Information générale, pas un avis juridique. Les principes ci-dessous résument de façon simplifiée le cadre marocain. Vérifiez toujours les textes, formulaires et fiches pratiques à jour sur cndp.ma, et faites-vous accompagner par un professionnel du droit pour votre situation.
Le cadre : loi 09-08 et CNDP
La loi 09-08 protège les personnes physiques à l'égard du traitement de leurs données à caractère personnel. Elle s'applique dès qu'une entreprise collecte, enregistre, utilise ou transmet des informations qui permettent d'identifier une personne : un nom, un numéro de téléphone, une adresse, mais aussi le contenu d'une conversation ou un enregistrement d'appel.
La CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) est l'autorité chargée de veiller à l'application de ce cadre. Elle informe, reçoit les déclarations et demandes d'autorisation, et publie des fiches pratiques, dont une consacrée à la prospection.
Ce qui est concerné quand on utilise un chatbot
Un chatbot WhatsApp, un agent vocal ou un CRM traitent des données personnelles à chaque étape :
- la collecte du lead via un formulaire, une publicité ou un message entrant ;
- les échanges écrits ou vocaux avec le prospect ;
- la qualification (budget, projet, délai) et le score d'intention ;
- les relances programmées ;
- le partage des informations avec l'équipe commerciale.
Chacune de ces étapes doit avoir une finalité claire et respecter les principes ci-dessous.
Les grands principes à respecter
Le consentement préalable pour la prospection électronique
Selon la fiche de la CNDP consacrée à la prospection, la prospection directe par voie électronique (messages, SMS, e-mails, messageries comme WhatsApp) suppose le consentement préalable de la personne. En pratique :
- une case à cocher non pré-cochée sur vos formulaires, qui mentionne explicitement le canal (« J'accepte d'être contacté par WhatsApp, SMS et téléphone ») ;
- une formulation claire sur qui contactera la personne et pourquoi ;
- la conservation d'une trace du consentement (date, source, formulation).
Ce principe rejoint d'ailleurs l'exigence d'opt-in de Meta pour les messages initiés par l'entreprise sur WhatsApp.
L'information des personnes
La personne doit savoir qui traite ses données, dans quel but, à qui elles peuvent être transmises et comment exercer ses droits. Une mention courte sous le formulaire, complétée par une page de politique de confidentialité, permet de répondre à cette exigence.
Le droit d'opposition
Toute personne peut s'opposer à recevoir de la prospection. Concrètement :
- chaque message de prospection doit indiquer un moyen simple d'arrêter les envois, par exemple répondre « STOP » ;
- l'opposition doit être enregistrée et respectée par tous les outils et toutes les équipes ;
- un agent automatique doit reconnaître la demande, y compris en darija ou en arabe, et cesser immédiatement les relances.
Les droits d'accès et de rectification
Les personnes peuvent demander à connaître les données détenues sur elles et à les faire corriger. Désignez une adresse ou un contact pour ces demandes et un responsable pour y répondre.
La déclaration ou l'autorisation auprès de la CNDP
En principe, un traitement de données personnelles fait l'objet d'une déclaration préalable auprès de la CNDP, et certains traitements plus sensibles nécessitent une autorisation. La fiche prospection de la CNDP mentionne cette formalité préalable. Les formulaires et les modalités sont disponibles sur cndp.ma.
La minimisation des données
Ne collectez que ce qui sert vraiment la finalité annoncée. Pour qualifier un prospect, quelques informations suffisent souvent : nom, numéro, besoin, budget indicatif, délai. Évitez les questions sans lien avec la demande, et soyez particulièrement prudent avec les données sensibles, comme les informations de santé dans un cabinet médical.
La durée de conservation
Les données ne doivent pas être gardées indéfiniment. Fixez une durée adaptée à votre activité (par exemple selon le cycle de vente), documentez-la, puis supprimez ou anonymisez les données des prospects inactifs.
La sécurité
Protégez l'accès aux conversations et aux fiches : comptes nominatifs, mots de passe solides, droits limités selon les rôles, retrait des accès quand un collaborateur quitte l'entreprise. Évitez les exports de fichiers de prospects qui circulent par e-mail ou sur des téléphones personnels.
Les transferts et les prestataires
Si vous utilisez des outils dont les serveurs sont hors du Maroc, ou si vous confiez des données à un prestataire, renseignez-vous sur les règles applicables aux transferts et encadrez la relation par contrat. La CNDP publie des informations sur ce sujet.
Le cas particulier des appels et des enregistrements
Pour la prospection par téléphone, y compris par un agent vocal, informez la personne dès le début de l'appel de l'identité de l'entreprise et de l'objet de l'appel. Si les appels sont enregistrés ou transcrits, informez-en l'interlocuteur et définissez une durée de conservation des enregistrements.
Checklist pour les entreprises
- Lister vos traitements : formulaires, WhatsApp, appels, CRM, publicités.
- Définir la finalité de chacun, en une phrase.
- Ajouter une case de consentement explicite par canal sur vos formulaires.
- Conserver la preuve du consentement de chaque contact.
- Rédiger une mention d'information courte et une politique de confidentialité.
- Prévoir un « STOP » sur chaque message de prospection et l'appliquer partout.
- Configurer votre agent pour reconnaître les refus en français, en arabe et en darija.
- Limiter les questions de qualification au strict nécessaire.
- Fixer et appliquer une durée de conservation.
- Sécuriser les accès et retirer ceux des anciens collaborateurs.
- Vérifier les formalités de déclaration ou d'autorisation sur cndp.ma.
- Revoir l'ensemble au moins une fois par an.
Comment un outil peut vous aider
Un bon outil ne rend pas une entreprise conforme à lui seul : la responsabilité reste celle de l'entreprise qui traite les données. Il peut en revanche faciliter les bonnes pratiques : centraliser les conversations au lieu de les disperser sur des téléphones, tracer l'origine de chaque lead, enregistrer les refus et arrêter automatiquement les relances.
Pour aller plus loin, consultez nos guides sur la relance automatique des prospects et sur l'API WhatsApp Business au Maroc, et gardez cndp.ma comme référence pour toute question juridique.