La responsabilité des prestataires de services cloud face aux incidents de cybersécurité : les insuffisances du droit marocain à la lumière du droit comparé

Abstract

Résumé

Cet article analyse la responsabilité juridique des prestataires de services cloud face aux incidents de cybersécurité en droit marocain. À partir d’une étude doctrinale, normative et comparative, il confronte le Dahir des Obligations et des Contrats, les lois n° 53-05, 09-08 et 05-20, ainsi que le dispositif de qualification issu du décret n° 2-24-921 et de l’arrêté n° 3-17-25, aux standards européens et techniques pertinents. L’étude soutient que les obligations de cybersécurité relèvent principalement d’une obligation de moyens renforcée et montre que le modèle de responsabilité partagée demeure juridiquement incertain. Les principales limites identifiées concernent l’accès à la preuve numérique, l’établissement du lien de causalité, l’extraterritorialité, la portée des clauses limitatives et l’insuffisante articulation entre conformité, sanction et réparation. L’article conclut que le droit marocain offre des fondements mobilisables, mais reste fragmenté et partiellement inadapté aux spécificités du cloud. Il propose de clarifier les obligations des prestataires, d’aménager le régime probatoire, d’encadrer les clauses limitatives et d’articuler plus étroitement qualification, responsabilité et sanctions.

Mots-clés : Cloud computing - Cybersécurité - Responsabilité civile - Obligation de moyens renforcée - Responsabilité partagée - Preuve numérique - Droit marocain.

Abstract

This article examines the legal liability of cloud service providers for cybersecurity incidents under Moroccan law. Using a doctrinal, normative and comparative method, it assesses the Moroccan Code of Obligations and Contracts, Laws Nos. 53-05, 09-08 and 05-20, and the qualification framework introduced by Decree No. 2-24-921 and Order No. 3-17-25 against relevant European and technical standards. The study argues that cybersecurity duties are best characterised as enhanced duties of care and shows that the shared-responsibility model remains legally uncertain. The main weaknesses concern access to digital evidence, causation, extraterritoriality, liability limitation clauses, and the incomplete articulation between compliance, sanctions and compensation. It concludes that Moroccan law provides usable legal foundations but remains fragmented and only partially adapted to cloud-specific risks. The article recommends clarifying providers’ duties, adjusting evidentiary rules, tightening control of liability clauses, and linking qualification requirements more directly to liability and enforcement mechanisms.

Keywords: Cloud computing - Cybersecurity - Civil liability - Enhanced duty of care - Shared responsibility - Digital evidence - Moroccan law.