À déposer avec le traitement de base
Selon la CNDP, une demande de transfert n’est instruite que si elle est déposée en même temps que la déclaration ou la demande d’autorisation du traitement concerné.
Ce que le formulaire demande
- Le responsable du traitement et la personne qui communique les données
- Le destinataire : identité, pays, identifiant d’entreprise, contacts, type (filiale, siège, client, sous-traitant, fournisseur)
- L’existence d’une autorité de protection des données dans le pays destinataire
- Le fichier transféré : nom, description, nombre de personnes, mode, finalité, fréquence et date du premier transfert
- Le consentement des personnes et les traitements déjà déclarés au Maroc
- Les traitements effectués par le destinataire : données, finalités, durée
Vers un pays sans protection suffisante
Le formulaire demande de préciser la dérogation invoquée, par exemple :
- Exécution d’un contrat avec la personne concernée, ou d’un contrat conclu dans son intérêt
- Sauvegarde de la vie de la personne
- Constatation, exercice ou défense d’un droit en justice
- Accord bilatéral ou multilatéral auquel le Maroc est partie
- Garanties suffisantes, notamment par des clauses contractuelles ou des règles internes jointes au dossier
Les mesures de sécurité demandées
- Authentification des destinataires
- Intégrité des données lors de la transmission
- Clauses contractuelles de sécurité et d’audit
- Destruction des données non utilisées
- Confidentialité et gestion des droits d’accès
- Chiffrement des communications et des données
Pour préparer le dossier de transfert
- Clauses contractuelles types : le modèle de garanties le plus courant pour un transfert vers un pays sans protection suffisante
- Contrat de sous-traitance (DPA) : à encadrer avec chaque prestataire qui accède aux données transférées
- Analyse d’impact du transfert (TIA) : recommandée pour documenter les risques propres au pays destinataire
Questions fréquentes
Héberger mon site en France est-il un transfert ?
Oui, des données hébergées hors du Maroc constituent un transfert à déclarer.
Peut-on transférer avant l’accord de la CNDP ?
Non, le transfert vers l’étranger n’est possible qu’après l’accord exprès de la CNDP. Le mettre en œuvre avant cet accord expose l’entreprise au même risque qu’un traitement non déclaré.
Le transfert doit-il être renouvelé périodiquement ?
La demande initiale couvre le transfert tel que décrit ; tout changement de destinataire, de pays ou de finalité doit être signalé à la CNDP.
Que faire si le pays destinataire n’a pas d’autorité de protection des données ?
Le formulaire demande de préciser la dérogation invoquée ou les garanties apportées, par exemple des clauses contractuelles.
À lire aussi
- Quel formulaire CNDP déposer ?
- Le registre national de la CNDP
- Contacter la CNDP
- Formulaire F211 : la déclaration normale
- Formulaire F112 : l’autorisation préalable
- Formulaire F113 : l’autorisation conforme à une décision
- Toutes les pages CNDP
On s’occupe de vos formalités CNDP
Vous répondez à un questionnaire simple, nous préparons, déposons et suivons vos dossiers.
Voir l’offre et le prix ↗ Appel gratuit de 30 min ↗