Contrôle d'accès biométrique et loi 09-08 : autorisation CNDP obligatoire, biométrie réservée aux zones sensibles, pointage par badge, architecture multi-sites et prix au Maroc.
Réponse rapide
Au Maroc, tout dispositif biométrique (empreinte, visage) exige une autorisation préalable de la CNDP, jamais une simple déclaration (loi 09-08, délibération CNDP n° 478-2013). La biométrie est admise uniquement pour sécuriser l'accès à des locaux sensibles, pas pour le pointage des salariés, et le gabarit doit en principe être stocké sur une carte détenue par la personne.
Mise à jour du 5 octobre 2026 : cette version corrige des erreurs de la première publication, signalées par un DPO. La biométrie relève toujours d'une autorisation de la CNDP, jamais d'une simple déclaration, et elle n'est pas admise pour le pointage des horaires. Merci pour ce retour.
Une entreprise marocaine qui envisage un contrôle d'accès biométrique (empreinte digitale, reconnaissance faciale, réseau veineux) doit d'abord se poser une question : la biométrie est-elle justifiée pour ce site ? La loi 09-08 et la délibération de la CNDP n° 478-2013 encadrent strictement ces dispositifs. Ce guide résume les règles publiées par la CNDP, le choix entre badge et biométrie, et une architecture multi-sites conforme, avec des fourchettes de prix en dirhams. Il ne remplace pas l'avis de votre DPO ou de votre conseil juridique.
Ce que disent la loi 09-08 et la CNDP sur la biométrie
Une empreinte digitale ou un gabarit facial identifie une personne de façon unique et quasi permanente. Contrairement à un badge ou à un mot de passe, on ne peut pas la changer en cas de fuite. Certaines données biométriques peuvent aussi révéler des informations non prévues : la CNDP cite l'exemple de l'iris, qui peut renseigner sur l'état de santé. C'est pourquoi la CNDP encadre ces dispositifs par sa délibération n° 478-2013.
Les règles à retenir
- Autorisation préalable obligatoire. Tout dispositif biométrique doit faire l'objet d'une demande d'autorisation auprès de la CNDP avant sa mise en service. Une simple déclaration ne suffit pas.
- Finalité limitée à la sécurité. La biométrie n'est admise que pour contrôler l'accès aux bâtiments, installations et locaux sensibles, soumis à une restriction de circulation et représentant un enjeu majeur de sécurité.
- Justification obligatoire. L'organisme doit démontrer que les méthodes alternatives (badge, code) ne sont pas assez fiables pour sécuriser le site.
- Pas de donnée brute. Seul un gabarit est conservé, c'est-à-dire un nombre limité de points caractéristiques extraits. L'image brute de l'empreinte ou du visage n'est gardée que le temps de l'extraction.
- Gabarit sur un support détenu par la personne. Par principe, le gabarit est enregistré sur une carte à puce que seul le salarié détient. Le lecteur compare l'empreinte à la carte présentée (authentification), sans consulter de base de données. Une base centrale de gabarits n'est autorisée qu'à titre exceptionnel, pour des sites très sensibles, et uniquement pour les personnes qui doivent y accéder.
- Information des personnes. Une note d'information est remise avant la collecte : identité de l'organisme, traitement de données biométriques, finalité (sécurité et contrôle d'accès), contact pour les droits d'accès, de rectification et d'opposition, et numéro de l'autorisation CNDP.
- Suppression au départ. Lorsqu'une base centrale est autorisée, les données d'une personne sont supprimées dès qu'elle n'est plus autorisée à accéder au site.
- Prestataire encadré. Si un prestataire externe accède aux données biométriques (maintenance, par exemple), la relation est encadrée par un contrat qui garantit leur confidentialité et leur sécurité.
Le dossier de demande d'autorisation
La CNDP demande :
- un descriptif du dispositif biométrique ;
- un engagement attestant que le système respecte les conditions de la délibération n° 478-2013 et la loi 09-08 ;
- un modèle de la note d'information des personnes concernées ;
- un justificatif du pouvoir de signature du représentant (registre de commerce ou statuts).
La demande est déposée par l'organisme qui exploite le système, pas par l'installateur. L'installateur peut en revanche fournir le descriptif technique du dispositif.
Point clé : la loi 09-08 prévoit des amendes et, pour certaines infractions, des peines d'emprisonnement. Faites valider votre projet par votre DPO ou votre conseil juridique avant de commander le matériel.
Et le pointage des salariés ?
C'est l'erreur la plus répandue sur le marché : la biométrie ne doit pas servir au pointage des horaires (arrivées, départs, pauses). La CNDP ne l'admet que pour la sécurité des accès aux locaux sensibles, et le contrôle du temps de travail n'en fait pas partie.
Pour le pointage, utilisez des moyens non biométriques :
- badge RFID, de préférence MIFARE DESFire, plus difficile à copier ;
- code PIN ;
- QR code dynamique ou application mobile ;
- terminal de pointage dont la fonction biométrique est désactivée.
Beaucoup de terminaux vendus au Maroc combinent empreinte, visage, badge et code. Ils peuvent servir au pointage si seuls le badge ou le code sont activés. Si un site comporte une zone sensible (salle serveurs, laboratoire, stock de valeur), la biométrie peut y être autorisée pour l'accès à cette zone seulement, avec sa propre autorisation CNDP, et ce lecteur ne doit pas alimenter le pointage.
Il reste recommandé de décrire le dispositif de pointage dans le règlement intérieur et d'en informer les salariés et leurs représentants avant sa mise en service.
Badge ou biométrie : comment choisir
| Critère | Badge RFID (MIFARE DESFire) | Biométrie (empreinte, visage) |
|---|---|---|
| Usages admis | Contrôle d'accès et pointage | Accès aux locaux sensibles uniquement |
| Formalité CNDP | Traitement de données personnelles soumis à la loi 09-08 : formalité à vérifier avec votre DPO | Autorisation préalable obligatoire |
| Coût du lecteur | 150–400 DH | 800–6 000 DH |
| Support | Badge à 15–40 DH | Carte à puce pour stocker le gabarit |
| Principal risque | Badge prêté ou perdu | Donnée impossible à changer en cas de fuite |
| Gestion multi-sites | Excellente (badge unique) | Plus lourde (enrôlement, cartes, dossier CNDP) |
Recommandation pratique : le badge DESFire par défaut, pour l'accès comme pour le pointage. Couplé à un code PIN, il offre une double vérification qui suffit dans la plupart des cas. La biométrie se réserve à une zone sensible où l'on peut démontrer que le badge ne suffit pas.
💡 Vous hésitez entre badge et biométrie ? Demandez une étude technique gratuite : nous vous aidons à choisir la technologie porte par porte, et nous fournissons le descriptif technique nécessaire à votre dossier CNDP.
Gestion multi-sites : architecture recommandée
Les entreprises présentes sur plusieurs sites (Casablanca, Rabat, Tanger, Marrakech, Fès, Agadir, Kénitra…) veulent centraliser les droits d'accès et le pointage sans créer de base centrale de données biométriques.
- Un badge DESFire unique pour tous les sites, avec des droits gérés depuis un logiciel central (ZKBioSecurity, HikCentral Access ou BioStar 2).
- Pour les zones biométriques autorisées, le gabarit reste sur la carte du salarié (fonction « template on card », à vérifier sur la fiche du lecteur). Pas de base centrale de gabarits sans autorisation spécifique de la CNDP.
- Seuls les journaux d'événements (porte, heure, identifiant du badge) sont centralisés, sur un serveur hébergé dans vos locaux ou dans un datacenter au Maroc, avec un accès administrateur restreint et journalisé.
- Les sites sont reliés par VPN IPsec (via OPNsense, par exemple) plutôt qu'en exposant le serveur sur internet.
- Un administrateur local par site gère les droits, et le siège dispose d'un reporting consolidé.
Intégration avec la paie
Les logiciels de pointage exportent les présences en CSV ou via API vers les logiciels de paie courants au Maroc (Sage Paie, par exemple). Le rapprochement automatique des heures supplémentaires et des absences réduit les erreurs de calcul en fin de mois.
Découvrez nos réalisations.
Matériels et fourchettes de prix 2026
- Lecteur badge RFID (MIFARE / DESFire) : 150–400 DH.
- Terminal de pointage badge + code (par exemple ZKTeco K40 Pro, empreinte désactivée) : 900–1 400 DH posé.
- Lecteur biométrique pour zone sensible (empreinte ou visage, par exemple ZKTeco SpeedFace V5L ou Hikvision DS-K1T671MF) : 2 400–3 800 DH posé, hors démarches CNDP.
Forfaits indicatifs
| Configuration | Périmètre | Tarif indicatif |
|---|---|---|
| Site mono-accès | 1 lecteur badge + contrôleur + logiciel | Dès 3 500 DH HT |
| PME 3 accès avec pointage | 3 lecteurs badge + serveur de gestion | 12 000–18 000 DH HT |
| Multi-sites 5 agences | 15 lecteurs + VPN + intégration paie | Sur devis (35 000–60 000 DH HT) |
| Zone sensible biométrique | Lecteur + cartes à gabarit + descriptif technique pour le dossier CNDP | Sur devis |
Tarifs indicatifs hors TVA (20 %), hors câblage si l'infrastructure n'existe pas. Pose sur site sur l'axe Kénitra–Rabat–Salé–Témara–Casablanca ; ailleurs au Maroc, fourniture et configuration à distance.
Pourquoi confier votre projet à FTM ?
FTM (Frères Travaux Multiservices), basée à Salé, installe et paramètre des systèmes de contrôle d'accès et de pointage ZKTeco, Suprema et Hikvision. Pour chaque porte, nous partons de la finalité : pointage, accès courant ou zone sensible. C'est elle qui détermine la technologie, et donc la formalité CNDP. Nous fournissons le descriptif technique du dispositif pour votre dossier ; la demande d'autorisation et le volet juridique restent du ressort de votre organisme et de votre DPO.
Nous prenons en charge la chaîne technique : câblage courant faible, paramétrage, intégration réseau (VPN OPNsense, VLAN dédiés) et prise en main par vos équipes RH.
Un projet de contrôle d'accès ou de pointage ? Contactez-nous : réponse sous 24 h ouvrées.
Checklist avant déploiement
- Finalité définie porte par porte : pointage, accès courant ou zone sensible
- Pointage par badge, code ou QR code, sans biométrie
- Biométrie réservée aux zones sensibles, avec la preuve que le badge ne suffit pas
- Autorisation CNDP obtenue avant la mise en service de tout dispositif biométrique
- Gabarits sur une carte détenue par le salarié (base centrale seulement si la CNDP l'autorise)
- Note d'information remise aux personnes concernées, avec le numéro d'autorisation CNDP
- Données supprimées dès qu'une personne n'a plus accès au site
- Accès administrateur restreint et journalisé
- Contrat de confidentialité avec l'installateur ou le mainteneur qui accède aux données
- Formalité CNDP du système de badge et de pointage vérifiée avec votre DPO
Sources : fiches « Le contrôle d'accès par biométrie » et « Gardez le contrôle sur vos données biométriques » publiées par la CNDP ; délibération CNDP n° 478-2013 ; loi 09-08. Découvrez l'ensemble de nos services en sécurité électronique.
Questions fréquentes
Faut-il une autorisation CNDP pour installer un système biométrique ?+
Oui. Tout dispositif biométrique doit faire l'objet d'une demande d'autorisation auprès de la CNDP avant sa mise en service, jamais d'une simple déclaration. Le dossier comprend un descriptif du dispositif, un engagement de respecter la délibération n° 478-2013 et la loi 09-08, un modèle de note d'information et un justificatif du pouvoir de signature.
Peut-on utiliser la biométrie pour le pointage des salariés au Maroc ?+
Non. La CNDP admet la biométrie uniquement pour sécuriser l'accès à des locaux sensibles, pas pour contrôler les horaires de travail. Pour le pointage, utilisez un badge RFID, un code PIN ou un QR code. Un terminal multi-technologies peut servir au pointage si sa fonction biométrique est désactivée.
Quel est le coût d'un système de contrôle d'accès au Maroc ?+
Un système mono-accès par badge (lecteur, contrôleur, logiciel, installation) démarre autour de 3 500 DH HT. Une PME avec 3 accès et un serveur de gestion représente 12 000 à 18 000 DH HT. Les configurations multi-sites (5 agences et plus, VPN, intégration paie) sont chiffrées sur devis, généralement entre 35 000 et 60 000 DH HT. Un lecteur biométrique pour une zone sensible coûte 2 400 à 3 800 DH posé, hors démarches CNDP.
Badge RFID ou biométrie : que choisir ?+
Pour la plupart des entreprises, le badge MIFARE DESFire, couplé si besoin à un code PIN, offre un bon niveau de sécurité et convient à l'accès comme au pointage. La biométrie se justifie seulement pour une zone sensible où l'on peut démontrer que le badge ne suffit pas ; elle exige alors une autorisation CNDP et, en principe, un gabarit stocké sur la carte du salarié.
Comment gérer le contrôle d'accès sur plusieurs sites au Maroc ?+
Un badge unique pour tous les sites, des droits gérés depuis un logiciel central hébergé dans vos locaux ou au Maroc, et des sites reliés par VPN IPsec. Seuls les journaux d'événements sont centralisés. Pour les zones biométriques autorisées, le gabarit reste sur la carte du salarié, sans base centrale.
Combien de temps conserver les données biométriques ?+
L'image brute (empreinte, visage) n'est conservée que le temps d'en extraire le gabarit. Lorsque la CNDP autorise une base centrale, les données d'une personne sont supprimées dès qu'elle n'est plus autorisée à accéder au site. Quand le gabarit est sur la carte du salarié, il suffit de récupérer ou de détruire la carte à son départ.
Écrit par