caractère personnel : une opportunité pour le · Cadre juridique de la PDP au Maroc 8 Champs d’application de la loi 09-08 Nature du traitement Automatisé. Non automatisé sur

Protection de la vie privée et des données à

caractère personnel : une opportunité pour le

secteur du tourisme

- Mercredi 13 février 2019 -

Amine BYAD

22. Cadre juridique de la protection des données à caractère personnel au Maroc

PLAN

11. Enjeux de la protection de la vie privée et des données personnelles

13. Démarche de mise en conformité

Enjeux de la protection de la vie privée et des données personnelles

pour le Maroc11.

Enjeux de la PDP au Maroc

Protectio

nde

laviepriv

éeet

desd

onné

espersonn

elles

Droitfondamentaldel’Homme- Pilier pour la démocratie- Nécessaire pour garantir d’autres droits fondamentaux (libertéd’expression, droit à la santé…)

Levierpourledéveloppementéconomique

- Confiance Numérique et économie de la donnée- Nouveaux métiers créés

- Flux transfrontalier des données, facilite le commerceinternational et l’investissement étranger.

Actionsociale- UtilisationdesTIC

- Meilleurciblagedesbénéficiairesdesprogrammesd’appuisocial

Sécurité - Impact des écarts entres les législations de la PDP sur l’échangedes données sécuritaires

Souveraineténumérique

Cadre juridique de la protection des données à caractère personnel au

Maroc22.

Article24delaConstitution:«Toutepersonneadroitàlaprotectiondesavieprivée ».

Loin°09-08relativeàlaprotectiondespersonnesphysiquesàl’égarddutraitementdesdonnéesàcaractèrepersonnel

Décretn°2-09-165prispourl’applicationdelaloin°09-08

Décisiondu1er Ministren°3-33-11approuvantlerèglementintérieurdelaCNDP

Textes de base

1

2

4

6

318Février2009(BOn° 5714du05/03/2009)

21Mai2009(BOn° 5744du18/06/2009).

28mars2011(BOn° 5932du07/04/2011)

Cadre juridique de la PDP au Maroc

7

ü Définitiondesnotionsdebases/champsd’application;

ü Principesclésàrespecterdanstouttraitementdedonnéesàcaractèrepersonnel;

ü Lesdroitsdelapersonneconcernée;

ü Lesobligationsduresponsabledutraitement;

ü Lesmodalitésdenotificationdetraitement;

ü Lessanctions;

ü LaCNDP.

Apportsdelaloi09-08


8

Champsd’applicationdelaloi09-08

Naturedutraitement

Automatisé.

Nonautomatisésurdesfichiersmanuels

Territorialitéduresponsabledutraitement

estétablisurleterritoiremarocain.

recourtàdesmoyens automatisésounonsituéssurleterritoiremarocain.


9

Laloines’appliquepas:

ü auxtraitementsdedonnéespersonnelleseffectuésparunepersonnephysiquepourdesbesoinsexclusivementpersonnelsoudomestiques;

ü auxdonnéesrecueilliesettraitéesdansl’intérêtdeladéfensenationaleetdelasécuritéintérieureetextérieuredel’Etat;

Champsd’applicationdelaloi09-08


10

NotionsdebasedelaLoi09-08:

• Donnéesàcaractèrepersonnel

• Traitementdedonnéesàcaractèrepersonnel

• Donnéessensibles

• Responsabledutraitement

• Personneconcernée

• …….


11

Données à caractère personnel• «Toute information, de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image,concernant une personne physique identifiée ou identifiable... » Article premier de la loi 09-08;

• Exemples : Nom, Prénom, Adresse, Numéro de téléphone, Email, Adresse IP, Photo, Vidéo, Données bancaires,Données biométriques, destination de voyage, nombre de nuitées passées dans un hôtel ,…

Données sensibles :• Toute donnée qui révèle l’origine raciale ou ethnique, les opinions politiques; les convictions religieuses ouphilosophiques, l’appartenance syndicale et les données relatives à la santé y compris les données génétiques»;

• Exemples : Empreintes digitales, Certificats médicaux, ...

Notions de base :



12

Traitement de données personnelles• «Touteopérationouensembled’opérations effectuéesounonàl’aidedeprocédésautomatisésetappliquéesàdesdonnéesàcaractèrepersonnel...»;

• Exemples:GRH,Gestiondesclients,vidéosurveillance, gestiondesdossiersmédicaux,laprospectioncommercialedirecte…

Responsable de traitement• «La personne physique ou morale, l’autorité publique, le service ou tout autre organisme, qui seul ouconjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractèrepersonnel...» ;

• Exemples :Ministère, une agence de voyage, un hôtel, une association, université, etc.

Personne concernée• Lapersonnephysiquedontlesdonnéespersonnelles sonttraitées;• Exemples:salarié,client,unprospect,patient,étudiant,fournisseur …

Notions de base :



13

Droits des personnes concernées :


ü Etre informée lors de la collecte de ses données ;

ü Exprimer son consentement ;

ü Exercer ses droits d’accès, de rectification et d’opposition ;

ü Etre protégée contre les messages publicitaires abusifs;

Garder le contrôle sur ses données personnelles


14

Droits des personnes concernées : Instruction des plaintes


Ø La CNDP reçoit les plaintes de toute personne concernée estimant être lésée par untraitement de données personnelles (Article 28 de la loi 09-08);

Ø La plainte peut être adressée à la CNDP par:

Voie Postale

Formulaire en ligne sur le site web de la CNDP (+80% des cas)

Dépôt sur place

Via les Réseaux Sociaux (FB & Twitter)

La CNDP peut également déclencher une procédure par auto-saisine.


15

Droits des personnes concernées : Instruction des plaintes


EvolutiondunombredesplaintesreçuesparlaCNDPentreJanvier2012et2018

1 7

43

162

396

584

508 488

1 743

162

396

584

508

290

2011 2012 2013 2014 2015 2016 2017 2018

Plaintesreçues

Plaintesclôturées

24Délibérations

2189plaintes170notificationsparhuissierdejustice

85Misesendemeure

26castransmisauxtribunaux

4jugementsrendusparlajustice

1saisiedematérieldevidéosurveillance

Canauxdedépôt

Courrier SiteWeb Email Facebook&Twitter

AppMobile


16

Obligations du responsable de traitement :

ü Traiter les données d’une façon loyale, légitime et transparente

ü Respecter les finalités du traitement

ü Respecter la durée de conservation (limitée et selon la finalité)

ü Respecter le principe de proportionnalité

ü Veiller sur la qualité des données (Exactes, fiables, mise à jour)

ü Garantir aux personnes concernées l’exercice de leurs droits

ü Accomplir les formalités de notification auprès de la CNDP

ü Assurer la sécurité et la confidentialité des données (article 23 dela loi 09-08)


Instaurer une relation de confiance et de transparence avec les clients, usagers, collaborateurs ou partenaires


17

Obligations du responsable de traitement : Sécurité des données

ü Infrastructure et organisation appropriées pour protéger les données àcaractère personnel contre la destruction accidentelle, la perte accidentelle,l’altération, la diffusion ou l’accès non autorisé et toute autre forme detraitement illicite ;

ü S’assurer du respect de la loi par les personnes physiques ou morales agissantsur instruction du responsable du traitement (contrat de sous-traitance / travail,secret professionnel, mesures de sécurité, respect des termes de référence,etc.).



18

Notification de traitements à la CNDP


• Traitementdesdonnéessensibles;• Détournementdefinalité;• Donnéesportantsurlesinfractions,condamnationsoumesuresdesûreté;

• CIN;• Interconnexiondefichiersayantdesfinalitésdifférentes.

Demanded’autorisation

Déclaration

Demandedetransfertdesdonnéesàl’étranger


19

Sanctions :


ü lestypesdesanctions:

• Pécuniaires(entre10000DHet300000DH).• Privativesdeliberté(entre3MoisetDeuxans).• Administratives.

ü Lessanctionssontportéesaudouble :

• Sil’auteurdel’infractionestunepersonnemorale(pourlesamendes);• Encasderécidive;


20

Sanctions : Exemples d’infractions


X Traitementoutransfertdedonnéespersonnellessansnotification;

X Nonrespectdesdroitsdespersonnesconcernées;

X Détournementdefinalité;

X Nonrespectdesmesuresdesécurité;

X NonapplicationdesdécisionsdelaCNDP…


21

La CNDP :


è Le31août2010:instaurationdelaCommission

è Composition:§ Leprésidentetsixmembres,nomméparSaMajestéleRoi;§ Secrétariatgénéral:

DépartementjuridiqueDépartementducontrôleetdel’expertiseDépartementadministratifetfinancierDépartementdelacommunicationDépartementdessystèmesd’information

è Février2012:Miseenplacedesstructuresadministratives


22

La CNDP :


• Informer et expliquer;

• Veiller à la cohérence des législations spéciales et desaccords internationaux avec la loi 09-08;

• Accompagner les organismes dans les processus deconformité;

• Protéger et Contrôler;

• Coordonner avec les instances internationales encharge de la PDP;

• Assurer la veille juridique et technologique


23

La CNDP :



24

La CNDP :


ChiffresclésFin2018

Délibérationsdoctrinales

27

Plaintes2189

Déclarations3339

Transferts1140

Autorisations 3237

Contrôles802

33. Démarche de mise en conformité

Démarche de mise en conformité

26

•Avantagen°1:Renforcerlaconfiancedevosclientset

partiesprenantes

•Avantagen°2:Mettreenplace

lesbonnespratiquesdesécurité

•Avantagen°3:Optimiservotrepatrimoine

informationneletvos

processus

•Avantagen°4:Comptersur

desfournisseursetprestataires

responsabilisés

4avantagesmajeurspourlesprofessionnelsdutourisme

Démarche de mise en conformité

27

Sensibilisation pour la mise en

conformité : tous les acteurs sont

concernés

Mise en place d’une organisation de

suivi : chef de file et interlocuteurs dans

chaque service

Mise en place des outils et mesure des écarts : utiliser des

grilles de recensement des

traitements

Réalisation de la mise en conformité

pour combler les éventuels écarts

Pérennisation de l’action : monitoring

et revue

La démarche à adopterPour conclure

28

MERCI !29

29

Imm. Les patios, Bd. Annakhil, 3ème étage, Hay Riyad Rabat, MAROC

+212 5 37 71 70 73+212 5 37 57 11 24

+212 5 37 57 21 41

[email protected]

www.cndp.ma

@CNDP_Maroc

@CNDP.Maroc

Documents

caractère personnel : une opportunité pour le · Cadre juridique de la PDP au Maroc 8 Champs d’application de la loi 09-08 Nature du traitement Automatisé. Non automatisé sur