Cybersécurité & Conformité Loi 09-08 (CNDP) pour les Entreprises au Maroc
Matrice de spécification
Exigences d'ingénierie fondamentales
- ›L'enregistrement téléphonique et la transcription par IA constituent légalement un traitement de données selon la Loi 09-08 (Dahir n° 1-09-15).
- ›Transférer des flux audio ou fichiers clients vers des clouds étrangers sans autorisation CNDP expose à des poursuites pénales selon l'article 60.
- ›Les bases de données en production doivent utiliser le chiffrement AES-256-GCM avec des clés isolées et un hébergement local au Maroc (Tier-III).
- ›Une déclaration préalable auprès de la CNDP et une mention d'information orale préalable de l'appelant sont obligatoires avant mise en service.
1. Ce que la Loi 09-08 impose aux systèmes automatisés et vocaux
Selon la Loi 09-08 (Dahir n° 1-09-15 du 22 Safar 1430), tout agent téléphonique vocal ou système d'IA conversationnelle collectant des noms, numéros de téléphone, adresses, commandes ou données médicales constitue un traitement automatisé de données à caractère personnel. Les articles 23 et 24 imposent aux responsables de traitement de mettre en œuvre des mesures techniques et organisationnelles garantissant l'intégrité et la confidentialité des flux. De surcroît, les articles 53 à 65 prévoient des peines d'amende sévères (jusqu'à 300 000 DH) et la responsabilité pénale directe des dirigeants (3 mois à 2 ans de prison) en cas de traitement frauduleux ou de transfert transfrontalier sans autorisation préalable de la CNDP.
2. Architecture cryptographique, gestion des clés et hébergement souverain
Pour satisfaire aux directives de la DGSSI et aux exigences de conservation de la CNDP, tous les enregistrements audio, transcriptions et dossiers clients doivent être chiffrés au repos en AES-256-GCM. La signalisation SIP doit obligatoirement exiger TLS 1.3 avec échange de clés Curve25519 ou P-384, tandis que les flux audio en temps réel doivent imposer SRTP (RFC 3711) en AES-CM-128 ou AES-GCM-256. Le RTP en clair est interdit en production. Les clés maîtresses doivent être gérées via HSM ou des coffres KMS isolés par client, hébergés exclusivement sur le sol marocain (datacenters Tier-III à Casablanca ou Rabat Technopolis).
# Production SIP TLS 1.3 & SRTP Cipher Suite Verification (Kamailio / Asterisk)
kamailio -c -f /etc/kamailio/tls.cfg
# Ensure strict TLS 1.3 and forward-secret cipher suites
tls_method = TLSv1_3
cipher_list = "TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256"
server_name = "sip.vext.ma"
require_certificate = yes
verify_certificate = yes
private_key = /etc/ssl/sovereign/sip_private.key
certificate = /etc/ssl/sovereign/sip_cert.crt
ca_list = /etc/ssl/sovereign/ca_root.crt3. Notification obligatoire de l'appelant, droit d'opposition et consentement
L'article 14 de la Loi 09-08 impose d'informer la personne concernée dès le décroché : (1) de l'identité exacte du responsable du traitement, (2) de la finalité opérationnelle de l'appel, (3) de l'enregistrement et du traitement par IA, et (4) des modalités concrètes d'exercice des droits d'accès, de rectification et d'opposition. Les systèmes Vext intègrent ce mécanisme de façon déterministe : dès la prise de ligne, un message réglementaire est émis dans la langue de l'appelant. Si l'appelant tape "9" ou exprime son refus, l'écriture sur disque est immédiatement coupée, basculant la session en mode de mémoire vive éphémère sans persistance.
| Exigence Loi 09-08 | Implémentation Technique | Méthode de Vérification |
|---|---|---|
| Art. 14 : Information préalable | Message vocal pré-enregistré avant toute prise de commande | Audit automatique des flux audio |
| Art. 23 : Confidentialité | Chiffrement AES-256-GCM en base + signalisation TLS 1.3 | Audit de pénétration & scan TLS |
| Art. 43 : Déclaration préalable | Dossier formel déposé auprès du secrétariat général CNDP | Récépissé officiel de la CNDP |
| Art. 53 : Droit d'opposition | Touche 9 ou mot-clé vocal basculant en mémoire volatile | Appel test simulé de conformité |
4. Pistes d'audit immuables et chaînage cryptographique SHA-256
En cas de contrôle de la CNDP ou de contentieux, la charge de la preuve incombe à l'entreprise, qui doit prouver la traçabilité des accès et l'intégrité absolue des transcriptions. Les systèmes Vext intègrent un chaînage cryptographique SHA-256 pour chaque journal d'événement : chaque nouvel enregistrement scelle le condensat cryptographique du précédent, rendant toute altération rétroactive impossible. De plus, des procédures automatiques de purge détruisent définitivement les données à l'expiration du délai légal autorisé (30 à 90 jours).
Questions fréquentes sur la norme
Besoin d'un accompagnement sur cette norme ?
Échangez directement avec nos ingénieurs système à Casablanca.