Gegevensbescherming: wet 09-08 en GDPR in Marokko
Sommige links op deze pagina zijn affiliatelinks: wij kunnen een commissie ontvangen, zonder extra kost voor jou. Onze aanpak
Conformiteit is geen administratief dossier dat je één keer invult, maar een discipline in de omgang met gegevens: weten wat je verzamelt, waarom, waar het wordt opgeslagen en wie er toegang toe heeft. Ze beschermt zowel de klanten als het bedrijf. ## Wat wet 09-08 vereist De Marokkaanse wet legt de melding bij de CNDP op, de informatie van de betrokkenen, de naleving van de doeleinden en een passend beveiligingsniveau. Ze geldt zodra er een klantenbestand, een prospectenbestand of een webshop bestaat. ## De GDPR, wanneer die voor jou geldt Een Marokkaans bedrijf zonder vestiging in Europa valt eronder zodra het gegevens verwerkt van personen die zich daar bevinden. Dat is vaak het geval voor Europese klanten van een webshop of van de export. ## Cookiebanner en toestemming Een banner volstaat niet: de toestemming moet vrij, specifiek en gedocumenteerd zijn. Analytica- en advertentietools moeten zo worden geconfigureerd dat ze geen cookies plaatsen voor de gebruiker zijn keuze heeft gemaakt.Wanneer deze gids voor jou is
- Je verzamelt klantgegevens (naam, telefoon, e-mail, adres) op een site of via een formulier
- Je gebruikt een analytica- of advertentietool die gegevens doorstuurt naar een derde
- Je verkoopt aan Europese klanten en moet de GDPR toepassen
- Je neemt een clouddienst af en moet controleren hoe je gegevens worden gehost
- Je hebt een klacht, een inzageverzoek of een poging tot datalek ontvangen
Stap voor stap
- Inventarisatie van de verwerkingen — Lijst de verzamelde gegevens op, waar ze circuleren, wie er toegang toe heeft, hoe lang ze worden bewaard en met welk doel. Dit register is de basis van elke conformiteitsinvoering.
- Rechtsgronden en doeleinden — Bepaal voor elke verwerking de rechtsgrond (contract, wettelijke verplichting, toestemming, gerechtvaardigd belang) en beperk de verzameling bewust tot wat noodzakelijk is (minimalisering).
- Melding en informatie — Dien de meldingen in bij de CNDP volgens wet 09-08, schrijf een duidelijk privacybeleid en verzamel geldige toestemming voor cookies en prospectie.
- Beveiliging en verwerkers — Bescherm de gegevens (toegang, versleuteling, back-ups), leg de leveranciers vast in verwerkersovereenkomsten en controleer waar de gegevens worden bewaard.
- Rechten en incidenten — Zet een procedure op om inzage-, correctie- of verwijderingsverzoeken te beantwoorden, en om een datalek binnen de voorziene termijnen te melden.
Wat het kost (in dirham)
| Dienst | Indicatieve prijs | Goed om te weten |
|---|---|---|
| Inventarisatie en register van verwerkingen | 15 000 – 40 000 MAD (≈ 1 400 – 3 700 €) | Site, CRM, analytics, dienstverleners |
| Volledige conformiteitsinvoering | 30 000 – 60 000 MAD (≈ 2 800 – 5 500 €) | Register, beleid, contracten, opleiding |
| CNDP-melding | 2 000 – 8 000 MAD (≈ 180 – 730 €) | Voorbereiding en indiening van de meldingen |
| Privacybeleid en cookiebanner | 5 000 – 20 000 MAD (≈ 450 – 1 800 €) | Opstelling en configuratie van de toestemming |
| Jaarlijkse begeleiding | 10 000 – 40 000 MAD / jaar (≈ 920 – 3 700 €) | Updates, verzoeken en incidenten |
| Beveiligingsaudit van de gegevens | 10 000 – 30 000 MAD (≈ 920 – 2 800 €) | Toegang, versleuteling, back-ups en logging |
Indicatieve prijzen voor de Marokkaanse markt in 2026, exclusief belasting. Prijzen variëren met de omvang en de leverancier.
Fouten om te vermijden
- Zoveel mogelijk gegevens verzamelen ‘voor het geval dat’, zonder doel of duidelijke rechtsgrond
- Een cookiebanner gebruiken die de toestemming niet echt registreert
- Gegevens onbeperkt bewaren, zonder bewaartermijn
- De verwerkers vergeten: CRM, e-mailverzending, analytics, hosting, transporteur
- Denken dat de CNDP en de GDPR alleen voor grote bedrijven gelden
Veelgestelde vragen
Wat is wet 09-08?
Dat is de Marokkaanse wet voor de bescherming van persoonsgegevens. Ze verplicht om de verzameling en verwerking van gegevens bij de CNDP te melden, om ze eerlijk en evenredig te houden, om de betrokkene te informeren en om de gegevens voldoende te beveiligen.
Moeten alle verwerkingen bij de CNDP worden gemeld?
De meeste verwerkingen vragen een melding of een voorafgaande toestemming. Laagrisicoverwerkingen kunnen soms vrijgesteld zijn; een analyse door een professional bevestigt welke regeling van toepassing is.
Moet een Marokkaans bedrijf de GDPR toepassen?
Als het gegevens verwerkt van personen in de EU (Europese klanten, een Franstalige site die in Europa levert, gerichte advertenties), dan ja, voor die verwerkingen. De Marokkaanse wet 09-08 geldt daarnaast.
Wat kost een conformiteitsinvoering?
Voor een kmo liggen een inventarisatie en een redelijke conformiteitsinvoering tussen 15 000 en 60 000 MAD, afhankelijk van het aantal verwerkingen en dienstverleners. De jaarlijkse begeleiding voor updates en verzoeken is bescheidener.
Wat moet je doen bij een datalek?
Beperk het lek, documenteer het, informeer de organisatie en de betrokkenen naargelang het risico, verwittig de bevoegde autoriteiten binnen de voorziene termijnen en verhelp vervolgens de oorzaak. De GDPR legt een melding aan de autoriteit binnen 72 uur op.
Bijgewerkt op
Gerelateerde gidsen
Version française: /services/devops-securite/protection-des-donnees/ · EN · AR