RGPD vs. Ley 09-08 (CNDP): las verdaderas diferencias para las empresas que envían SMS a Marruecos

Sin embargo, la ley vigente en el territorio nacional no es el RGPD europeo, sino la Ley 09-08, controlada por la CNDP. Muchas startups marroquíes o filiales de grupos extranjeros se pierden en ello. Pensando estar en conformidad con el RGPD utilizando plataformas estadounidenses o europeas, se encuentran en violación en Marruecos.

Esta es la regla de territorialidad. - Si eres una empresa marroquí que envía mensajes de texto a ciudadanos marroquíes: Estás sujeto exclusivamente a la Ley 09-08 de la CNDP. El RGPD no se aplica directamente a ti. - Si eres una empresa marroquí que dirige a la diáspora en Europa, o una plataforma de turismo que dirige a números franceses (+33) / españoles (+34) : Estás sujeto a la ley marroquí (Ley 09-08) ET al RGPD europeo (como subcontratista o responsable de tratamiento que dirige a residentes de la UE). - Si eres una empresa francesa que abre una sucursal en Marruecos: Debes aplicar las reglas estrictas de la CNDP marroquí en tus bases de datos locales, no simplemente duplicar

Aunque la Ley 09-08 se inspira en gran medida en las directivas europeas pre-RGPD (especialmente la Ley francesa de Informática y Libertades), existen matices prácticos.

1. La obligación de notificación previa (La carga administrativa) Esta es la diferencia más notable para las DSI (Direcciones de Sistemas de Información): - RGPD: Ya no hay “declaración previa” a la CNIL para crear un fichero cliente. Este es el principio de la responsabilidad (accountability): usted lleva un registro interno. - CNDP (Ley 09-08) : El enfoque es diferente. Antes de crear una base de datos de números de teléfono para la prospección, usted debe presentar una declaración (o una solicitud de autorización) a la CNDP. Hay un formalismo administrativo estricto en Marruecos.

2. La transferencia de datos fuera de las fronteras (Data Residency) Es el principal punto de fricción para la elección de un proveedor de SMS (Twilio, Vonage vs EnvoiSMS). - RGPD: La transferencia de datos a los Estados Unidos es muy complicada políticamente (Privacy Shield invalido), pero muy fluida dentro de la Unión Europea. - CNDP: Transferir un número de teléfono marroquí (+212) a una API cuyos servidores se encuentran en París o California requiere una autorización previa específica de transferencia al extranjero por parte de la CNDP, que evalúa si el país de destino ofrece un nivel de protección adecu

En el frente del marketing, el RGPD y la CNDP están en la misma longitud de onda. El Opt-in explícito y el Derecho de desistimento (STOP SMS) son principios universales a ambos textos. El envío de SMS B2C no solicitado (Spam) es ilegal en ambos lados del Mediterráneo.

Si está desarrollando una plataforma SaaS en Marruecos con ambiciones internacionales, el mejor enfoque (Security by Design) es ver el estándar de exigencia más alto (RGPD) sobre la arquitectura de software (encriptación, trazabilidad del consentimiento, derecho al olvido), respetando al mismo tiempo el formalismo administrativo de la CNDP (hosting local, declaraciones previas).

El uso de una API de SMS puramente local y soberana (/es/legal/privacy) para sus flujos marroquíes le quita una enorme espina del pie durante sus auditorías de cumplimiento, garantizando que el nodo de telecomunicaciones (los datos que pasan al operador) cumpla nativamente con la jurisdicción de la Ley 09-08.