La CNDP émet des “réserves fortes” sur le projet de loi sur les registres nationaux

Dans un avis daté du 8 juillet et rendu public le vendredi 10 juillet, la CNDP :

-“émet des réserves fortes sur le fait que chaque fournisseur de services constitue sa «propre» base biométrique, celle de ses clients et/ou prospects, parfois hébergée en dehors du territoire national“ ;

-et “réitère sa disposition, à donner son avis au gouvernement et au parlement, tel que prévu à l’article 27 de la loi 09-08“.

La CNDP avait déjà eu “plusieurs séances de travail avec le ministère de l’intérieur, des échanges fructueux, passionnés et passionnants“. Comme nous l’avait rapporté son président Omar Seghrouchni, la CNDP a été ensuite surprise de voir le projet de loi transmis à la Chambre des conseillers le 17 février dernier, “sans que nous ayons eu l’occasion de conclure“.

Après avoir adopté à la chambre des conseillers, le projet de loi pourrait être adopté à la Chambre des représentants sans débat de fond sur la question de l’identifiant unique.

La pression des délais a installé le raccourci suivant dans les esprits : “l’Agence nationale des registres qui sera créée est une urgence et une priorité. L’identifiant unique est une conséquence technique de ces registres. Donc, l’identifiant unique est une priorité et une urgence“. Bien sûr, c’est faux. “Il ne faut pas confonde digitalisation et identifiant unique“, explique Omar Seghrouchni joint par Médias24. Il rappelle sa maxime préférée : “Pour vivre digital, il faut respirer protection des données“.

Un identifiant unique associé au RSU, registre social unifié, n’est pas indispensable, rappelle et insiste la CNDP. La Commission recommande des identifiants sectoriels : “Lorsque je vais chez le médecin, je n’ai pas forcément envie qu’il accède à mes données fiscales ou mas revenus“ : ceci est l’exemple qui revient pour expliquer l’intérêt des identifiants sectoriels.

 Selon la CNDP, l'architecture des identifiants permet "d'apporter les garanties nécessaires, prévues par l’article 24 de la Constitution du Royaume, pour le respect de la vie privée de toute personne. Elle pourra doter le gouvernement des moyens adéquats pour la planification de ses politiques publiques inclusives. Et permettra de renforcer, du point de vue de la protection des données à caractère personnel, les synergies entre les différents secteurs économiques“.

La CNDP rappelle, à travers son communiqué, sa disposition à "donner des avis au gouvernement et au parlement, conformément à l'article 27 de la loi 09-08", dans le cadre de l'architecture des identifiants. 

Dans sa délibération, la commission précise que l'architecture des identifiants "permettra de consolider la confiance numérique nécessaire pour une digitalisation respectueuse des droits humains et des libertés fondamentales, mais aussi d'adosser la protection des données à caractère personnel au service de l’épanouissement du citoyen, de l’innovation et de l’investissement". 

C'est en prenant en compte des projets de lois récemment adoptés ou en cours d'examen, directement ou indirectement liés à l'architecture des identifiants, que la CNDP a émis quelques recommandations. 

Il s'agit notamment des données d’usage et des données d’authentification, à ne pas stocker au sein de la même architecture et sous la responsabilité de la même entité. 

Selon la commission présidée par Omar Seghrouchni, l'architecture des identifiants doit prendre en compte "les exigences constitutionnelles, économiques, sociétales et techniques".

La CNDP préconise également "l’utilisation d’identifiants sectoriels, à une granularité à définir selon les exigences de chaque secteur d’activité. Cette disposition ne s’oppose en aucun cas aux politiques de ciblage, encadrées par des lois spécifiques (pour les secteurs du social, de la finance, du fisc, de la santé, etc.) ou par des actes ayant trait à la sécurité intérieure ou extérieure de l’Etat.

Le recours à un identifiant unique est alors un mécanisme technique sécurisé par des politiques de "tokenisation". Il s'agit d'une "technique permettant d’éviter les risques sur la vie privée suite à l’usage de l’identifiant unique tout en offrant toutes les possibilités de ciblage nécessaires à la planification des politiques publiques inclusives".

Cette technique sécurisée assure que "l'identifiant unique, et technique, ne soit pas public mais sous la protection impérative des autorités régaliennes".

Par ailleurs, la CNDP déclare poursuivre son "travail d’élaboration des éléments constitutifs d’un cadre juridique adéquat qui clarifie et homogénéise la mise en place d’une architecture des identifiants, en conformité avec les dispositions constitutionnelles, et conciliant le déploiement de politiques inclusives et le respect de la vie privée des citoyens".