Récépissé CNDP — délai et procédure 2026
Le récépissé CNDP matérialise votre conformité administrative. Sans lui, votre traitement reste juridiquement fragile, même si le dossier est en cours d'instruction.
Le récépissé CNDP est le document officiel délivré par la Commission Nationale de contrôle de la Protection des Données à caractère Personnel à l'issue de l'instruction d'une déclaration ou d'une demande d'autorisation. Il matérialise la conformité administrative d'un traitement et porte un numéro d'enregistrement unique qui devient la référence publique de votre conformité.
Ce guide couvre tout ce qu'il faut savoir sur l'obtention, l'affichage et le maintien du récépissé.
1. Qu'est-ce qu'un récépissé CNDP ?
C'est l'accusé officiel par lequel la CNDP atteste avoir enregistré votre traitement après instruction. Il porte généralement :
- Un numéro d'enregistrement au format type
XXX-AAAA(alphanumérique) - La date de délivrance
- La finalité déclarée et acceptée
- L'identité du responsable du traitement
- Le cas échéant, des réserves ou conditions d'exploitation
Il existe plusieurs natures de récépissés selon le formulaire d'origine :
| Formulaire d'origine | Type de récépissé |
|---|---|
| F211 — déclaration normale | Récépissé de déclaration |
| F214 — déclaration simplifiée (décision-cadre) | Récépissé de déclaration simplifiée |
| F112 — demande d'autorisation préalable | Autorisation |
| F113 — autorisation simplifiée (décision-cadre) | Autorisation simplifiée |
| F118 — autorisation de transfert international | Autorisation de transfert |
Précision sur la nomenclature CNDP 2025. Certains documents préparatoires antérieurs utilisaient F212 (désormais F112) pour l'autorisation préalable et F214 (désormais F118) pour les transferts. Ce guide reflète la nomenclature en vigueur sur cndp.ma.
2. Délai d'obtention — la réalité du terrain
2.1 Délais réglementaires vs délais pratiques
La loi 09-08 et son décret prévoient des délais réglementaires d'instruction, mais en pratique, les durées observées varient sensiblement :
| Formulaire | Délai pratique moyen | Délai max observé |
|---|---|---|
| F211 simple | 6 à 8 semaines | 4 mois |
| F211 complexe | 2 à 3 mois | 6 mois |
| F214 (déclaration simplifiée) | 4 à 8 semaines | 3 mois |
| F112 (autorisation préalable) | 3 à 6 mois | 9 mois |
| F113 (autorisation simplifiée) | 6 à 10 semaines | 4 mois |
| F118 (transfert international) | 2 à 4 mois | 6 mois |
Plusieurs facteurs allongent l'instruction :
- Charge de la Commission au moment du dépôt (pic en fin d'année et en septembre)
- Dossiers de compléments mal qualifiés au départ
- Traitement sensible ou interconnexion complexe
- Sous-traitants hors Maroc insuffisamment documentés
2.2 Pendant l'instruction — l'accusé de réception suffit
L'accusé de réception du dépôt vous permet de continuer à exploiter le traitement, sous réserve du respect des principes de la loi 09-08. Il vaut preuve de diligence en cas de contrôle pendant cette période.
Sa conservation est donc essentielle :
- Format papier ou numérique scanné
- Stockage dans un emplacement pérenne (cloud sauvegardé, archives juridiques)
- Référence accessible aux équipes en cas de demande externe
3. Que faire pendant l'attente ?
3.1 Communiquer transparemment
Pendant l'instruction, vous pouvez indiquer publiquement que la déclaration est en cours, ce qui est plus crédible qu'un silence ou qu'une affirmation prématurée de conformité.
Formulation recommandée en footer ou en politique de confidentialité :
Déclaration CNDP n° [numéro de l'accusé de réception] — en cours d'instruction. Le numéro de récépissé sera publié dès réception.
C'est ce que DataSouv applique elle-même : la transparence opérationnelle est un signal de sérieux, pas une faiblesse.
3.2 Anticiper la mise en conformité opérationnelle
Pendant l'attente, finaliser tous les chantiers opérationnels :
- Politique de confidentialité publiée
- Bannière cookies avec blocage runtime effectif
- En-têtes de sécurité (HSTS, CSP, etc.)
- Procédure interne de gestion des droits
- DPA signés avec les sous-traitants
Beaucoup d'organisations déposent leur F211 puis attendent passivement le récépissé — c'est exactement le moment où il faut accélérer le reste.
3.3 Suivre proactivement
- Relance courtoise à 8 semaines si pas de retour, en rappelant le numéro d'accusé
- Point d'étape demandé à 4 mois si pas de réponse
- Conservation de toute correspondance avec la CNDP (mails, courriers, demandes de complément)
4. Affichage et utilisation du récépissé
4.1 Où l'afficher publiquement
Le récépissé doit être visible pour matérialiser la conformité :
- Footer du site web : numéro CNDP affiché de manière constante
- Politique de confidentialité : mention complète avec finalité couverte
- Mentions légales : mention systématique
- Registre public des traitements (si publié — pratique d'exemplarité)
- Documentation interne : facilement accessible aux équipes en cas de demande
4.2 Comment le formuler
Formulation type en footer :
Traitements déclarés CNDP — récépissé n° [numéro]
Formulation type en politique de confidentialité :
Le traitement décrit dans la présente politique a fait l'objet d'une déclaration auprès de la Commission Nationale de contrôle de la Protection des Données à caractère Personnel (CNDP), enregistrée sous le numéro [numéro] délivré le [date].
4.3 En cas de contrôle CNDP
Lors d'un contrôle, le récépissé est l'une des premières pièces demandées. Sans récépissé, l'organisation doit prouver qu'elle a au moins déposé un dossier (accusé de réception). Sans déposé du tout, le contrôle dérive vers un constat de non-conformité formelle, avec mise en demeure quasi systématique.
5. Que faire en cas de refus ou de réserves ?
5.1 Refus motivé
Un refus est toujours motivé par la Commission. Les motifs typiques :
- Mauvaise qualification : traitement déclaré en F211 mais relevant du F112 (autorisation préalable)
- Finalité insuffisamment précise ou incompatible avec la loi
- Sous-traitance hors UE/Maroc non documentée
- Durée de conservation disproportionnée
- Mesures de sécurité lacunaires
5.2 Réserves accompagnant le récépissé
Plus fréquent qu'un refus net : le récépissé délivré avec réserves. Cela signifie que le traitement est accepté sous condition de certaines corrections (ex : limiter la durée, ajouter un consentement, durcir une mesure de sécurité). Ces réserves sont opposables à l'organisation et doivent être appliquées.
5.3 Recours
Un refus peut faire l'objet d'un recours administratif auprès de la CNDP elle-même, puis le cas échéant d'un recours devant le tribunal administratif compétent. C'est rare en pratique pour les F211 — la voie habituelle est de redéposer un dossier corrigé plutôt que de contester.
6. Maintenir le récépissé dans le temps
Un récépissé n'est pas un « passeport à vie ». Il couvre le périmètre déclaré. À chaque évolution substantielle, il faut redéposer le formulaire approprié pour notifier la modification à la CNDP :
- Changement de finalité ou ajout d'une nouvelle finalité
- Nouveau sous-traitant majeur (hébergeur, SaaS)
- Nouvelle catégorie de données collectées
- Changement de responsable du traitement
- Allongement substantiel de la durée de conservation
- Transfert international nouveau
À défaut, le récépissé devient caduc sur le périmètre modifié — la CNDP peut considérer le traitement comme non déclaré.
7. Ressources
- Guide pilier — Conformité CNDP au Maroc 2026
- F211 — mode d'emploi de la déclaration normale
- Service — Formalités CNDP clés en main
- Notre registre des traitements public
- Site officiel CNDP
Le récépissé CNDP n'est pas qu'un papier administratif. C'est la matérialisation publique de votre rigueur de gestion des données — un signal fort pour vos clients, vos partenaires UE, vos auditeurs. Une organisation qui affiche un récépissé en footer et qui publie son registre est, à coût quasi nul, perçue comme structurellement plus sérieuse qu'une qui n'affiche rien. C'est l'un des leviers de différenciation les plus accessibles du marché marocain en 2026.
Nadia T. — consultante conformité, contributrice DataSouv. Article relu et validé par Amine Rais, fondateur.
Questions fréquentes
Combien de temps pour obtenir un récépissé CNDP ?
Entre 6 semaines et 4 mois pour un F211 simple, jusqu'à 6 mois pour un F112 (autorisation préalable) ou pour un dossier nécessitant des compléments. L'accusé de réception du dépôt fait foi de diligence pendant l'instruction et permet de continuer à exploiter le traitement de bonne foi.
Où afficher le numéro de récépissé CNDP ?
Le numéro doit être visible publiquement : en footer du site web, dans la politique de confidentialité, dans les mentions légales et dans tout document récapitulatif des traitements (registre public). Pour les courriers commerciaux et les contrats, sa mention est recommandée mais pas strictement obligatoire.
Que faire si l'instruction prend trop de temps ?
Relancer la Commission par courrier ou via le téléservice, sans agressivité, en rappelant le numéro de l'accusé de réception. Si plus de 6 mois sans nouvelles, il peut être utile de demander un point d'étape via votre contact CNDP. L'accusé de réception reste valide pendant toute la durée d'instruction.
Que faire en cas de refus de récépissé ?
Un refus est rare et toujours motivé. Il intervient généralement quand un traitement déclaré en F211 relève en réalité du F112 (autorisation préalable), ou quand des éléments clés manquent. Reprendre la qualification, redéposer un dossier corrigé. En cas de désaccord sur le fond, l'accompagnement d'un avocat spécialisé est recommandé.
Un récépissé est-il à vie ?
Le récépissé reste valide tant que le traitement déclaré n'évolue pas substantiellement. En cas de changement (nouvelle finalité, nouveau sous-traitant majeur, changement de responsable), il faut redéposer le formulaire approprié pour maintenir la couverture. Sinon le récépissé devient caduc sur le périmètre modifié.