Loi 09-08 au Maroc : géolocalisation des véhicules et conformité CNDP

Équiper sa flotte d’un suivi GPS, c’est aussi traiter des données qui concernent des personnes : les trajets d’un véhicule attribué à un chauffeur disent où il se trouve, quand il roule et comment il conduit. Au Maroc, ce traitement entre dans le champ de la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.

Rien d’insurmontable : des milliers de flottes marocaines sont équipées et conformes. Mais la conformité ne s’improvise pas, et quelques pratiques font la différence entre un dispositif solide et un dispositif contestable. Voici le tour de la question, du point de vue d’un gestionnaire de flotte. Précision utile : cet article informe, il ne remplace pas l’avis d’un juriste sur votre situation précise.

Ce que couvre la loi 09-08, en deux mots

Adoptée en 2009, la loi 09-08 encadre la collecte, le traitement et la conservation des données personnelles au Maroc. Elle a institué la CNDP, la Commission nationale de contrôle de la protection des données à caractère personnel, auprès de laquelle les traitements doivent être déclarés.

Une position GPS seule n’est pas une donnée personnelle. Elle le devient dès qu’elle se rattache à une personne identifiable, ce qui est le cas dès qu’un véhicule est conduit par un salarié connu. La géolocalisation de flotte est donc bien un traitement de données personnelles, avec les obligations qui vont avec.

Une finalité légitime et proportionnée

Premier principe : le dispositif doit servir un objectif professionnel précis et proportionné. La sécurité des véhicules et des marchandises, l’optimisation des tournées, la facturation au kilomètre, la lutte contre le vol de carburant : autant de finalités admises, parce qu’elles relèvent de la gestion normale d’une activité de transport.

Ce qui ne passe pas, c’est la surveillance pour la surveillance. Suivre un salarié en dehors de ses heures de travail, ou utiliser la géolocalisation pour contrôler autre chose que l’activité professionnelle, sort du cadre. Bonne pratique répandue : prévoir un mode débrayable ou des plages de vie privée quand un véhicule de fonction est utilisé en dehors du service.

Informer les salariés, avant la mise en service

Deuxième pilier, le plus important en pratique : les chauffeurs doivent être informés avant que le dispositif entre en service. L’information doit couvrir l’existence du suivi, les données collectées, la finalité, les destinataires et la durée de conservation.

Concrètement, cela passe par une note interne remise contre signature, une clause dans le contrat de travail ou le règlement intérieur, et idéalement une présentation orale où les questions peuvent se poser. Les flottes qui soignent cette étape constatent un effet inattendu : le dispositif est mieux accepté quand il est présenté comme un outil de gestion et de protection, et non découvert par hasard. Un GPS posé en douce, à l’inverse, fragilise tout : la confiance, et la valeur juridique des données collectées.

Déclarer le traitement auprès de la CNDP

Le traitement de géolocalisation doit faire l’objet d’une formalité auprès de la CNDP avant sa mise en œuvre. La Commission a publié un cadre spécifique pour la géolocalisation des véhicules utilisés par les employés, qui précise les finalités admises et les conditions du traitement. Le dossier se prépare bien : finalité, catégories de données, durée de conservation, mesures de sécurité.

Cette étape est souvent perçue comme une corvée administrative ; c’est en réalité une assurance. En cas de litige avec un salarié ou un tiers, un traitement déclaré et documenté pèse autrement qu’un dispositif installé sans formalité.

L’hébergement des données : la question qu’on oublie

La loi 09-08 soumet le transfert de données personnelles vers l’étranger à des conditions, dont une autorisation lorsque le pays de destination n’assure pas un niveau de protection suffisant. C’est là que le choix du prestataire devient un choix de conformité : si votre solution de suivi héberge ses serveurs en Europe ou aux États-Unis, vos données de géolocalisation quittent le territoire, avec les formalités que cela implique.

Les serveurs de Tracky sont au Maroc. Les positions, les trajets et les données carburant de nos clients ne traversent aucune frontière, ce qui simplifie le dossier CNDP et répond aux exigences des donneurs d’ordre publics, pour qui la localisation des données est fréquemment un critère éliminatoire d’appel d’offres.

Conservation et droits des salariés

Les données ne se gardent pas indéfiniment : la durée de conservation doit correspondre à la finalité. Pour la gestion de flotte, un historique de quelques années couvre les besoins d’exploitation, de facturation et de litige ; chez Tracky, l’historique est conservé deux ans puis purgé.

Les salariés conservent par ailleurs leurs droits d’accès et de rectification : un chauffeur peut demander à consulter les données qui le concernent. Un dispositif bien conçu prévoit ce cas, avec des accès par rôle qui permettent de répondre à la demande sans exposer les données des autres conducteurs.

Ce que risque une flotte non conforme

La loi 09-08 est assortie de sanctions pénales : les traitements non déclarés ou détournés de leur finalité exposent l’entreprise à des amendes, et les cas les plus graves à des peines d’emprisonnement. La CNDP dispose par ailleurs d’un pouvoir de contrôle et peut être saisie par tout salarié qui s’estime lésé.

Le risque le plus fréquent est pourtant ailleurs : devant les tribunaux du travail, les données issues d’un dispositif non déclaré ou installé sans information des salariés perdent leur valeur probante. Une flotte qui licencie sur la foi de trajets GPS collectés hors cadre s’expose à voir la preuve écartée — et le litige se retourner contre elle. La conformité n’est pas qu’une contrainte : c’est ce qui rend vos données opposables.

La checklist du gestionnaire

Pour résumer en une liste à cocher : une finalité professionnelle écrite et proportionnée ; une information des salariés documentée et signée avant la mise en service ; la formalité CNDP accomplie ; des données hébergées au Maroc ou un transfert dûment autorisé ; une durée de conservation définie ; des accès par rôle ; et une procédure pour répondre aux demandes d’accès.

Si vous équipez votre flotte avec Tracky, une partie de ces cases se coche d’elle-même : hébergement marocain, historique borné à deux ans, accès par rôles. Le reste relève de vos documents internes, et notre équipe peut vous orienter sur les modèles utilisés par nos clients. Parlez-en lors de votre démo.