F113 — autorisation simplifiée CNDP : le formulaire qu'on dépose trop tôt

Il m'arrive de recevoir des dossiers F113 prêts à signer, soigneusement remplis, avec la mention « décision-cadre : à compléter ». C'est le signe que le formulaire a été choisi pour sa longueur — quatre pages contre douze pour le F112 — et non pour ce qu'il est. Le F113 n'est pas un F112 allégé. C'est un formulaire d'adhésion à un modèle d'autorisation que la Commission a déjà publié. Si ce modèle n'existe pas pour votre cas, le dossier n'a aucune chance.

Ce qu'est une décision-cadre, et ce qu'elle change

La loi 09-08 ne connaît que deux régimes. L'article 12 soumet à autorisation préalable les traitements qui portent sur des données sensibles au sens de l'article premier, sur des données génétiques, sur les infractions et condamnations, sur le numéro de la carte d'identité nationale, ainsi que l'utilisation de données à d'autres fins que celles de la collecte et l'interconnexion de fichiers à finalités différentes. Tout le reste relève de la déclaration préalable. Le texte ne parle jamais d'« autorisation simplifiée ». Cette expression vient de la pratique de la Commission.

Ce que la loi prévoit, en revanche, c'est le pouvoir de la Commission de fixer par décision des catégories de traitements aux formalités réduites — les articles 16 et 17 le font pour les déclarations, avec homologation du gouvernement. La CNDP a prolongé cette logique en publiant des décisions-cadres : des délibérations qui décrivent un traitement type, ses finalités admises, ses données, ses durées, ses destinataires et ses garanties. Quand un traitement sensible entre exactement dans ce moule, la Commission n'a pas à réinstruire le fond : elle a déjà arbitré la proportionnalité. Il ne reste qu'à vérifier que vous êtes dans le cadre et à vous identifier.

C'est là que le F113 intervient. Le formulaire officiel — quatre pages, 38 champs utiles — ne vous demande ni la liste des données, ni les durées, ni les mesures de sécurité. Il vous demande le numéro et l'année de la décision-cadre, l'identité du responsable de traitement et de ses représentants, la catégorie d'activité, le modèle d'autorisation invoqué, la dénomination du traitement, et un engagement signé. Tout ce qui manque par rapport au F112 est réputé conforme à la décision-cadre. Déposer un F113, c'est dire à la Commission : « mon traitement est celui que vous avez décrit, ni plus, ni moins ». Si c'est approximatif, vous venez de signer un engagement que vous ne tenez pas.

L'arbre de décision : F211, F214, F112, F113

Deux questions suffisent pour trouver le bon formulaire.

La première : le traitement est-il sensible au sens de l'article 12 ? Données de santé, biométrie, infractions, numéro de CIN, scoring qui détourne des données de leur finalité initiale, interconnexion de fichiers. Non → vous êtes en déclaration. Oui → vous êtes en autorisation.

La seconde : existe-t-il une décision-cadre de la Commission qui décrit exactement ce traitement ? Non → formulaire complet. Oui → formulaire simplifié.

Croisez les deux réponses et vous obtenez la grille de la nomenclature 2025 :

Le F113 est l'intersection « sensible » × « décision-cadre existante ». C'est mécaniquement la case la moins peuplée : les traitements sensibles sont minoritaires, et ceux que la Commission a jugés assez standardisés pour mériter un modèle le sont encore plus. Un responsable de traitement qui remplit trois F211 par an ne verra peut-être jamais un F113 de sa carrière. Le F118, lui, ne figure pas dans la grille : il se cumule avec n'importe quelle case dès qu'un transfert hors du Maroc entre en jeu.

Le piège classique : un F113 sans décision-cadre

Je le vois plusieurs fois par an, toujours pour la même raison. Une équipe découvre que son traitement est sensible, ouvre le catalogue des formulaires CNDP, lit « autorisation simplifiée », et choisit la voie courte. Personne n'a cherché la décision-cadre. Le champ « numéro de la décision » reste vide, ou pire, on y reporte le numéro d'une délibération générale qui n'est pas une décision-cadre au sens du formulaire.

Un site industriel de Tanger a ainsi déposé un F113 pour un pointage biométrique, en citant une délibération de principe de la Commission sur les dispositifs biométriques. Le dossier est revenu : la délibération encadrait la doctrine, elle ne constituait pas un modèle auquel adhérer. Il a fallu reprendre en F112 — avec, cette fois, la description complète du dispositif, l'alternative non biométrique pour les salariés qui refusent, et la justification de proportionnalité. Des mois perdus, pour un dispositif qui tournait déjà.

Le mécanisme est simple. Le F113 ne contient rien qui permette à la Commission d'apprécier le traitement par elle-même ; tout repose sur le renvoi à la décision-cadre. Si ce renvoi tombe dans le vide, le dossier est vide. D'où ma règle : dans le doute, F112. Il couvre tout ce que couvre le F113, l'inverse est faux. Un F112 déposé pour un traitement qui aurait pu passer en F113 sera instruit un peu plus longuement, mais il aboutira. Un F113 hors cadre n'aboutira pas.

Vérifier sur cndp.ma que la décision couvre votre cas

La vérification se fait en trois temps, et aucun ne peut être sauté.

Commencez par les décisions et délibérations publiées sur le site de la Commission. Cherchez celles qui définissent un modèle de traitement auquel des responsables de traitement peuvent adhérer. Notez le numéro et l'année : ce sont les deux champs qui ouvrent le F113 et que vous retrouverez dans le paragraphe de signature en page 4.

Ensuite, lisez la décision en entier — le dispositif, pas le titre. Elle fixe en général la catégorie d'activité, les finalités admises et elles seules, les catégories de données, les durées maximales, les destinataires et les garanties exigées. Confrontez chaque élément à votre traitement réel, pas à sa description dans le PowerPoint du projet.

Enfin, tranchez sans complaisance. Une mutuelle de Rabat gérait ses remboursements de soins selon un modèle que la Commission avait cadré, mais conservait les dossiers plusieurs années de plus que la durée maximale prévue, pour ses statistiques. Ce simple écart la faisait sortir du cadre. Deux options : ramener la conservation à la durée du modèle et déposer un F113, ou garder ses années et justifier tout le traitement en F112. Elle a choisi la première, qui était aussi la meilleure décision de gouvernance. La décision-cadre agit souvent comme un révélateur : ce qu'on ne peut pas y faire entrer est fréquemment ce qu'on n'aurait pas dû faire.

Vérifiez aussi la date. Une décision-cadre peut être remplacée par une plus récente ; reporter le numéro d'une version abrogée coûte un aller-retour.

Le formulaire, section par section

Le F113 officiel tient en quatre pages. Voici ce qu'il attend, dans l'ordre du document.

La décision-cadre applicable. Numéro et année. C'est la clé de voûte : les deux valeurs apparaissent en page 1 et sont répétées dans le paragraphe de signature. Si vous ne pouvez pas les remplir, fermez le PDF et ouvrez le F112.

Le responsable de traitement. L'entité qui détermine les finalités et les moyens, personne physique ou morale : raison sociale telle qu'inscrite au registre de commerce, sigle, forme juridique, numéro RC, code et secteur d'activité, adresse du siège, email institutionnel et téléphones. La Commission croise ces informations avec vos autres dépôts ; une raison sociale abrégée différemment d'un formulaire à l'autre crée de la friction pour rien.

Le représentant légal et le contact principal. Le premier engage l'organisation — gérant, directeur général, président — et signera ; pièce d'identité, nationalité, coordonnées. Le second est la personne que la Commission appellera : souvent le DPO, le juriste ou le responsable conformité. Mettez quelqu'un qui répondra dans la semaine.

L'implantation du responsable de traitement. Une question, deux chemins. Si le responsable est installé au Maroc, la section II est ignorée. S'il ne l'est pas, l'article 2 de la loi 09-08 impose de notifier à la Commission l'identité d'un représentant installé au Maroc, qui se substitue au responsable dans ses droits et obligations. Il faut alors renseigner l'entité marocaine représentante, son propre représentant légal et son contact principal. Filiales et bureaux de liaison de groupes étrangers sont directement concernés. Point pratique : le PDF officiel n'expose pas de case à cocher pour plusieurs choix de cette section ; ils se complètent à la main après impression.

La description du traitement. La section la plus courte du formulaire et la plus lourde de conséquences. Quatre éléments : la catégorie de l'activité, telle que la décision-cadre la nomme ; le modèle d'autorisation invoqué, tel que la décision-cadre le prévoit ; la dénomination du traitement, qui figurera telle quelle sur le registre national ; et la question du transfert vers un pays étranger — une réponse positive appelle un F118 en complément, et l'accord exprès de la Commission avant tout transfert effectif. Soyez littéral dans les deux premiers champs : reprenez le vocabulaire de la décision, pas le vôtre.

Le service en charge des droits des personnes. Nom, qualité, pièce d'identité et surtout l'email de saisine par lequel les personnes concernées exercent leurs droits d'accès, de rectification et d'opposition. Cet email doit exister, être lu, et correspondre à celui de votre politique de confidentialité.

La signature. Lieu, date, identité et qualité du signataire. Le paragraphe rappelle la décision-cadre invoquée : c'est l'engagement formel de s'y conformer. Signature manuscrite et cachet après impression.

Notez ce que le F113 ne contient pas : aucune section sur les catégories de données, les durées, les destinataires, les mesures de sécurité — là où le F112 y consacre l'essentiel de ses douze pages. Ce silence n'est pas une dispense. Les obligations de sécurité de l'article 23, et celles de l'article 24 propres aux données sensibles et de santé — contrôle des accès aux installations, des supports, de l'insertion, de l'utilisation, de la transmission — s'appliquent intégralement. La Commission ne vous demande pas de les décrire parce que la décision-cadre les présuppose.

Après le dépôt

Le F113 est une demande d'autorisation. Le principe est donc le même que pour le F112 : l'accusé de réception atteste du dépôt et de votre diligence, il n'autorise rien. Le traitement sensible ne se met pas en œuvre avant la décision de la Commission. Sur ce point, ne vous laissez pas tromper par le mot « simplifiée » — elle allège l'instruction, pas l'obligation d'attendre.

L'instruction porte essentiellement sur la recevabilité : le renvoi à la décision-cadre est-il pertinent, le responsable est-il correctement identifié, le traitement dénommé entre-t-il bien dans le modèle. La Commission peut demander des compléments, typiquement une précision sur la dénomination ou une pièce manquante. Sur la durée, tenez-vous à ce que nous documentons dans le guide du récépissé : plus court qu'un F112 dans le scénario normal, plus long dès que le dossier présente une ambiguïté. Le facteur qui pèse le plus est celui que vous contrôlez entièrement — la qualité du rapprochement entre votre traitement et la décision invoquée.

À l'issue, la Commission délivre une autorisation simplifiée, éventuellement assortie de réserves, comme pour un F112 — le plus souvent en rappelant une condition de la décision-cadre que le dossier laissait dans le flou. Ces réserves sont opposables. Conservez l'autorisation, affichez son numéro là où vous affichez vos autres récépissés, et alignez votre politique de confidentialité sur la dénomination exacte du traitement autorisé. Si la Commission estime au contraire que le traitement n'entre pas dans le cadre, elle vous renverra vers le F112. Ce n'est pas un refus au fond, c'est une requalification : votre traitement présente une particularité que le modèle n'absorbe pas, et c'est elle qu'il faudra justifier dans le dossier complet.

Pour la suite, un traitement autorisé qui évolue — nouvelle finalité, nouveau sous-traitant, durée allongée — sort potentiellement du cadre et appelle un nouveau dépôt, le cas échéant en F112. L'article 51 de la loi permet à la Commission de retirer une autorisation si le traitement s'avère contraire à l'ordre public ou aux bonnes mœurs, et l'article 52 sanctionne la mise en œuvre d'un fichier sans l'autorisation exigée. Un F113 signé sur une base fausse n'est pas un F113 approximatif, c'est un traitement sans autorisation.

L'assistant gratuit et les guides frères

DataSouv met à disposition un assistant de remplissage du F113, gratuit et sans création de compte. Il reprend le formulaire officiel section par section, remplit les champs du PDF de la CNDP dans votre navigateur — rien ne transite par nos serveurs — et signale les éléments à compléter à la main après impression. Sa première étape est volontairement bloquante : sans numéro de décision-cadre, il vous oriente vers le F112.

Pour situer le F113 dans l'ensemble des formalités :

• F112 — autorisation préalable, en pratique : le formulaire complet, à lire d'abord si vous n'êtes pas certain qu'une décision-cadre vous couvre.
• F211 — mode d'emploi de la déclaration normale : la voie ordinaire, pour tout ce qui n'est pas sensible.
• Récépissé CNDP — délais et procédure : ce qui se passe entre le dépôt et la décision, formulaire par formulaire.
• Guide pilier — Conformité CNDP au Maroc 2026 : la vue d'ensemble.

Si la qualification vous échappe, notre service de formalités CNDP commence toujours par cette question-là, avant d'ouvrir le moindre formulaire.

Sources

• Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) — formulaires officiels, délibérations et décisions publiées.
• Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 18 février 2009 — Bulletin Officiel n° 5714 du 5 mars 2009. Articles cités : 2, 12, 16, 17, 21, 23, 24, 51, 52.
• Décret n° 2-09-165 pris pour l'application de la loi n° 09-08 — Bulletin Officiel, Secrétariat Général du Gouvernement.

Karim B. — consultant conformité CNDP, contributeur DataSouv. Article relu et validé par Amine Rais, fondateur.