مطابقة CNDP والقانون 09-08 للمواقع والمتاجر الإلكترونية في المغرب
حماية المعطيات ذات الطابع الشخصي لزبائنك ليست مجرد إجراء قانوني شكلي، بل هي شرط إلزامي لقبول ملفك البنكي لدى CMI وبناء ثقة متينة مع المستهلك المغربي.
الركائز الأربع لمطابقة CNDP للمقاولات والشركات بالمغرب
- التصريح المسبق بالمعالجة : أي استمارة تجمع الاسم، الهاتف، أو عنوان التوصيل يجب التصريح بها مسبقاً لدى منصة CNDP.
- سياسة الخصوصية والشروط القانونية : إبراز الهوية الكاملة للشركة (السجل التجاري RC، المعرف الضريبي IF، والمعرف الموحد للمقاولة ICE) مع تحديد حقوق الزبناء في تعديل أو حذف بياناتهم.
- إدارة ملفات تعريف الارتباط (Cookies) : طلب موافقة الزائر الصريحة قبل تفعيل أدوات التتبع مثل Google Analytics و Meta Pixel.
- الأمان ومكان الاستضافة : تطبيق بروتوكولات التشفير HTTPS واحترام المادة 43 بخصوص نقل البيانات إلى خوادم أجنبية.
1. الإطار القانوني : القانون رقم 09-08 واللجنة الوطنية CNDP
تم إقرار القانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، والذي أسس اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP).
أي مقاولة في المغرب (سواء كانت SARL أو SAS أو مقاول ذاتي) تقوم بجمع بيانات الزبائن (الاسم، البريد، رقم الواتساب، العنوان، أو عنوان IP) تعتبر قانونياً مسؤولة عن المعالجة وتخضع مباشرة لرقابة CNDP.
التصريح العادي (Déclaration)
يشمل المعالجات الروتينية لبيانات الزبائن، الفوترة، إدارة التوصيل، والنشرات البريدية. يتم التصريح بها رقمياً عبر بوابة CNDP.
طلب الإذن المسبق (Autorisation)
إلزامي للبيانات الحساسة كالمعطيات الصحية والبيومترية، أو عند تخزين قواعد البيانات في سيرفرات خارج المغرب.
2. الخطوات التقنية لتطابق موقعك مع القانون المغربي
أ. الشروط القانونية وسياسة الخصوصية
يجب تخصيص صفحة واضحة في أسفل الموقع (Footer) تحتوي على:
- الاسم التجاري، المقر الاجتماعي، ورأس المال.
- أرقام السجل التجاري (RC)، المعرف الضريبي (IF)، والرمز الموحد (ICE).
- رقم وصل إيداع ملف CNDP (مثل D-CE-XXX/2026).
- طريقة التواصل مع مسؤول حماية البيانات لممارسة حق التعديل أو الحذف.
ب. نص الإشعار أسفل استمارات جمع البيانات
أسفل كل نموذج اتصال أو شاشة إتمام الطلب، يجب وضع النص التوضيحي التالي:
"المعلومات التي يتم جمعها على هذا الموقع تخضع لمعالجة تهدف إلى تدبير طلبياتكم وخدمتكم. طبقاً للقانون رقم 09-08، يحق لكم الوصول للمعلومات المتعلقة بكم وتصحيحها عبر مراسلتنا على البريد contact@votre-entreprise.ma. هذه المعالجة مرخصة ومصرح بها لدى CNDP برقم D-CE-XXX."
ج. موافقة الكوكيز (Cookies Consent)
يمنع تشغيل أدوات الإعلانات والتحليلات إلا بعد ضغط الزائر على زر "قبول". كما يجب توفير زر "رفض الكل" بنفس الوضوح لتفادي الشبهات القانونية.
3. لماذا تشترط الأبناك و CMI وصل CNDP لتفعيل الدفع بالبطاقة؟
إذا أردت تفعيل الدفع بالبطاقة البنكية المغربية والدولية عبر مركز النقديات CMI، فإن الملف البنكي يتطلب إلزامياً :
وصل تصريح CNDP : وثيقة محورية في عقد البيع عن بعد (VAD)
الأبناك المغربية (التجاري وفا بنك، البنك الشعبي، بنك أفريقيا، CIH، الشركة العامة...) ترفض توقيع عقود التجارة الإلكترونية دون إثبات إيداع الملف القانوني لدى CNDP.
4. العقوبات والغرامات القانونية المترتبة عن المخالفة
عدم الالتزام بالمساطر القانونية يعرض مسيري الشركات للعقوبات التالية:
- غرامات مالية : تتراوح بين 10,000 و 300,000 درهم في حالة الامتناع عن التصريح أو عرقلة لجان التفتيش.
- عقوبات جنائية : السجن من 3 أشهر إلى سنتين في حالة نقل المعطيات للخارج بدون ترخيص أو الاستغلال الاحتيالي للبيانات.
- توقف المعاملات التجارية : حرمان المنصة من تراخيص الدفع البنكي الإلكتروني وفقدان المصداقية.
الأسئلة الأكثر تداولاً حول CNDP والتجارة الإلكترونية بالمغرب
س.ما هو الفرق بين التصريح العادي (Déclaration Préalable) وطلب الإذن (Demande d'Autorisation) لدى CNDP؟
التصريح العادي يخص المعالجات الشائعة مثل إدارة الزبائن، استمارات الاتصال، وتوصيل الطلبيات وإرسال النشرات الإخبارية. أما طلب الإذن المسبق فيكون إجبارياً للبيانات الحساسة، البيانات البيومترية، أو في حالة نقل وتخزين المعطيات خارج التراب المغربي.
س.متجري الإلكتروني يستضيف بياناته على خوادم أجنبية (Vercel, AWS, OVH). ماذا يفرض القانون المغربي؟
نقل المعطيات الشخصية خارج المغرب يقتضي ترخيصاً صريحاً ومسبقاً من طرف CNDP وفقاً للمادة 43 من القانون 09-08، ما لم تكن الدولة المستقبلة توفر حماية مكافئة معترفاً بها قانونياً.
س.هل شريط الموافقة على الكوكيز (Cookies Banner) إجباري للمواقع في المغرب؟
نعم. تثبيت ملفات التتبع الإعلاني والتحليلي (مثل Google Analytics أو Meta Pixel) يتطلب موافقة واضحة ومسبقة من المستخدم مع إمكانية الرفض بنفس السهولة.
س.ما هي العقوبات القانونية والمالية في حالة عدم الالتزام بالقانون 09-08؟
تتراوح الغرامات المالية من 10,000 إلى 300,000 درهم مغربي، مع عقوبات حبسية قد تصل إلى سنتين في حالة العود أو المعالجة غير القانونية الخطيرة. بالإضافة إلى رفض الأبناك و CMI تفعيل خدمة الدفع الإلكتروني.
هل تبحث عن تدقيق وتأمين شامل لموقعك التجاري في المغرب؟
في TripleW Digital، نبني متاجر ومنصات Next.js فائقة السرعة، مطابقة لمعايير CNDP وجاهزة للربط مع بوابات CMI البنكية.