Mise en conformité documentaire à la loi 09-08 pour PME de services

L'étude sectorielle AYDI sur les services aux entreprises relève des exigences croissantes des clients en matière de qualité et de données, dans un secteur dominé par de micro-prestataires. Centres d'appels, sociétés informatiques, agences d'intérim ou cabinets qui travaillent pour des donneurs d'ordre, notamment étrangers, doivent de plus en plus prouver qu'ils traitent correctement les données personnelles. La plupart n'ont jamais tenu de registre ni effectué leurs formalités auprès de la CNDP. Le service consiste à organiser ce travail documentaire : recensement des traitements, rédaction des documents, préparation des formalités, avec un modèle de langage pour gagner du temps et un juriste partenaire pour valider.

Le problème à résoudre

Beaucoup de PME collectent des données tous les jours (fichiers clients, CV, enregistrements d'appels, caméras, listes de prospection) sans savoir lesquelles sont concernées par la loi 09-08 ni quelles formalités accomplir. Lorsqu'un client ou un partenaire envoie un questionnaire fournisseur sur la protection des données, elles répondent dans l'urgence, ou pas du tout.

Les cabinets d'avocats proposent des prestations complètes mais coûteuses pour une petite structure. Il manque un intermédiaire capable de faire le travail d'inventaire et de rédaction, méthodique et abordable, en laissant la validation juridique à un professionnel du droit.

Qui paie et comment le trouver

PME de services qui traitent beaucoup de données ou travaillent pour des clients exigeants : centres d'appels et sociétés d'externalisation, sociétés de services informatiques, agences de recrutement et d'intérim, cabinets de conseil, sociétés de formation, prestataires qui répondent à des questionnaires fournisseurs de grands comptes ou de clients européens.

Offre et prix de départ

Trois niveaux suffisent pour démarrer. Ces fourchettes sont des points de départ à confronter aux prix pratiqués dans votre ville ; leur construction est expliquée dans notre méthode.

Outils et rôle de l'IA

• Un modèle de langage : premières versions des fiches de traitement, mentions et réponses aux questionnaires, à partir de modèles validés par un juriste.
• Un formulaire en ligne : questionnaire de recensement rempli par chaque service de la PME.
• Un tableur partagé : registre des traitements, plan d'action et suivi des formalités.
• Un espace documentaire sécurisé : conservation des versions validées et des preuves de dépôt.

Les outils évoluent vite : privilégiez des formules mensuelles au départ et gardez vos contenus (modèles, glossaires, bases de réponses) dans des formats transférables.

Plan de lancement

1. Semaine 1-2Étudier la loi 09-08, son décret d'application et les guides et formulaires publiés par la CNDP ; trouver un juriste ou un avocat partenaire pour la relecture.
2. Semaine 3-4Construire les modèles (questionnaire, registre, mentions types) et les tester sur votre propre activité puis sur une PME de votre entourage.
3. Semaine 5-6Réaliser un diagnostic pilote à tarif réduit, en échange d'un témoignage et du droit de citer le type d'entreprise accompagnée.
4. Semaine 7-8Démarcher les sociétés de services qui travaillent pour des clients étrangers ou de grands comptes, avec un exemple de registre anonymisé.

Avant d'investir davantage, appliquez la méthode de validation en 30 jours.

Exemple chiffré

Erreurs à éviter

• Se présenter comme conseil juridique ou promettre une « conformité totale » sans validation par un professionnel du droit.
• Copier des modèles européens conçus pour le RGPD sans les adapter à la loi 09-08 et aux exigences de la CNDP.
• Demander au client ses fichiers de données réelles alors qu'un recensement des catégories de données suffit.

Cadre légal

Le statut d'auto-entrepreneur suffit souvent pour démarrer ; au-delà de 80 000 DH de chiffre d'affaires annuel avec un même client, une retenue à la source s'applique, à vérifier auprès de la DGI. Le service porte sur l'organisation documentaire : la consultation juridique engageante et la représentation relèvent des avocats, d'où l'intérêt d'un partenaire qui valide chaque livrable. Les formalités elles-mêmes restent sous la responsabilité de la PME, responsable du traitement au sens de la loi 09-08. Vous accédez à des informations sensibles sur vos clients : prévoyez un contrat avec clause de confidentialité. Les procédures et formulaires évoluent : vérifiez-les auprès de la CNDP et d'un avocat.

Pour facturer, le statut d'auto-entrepreneur est souvent le plus simple au départ ; attention à la règle des 80 000 DH par client, détaillée dans notre guide sur le statut. Pour les données personnelles, voir le guide sur la loi 09-08.