Illustration générée par IA — visuel conceptuel.
Pourquoi ce “hub” CNDP ? (et ce qu’il n’est pas)
Dans les projets de sûreté et d’infrastructure (hôtels, commerces, sièges, immeubles, résidences), les lots vidéosurveillance, contrôle d’accès, LPR/ANPR et Wi‑Fi invités finissent souvent par manipuler des données à caractère personnel. Au Maroc, cela renvoie à la loi n° 09‑08 et aux publications/positions de la CNDP (Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel).
Objectif de cet article : proposer des repères opérationnels (côté maîtrise d’ouvrage, architecte, BET, exploitant, intégrateur) pour structurer un projet et éviter les erreurs classiques (finalité floue, zones filmées trop larges, droits d’accès mal cadrés, conservation non maîtrisée, sous‑traitance non encadrée, etc.).
Ce que cet article n’est pas
- Ce n’est pas un avis juridique ni une consultation CNDP.
- Ce n’est pas une promesse de conformité : la conformité se décide au cas par cas selon la finalité, le périmètre, les lieux, l’exploitation, l’hébergement, les sous‑traitants, etc.
- Ce n’est pas un guide exhaustif de toutes les délibérations CNDP.
Le point de départ (loi 09‑08) : image, son, plaque, identifiants réseau…
La loi 09‑08 définit la donnée à caractère personnel comme toute information concernant une personne identifiée ou identifiable, y compris le son et l’image. Cela signifie que, dès qu’un dispositif permet d’identifier directement ou indirectement une personne (visage, voix, silhouette, journal d’accès nominatif, etc.), le projet doit être cadré comme un traitement au sens de la loi. (bdj.mmsp.gov.ma)
La CNDP rappelle aussi, dans sa FAQ, que des éléments très courants en courant faible peuvent être des données personnelles : plaque d’immatriculation, photo, empreinte digitale, adresse IP, etc. (cndp.ma)
Conséquence projet (pratique)
- Un projet LPR/ANPR est rarement « uniquement technique » : il traite des plaques (et souvent des images + horodatage + événement).
- Un portail captif Wi‑Fi peut traiter des identifiants (IP, appareil, email/téléphone, numéro de chambre/voucher, logs) : il faut cadrer précisément quelles données et pourquoi.
- Un contrôle d’accès génère des identifiants et des journaux (badges, événements d’ouverture, profils), et la biométrie introduit un niveau d’exigence plus élevé.
Les invariants à valider traitement par traitement (checklist “MOA / BET / exploitant”)
Quel que soit le lot (CCTV, accès, LPR, Wi‑Fi), les mêmes questions reviennent. L’intérêt d’un “hub” est de les poser avant de choisir les caméras, le VMS, le contrôleur d’accès ou la plateforme Wi‑Fi.
Finalité : pourquoi collecte‑t‑on ces données ?
Documentez une finalité explicite par traitement (ex. sécurité des biens et des personnes, gestion d’accès, gestion des visiteurs, protection de zones sensibles). Pour la vidéosurveillance en lieux de travail et lieux privés communs, la CNDP a publié la délibération n°350‑2013 (cadre de référence). (cndp.ma)
Bon réflexe : si la finalité est floue, le périmètre technique dérive (caméras “au cas où”, conservation “par défaut”, extraction “pour tout le monde”, etc.).
Information des personnes : rendre le dispositif lisible
La loi 09‑08 impose une information préalable lors de la collecte directe, incluant notamment l’identité du responsable, la finalité, et les références de récépissé/d’autorisation CNDP (selon le régime applicable). (bdj.mmsp.gov.ma)
En vidéosurveillance (lieux de travail / lieux privés communs), la délibération CNDP n°350‑2013 prévoit une information « au moyen d’une affiche ou d’un pictogramme » et liste les mentions attendues (dont le numéro du récépissé de déclaration). (cndp.ma)
Pour un point de départ “prêt à utiliser”, la CNDP met également à disposition des mentions types (modèles de formulation à adapter au site et au régime applicable).
Minimisation : filmer/collecter ce qui est nécessaire, pas ce qui est facile
- Caméras : cadrer chaque caméra “par objectif” (accès, circulation, caisse, zone technique…), et matérialiser les zones exclues (intimité, zones sans rapport avec la finalité).
- Contrôle d’accès : limiter les données du registre visiteurs et les champs obligatoires au strict besoin (à définir avec l’exploitant et le cadre applicable).
- LPR : décider ce qui est réellement requis (texte plaque, image du véhicule, horodatage, voie, etc.) et qui peut rechercher/exporter.
- Wi‑Fi invités : ne pas collecter “par défaut” (ex. identité complète) si un accès par voucher suffit au besoin opérationnel.
Conservation : durée justifiée + purge maîtrisée
Dans la logique de la loi 09‑08, la durée de conservation (et les règles associées) fait partie des éléments à cadrer et à déclarer selon le régime applicable au traitement. (bdj.mmsp.gov.ma)
Pour la vidéosurveillance dans le champ « lieux de travail / lieux privés communs », la délibération CNDP n°350‑2013 donne un repère explicite : la conservation des images ne doit pas dépasser trois mois (dans ce cadre). (cndp.ma)
Selon les contextes, la CNDP publie aussi des fiches pratiques (par exemple pour l’habitation privée) qui apportent des rappels et des conditions d’orientation des caméras. Ces documents sont à lire comme des repères de contexte, à confirmer projet par projet. (cndp.ma)
Sécurité : accès, comptes, traçabilité, cloisonnement
La loi 09‑08 prévoit que le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données (notamment contre l’accès non autorisé), et que ces mesures doivent assurer un niveau de sécurité approprié au regard des risques (voir art. 23). (bdj.mmsp.gov.ma)
Traduction projet (pratique) :
- Comptes nominatifs (éviter les comptes partagés) et droits minimaux.
- Journalisation des actions sensibles (visionnage, export, suppression, modifications de droits) lorsque la solution le permet.
- Architecture réseau : prévoir une séparation claire entre usages (invités / métiers / vidéo / systèmes techniques / administration) et un contrôle strict des accès distants (procédures, comptes, révocation).
Sous‑traitance et support : cadrer l’accès des prestataires
Au sens de la loi 09‑08, un sous‑traitant est un organisme qui traite des données pour le compte du responsable du traitement (définition, art. 1). La loi précise aussi que la réalisation de traitements en sous‑traitance doit être régie par un contrat ou un acte juridique et que le sous‑traitant agit sur instruction du responsable (voir art. 23, notamment). (bdj.mmsp.gov.ma)
En pratique, ce point devient critique dès qu’il y a :
- maintenance à distance (VMS, contrôleur d’accès, contrôleur Wi‑Fi) ;
- hébergement cloud (logs Wi‑Fi, VMS cloud, sauvegardes) ;
- infogérance réseau / sécurité.
Quatre cas d’usage : ce qu’il faut vérifier “avant devis”
Vidéosurveillance (CCTV) : cadrage minimal avant implantation
La CNDP publie un ensemble de ressources sur la vidéosurveillance, dont une page dédiée mentionnant notamment la délibération de référence pour les lieux de travail et lieux privés communs. (cndp.ma)
La CNDP a également publié un communiqué daté du 21 mars 2025 sur la vidéosurveillance et la protection des données, soulignant le besoin de cadrage et l’évolution des technologies (dont reconnaissance faciale). (cndp.ma)
Checklist CCTV (à adapter au site)
- Cartographie caméra par caméra : objectif, champ utile, zones exclues.
- Accès aux images : qui visionne, qui exporte, qui administre, et comment on trace.
- Conservation et purge : durée, déclencheurs (continu/événementiel), procédure d’extraction (incident/réquisition).
- Affichage et contact “droits” : où, quelle mention, quel canal de contact.
- Accès distant : méthode, responsables, et révocation.
Pour l’ingénierie (optique, réseau, stockage, recette), voir : Vidéosurveillance IP : comment concevoir un système réellement efficace ?
Contrôle d’accès : badge/smartphone/QR… et le cas particulier de la biométrie
Sur un projet, “contrôle d’accès” recouvre souvent :
- droits d’accès (profils, zones, horaires),
- journaux d’événements (entrées/sorties),
- gestion des visiteurs (registre ou application),
- et parfois biométrie.
Contrôle d’accès visiteurs : attention aux registres et dispositifs de collecte
La CNDP a publié une délibération dédiée au contrôle d’accès à des lieux professionnels privés (registre/fichier de visiteurs). Elle porte sur un modèle type de demande d’autorisation relatif au traitement de données recueillies dans ce cadre, et précise le champ d’application du dispositif (registre/fichier de visiteurs, quelle qu’en soit la forme). (cndp.ma)
Biométrie : un niveau d’exigence plus élevé
En contrôle d’accès, la biométrie n’est pas un « simple identifiant ». La CNDP encadre son usage via la délibération n°478‑2013, notamment avec une approche basée sur la proportionnalité (le caractère sensible du site et la justification du recours à la biométrie font partie des éléments déterminants). (cndp.ma)
Dans ce cadre, la délibération précise notamment, « en règle générale », que les données doivent être enregistrées sur un support exclusivement détenu par la personne concernée (par exemple carte à puce), et que le dispositif doit être utilisé à des fins d’authentification et non d’identification. (cndp.ma)
Enfin, avant de retenir une solution biométrique, vérifiez le régime CNDP applicable à votre montage et votre finalité : la CNDP publie une page « Procédures de notification » qui présente un régime d’autorisation préalable (formulaire F‑112) en lien avec la biométrie pour contrôle d’accès. (cndp.ma)
Pour la méthode de choix (usages, modes dégradés, architecture de porte), voir : Contrôle d’accès : badge, smartphone, biométrie ou code ?
LPR/ANPR (lecture de plaques) : traiter la chaîne comme un “traitement”, pas comme une caméra de plus
La CNDP cite la plaque d’immatriculation comme exemple de donnée personnelle dans sa FAQ. (cndp.ma)
Sans prétendre à une règle “unique” applicable à tous les montages, cela suffit à justifier une démarche structurée : finalité, accès, conservation, information, sous‑traitance, sécurité… doivent être documentés dans le projet.
Checklist LPR/ANPR (avant achat)
- Décision d’accès : séparer lecture (OCR) et autorisation (règles métier, exceptions).
- Minimisation : décider ce qui est enregistré et recherché (et par qui).
- Recette sur site : prouver la performance sur la voie réelle (jour/nuit, véhicules réels, vitesse, éclairage).
- Journalisation : qui recherche une plaque, qui exporte, et pourquoi.
Pour l’ingénierie technique et la recette, voir : Lecture de plaques LPR/ANPR : comment automatiser les accès véhicules ?
Wi‑Fi invités (hôtel) : l’infrastructure réseau “voit” aussi des données personnelles
La CNDP cite l’adresse IP comme exemple de donnée personnelle. (cndp.ma)
Dans un hôtel, un Wi‑Fi invités est à la fois :
- un service client (expérience de connexion),
- un risque technique (ne pas exposer PMS/GRMS/serrures/caméras),
- et, selon l’architecture (portail, logs, self‑registration), un traitement à cadrer (finalité, minimisation, conservation, sous‑traitants, sécurité).
Checklist Wi‑Fi invités (cadrage)
- Quels champs collecte le portail ? (et lesquels sont réellement nécessaires)
- Information : qui est le responsable, quelles finalités, quel contact “droits” (à formaliser dans le parcours).
- Isolation : séparation réseau invités / métiers / techniques + politique d’isolation inter‑clients selon le service attendu.
- Sous‑traitance : qui héberge/supporte le portail et comment l’accès est contrôlé.
Pour aller plus loin côté architecture & exploitation : Wi‑Fi invités : sécurité, portail captif, isolation et expérience client et, en vision globale, Architecture réseau IP d’un hôtel.
Maillage : vos guides Domocasa à lire selon le lot
- Vidéosurveillance IP : concevoir un système efficace
- Contrôle d’accès : badge, smartphone, biométrie ou code ?
- Lecture de plaques LPR/ANPR : automatiser un accès véhicules
- Wi‑Fi invités : portail captif, isolation et expérience
- Cybersécurité d’un hôtel connecté : protéger GRMS, PMS, GTB et réseau
Sources officielles (sélection)
- Loi n° 09‑08 (BDJ – Banque de Données Juridiques) : bdj.mmsp.gov.ma
- CNDP – FAQ : cndp.ma/faq
- CNDP – Page “Caméras de surveillance / vidéosurveillance” : cndp.ma/videosurveillance
- CNDP – Communiqué « Vidéosurveillance et protection des données à caractère personnel » (21/03/2025) : PDF CNDP
- CNDP – Délibération n°350‑2013 (lieux de travail / lieux privés communs) : PDF CNDP
- CNDP – Mentions types : cndp.ma/mentions-types
- CNDP – Fiche vidéosurveillance (habitation privée) : PDF CNDP
- CNDP – Délibération D‑943‑2025 (contrôle d’accès / visiteurs) : PDF CNDP
- CNDP – Délibération n°478‑2013 (biométrie contrôle d’accès) : PDF CNDP
- CNDP – Procédures de notification (dont autorisation préalable F‑112) : cndp.ma/procedures-de-notification-process
Si vous préparez un projet (hôtel, retail, immeuble), une étape souvent décisive consiste à formaliser une fiche de traitement par lot (finalité, données, accès, conservation, sous‑traitants) avant de figer l’architecture technique et le cahier des charges.
