Formulaire F214 CNDP — la déclaration simplifiée sur décision-cadre

Le F214 est le formulaire que beaucoup d'organisations marocaines devraient déposer et que peu connaissent. Cinq pages, contre onze pour le F211. Aucune section sur les catégories de données, les durées de conservation ou les mesures de sécurité. Un numéro de décision en tête, des coordonnées, une finalité, une signature.

C'est aussi celui qu'on qualifie le plus souvent de travers. Sa brièveté cache un mécanisme précis : en le signant, vous ne décrivez pas votre traitement, vous déclarez qu'il correspond à un modèle que la Commission a déjà cadré. Si ce n'est pas vrai, la brièveté se retourne contre vous.

Ce qu'est une décision-cadre, et pourquoi le F214 existe

La loi 09-08 organise la conformité autour de deux régimes : l'autorisation préalable pour les traitements à risque (article 12, paragraphe 1), la déclaration préalable pour tout le reste (paragraphe 2). Le F211 est la forme ordinaire de cette déclaration et reprend, section par section, les éléments qu'exige l'article 15 : identité du responsable, finalités, catégories de personnes et de données, destinataires, transferts, durée de conservation, service des droits, mesures de sécurité.

L'article 16 ouvre une voie plus courte. La Commission fixe la liste des catégories de traitements qui, compte tenu des données traitées, ne sont pas susceptibles de porter atteinte aux droits et libertés des personnes, et pour lesquelles la déclaration se limite à une partie de ces éléments. Cette décision est soumise à l'homologation du gouvernement. L'article 28 confirme la compétence : « fixer la liste des catégories de traitements bénéficiant d'une déclaration simplifiée ».

Ces listes prennent la forme de décisions-cadres. Chacune décrit un traitement type — vidéo-surveillance des accès, gestion administrative du personnel, autres typologies récurrentes — avec ses finalités admises, ses catégories de données, ses destinataires, ses durées. Le F214, dont l'en-tête renvoie à une « Décision N° … / … », est le formulaire par lequel vous vous rattachez à l'une d'elles.

Ce rattachement est un engagement, pas une formalité. L'article 13 précise que la déclaration comporte l'engagement que le traitement sera effectué conformément à la loi ; avec un F214, cet engagement porte en plus sur le contenu de la décision-cadre. La durée de conservation n'est pas dans le formulaire : la décision l'a écrite pour vous, et vous avez signé en dessous.

F214 ou F211 : la question qu'on pose dans le mauvais sens

La question qu'on m'adresse le plus souvent est : « Est-ce que je peux passer en F214 ? » Sous-entendu : c'est plus court, allons-y. La bonne question est : « Existe-t-il une décision-cadre qui décrit exactement ce que je fais ? »

Exactement, pas à peu près. Un retailer de Casablanca voulait déclarer la vidéo-surveillance de ses magasins en F214, ce qui semblait évident. Sauf que les caméras servaient aussi à compter les visiteurs et à mesurer les temps d'attente en caisse — une finalité de pilotage commercial que la vidéo-surveillance type ne couvre pas. Résultat : F211, avec finalités, destinataires (prestataire d'analytics inclus) et durées décrits en entier. Un F214 aurait été un engagement faux dès la signature.

À l'inverse, une clinique de Rabat s'apprêtait à déposer un F211 de quinze pages pour ses caméras de parking et d'entrée. Un F214 suffisait : accès aux locaux, aucune autre finalité, durées conformes au modèle. Trois heures de rédaction économisées, et une instruction plus courte.

La règle pratique tient en trois lignes. Si le traitement correspond point par point à une décision-cadre publiée, c'est un F214. S'il s'en écarte sur un seul point — durée plus longue, finalité additionnelle, destinataire supplémentaire, catégorie de données en plus —, c'est un F211. Si le traitement touche à des données sensibles, à de la biométrie, à des infractions, à un scoring ou à une interconnexion, ni l'un ni l'autre : c'est une autorisation préalable F112, ou son pendant simplifié F113 quand une décision-cadre sensible existe.

Se tromper coûte plus cher qu'on ne l'imagine. Un F214 déposé pour un traitement qui déborde du modèle donne un récépissé qui ne couvre pas la réalité. Le jour où un salarié, un client ou un contrôle relève l'écart, vous êtes un responsable de traitement qui a déclaré autre chose que ce qu'il fait. L'article 20 donne d'ailleurs à la Commission le pouvoir, à l'examen d'une déclaration, de basculer le traitement sous le régime d'autorisation si elle y voit des dangers manifestes. Rare, mais prévu.

Retrouver le numéro de la décision-cadre applicable

Le F214 s'ouvre sur un numéro de décision et une année. Sans ces deux éléments, le formulaire n'a pas d'objet.

Ils se trouvent sur le site officiel de la Commission (cndp.ma), dans la rubrique consacrée aux décisions et délibérations, avec le texte intégral de chaque décision-cadre. Lisez ce texte en entier avant de remplir quoi que ce soit — c'est lui, et non le formulaire, qui définit vos obligations. Notez les finalités admises, les catégories de données, les durées, les destinataires. Comparez avec votre pratique réelle, pas avec l'idée que vous vous en faites : demandez à la personne qui administre le système combien de temps les enregistrements sont effectivement gardés.

Reportez ensuite le numéro et l'année exactement tels qu'ils figurent sur cndp.ma. Pas de reformulation, pas d'intitulé à la place du numéro. Dans notre assistant, ces deux champs sont obligatoires ; la catégorie indicative (décision-cadre I à IV) ne sert qu'à vous repérer et n'apparaît pas sur le PDF. Archivez une copie datée de la décision avec le dossier : si la Commission la révise, c'est votre point de comparaison.

Le formulaire, page par page

Le PDF officiel (version de juillet 2025) comporte cinq pages et un peu plus d'une centaine de champs, organisés ainsi.

Page 1 — l'en-tête de la décision

Le numéro et l'année de la décision-cadre, rien d'autre. C'est la page que l'instructeur regarde en premier, et celle qui décide si le reste du dossier a un sens.

Page 2 — Partie A, la synthèse reprise sur le récépissé

Cette page condense l'identité du responsable de traitement et la description du traitement. Ses champs sont repris dans le récépissé délivré par la Commission ; d'où l'importance de leur exactitude.

Pour le responsable de traitement : nature juridique (personne morale ou physique), raison sociale telle qu'inscrite au registre de commerce, sigle, forme juridique, numéro RC, code et libellé d'activité, adresse du siège, ville, pays, email institutionnel, téléphone fixe, GSM et fax. Le GSM est obligatoire, ce qui surprend toujours ; prévoyez un numéro de l'organisation, pas le portable du gérant.

Pour le traitement lui-même, trois éléments seulement. La dénomination — précise, opérationnelle : « Vidéo-surveillance des accès aux locaux du siège », pas « Sécurité ». La finalité, en quelques lignes cohérentes avec celles que la décision-cadre autorise. Et une case décisive : le traitement implique-t-il un transfert de données à l'étranger ? Si vous cochez « Oui », un F118 doit accompagner le dépôt. Un enregistreur vidéo dont les flux partent sur le cloud d'un éditeur américain, c'est un transfert.

Page 3 — Partie B-I, l'identification détaillée

On y détaille ce que la page 2 a résumé. Le représentant légal d'abord : nom, prénom, qualité (gérant, directeur général, président), nationalité, type et numéro de pièce d'identité, email, téléphones. C'est cette personne qui signera. Puis le contact principal, le référent du dossier au quotidien — juriste interne, DPO, responsable administratif. Il peut être la même personne que le représentant légal ; au-delà d'une dizaine de salariés, c'est rarement une bonne idée, l'instructeur doit pouvoir joindre quelqu'un qui connaît le dossier.

La page pose aussi la question qui conditionne la suite : le responsable de traitement est-il installé au Maroc ? Si oui, la page 4 reste vide ; si non, elle devient obligatoire.

Page 4 — Partie B-II, le représentant au Maroc

Réservée aux responsables de traitement établis hors du Maroc. La loi 09-08 le prévoit expressément : la Commission reçoit notification de l'identité du représentant installé au Maroc qui se substitue au responsable du traitement résidant à l'étranger (article 28), et c'est le responsable « ou, le cas échéant, son représentant » qui adresse la déclaration (article 14).

Le formulaire demande pour ce représentant le même bloc d'identification que pour le responsable — raison sociale, forme juridique, RC, activité, adresse, coordonnées — puis son propre représentant légal, puis son contact opérationnel. Trois sous-sections, une trentaine de champs. Cas typique : la société étrangère qui exploite des locaux au Maroc via une structure locale.

Page 5 — Partie B-III, le service des droits des personnes, et la signature

L'article 15 g) exige d'indiquer le service auprès duquel les personnes concernées exercent leurs droits. Le F214 conserve cette exigence : libellé du service (« Service protection des données », « DPO », « Service juridique »), puis une personne physique nommément désignée avec sa qualité, sa pièce d'identité, un email de saisine et un téléphone.

Cet email de saisine mérite une minute de réflexion : c'est l'adresse qu'une personne filmée ou un salarié utilisera pour demander l'accès à ses données. Une boîte générique relevée par quelqu'un, pas la messagerie d'un cadre qui partira dans dix-huit mois.

Vient enfin la signature : lieu, date, nom et qualité du représentant légal (repris automatiquement des pages précédentes), signature manuscrite et cachet apposés après impression.

Ce que la Commission renvoie

Sur les dossiers F214 que j'ai vus revenir, les motifs se répètent.

Le numéro de décision manquant, erroné ou remplacé par un intitulé approximatif arrive en tête. Le dossier n'a pas de base, il repart.

Vient ensuite l'écart entre la finalité décrite et le périmètre de la décision-cadre. L'instructeur compare votre finalité au modèle ; s'il y trouve un ajout — analyse commerciale, contrôle de productivité, partage avec un tiers non prévu —, il vous renvoie vers un F211, ou vers un F112 si l'écart touche à une donnée sensible. C'est la demande de complément la plus coûteuse : elle vous ramène au point de départ avec un dossier plus lourd.

Troisième motif : la case « transfert à l'étranger » cochée sans F118 joint, ou pire, cochée « Non » alors que la finalité mentionne un hébergement cloud hors du Maroc. La contradiction saute aux yeux à la première lecture.

Quatrième : un responsable de traitement déclaré hors du Maroc sans représentant local en page 4. Le formulaire est incomplet au sens strict.

Et enfin les défauts matériels — signature absente, cachet oublié, raison sociale différente de celle du registre de commerce, GSM vide. Dérisoires en apparence. Ils font perdre des semaines.

Après le dépôt

Le dépôt est gratuit. Conservez l'accusé de réception : pendant l'instruction, c'est lui qui atteste de votre diligence et vous permet de continuer à exploiter le traitement de bonne foi.

Sur les délais, le texte et la pratique divergent. L'article 19 prévoit un récépissé dans les vingt-quatre heures suivant le dépôt. Sur le terrain, comptez quatre à huit semaines pour un F214 propre, jusqu'à trois mois dans les cas lents — nettement moins qu'un F211, ce qui est l'un des vrais arguments du F214 quand il s'applique. Relances, réserves et scénarios de refus sont traités dans le guide sur le récépissé CNDP.

Une fois le récépissé reçu, ses caractéristiques doivent figurer dans vos opérations de collecte (articles 5 et 19). Pour la vidéo-surveillance : la signalétique à l'entrée des locaux, avec le responsable de traitement, la finalité, le service des droits et la référence du récépissé. Pour la gestion RH : la note d'information remise au personnel. Dans tous les cas, la politique de confidentialité et le footer du site si le traitement y est visible.

Dernier point, souvent oublié : chaque F214 couvre un traitement. Des caméras au siège et un fichier de gestion administrative du personnel, ce sont deux F214, chacun rattaché à sa décision-cadre. Et si le traitement évolue au-delà du modèle — nouvelle finalité, nouveau prestataire, durée allongée —, le récépissé simplifié ne le couvre plus : l'article 15 impose de porter toute modification à la connaissance de la Commission, ce qui signifie en pratique un redépôt, souvent en F211.

Remplir le F214 avec notre assistant

Nous avons construit un assistant gratuit pour le F214, calqué sur le PDF officiel : les sections ci-dessus dans le même ordre, les champs obligatoires signalés, la page 4 qui n'apparaît que si vous répondez « Non » à la question de l'implantation au Maroc. Le PDF est généré dans votre navigateur ; aucune donnée saisie ne quitte votre poste. Vous imprimez, signez, apposez le cachet.

Ce que l'assistant ne fait pas, c'est décider à votre place si votre traitement relève bien d'une décision-cadre. Cette lecture-là se fait avec le texte de la décision sous les yeux. Dans le doute, le guide du F211 décrit le chemin ordinaire, et nos formalités clés en main couvrent la qualification quand vous préférez la déléguer.

Sources

• CNDP — site officiel, formulaires et décisions
• Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 18 février 2009, Bulletin Officiel n° 5714 du 5 mars 2009 — Bulletin Officiel, Secrétariat Général du Gouvernement
• Décret n° 2-09-165 pris pour l'application de la loi 09-08 — Bulletin Officiel, Secrétariat Général du Gouvernement
• Guide pilier — Conformité CNDP au Maroc 2026

Karim B. — consultant conformité CNDP, contributeur DataSouv. Article relu et validé par Amine Rais, fondateur.