SMS & WhatsApp Business au Maroc : Référence Complète de Conformité 2026 (Loi 09-08, CNDP, ANRT)

Publié par EnvoiSMS.ma · Dernière mise à jour : 10 septembre 2026

Avertissement. Ce document est une ressource d'information générale, pas un conseil juridique, et ne crée aucune relation avocat-client. Il synthétise le travail de mise en conformité que nous avons dû mener nous-mêmes, article par article, comme sous-traitant technique — il ne remplace pas une analyse par un avocat sur votre situation précise. Les délais, formulaires, montants de sanctions et taux cités reflètent notre lecture des textes officiels à la date de mise à jour ci-dessus ; la loi, ses délibérations d'application et les grilles tarifaires citées peuvent évoluer sans que ce document soit mis à jour immédiatement. Vérifiez toujours la version en vigueur sur les sources primaires liées ci-dessous, et consultez un avocat marocain avant toute décision engageant votre responsabilité.

La plupart des guides sur l'API SMS ou WhatsApp Business au Maroc parlent d'intégration technique : authentification, webhooks, exemples de code. Très peu documentent ce qui précède l'intégration — le dossier réglementaire qu'une entreprise doit déposer avant d'envoyer un seul message. C'est le vide que ce document comble, en synthétisant deux textes que nous appliquons en production : notre guide de conformité CNDP pour WhatsApp Business API et notre procédure d'homologation Sender ID SMS auprès de l'ANRT.

Deux lois différentes, deux régulateurs différents, une seule contrainte commune : un message envoyé sans dossier déposé est un risque, pas un détail administratif.

Un numéro de téléphone mobile identifie une personne physique. Dès qu'une entreprise l'enregistre pour lui écrire sur WhatsApp, elle met en œuvre un traitement de données à caractère personnel au sens de l'article premier de la loi n° 09-08 (Dahir n° 1-09-15 du 18 février 2009, B.O. n° 5714). Le canal ne change rien : ce que la loi encadre, c'est la base de contacts, les finalités pour lesquelles elle est utilisée, et les prestataires à qui elle est confiée.

Une intégration WhatsApp Business API cumule au moins quatre opérations que la CNDP considère séparément :

• la collecte du numéro (formulaire, commande, prise de rendez-vous, publicité Click-to-WhatsApp) ;
• l'envoi de messages sortants, dont les campagnes marketing qui relèvent de la prospection directe (article 10) ;
• la réception et l'archivage des conversations entrantes (boîte de réception, chatbot, transcription vocale) ;
• la transmission des numéros et du contenu à des sous-traitants : la plateforme d'envoi, puis Meta, dont le Cloud API héberge les messages hors du Maroc.

La loi distingue le responsable du traitement, qui décide des finalités et des moyens, et le sous-traitant, qui agit sur ses instructions (article 23). Meta confirme cette architecture dans ses WhatsApp Business Data Processing Terms : l'entreprise est Controller, WhatsApp est Processor.

Conséquence pratique : aucun prestataire ne peut « être conforme à la place » de l'entreprise. Le récépissé de déclaration est délivré au nom de l'entreprise, la preuve d'opt-in lui appartient, et c'est sa raison sociale que l'article 64 vise en cas d'infraction.

L'article 12 soumet tout traitement à une déclaration préalable, ou à une autorisation préalable dans les cas sensibles. La CNDP délivre le récépissé de déclaration sous 24 heures (article 19) et peut, dans les 8 jours, requalifier le dossier en régime d'autorisation si le traitement présente des risques manifestes (article 20) — délais annoncés par la CNDP, à reconfirmer sur cndp.ma au moment du dépôt. Sans récépissé, l'entreprise s'expose au régime de sanction de l'article 52.

Formulaires en vigueur (page officielle des procédures de notification, nomenclature 2025) :

La délibération D-940-2025 (newsletters, 28 novembre 2025) est le modèle-cadre le plus proche d'une liste de diffusion WhatsApp : consentement par case à cocher, désabonnement dans chaque message, conservation jusqu'au désabonnement — avec un rappel qui tranche : « toute utilisation des données de l'abonné afin d'établir son profil personnel nécessite une autorisation préalable ». Un chatbot qui score des leads n'est donc pas couvert par une simple déclaration F214.

Le formulaire F214 (version 2025) précise que le récépissé « atteste de l'enregistrement » et « ne constitue pas une validation opérationnelle » : la CNDP peut contrôler sur pièces ou sur place et retirer le récépissé. Déclarer est un point de départ, pas un certificat définitif.

Toute personne sollicitée pour ses données doit être informée « de manière expresse, précise et non équivoque », avant la collecte. L'article 5 liste les mentions obligatoires, et l'article 19 y ajoute une exigence peu appliquée en pratique sur WhatsApp : le numéro de récépissé « doit figurer dans toutes les opérations de collecte ou de transmission des données ».

Le formulaire, la page de commande ou le premier message doit indiquer :

1. l'identité du responsable du traitement (la raison sociale de l'entreprise, pas celle du prestataire) ;
2. les finalités, nommées individuellement (notifications de commande, rappels de rendez-vous, offres commerciales…) ;
3. les destinataires, y compris le transfert vers Meta à l'étranger (la délibération D-940-2025 exige de mentionner les transferts « dûment autorisés par la CNDP ») ;
4. le caractère obligatoire ou facultatif de la réponse ;
5. l'existence des droits d'accès, de rectification et d'opposition, avec un contact pour les exercer ;
6. le numéro du récépissé CNDP du traitement.

Ce dernier point est le test le plus simple qu'un contrôleur puisse faire : si le formulaire ne porte aucun numéro de récépissé, soit l'entreprise n'a pas déclaré, soit elle n'informe pas. Dans les deux cas, l'article 5 n'est pas respecté.

L'article 10 interdit « la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique ou d'un moyen employant une technologie de même nature » sans consentement préalable. WhatsApp entre dans cette dernière catégorie : le texte de 2009 ne le nomme pas mais a été rédigé pour couvrir les canaux à venir. Le consentement y est défini comme « toute manifestation de volonté libre, spécifique et informée » — une case pré-cochée, un numéro récupéré sur un site ou une liste achetée n'en sont pas.

Une seule exception, calquée sur le droit européen : la prospection vers un client existant dont les coordonnées ont été recueillies directement lors d'une vente, pour des produits analogues, à condition d'offrir une opposition simple et gratuite à la collecte et dans chaque message. Cette exception couvre la relance d'un client e-commerce ; elle ne couvre ni un prospect qui a seulement demandé un devis, ni un contact importé d'un CRM tiers.

Base légale par catégorie de message Meta :

Deux pièges fréquents en contrôle : un message classé utility par Meta mais qui glisse une offre commerciale reste de la prospection au sens de l'article 10, quelle que soit sa catégorie de facturation. Et une conversation service ouverte par le client ne vaut pas opt-in marketing — répondre à une question n'autorise pas à ajouter le numéro à la liste de diffusion du mois suivant.

Modèle d'opt-in conforme (formulaire ou caisse, case non pré-cochée) :

☐ J'accepte de recevoir les offres et actualités de [Raison sociale] par WhatsApp au numéro indiqué. Mes données sont traitées pour cette finalité (récépissé CNDP n°…), transmises à notre prestataire d'envoi et à Meta (États-Unis) pour l'acheminement, et conservées jusqu'à ma désinscription. Je peux me désinscrire à tout moment en répondant STOP ou via privacy@…

Ce qu'il faut enregistrer à chaque consentement, dans un registre exportable : le numéro au format international et la date-heure précise, la source (URL du formulaire, identifiant du message WhatsApp pour une réponse OUI, publicité Click-to-WhatsApp, import signé), le texte exact présenté, la finalité consentie (une case par finalité), et le retrait éventuel avec sa date et son canal. Une capture d'écran de CRM ne suffit pas : elle prouve un état, pas un événement daté.

L'article 9 donne à toute personne le droit de s'opposer « sans frais » à l'utilisation de ses données à des fins de prospection. L'article 10 précise l'exigence pour les canaux électroniques : chaque message de prospection doit indiquer « des coordonnées valables auxquelles le destinataire puisse utilement transmettre une demande » d'arrêt, et il est interdit de dissimuler l'identité de l'émetteur. Ignorer une opposition expose au régime de sanction de l'article 59.

Quatre règles opérationnelles :

1. Chaque template marketing porte une mention de désinscription lisible (« Répondez STOP ») ou un bouton de réponse rapide dédié — Meta l'impose d'ailleurs pour la validation de certains templates marketing.
2. Le mot-clé est traité immédiatement et sans intervention humaine : STOP, ARRÊT, إلغاء, BAJA et leurs variantes doivent bloquer le numéro pour toutes les campagnes suivantes, sur WhatsApp comme sur SMS.
3. Un numéro opposé n'est jamais réimporté par une synchronisation CRM ou un fichier de campagne ; la liste d'exclusion prime sur toute liste d'envoi.
4. Le retrait est consigné avec sa date — un STOP non tracé se rejoue au prochain import.

L'opposition n'efface pas le numéro : elle le place sur une liste d'exclusion qu'il faut précisément conserver pour prouver qu'elle est respectée.

La loi ne fixe pas de chiffre universel ; elle exige que la durée soit déclarée et respectée. L'article 55 punit la conservation « au-delà de la durée prévue par la législation en vigueur ou celle prévue dans la déclaration ». Les deux modèles-cadres donnent le repère : la délibération 32-2015 limite la conservation à « celle nécessaire à la gestion de la relation commerciale » ; la délibération D-940-2025 conserve les abonnés « jusqu'à la demande de désabonnement ».

Politique de rétention défendable pour WhatsApp Business API :

L'article 23 impose des « mesures techniques et organisationnelles appropriées », puis règle la sous-traitance en trois temps : choisir un sous-traitant « qui apporte des garanties suffisantes », le lier par un contrat écrit qui l'oblige à n'agir que sur instruction, et consigner par écrit les exigences de sécurité. L'article 58 sanctionne l'absence de mesures ; l'article 61 vise le sous-traitant lui-même, « même par négligence ».

À vérifier avant le premier envoi : un accord de traitement des données (DPA) signé ou acceptable en ligne, une liste des sous-traitants ultérieurs tenue à jour avec préavis, le chiffrement en transit et au repos, des accès nominatifs journalisés, une procédure de notification d'incident, des mécanismes d'export et d'effacement à la demande, et un journal des actions sur le compte WhatsApp Business. Un prestataire qui répond « nous sommes conformes CNDP » sans remettre de contrat ne met pas l'entreprise en conformité — c'est précisément l'absence d'écrit que vise l'article 23-4.

C'est l'obligation la plus ignorée du marché, et la plus lourde. L'article 43 n'autorise le transfert de données personnelles que vers un État « assurant un niveau de protection suffisant », dont la CNDP fixe la liste. Cette liste, arrêtée par la délibération 236-2015, compte 32 pays : Union européenne, EEE, Suisse, Royaume-Uni, Canada. Les États-Unis n'y figurent pas.

Meta indique dans sa documentation que le Cloud API stocke par défaut les données aux États-Unis, et que l'option de stockage local n'est proposée que pour une dizaine de marchés (Australie, Indonésie, Inde, Japon, Singapour, Corée du Sud, Allemagne pour l'UE, Suisse, Royaume-Uni). Le Maroc n'en fait pas partie. Chaque message WhatsApp envoyé à un client marocain via l'API officielle est donc un transfert vers un pays hors liste, quel que soit le prestataire intermédiaire.

L'article 44 offre trois issues :

1. Le consentement exprès de la personne au transfert — la mention « transmises à Meta (États-Unis) » dans le modèle d'opt-in (1.5). C'est la base la plus simple pour le marketing.
2. La nécessité contractuelle (art. 44-1-d) : une confirmation de commande ou un code OTP est nécessaire à l'exécution du contrat conclu avec la personne. Cette base couvre les messages utility et authentication, pas la prospection.
3. L'autorisation expresse et motivée de la CNDP (art. 44-3) lorsque le traitement présente des garanties suffisantes « en raison des clauses contractuelles ». Les Data Processing Terms de Meta incorporent un addendum de transfert international — la pièce à joindre.

Dans tous les cas, le transfert se notifie avec le formulaire F118 — le F214 lui-même rappelle qu'un transfert « devra faire l'objet d'une demande simultanée », et la délibération D-940-2025 interdit tout transfert « sans autorisation préalable de la CNDP ». Le F118 demande le destinataire, le pays, la finalité, la fréquence, la date du premier transfert et le numéro de récépissé du traitement sous-jacent ; la CNDP se prononce sous deux mois, renouvelables une fois.

Un transfert qui n'est adossé à aucune des trois bases ci-dessus, ou qui n'a pas été notifié via le F118, est susceptible de constituer l'infraction prévue à l'article 60 : trois mois à un an d'emprisonnement et 20 000 à 200 000 DH d'amende, doublés pour une personne morale — sous réserve, comme pour toute qualification pénale, de l'appréciation des faits par la CNDP puis, le cas échéant, par les tribunaux compétents. Aucune plateforme, marocaine ou étrangère, ne peut supprimer ce transfert tant que Meta n'ouvre pas de stockage local au Maroc ; la voie la plus sûre consiste à le déclarer et à l'asseoir sur une base de l'article 44.

Liste officielle publiée par la CNDP : infractions et sanctions. Montants en dirhams ; l'article 64 double les amendes pour une personne morale et ajoute fermeture d'établissement et confiscation ; l'article 65 double à nouveau en cas de récidive.

Ces montants et peines sont ceux publiés dans la liste officielle des sanctions de la CNDP à la date de rédaction ; leur application à un cas donné dépend des faits du dossier et relève de l'appréciation de la CNDP et, en cas de poursuite, des tribunaux compétents — ce tableau est une carte des risques encourus, pas une prédiction de sanction.

Depuis 2025, la CNDP a annoncé des contrôles sectoriels ciblés — hôtellerie, santé, e-commerce, enseignement supérieur — précisément les secteurs qui ont adopté WhatsApp Business API le plus vite. Une réforme de la loi 09-08 en préparation vise un alignement sur le RGPD (bases légales, DPO, notification des violations, niveau des sanctions) : ces obligations ne feront que se renforcer.

Le Maroc quitte le tarif régional « Rest of Africa » pour une grille autonome à cette date, avec des tarifs utility et authentication relevés, un nouveau tarif authentication-international, et une facturation des messages de service au-delà d'une franchise mensuelle par numéro. Chiffres relayés par les BSP à partir des grilles Meta ; la grille officielle par devise fait foi.

Ce sujet a sa place dans un document de conformité parce que Meta classe les templates par catégorie, vérifiée à la validation. Un message marketing déguisé en utility pour économiser quelques centimes sera reclassé, et reste de la prospection au sens de l'article 10 — cumul du risque tarifaire et du risque légal. À l'inverse, une conversation service ouverte par le client est à la fois la moins chère et la plus solide juridiquement. Concevoir les parcours pour que le client écrive en premier (bouton sur le site, QR code, publicité Click-to-WhatsApp avec sa fenêtre gratuite de 72h) est la meilleure décision de conformité et de coût pour 2026.

1. Déclaration déposée (F214 ou F211), récépissé reçu et archivé.
2. F118 déposé pour le transfert vers Meta, base de l'article 44 identifiée.
3. Numéro de récépissé affiché sur chaque support de collecte.
4. Mentions d'information complètes : responsable, finalités, destinataires dont Meta, droits, contact.
5. Opt-in marketing spécifique à WhatsApp, case non pré-cochée, texte conservé.
6. Registre des consentements horodaté, exportable par numéro, alimenté aussi par OUI/STOP.
7. STOP fonctionnel sur chaque template marketing, multilingue, traité automatiquement, propagé au SMS.
8. Séparation des finalités : un numéro collecté pour le support n'entre pas en campagne sans nouveau consentement.
9. Durées de conservation écrites dans la déclaration et appliquées par l'outil.
10. DPA signé, liste des sous-traitants ultérieurs vérifiée.
11. Procédure de droits : réponse à une demande d'accès ou d'effacement sous 30 jours, export réel.
12. Autorisation préalable obtenue avant tout scoring, profilage ou traitement de données de santé par un chatbot.

Les sanctions des articles 52 à 61 se cumulent, elles ne se remplacent pas — un seul point manquant reste un risque entier.

L'envoi de SMS avec un Sender ID alphanumérique (ex. VOTRE MARQUE au lieu d'un numéro long aléatoire) est la référence pour certifier l'authenticité d'une communication auprès de destinataires marocains. Le marché des télécommunications, régulé par l'ANRT, impose une procédure officielle de déclaration et d'homologation préalable auprès des trois opérateurs nationaux (Maroc Telecom, Orange Maroc, inwi), pour lutter contre le phishing, l'usurpation de marque (smishing) et le spam. Sans homologation, un Sender ID personnalisé est rejeté par les filtres réseau (erreur 403 Forbidden ou statut Rejected).

Le protocole GSM 03.38 et les routeurs SS7 des opérateurs imposent :

• Longueur : 3 à 11 caractères alphanumériques.
• Caractères acceptés : lettres majuscules/minuscules (A-Z, a-z), chiffres (0-9), espaces simples.
• Caractères proscrits : accents (é, è, à) et caractères spéciaux (@, &, !, ?, #, %, *, _, -).
• Composition : ne peut pas être exclusivement numérique (confusion possible avec un numéro mobile ou court).

Le dossier d'homologation exige : nom d'expéditeur souhaité, site web officiel de l'entreprise, type de message (transactionnel, OTP/2FA, marketing), exemple de message, volume mensuel estimé, et un justificatif officiel (Registre du Commerce ou certificat OMPIC).

Le délai combine une instruction réglementaire côté ANRT et un déploiement technique sur les pare-feux anti-spam (SMS Firewalls) de chacun des trois opérateurs, qui avancent chacun à leur propre rythme — 15 à 30 jours de bout en bout. Durant l'instruction, le trafic urgent (OTP, transactionnel) peut continuer de transiter par un expéditeur partagé pré-homologué, sans interruption de service.

• Nom générique non distinctif : les demandes pour des termes trop génériques (INFO, URGENT, PROMO, SERVICE) sont systématiquement refusées.
• Incohérence entre le nom et le justificatif : si le Sender ID demandé diffère de la raison sociale du Registre de Commerce, un certificat de marque OMPIC ou un lien vers le site officiel attestant l'exploitation de la marque est obligatoire.
• Document illisible ou tronqué : un PDF haute définition du RC ou du certificat OMPIC en cours de validité est requis.

Un code de vérification à usage unique (OTP) est, comme tout numéro de téléphone traité, couvert par la loi 09-08 — sa base légale est l'exécution du contrat et la sécurité du compte (article 4-b), sans opt-in marketing requis, mais avec l'obligation d'information de l'article 5 et une infrastructure d'hébergement respectant les directives CNDP. En pratique, un OTP conforme et fiable au Maroc combine :

• des routes locales vers les trois opérateurs nationaux, avec Sender ID enregistré, accusés de réception réels et bascule automatique entre routes, pour limiter les délais ;
• un statut de livraison remonté pour chaque code, afin de repérer un retard et de proposer un renvoi avant que l'utilisateur abandonne ;
• une bascule WhatsApp → SMS lorsque l'envoi WhatsApp est refusé ou que le délai du canal expire, pour ne pas laisser l'utilisateur sans code ;
• une infrastructure hébergée dans des conditions sécurisées et respectueuses des directives de la CNDP, plutôt qu'une simple promesse commerciale de conformité sans DPA ni registre de preuve.

• Loi n° 09-08 — texte intégral (Dahir n° 1-09-15 du 18 février 2009, B.O. n° 5714)
• Délibération CNDP n° 32-2015 — modèle-cadre gestion des clients
• Délibération CNDP n° D-940-2025 — modèle-cadre lettres d'information
• Délibération CNDP n° 236-2015 — liste des pays à niveau de protection suffisant
• Liste officielle des infractions et sanctions CNDP
• Formulaire F118 — transfert à l'étranger
• Procédures de notification CNDP
• WhatsApp Business Data Processing Terms (Meta)
• Grille tarifaire officielle WhatsApp Business (Meta)

Ce document synthétise et étend le guide de conformité CNDP WhatsApp et le guide d'homologation Sender ID publiés sur envoisms.ma. Il est maintenu par EnvoiSMS.ma et révisé à chaque évolution réglementaire ou tarifaire connue.