La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel est en vigueur au Maroc depuis 2009. Elle institue la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel). Beaucoup d’entreprises B2B pensent à tort qu’elle ne les concerne pas parce qu’elles ne traitent pas avec des consommateurs. C’est faux. Voici ce qu’un distributeur de produits techniques doit avoir mis en place.
Pourquoi un distributeur B2B est concerné
L’article 1 de la loi 09-08 protège la personne physique, indépendamment du contexte dans lequel ses données sont collectées. Or les contacts commerciaux d’un distributeur B2B sont presque toujours des personnes physiques agissant au nom de leur entreprise :
- Un acheteur quincaillerie qui demande un devis par WhatsApp donne son nom, son téléphone et souvent son email perso.
- Un applicateur sur chantier qui laisse ses coordonnées pour un suivi technique est une personne physique.
- Un responsable BTP qui fait remplir un formulaire de devis fournit ses données personnelles, même au nom de sa société.
Le fait que ces personnes représentent une entité morale ne sort pas leurs données du champ de la loi. Tous les canaux de collecte sont concernés : formulaires web, WhatsApp Business, email, salons professionnels, fiches contact.
Les obligations principales
Pour tout traitement de données personnelles, la loi 09-08 impose un socle commun :
Déclaration préalable à la CNDP. Tout traitement automatisé doit faire l’objet d’une déclaration sur le portail CNDP avant sa mise en œuvre. Le formulaire en ligne demande la finalité, les catégories de données, les destinataires, la durée de conservation, les mesures de sécurité.
Information transparente des personnes. Au moment de la collecte (formulaire devis, contact WhatsApp, signature contrat), la personne doit être informée de l’identité du responsable du traitement, de la finalité, des destinataires, de ses droits et de la durée de conservation. C’est le rôle de la politique de confidentialité publiée sur le site et référencée dans les communications.
Limitation de finalité. Les données collectées pour répondre à un devis ne peuvent pas être réutilisées pour de la prospection sur un produit non lié sans information préalable.
Sécurité. Mesures techniques et organisationnelles raisonnables : accès limité, mots de passe, sauvegardes, chiffrement des supports nomades, procédure en cas de fuite.
Durée de conservation limitée. Les données ne peuvent pas être conservées indéfiniment. Pour un distributeur B2B, ordres de grandeur usuels : prospects sans suite à 2-3 ans, clients actifs pendant la relation + délai légal comptable (10 ans pour les pièces comptables au Maroc).
Droits des personnes. Accès, rectification, opposition, suppression — la personne peut exercer ces droits à tout moment et l’entreprise doit y répondre dans un délai raisonnable.
Cas concret X Chem Maroc
À titre d’exemple de mise en pratique pour un distributeur B2B de produits techniques :
- Politique de confidentialité publiée et accessible depuis chaque page du site.
- Bandeau cookies discret, limité aux cookies techniques nécessaires (mesure d’audience anonymisée, sécurité). Les cookies strictement nécessaires ne requièrent pas de consentement actif sous la loi 09-08, contrairement aux cookies marketing/traceurs tiers.
- Cartographie des traitements :
- Demandes de devis WhatsApp et formulaire — finalité : réponse commerciale, conservation 3 ans après dernier contact.
- Données comptables clients — finalité : facturation et obligations fiscales, conservation 10 ans.
- Logs techniques serveur — finalité : sécurité et performance, conservation 30 jours.
- Mention RGPD/09-08 sur le formulaire de devis et le pied du site.
- Adresse email dédiée pour exercer ses droits.
Sanctions en cas de non-respect
La loi 09-08 prévoit des sanctions administratives prononcées par la CNDP et des sanctions pénales pouvant aller jusqu’à des peines d’emprisonnement et des amendes pour les manquements graves (collecte frauduleuse, finalité détournée, défaut de déclaration). Les barèmes précis dépendent du type d’infraction et sont actualisés par les textes d’application.
Au-delà de la sanction directe, deux risques moins visibles pèsent lourd :
- Risque réputationnel : les décisions de la CNDP peuvent être publiées, ce qui est dommageable pour un distributeur dont la crédibilité repose sur la confiance B2B.
- Risque contractuel : les grands comptes (BTP, industrie, administrations) demandent de plus en plus à leurs fournisseurs de prouver leur conformité, et un distributeur non déclaré est écarté des short-lists.
Bonnes pratiques pour un distributeur B2B
Cinq actions concrètes qui réduisent la majorité du risque :
- Formation des équipes commerciales sur ce qui peut/ne peut pas être dit, écrit, conservé.
- Mention claire sur tous les formulaires de collecte (devis web, fiche contact salon, formulaire papier).
- Procédure documentée de réponse aux demandes de droits (qui reçoit, qui valide, dans quel délai).
- Séparation des bases : prospects, clients actifs, contacts internes — avec règles de conservation différenciées.
- Revue annuelle de la politique de confidentialité et de la cartographie des traitements.
La nuance B2B : ce qui change vraiment
Comparé au B2C, le B2B bénéficie de quelques aménagements pratiques (intérêt légitime de la prospection professionnelle ciblée, plus large), mais le socle reste identique : information, finalité, sécurité, conservation, droits. Penser que “B2B” exonère, c’est s’exposer.
Quand consulter X Chem Maroc
Si vous êtes une entreprise marocaine et que vous voulez voir comment un distributeur B2B structure concrètement sa conformité 09-08 — politique de confidentialité, formulaires devis, gestion WhatsApp Business — l’équipe peut partager son retour d’expérience.
