Badr LOULIDI
Université Hassan II
4ème année de licence en droit
RAPPORT DE LICENCE
La protection des données à caractère personnel au
Maroc
Avril 2023
1
Remerciements
Je tiens tout d’abord à remercier le Professeur xxx pour avoir suivi et permis
la réalisation de ce rapport notamment par ses conseils méthodologiques.
Je remercie également la Professeur xxxx pour ses cours dans le domaine
du numérique qui m’ont incité à choisir ce thème comme sujet de rapport et
ce tant par son intérêt que par son actualité.
Je remercie enfin ma tante Souad Loulidi qui a bien voulu me relire pour
rendre mon français plus correct et plus fluide.
2
SOMMAIRE
Introduction
Plan
I- Les règles régissant la protection des données à caractère personnel
I-1- Les notions juridiques de base dans la protection des données
I-2- Le dispositif juridique en vigueur au Maroc
II- La portée de la législation marocaine et les outils à mettre en œuvre
II-1- L’insuffisance des règles en place
II-2- La nécessaire coopération pour une protection optimale
III- La protection des données face à de nouvelles menaces liées au numérique
III-1- Les cyberattaques comme principale menace
III-2- La sensibilisation à la protection des données
Conclusion
3
INTRODUCTION
Dans un monde où l'utilisation des technologies de l'information et de la communication
est devenue omniprésente, la protection des données à caractère personnel qui circulent
de ce fait sur Internet est une priorité incontournable.
Elle concerne pour les individus la confidentialité, l'intégrité et la disponibilité des
informations relatives à la vie privée.
Elle concerne pour les entreprises des données qui peuvent toucher au secret des affaires
ou qui peuvent influer leurs stratégies e développement ce qui constitue pour elles un
enjeu central.
Constituant une mine d’informations pour des entreprises, des sociétés internationales et
différentes organisations voire des Etats, les données personnelles valent de l’or et
donnent des informations précieuses sur les modes de vie des citoyens de par le monde
et sur leurs profils de consommateurs.
Les données personnelles incluent des informations telles que les noms, les adresses, les
numéros de téléphone, les adresses e-mail, les numéros de carte de crédit, les données
biométriques et les données de localisation. Elles peuvent être utilisées pour identifier les
individus, établir leur profil, suivre leurs activités, identifier leurs besoins, leurs modes de
consommation soit pour les infléchir, les déterminer ou pour les influencer et prendre des
décisions stratégiques les concernant.
En conséquence, protéger ces données personnelles est devenu pour les Etats un enjeu
crucial pour la préservation de la vie privée et des droits individuels de leurs citoyens.
Le Maroc, comme le reste du monde, est confronté à la même réalité, aux mêmes enjeux,
aux mêmes risques et à la même exigence de se protéger et de protéger ses citoyens.
En effet, s’inscrivant dans un contexte économique mondial et confronté à l’usage
croissant du numérique, il a veillé depuis 2009 à élaborer une législation visant à la
protection des données à caractère personnel de ses citoyens.
Pour autant, plusieurs questions se posent : le contexte marocain présente-t-il une
particularité ? La législation existante permet-elle d’assurer avec efficacité la protection en
question ? Est-elle suffisante face aux nouveaux défis liés au numérique telles les
cyberattaques ?
Dans ce rapport de synthèse, nous examinerons dans un premier temps les règles qui
régissent de manière générale la protection des données à caractère personnel. Nous
examinerons dans un deuxième temps la portée du dispositif en vigueur au Maroc et les
exigences qui s’imposent à lui pour une réelle protection des données à caractère
personnel. La troisième partie vise à mettre la lumière sur de nouveaux défis liés au
numérique et les moyens qu’ils requièrent pour les surmonter.
4
I- Les règles qui régissent la protection des données personnelles
I-1- Les notions juridiques de base dans la protection des données personnelles
Différentes notions sont à définir et à distinguer pour la compréhension des dispositifs mis
en œuvre dans différentes législations e matière de protection des données.
I-1-1- Sur les données et les personnes concernées
Ces données personnelles recouvrent les informations de quelque nature qu’elle soit et
indépendamment de son support, y compris le son et l’image. Elles concernent les
personnes physiques qui se trouvent à être identifiées ou identifiables par référence à un
élément les concernant comme un numéro d’identification, une caractéristique physique,
psychologique, économique, culturelle etc.
I-1-2- Sur le traitement et le responsable du traitement
Le traitement est toute opération effectuée et appliquée aux données personnelles. Il s’agit
de leur collecte, enregistrement, organisation, modification, extraction, consultation,
utilisation, communication par transmission, diffusion ou mise à disposition,
rapprochement ou interconnexion, effacement ou destruction,
Ainsi les opérations sont nombreuses et touchent à la collecte, la gestion, la
transformation, l’utilisation jusqu’à la destruction des données personnelles.
Le responsable du traitement est la personne physique ou morale, privée ou publique
qui seule ou conjointement avec d’autres détermine les finalités et les moyens du
traitement de données personnelles.
I-1-3- Sur la finalité et la durée du traitement
Le traitement des données personnelles doit avoir une finalité définie. Ces données
ne peuvent être collectées que pour une finalité déterminée et doivent être traitées
de manière compatible avec cette finalité.
De même, les données doivent être conservées pour une durée n’excédant pas celle de la
réalisation de la finalité du traitement et la raison de leur collecte.
I-1-4- Sur la loyauté dans la collecte des données
Les données personnelles doivent être collectées loyalement. En d‘autres termes,
les personnes concernées doivent être informées de la collecte de leurs données.
5
Leurs droits doivent être respectés et leurs données protégées contre toute atteinte
extérieure en mettant en place les moyens humains et techniques de protection.
Ceci signifie que lorsqu’une administration sollicite des informations et collecte des
données auprès des usagers de ses services publics ou ses administrés, elle doit
les traiter loyalement et licitement, de manière compatible avec les finalités de leur
collecte. Elle doit également veiller à ce qu’elles soient protégées et qu’elles ne se
retrouvent pas par exemple sur la place publique.
I-2- Le dispositif juridique au Maroc en matière des données personnelles
La protection des données personnelles au Maroc est assurée par la loi n° 09-08 relative à
la protection des personnes physiques à l’égard des traitements des données à caractère
personnel, promulguée par le Décret n° 2-09-165, en date du 21 mai 2009 (Bulletin Officiel
n°5744 du 18 juin 2009).
L’article 1er de cette loi définit les données en question et leur traitement. Le reste de la loi
pose les conditions, modalités et sanctions en matière de collecte, de traitement et de
protection des données.
I-2-1- Sur les conditions et modalités de collecte des données personnelles
Selon l’article 4 de la Loi, le traitement des données à caractère personnel requiert
le consentement et l’acceptation de la personne concernée.
A titre d’exemple, si une personne achète un produit sur internet, elle doit accepter
expressément que ses données personnelles soient traitées par le vendeur pour les
besoins de la transaction.
Mais, si ce dernier veut utiliser ces données collectées pour une autre opération ou
finalité, il doit solliciter au préalable l’accord de l’acheteur. Souvent cet accord est
matérialisé par une case à cocher. A défaut, l’utilisation serait illicite.
I-2-2- Sur les droits des personnes dont les données sont collectées
Les personnes dont on collecte les données personnelles doivent être informées no-
tamment de l’identité du responsable du traitement, des finalités du traitement, des
destinataires des données, de l’existence d’un droit d’accès, de rectification et de
suppression. Elles ont également le droit de s’opposer au traitement de leur don -
nées personnelles. C’est là un moyen permettant aux individus de garder le contrôle
de leur vie privée et des données qui leur sont personnelles.
L’article 7 de la loi reconnaît également aux personnes concernées le droit d’ac -
cès aux informations sur leur vie privée pour s’assurer de leur exactitude mais aussi
le droit de les rectifier si nécessaire.
Enfin, ces personnes ont le droit de voir supprimer les informations les concernant
comme elles ont le droit de s’opposer à la base à la collecte et au traitement de
leurs données.
6
I-2-3- Sur les obligations du responsable du traitement
Le responsable du traitement doit respecter les obligations prévues par la Loi et
mettre en œuvre les mesures techniques et organisationnelles que nécessite la pro -
tection des données personnelles.
Le responsable du traitement doit donc mettre en place un système d’information et
de sécurité performants pour une protection efficace.
I-2-4- Sur les sanctions
En cas d’infraction à la loi et non-respect des obligations qu’elle prévoit, les sanc -
tions sont sévères et peuvent aller, en cas de récidive jusqu’à quatre (4) années
d’emprisonnement et une amende de 300.000 Dirhams.
Lorsque l’auteur de l’infraction est une personne morale, outre les peines qui
peuvent être appliquées à ses dirigeants, les peines d’amende peuvent être dou -
blées (article 64).
L'article 10 de la loi interdit aussi la prospection directe, sauf dans certaines conditions
spécifiques, et toute entreprise doit déclarer tout traitement de données à caractère
personnel à la Commission Nationale de contrôle de la protection des données à
caractère personnel.
II- La portée de la réglementation marocaine et les outils à mettre
en œuvre
Malgré le dispositif législatif exposé, il parait quelque peu dépassé et mérite d’être à la fois
rafraîchi mais aussi complété par d’autres outils.
II-1- L’insuffisance des règles en place et leur nécessaire actualisation
Malgré les avancées législatives que comporte la loi de 2009, les risques pour la vie
privée des citoyens restent élevés, en particulier avec l'essor de nouvelles technologies
telles que l'intelligence artificielle, l'Internet des objets et la blockchain.
En effet, le droit des données apparaît davantage comme une préoccupation de riches, eu
égard au taux de couverture des ménages d’ordinateurs. Mais cela ne doit pas retarder
l’actualisation du dispositif national. Des dispositions doivent être prévues et ajoutées
comme la question des mineurs et leur protection, le droit à l’oubli, les dispositions suite à
la mort de l’internaute, etc..
Une coopération internationale en la matière ne peut qu’accélérer le processus.
7
II-2- La nécessaire coopération internationale pour une protection optimale des
données
Le Maroc s’est engagé dès 2015 à travers sa Commission Nationale de Contrôle de la
Protection des Données à caractère personnel (CNDP) dans une coopération avec
l’Europe pour une protection efficace des données personnelles.
Il a également adhéré depuis 2019 à la Convention pour la protection des personnes à
l’égard du traitement automatisé des données à caractère personnel (Convention 108) du
Conseil de l’Europe.
Un programme de coopération a ainsi été mis en œuvre en vue de favoriser la ratification
du Protocole modernisant la Convention 108 et soutenir les efforts de la CNDP pour une
meilleure protection des données personnelles au Maroc.
Le premier axe de ce programme, soutenu par le Liechtenstein, la Norvège et l’Espagne,
est un soutien à la révision législative de la loi de 2009.
En 2021, des séminaires de formation sur l’analyse d’impact relative aux données
personnelles et sur les opérations de contrôle de l’environnement numérique ont été
organisés par la CNDP, soutenue par le Conseil de l’Europe.
Ainsi, cette coopération internationale apparaît nécessaire pour assurer une plus
grande protection des données personnelles au Maroc surtout face à des défis
toujours nouveaux. Cette coopération contribue à sécuriser les relations
économiques du Maroc avec ses partenaires européens et à rassurer ces derniers.
III- La protection des données face aux nouveaux défis du
numérique
Le numérique et les technologies du numériques sont de plus en plus présents dans
le fonctionnement des entreprises au Maroc mais aussi des administrations et des
services publics. Ils constituent une évolution et une modernisation qui facilitent la
vie des entreprises mais aussi des citoyens. Toutefois, cette évolution technologique
n’est pas sans conséquences et sans comporter des risques. Le premier risque est
la cybercriminalité ou les cyberattaques qui menacent directement les données
personnelles.
III-1- Les cyberattaques comme principale menace pour les données
personnelles
Les principales menaces sont les suivantes :
8
III-1-1- Le rançongiciel
Il consiste pour les pirates de prendre le contrôle des données de quelqu'un et exigent une
rançon pour restaurer l'accès. Certains hôpitaux en France ont été victimes de cette
menace.
III-1-2- Le malware
Il s’agit d’un logiciel qui comprend un virus informatique qui peut nuire à
un système. Ces logiciels malveillants ciblent les appareils connectés à
l’internet.
III-1-3-. Les menaces d'ingénierie sociale
Ces menaces consistent à exploiter l’imprudence ou l’ignorance des
citoyens en les incitant à ouvrir des documents, des fichiers ou des e-
mails malveillants ou à visiter des sites Web. Les pirates s’introduisent
ainsi dans l’ordinateur de la victime et aspirent ses données
personnelles et celles de ses contacts.
Bien entendu, la principale motivation des pirates est l’argent ce qui
signifie que les données personnelles constituent une mine précieuse
qu’il convient de protéger.
III-2- La sensibilisation à la protection des données
la protection des données personnelles nécessite de prendre des mesures
techniques et organisationnelles qui s’imposent aux responsables des traitements de
données personnelles et aux collecteurs de ces données dans les entreprises et les
administrations.
Elle nécessite également de faire prendre conscience aux citoyens et utilisateurs des
enjeux en matière de sécurité et de vie privée.
Cette prise de conscience passe par des sensibilisations aux risques liés aux libertés et à
la vie privée des personnes. Ces sensibilisations peuvent être faites au moyen de
messages d’information et d’alerte sur internet et par messagerie électronique.
Elles peuvent également être faites à l’occasion de la collecte, par les entreprises ou les
administrations, de données personnelles au moyen de messages d’explication et d’alerte
dans un langage clair et adapté à chaque catégorie d’utilisateurs.
Conclusion
9
Références
1- Brahim OUHDI (avocat) et Noriane OUTAAMI (juriste), « Le cadre
juridique de la protection des données personnelles au Maroc »,
[Link] 30 août 2022
2- Ghizlane LOUKILI (doctorante), « La loi sur la protection des données
au Maroc », [Link] 26 avril 2021
3- « Soutien à la protection des données personnelles au Maroc » (Il
faudra trouver l’auteur et la référence de l’article
4- Actualité Parlement européen, « Cybersécurité : les menaces
principales et émergentes », mis à jour le 21-03-2023 et créé le 27-01-2022
10