Médias24: Vous venez de livrer votre avis autorisant l’appli de notification des contaminations Wyqaytna. Est-ce que la CNDP n’a pas tardé dans l’instruction de ce dossier alors qu’il s’agit d’une urgence ?

Omar Seghrouchni: La loi nous donne un délai de deux mois et quand c’est compliqué, deux mois supplémentaires.

Au vu de l’urgence, nous avons travaillé au pas cadencé, nous sommes entrés dans les détails, sachant quelle était l’importance de l’application et connaissant l’intérêt qu’elle suscite au sein de l’opinion.

Nous avons réuni la commission dimanche car le ministère désirait communiquer lundi et il fallait que l’on donne notre avis avant.

- L’on s’attendait à la présence de la CNDP au cours de la téléconférence avec la presse lundi.

- A mon sens, cela ne rimait à rien. Nous n’avons pas développé le système. Et nous sommes indépendants de la communication gouvernementale.

Nous sommes un tiers de confiance et nous entendons jouer notre rôle par la communication que nous allons faire de manière indépendante.

La crise du Covid-19, peut être un acte fondateur

- On a l’impression que cette année va marquer comme un palier dans l’action de la CNDP…

- En fait, il y a deux catégories de pays.

Les pays pour lesquels il y a eu un acte fondateur qui a créé la doctrine de la protection des données à caractère personnel. C’est l’exemple de la France, avec le fichier Safari et le fichage qui avait créé un émoi et abouti à la création de la CNIL en 1978.

La deuxième catégorie, ce sont les pays qui ont adopté des lois pour se conformer aux standards internationaux.

Le Maroc fait partie de cette deuxième catégorie et effectivement, il est possible que l’acte fondateur pour la problématique de la protection des données, dans notre pays, soit cette gestion que nous avons tous ensemble de la crise du Covid-19.

Nous nous sommes mis en ordre de marche pour prouver que l’urgence, quelle qu’elle soit, peut être gérée en respectant le droit.

- Vous avez publié un  avis sur l’application de la DGSN ainsi qu’un communiqué le 16 avril sur le projet Wyqaytna… Est-ce que cette crise que nous vivons vous a donné beaucoup de travail ?

- Il y a eu l’autorisation à la CNSS d’assurer le versement des indemnités forfaitaires. Nous avons travaillé avec l’Association marocaine de la relation client sur un ensemble de problématiques. Nous sommes en train de travailler sur les problématiques de télémédecine, sur les gestions de courrier… Oui, nous avons différents chantiers liés à la crise.

Et nous nous sommes mis en ordre de marche pour prouver que l’urgence, quelle qu’elle soit, peut être gérée en respectant le droit.

- L’Etat doit se dire “heureusement que la CNDP est là“, pour renforcer la confiance numérique…

- J’espère… Mais nous faisons partie de l’Etat. Nous faisons partie des dispositifs que le Maroc a mis en place pour veiller à la protection des données à caractère personnel de ses citoyens. Nous ne sommes pas en antinomie avec l’Etat.

- J’imagine que vous avez beaucoup de tâches à accomplir dans l’urgence…

- Nous nous sommes mobilisés et organisés en télétravail, nous avons des journées qui commencent très tôt et se terminent très tard, on ne s’en plaint pas.

Nous sommes heureux d’avoir la possibilité d’être utiles. Certains de nos collaborateurs travaillent le week-end également. Nous sommes heureux d’assurer notre mission avec passion.

- Vous allez rester en veille pour cette application. C’est une première semble-t-il…

 - C’est une première d’avoir organisé cette veille d’une manière aussi précise, avec la mise en place d’un comité ad hoc composé d’experts reconnus sur la place qui vont pouvoir nous aider à regarder les choses dans le détail ; qui vont nous aider à montrer que la confiance numérique est quelque chose qui a un sens concret, pas que des paroles en l’air ou dans des communiqués.

- Est-ce que le public pourra lancer des alertes au sujet de cette application si l’on constate une dérive ou un bug…

- Nous sommes à l’écoute du public. En temps normal, nous recevons les plaintes que nous instruisons.

Pendant cette période, nous sommes organisés pour recevoir les éventuelles plaintes ou même les simples alertes.

- Est-ce que le code sera publié ? Comment sera-t-il accessible ?

- Je ne connais pas les modalités d’accès au code.

Tout ce que nous savons, c’est que nous pourrons y accéder. Mais je ne sais pas si tout un chacun sera en mesure de le faire. Nous serons un soutien, un tiers de confiance, envers qui le citoyen pourra signaler son inquiétude le cas échéant, et nous pourrons vérifier tel ou tel aspect signalé.

- Qui composera ce comité de veille ?

- Les noms seront rendus publics dans les jours qui viennent.

Nous avons reçu hier soir [ndlr : lundi] les premiers accords de personnes pressenties. Nous pensons être en ordre de marche dans quelques jours.

- Vous l’avez autorisée sur la base d’un certain nombre d’hypothèses qui ont été présentées par l’équipe projet. Vous allez donc devoir vérifier constamment dans cette veille que ces hypothèses sont toujours valables...

- Dans tout dossier, une autorisation est associée aux hypothèses qui ont été présentées au moment de son instruction. S’il y a un changement d’hypothèses, c’est que c’est un nouveau dossier et il faudrait alors renouveler le process d’instruction.

- Vous avez autorisé le traçage, mais pas le tracking…

- Le tracking, c’est lorsqu’on identifie la localisation, par exemple, par GPS d’un téléphone, et le tracing, c’est lorsqu’il y a un échange, on va dire de civilités, entre deux téléphones et on sait alors que les deux personnes portant le téléphone se sont croisées. Mais on ne saura pas forcément à quel endroit.

Les données resteront anonymes. Ce sont les assurances qui nous ont été données.

La seule donnée nécessairement collectée est le numéro de téléphone. Et ce numéro est crypté. Personne n’y accède et il est utilisé seulement au moment où il faut envoyer une alerte de contamination potentielle. Les autres données ne sont pas toutes nécessaires.

- Comment allez-vous procéder si vous découvrez une faille ou une dérive ?

- Nous commencerons alors par alerter les concernés, nous communiquerons dessus. La confiance numérique se base sur une nécessaire transparence, nous devons partager nos erreurs pour mieux les corriger.

- Vous êtes en train de nous dire : allez-y, nous nous portons garants au vu des hypothèses…

- Non, nous sommes en train de vous dire : au vu des hypothèses, nous pensons que c’est bon et qu’en plus de cela, nous resterons en veille. Si jamais il y a un décalage avec les hypothèses, nous le dirons.

- La CNDP a créé deux comités. Y a-t-il un lien avec la crise actuelle ou bien a-t-elle simplement accéléré le processus ?

- Le premier comité, “Stratégie pour une Confiance numérique et une éthique digitale“ a été pensé bien avant la crise. Son objectif est de réfléchir à une stratégie qui assurera que la protection des données ne doit pas ralentir l’émergence d’une économie numérique.

Avec des gens reconnus sur la place, nous allons réfléchir sur cette problématique pour faire en sorte que l’économie digitale ne se transforme pas en far west sans foi ni loi.

L’idée du second comité, “Confiance Numérique Opérationnelle“, a émergé avec la crise et par la volonté de suivre cette application au-delà de nos seules compétences juridiques mais en nous dotant et en renforçant nos compétences techniques par des experts de la place.

- Les deux comités commencent quand leur travail ?

- Le deuxième dans les jours prochains. Le premier dans le mois à venir.

- Au vu de toute cette évolution, il faudra peut-être changer de nom, il ne faudra plus faire seulement référence à la protection des données personnelles. Vous êtes plus largement une instance pour la confiance numérique.

- Pourquoi pas ? Nous pensons que notre rôle, c’est d’aller au-delà de la vision donnée. Cette dernière ne couvre pas tous les dangers que les citoyens peuvent encourir au niveau de l’écosystème numérique.