique que tout responsable de traitement doit lui notifier ses traitements de données personnelles préalablement à leur mise en œuvre (procédure officielle de notification). Un chatbot qui reçoit des messages de clients collecte au minimum leur numéro et leur nom : c'est un traitement de données personnelles au sens de la loi.

La formalité prend l'une de ces formes, selon ce que le chatbot traite :

• Déclaration préalable dans le cas général (formulaire F211, ou F214 pour une déclaration simplifiée conforme à une décision type). La CNDP annonce un récépissé sous 24 heures une fois le dossier complet.
• Demande d'autorisation si le traitement porte sur des données sensibles (santé, opinions, convictions...) ou utilise le numéro de carte d'identité nationale. Délai d'instruction : 2 mois, prorogeable une fois.
• Demande de transfert à l'étranger, en plus, si les données sont hébergées ou transmises hors du Maroc : c'est le cas dès que votre chatbot repose sur l'API WhatsApp (serveurs de Meta) ou sur une plateforme hébergée à l'étranger. La CNDP précise dans ses lignes directrices sur la conformité des sites web qu'elle n'instruit cette demande que si elle est déposée en même temps que la déclaration ou l'autorisation de base.

Attention à ce que signifie ce récépissé. Le formulaire de déclaration F211 (version de septembre 2025) précise qu'il atteste l'enregistrement du dossier et ne vaut pas validation du traitement : la CNDP peut contrôler plus tard, et dispose de 8 jours pour faire basculer une déclaration vers le régime de l'autorisation (article 20).

Un point souvent ignoré : une clinique dont le chatbot prend des rendez-vous médicaux, ou un service qui demande le numéro de CIN, bascule de la simple déclaration vers l'autorisation. Le périmètre exact de ce que collecte votre bot détermine la formalité.

Ce que couvre la loi 09-08, en deux minutes

La loi 09-08, promulguée en 2009 et contrôlée par la CNDP, protège les personnes physiques à l'égard du traitement de leurs données à caractère personnel. Selon le dépliant officiel de la CNDP, une donnée personnelle est toute information permettant d'identifier directement ou indirectement une personne : numéro de téléphone, email, photo, numéro de CIN...

La loi s'applique dès que le responsable du traitement est établi au Maroc. Elle repose sur quelques principes que la CNDP rappelle dans le même document :

• Consentement : clair, incontestable, libre et averti (sauf exceptions prévues par la loi).
• Finalité : précise et légitime, communiquée aux personnes et à la CNDP.
• Proportionnalité : ne collecter que les données nécessaires à cette finalité.
• Durée limitée : ne pas conserver les données au-delà du nécessaire.
• Droits des personnes : information lors de la collecte, droit d'accès, de rectification (sous dix jours francs) et d'opposition.

Ce qu'un chatbot WhatsApp collecte concrètement

Le sujet paraît abstrait jusqu'à ce qu'on liste ce qui transite réellement par un chatbot :

• Le numéro de téléphone de chaque personne qui écrit : une donnée personnelle par définition.
• Le nom du profil WhatsApp, récupéré automatiquement par l'API.
• Le contenu des conversations : un client qui demande un devis donne souvent son nom complet, sa ville, son besoin, parfois des informations de santé (« je cherche un rendez-vous pour mon diabète »).
• Les données transmises aux outils connectés : CRM, agenda, fichier de leads.

Même un chatbot « simple » constitue donc un fichier de données personnelles, alimenté en continu. Et la finalité compte : utiliser des données collectées à des fins autres que celles déclarées est une infraction distincte (article 54 de la loi).

Et quand le chatbot est un agent IA ?

La question revient souvent depuis que les chatbots à menus laissent place à des agents qui comprennent le langage naturel. La réponse de la CNDP est claire : dans un communiqué du 18 mars 2025, elle rappelle que tout traitement d'intelligence artificielle portant sur des données personnelles relève déjà de la loi 09-08. Elle y insiste sur la transparence, la loyauté et l'intégrité du traitement, et sur le droit des personnes à des voies de recours quand une décision est automatisée.

Concrètement, un agent IA branché sur WhatsApp ne crée pas de nouvelle formalité, mais il rend certaines obligations plus sensibles :

• Le contenu libre des messages : un client s'exprime avec ses mots et livre plus facilement des informations de santé ou de situation personnelle qu'avec un menu à boutons. Le risque de basculer vers des données sensibles augmente.
• Le modèle de langage utilisé : s'il tourne chez un fournisseur étranger (OpenAI, Anthropic, Google...), c'est un transfert de plus à déclarer, et un sous-traitant de plus à encadrer par contrat.
• Les décisions automatisées : si l'agent qualifie ou écarte des demandes (éligibilité, priorité), prévoyez une possibilité de recours humain.

La CNDP prépare par ailleurs une délibération dédiée à l'IA. D'après LesEco, elle pourrait s'inspirer de l'AI Act européen (analyse d'impact, supervision humaine, transparence), mais aucun texte n'était adopté à la date de publication de cet article. À noter aussi : dans ses consignes publiées fin août 2026 pour les élections législatives, la CNDP demande que les contenus générés par IA soient clairement signalés. Ces consignes visent les partis, mais la tendance est nette : indiquer à l'utilisateur qu'il échange avec une IA devient la norme attendue.

Les obligations pratiques, une par une

1. Notifier le traitement avant le lancement

C'est la formalité vue plus haut : déclaration ou autorisation, plus la demande de transfert si hébergement à l'étranger. En pratique, les entreprises la traitent en parallèle de la mise en place technique du chatbot, pour que le récépissé soit obtenu avant l'ouverture du canal.

2. Informer les personnes

La CNDP demande d'informer les personnes, au moment de la collecte, des caractéristiques du traitement : identité du responsable, finalités, destinataires, droits d'accès, de rectification et d'opposition, service auprès duquel les exercer, et numéro du récépissé ou de l'autorisation CNDP. Pour un chatbot, cela se traduit en pratique par un message d'information accessible dès la conversation (ou un lien vers la politique de confidentialité), reprenant la mention type proposée par la CNDP dans ses lignes directrices.

3. Obtenir un opt-in avant les messages sortants

C'est le point le plus concret pour WhatsApp. La règle, issue de l'article 10 de la loi et détaillée par la CNDP dans ses lignes directrices : la prospection directe n'est autorisée que si la personne a exprimé son consentement préalable au moment de la collecte, ou si elle a déjà bénéficié d'un produit ou service analogue auprès du même responsable. Et dans tous les cas, chaque message de prospection doit contenir un moyen de se désinscrire, sans frais.

Répondre à un client qui vous écrit ne pose pas de problème : c'est lui qui initie la conversation. C'est l'envoi sortant (campagne, relance promotionnelle) qui exige l'opt-in documenté. Cette exigence rejoint celle de Meta : les envois non sollicités génèrent des signalements qui font refuser vos templates, voire bloquer votre numéro. Conformité CNDP et survie du canal vont dans le même sens.

4. Sécuriser les données et encadrer les prestataires

La loi impose des mesures techniques et organisationnelles pour protéger les données contre la destruction, la perte ou l'accès non autorisé (articles 23 et 24 ; manquement sanctionné par l'article 58). La CNDP cite notamment la restriction des accès selon les rôles et le chiffrement. Point important pour un chatbot : quand vous passez par un prestataire ou une plateforme (presque toujours), la CNDP demande de choisir un sous-traitant présentant des garanties suffisantes, et d'encadrer la sous-traitance par un contrat.

5. Limiter la conservation

Les conversations et fiches contacts ne se conservent pas indéfiniment : la durée doit correspondre à la finalité déclarée (article 55 en cas de dépassement). En pratique : une durée de rétention définie pour les historiques, et la purge des contacts inactifs.

Ce que Meta impose en plus de la CNDP

La loi 09-08 n'est pas la seule règle du jeu. Toute entreprise qui passe par l'API WhatsApp accepte aussi les conditions de Meta, qui recoupent la loi marocaine sur plusieurs points et vont parfois plus loin :

• Opt-in obligatoire : la politique de messagerie WhatsApp Business n'autorise à contacter une personne que si elle vous a donné son numéro et a accepté de recevoir vos messages. Les demandes de blocage ou de désinscription doivent être respectées, qu'elles soient faites sur WhatsApp ou ailleurs.
• Une porte de sortie vers un humain : l'automatisation est permise, à condition de proposer une voie d'escalade claire et directe (conseiller, téléphone, email). Un agent IA qui tourne en boucle sans jamais passer la main enfreint la politique de Meta, même si la CNDP n'en dit rien.
• Pas d'assistant IA généraliste : depuis le 15 janvier 2026, les conditions de la plateforme interdisent les chatbots dont l'IA généraliste est la fonction principale (type ChatGPT sur WhatsApp). Un agent qui sert les clients de votre entreprise (réponses, rendez-vous, qualification de leads) n'est pas concerné, comme Meta l'a confirmé à TechCrunch.
• Pas d'entraînement de modèles sur les données de la plateforme, hormis l'ajustement d'un modèle pour votre usage interne.

Meta se positionne comme sous-traitant pour les données qui transitent par l'API. Cela ne dispense pas de la demande de transfert à la CNDP : l'entreprise reste responsable du traitement.

Et si vous servez aussi des clients en Europe ?

Beaucoup de PME marocaines vendent aussi en France ou en Espagne. Dans ce cas, le RGPD européen peut s'appliquer en plus de la loi 09-08 : son article 3 lui donne une portée extraterritoriale lorsque l'entreprise offre des biens ou services à des personnes situées dans l'Union européenne. Les deux cadres se recoupent largement (finalité, information, droits des personnes, sécurité), mais le RGPD ajoute des exigences propres, comme le registre des traitements.

La bonne nouvelle : un chatbot conçu proprement pour la loi 09-08 (finalités documentées, opt-in, information, sécurité) couvre déjà l'essentiel du socle commun. Pour la partie européenne, notre article sur l'AI Act et les PME complète le tableau réglementaire, notamment l'obligation d'indiquer à l'utilisateur qu'il parle à une IA.

La checklist conformité en 8 points

Les erreurs courantes des PME marocaines

• Lancer d'abord, déclarer ensuite. La notification doit précéder la mise en œuvre : un fichier sans déclaration ni autorisation expose à l'amende de l'article 52.
• Acheter des listes de numéros pour des campagnes WhatsApp. Sans consentement préalable, la prospection est illicite au regard de la loi 09-08, et Meta bloque les numéros signalés comme spam. Double sanction, même erreur.
• Oublier la demande de transfert à l'étranger. L'hébergement chez un prestataire étranger passe souvent sous le radar, alors que la CNDP en fait une formalité à part entière, et que le transfert effectué en violation des articles 43 et 44 est pénalement sanctionné (article 60). Le précédent le plus connu : en janvier 2023, la CNDP a publiquement mis en demeure TLSContact pour des images de vidéosurveillance transférées à l'étranger sans notification.
• Un opt-out qui ne fonctionne pas. Le « STOP » doit réellement stopper les envois : le non-respect de l'opposition est sanctionné par l'article 59.
• Un prestataire qui n'évoque jamais le sujet. Si le devis de votre chatbot ne mentionne ni la CNDP ni l'opt-in, c'est un signal d'alarme : notre article sur les prix et pièges des chatbots WhatsApp au Maroc en fait un critère de sélection à part entière.

FAQ

Faut-il déclarer son chatbot WhatsApp à la CNDP ?

Oui. Un chatbot traite des données personnelles (numéro, nom, conversations) : la CNDP exige une notification avant la mise en œuvre (déclaration dans le cas général, autorisation si le traitement porte sur des données sensibles ou le numéro de CIN), plus une demande de transfert si les données sont hébergées à l'étranger.

Peut-on envoyer des promos WhatsApp sans opt-in ?

Non, sauf exception étroite. La CNDP n'autorise la prospection directe que si la personne a consenti au moment de la collecte, ou si elle est déjà cliente pour un produit ou service analogue du même responsable. Chaque message doit en outre contenir un moyen de se désinscrire. Envoyer des campagnes à des listes achetées expose à la fois à la loi 09-08 et au blocage du numéro par Meta.

Quelles sanctions en cas de non-conformité ?

D'après la liste officielle des infractions publiée par la CNDP : amende de 10 000 à 100 000 DH pour un fichier créé sans déclaration ni autorisation (article 52) ; 20 000 à 200 000 DH par infraction pour refus des droits d'accès, de rectification ou d'opposition (article 53) ; emprisonnement de trois mois à un an et/ou 20 000 à 200 000 DH d'amende pour un traitement sans consentement, sans mesures de sécurité, malgré une opposition à la prospection, ou pour un transfert illégal à l'étranger (articles 56, 58, 59, 60). La sanction la plus lourde vise les données sensibles, santé comprise, traitées sans consentement exprès : trois mois à un an et/ou 50 000 à 300 000 DH (article 57). Pour une personne morale, les amendes sont doublées (article 64), et les peines le sont aussi en cas de récidive dans l'année (article 65).

Un agent IA sur WhatsApp est-il autorisé au Maroc ?

Oui. La CNDP considère que l'IA qui traite des données personnelles relève de la loi 09-08 : mêmes formalités, plus une vigilance sur la transparence et le recours humain. Côté Meta, seuls les assistants IA généralistes sont interdits sur l'API WhatsApp depuis le 15 janvier 2026 ; un agent qui répond aux clients de votre entreprise reste autorisé, à condition d'offrir une escalade vers un humain.

Répondre aux clients qui nous écrivent nécessite-t-il un opt-in ?

Non : l'opt-in concerne la prospection, c'est-à-dire les messages sortants à visée commerciale. Répondre à une demande entrante relève du service. En revanche, le traitement lui-même (collecter et conserver ces conversations) reste soumis aux formalités CNDP et à l'information des personnes.

La loi 09-08 va-t-elle changer ?

Probablement, mais pas encore. En juillet 2026, le président de la CNDP, Omar Seghrouchni, a annoncé des amendements en préparation, la première révision en quinze ans, pour couvrir notamment l'IA et la blockchain. Une proposition de loi parlementaire modifiant le texte est aussi déposée depuis février 2024. Aucun nouveau texte n'était adopté à la date de publication de cet article : la loi 09-08 reste le texte applicable. En cas de doute sur une évolution récente, la source de référence reste cndp.ma.

---

Cet article est une vulgarisation, pas un avis juridique. Pour votre cas précis, consultez un conseil spécialisé ou la CNDP.

---

Vous voulez un chatbot conforme dès la conception ? Réservez un échange gratuit de 30 minutes : nous concevons des agents WhatsApp où l'opt-in, l'information des personnes et la sécurité font partie du cahier des charges initial.

---

À lire ensuite : notre guide de l'automatisation WhatsApp, et notre page dédiée à l'automatisation WhatsApp au Maroc.