En cours, d'importants dossiers (ex. : TLS Contact) viennent appuyer le constat de ce virage de la CNDP, qui constituera désormais une constante. Voire la règle selon Omar Seghrouchni, président de l'instance.

Les risques sont majeurs. Ils impliquent aussi bien les opérateurs privés que publics. Inutile de dérouler l'arsenal coercitif déjà prévu par la loi, avec des peines parfois privatives de liberté (voir tableau en bas de l'article). Sachant qu'avec la refonte attendue de la loi 09-08 et à l'aune des récents engagements internationaux du Maroc, on s'achemine  vers davantage de sévérité, précisément au niveau des sanctions pécuniaires.

Nous avons enclenché les procédures à caractère disciplinaire concernant TLS Contact Maroc, VFS GCC Morocco et BLSMOR Services

Médias24 : Il y a quelques mois, la CNDP faisait une sortie remarquée à propos de TLS contact, soupçonnée de transférer illégalement les données de citoyens au profit d'autorités étrangères. Où en est ce dossier ?

Omar Seghrouchni, président de la CNDP : Nous étudions les conformités des trois sociétés TLS Contact Maroc, VFS GCC Morocco et BLSMOR Services. Les dossiers sont toujours en cours d’instruction. Nous les avons reçus plusieurs fois. Et puis dernièrement, comme le prévoit la loi, nous avons enclenché les procédures à caractère disciplinaire afin que la Commission puisse prononcer, le cas échéant, les sanctions qui s’imposent.

- Jusqu'où pourrait aller ce dossier ? Quels sont les scénarios possibles ?

- La Commission peut décider de l’arrêt des traitements, de la saisie du matériel ou de la transmission du dossier au ministère public qui étudiera la pertinence de la suite à donner. La loi prévoit le non-lieu, l’amende et/ou l’emprisonnement.

L’instruction ira jusqu’aux limites où la loi l’autorise et le lui impose. Opérer un traitement de données à caractère personnel sans le notifier est, d’ores et déjà, selon l’article 52 de la loi 09-08, une infraction.

- Vous avez fait une communication similaire au sujet de la fuite présumée de données d'étudiants sur la plateforme Tawjihi.ma. Vous avez notamment parlé d'infraction à la loi puisque, au-delà de la fuite, le traitement des données par cette plateforme n'avait pas été préalablement notifié à votre institution. Où en est cette affaire ?

- Nous avons plus que communiqué puisque nous avons, pour ce dossier également, reçu les différents acteurs concernés. Plusieurs auditions ont eu lieu. Et là aussi, nous avons engagé les procédures disciplinaires. La Commission ne va pas tarder à annoncer sa décision.

- Avez-vous élucidé les soupçons de fuite ?

- Nous avons pu identifier que, pour la fuite évoquée, l’origine n’est pas le ministère de l’Education nationale, du préscolaire et des sports. Mais souvent, les responsables de traitement pensent que s’ils ne sont pas à l’origine des fuites, ils ne sont pas concernés par la loi et les sanctions. Et pourtant, nous ne cessons de répéter que l’absence de notification est, à elle seule, une infraction.

Il faut que chacun assume ses responsabilités au regard de la loi. La confiance numérique, nécessaire pour le déploiement du digital, est l’affaire de tous.

Différentes instructions sont en cours concernant des institutions privées et des institutions publiques 

- D'autres instructions en cours ?

- Bien sûr, nous en avons plusieurs. Des institutions privées et des institutions publiques sont concernées.

- Un changement de ton était perceptible dans vos communiqués sur TLS et celui de Tawjihi.ma. Un ton plus affirmé, plus ferme. La CNDP lance-t-elle un message ?

- Cela fait plusieurs mois que la CNDP prévient qu’elle va passer de la phase dite pédagogique à une phase d’application stricto sensu de la loi. Nous traiterons en priorité les responsables qui opèrent sans notification, et ceux qui sont sujets à des fuites. C’est comme si notre campagne de contrôle s’adressait, en premier lieu, aux conducteurs sans permis et à ceux qui provoquent des accidents.

- Les attributions de la CNDP vous permettent-elles, en l'état, de réaliser pleinement vos objectifs sur le plan coercitif ? Avez-vous suffisamment de marge de manœuvre ?

- Oui, bien sûr. Il suffit de lire les articles du chapitre VII relatif aux sanctions (voir encadré). Les gens semblent ne pas y croire, mais c’est une méconnaissance de la loi que nul n’est censé ignorer.

- Le secteur public est-il également concerné par le risque de sanctions ?

- Le secteur public est tout aussi responsable devant la loi que le secteur privé. Il doit même être plus regardant.

- La protection des données personnelles implique également l'intervention de la justice. Chaque année, nous avons le bilan des poursuites, mais pas de précisions quant à leur issue...

- C’est un processus que nous sommes en train d’affiner. Pour éviter que les dossiers se noient dans les interprétations, depuis une journée de travail co-organisée le 10 novembre 2022, à l’Institut supérieur de la magistrature, par le Conseil supérieur du pouvoir judiciaire, la présidence du ministère public, l’Institution du Médiateur et la CNDP, nous distinguons entre la notification ou non des traitements et l’appréciation des modalités de traitement.

Cela contribuera à faciliter l’appréciation des situations et à renforcer leur lisibilité.

Les sanctions doivent être dissuasives

- La refonte programmée de la loi sur la protection des données personnelles devait se pencher, entre autres, sur l’aspect dissuasif. Où en est ce projet ? Que prévoit-on sur le volet "sanctions" ?

- Le projet avance. Nous espérons qu’il entrera dans le circuit d’adoption en 2023. Nous y verrons plus clair après l’été.

Nous devons moderniser le dispositif en passant du contrôle a priori au contrôle a posteriori. Pour ce faire, il faut que les sanctions soient dissuasives.

Notre pays a ratifié des conventions internationales. Les sanctions devront être en cohérence avec les dispositions appliquées par nos partenaires économiques et stratégiques.

Sanctions pécuniaires : probablement entre 2% et 4% comme en Europe

- Peut-on s’attendre à un modèle de sanction semblable à celui prévu en droit de la concurrence ? Je pense notamment aux sanctions pécuniaires qui, dans le cas de pratiques anticoncurrentielles, peuvent atteindre jusqu’à 10% du chiffre d’affaires ?

-Non, pas 10%. Probablement comme en Europe, entre 2% et 4%.

- Au-delà de la loi marocaine, il y a aussi le Règlement général sur la protection des données personnelles (RGPD), texte qui s'applique en Europe, mais aussi en dehors lorsque cela concerne des données de citoyens européens. En quoi les entreprises marocaines sont-elles concernées ?

- Nous refusons l’interprétation d’une extraterritorialité du RGPD. Il faut comprendre que les citoyens sont au centre de la protection des données à caractère personnel. Il s’agit de leurs données. La loi ou la règlementation qui s’applique est celle du territoire où sont collectées les données.

Si votre site web cible les données de citoyens hongrois, situés sur le territoire hongrois, vous devez respecter la loi hongroise (en plus de la loi marocaine, puisque vous pourriez collecter des données de citoyens marocains également). Il en est de même quand vous conduisez une voiture en Hongrie. C’est le Code de la route hongrois qu’il faut respecter.

Si vous êtes sous-traitant d’une entreprise espagnole, assujettie au RGPD, vous trouverez dans le contrat commercial qui vous lie ce qu’on appelle des clauses contractuelles types qui vous commanderont de respecter le RGPD. Vous y êtes ainsi assujettis du fait du contrat commercial signé de façon bilatérale, et non parce qu’il y a une quelconque extraterritorialité. Il faut faire très attention à l’interprétation de l’article 3 du RGPD.

- Quels sont les risques juridiques pour les opérateurs marocains ? Une idée sur les actes prohibés et les sanctions encourues en vertu du RGPD...

- Si vous allez collecter les données en Europe, vous encourez les mêmes risques que les entreprises en Europe. C’est comme quand vous ne respectez pas un stop en Hongrie, vous aurez la même infraction qu’un Hongrois.

Si vous êtes sous-traitant d’une entreprise européenne, les pénalités seront définies dans votre contrat commercial de sous-traitance.

- L'offshoring ou les télécoms font partie des secteurs qui viennent directement à l'esprit à l'évocation du RGPD... Quels sont les autres secteurs concernés ?

- Tous les secteurs, dès lors qu’il y a manipulation de données à caractère personnel. Le tourisme, l’enseignement, la santé, la logistique…