[Maroc] Blockchain : appliquer le droit à l’oubli à une technologie qui n’oublie jamais.

1. Introduction.

« Toute personne a droit à la protection de sa vie privée », Article 24 de la Constitution du Maroc.

À l’aube du XXIe siècle, une révolution technologique émerge avec une promesse radicale : la blockchain. Ce registre décentralisé, transparent et immuable, initialement conçu pour soutenir les crypto-monnaies comme le Bitcoin, s’étend désormais bien au-delà des simples transactions financières. Sa capacité à stocker et transmettre des informations de manière sécurisée, sans besoin d’une autorité centrale, suscite à la fois admiration et controverse.

Au cœur de cette technologie se trouvent deux concepts fondamentaux : la décentralisation et l’immuabilité. Chaque utilisateur du réseau blockchain possède une copie de la base de données, garantissant une transparence sans précédent et une sécurité accrue. Cependant, cette architecture décentralisée et immuable entre en collision directe avec le droit à l’oubli, un principe juridique fondamental dans de nombreuses juridictions.

Le droit à l’oubli, ancré dans la protection des données personnelles, permet aux individus de demander la suppression de leurs informations personnelles. Il s’agit d’un droit essentiel dans une époque où nos vies numériques laissent des traces indélébiles. Comment concilier ce droit avec une technologie dont la raison d’être est précisément de garantir que rien ne puisse être effacé ? Cette question est particulièrement cruciale dans des pays comme le Maroc, où la Constitution protège explicitement la vie privée de ses citoyens.

L’émergence de la blockchain pose donc un défi juridique inédit. D’une part, la blockchain offre une solution élégante à de nombreux problèmes de sécurité et de transparence. D’autre part, elle semble incompatible avec les exigences légales de protection des données personnelles. À travers cet article, nous explorerons les tensions entre ces deux domaines, en examinant les implications juridiques de la blockchain face au droit à l’oubli et en proposant des solutions potentielles pour harmoniser ces deux réalités.

2. La protection des données à caractère personnel au niveau international.

Dans le monde interconnecté d’aujourd’hui, la protection des données à caractère personnel est devenue une préoccupation primordiale pour les législateurs et les défenseurs des droits de l’homme. À travers les continents, plusieurs instruments internationaux ont été adoptés pour garantir que la vie privée des individus soit respectée et protégée contre les abus. Parmi ces instruments, la Déclaration Universelle des Droits de l’Homme et la Convention 108 du Conseil de l’Europe se distinguent par leur portée et leur impact.

2.1 La Déclaration universelle des droits de l’homme.

Adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948, la Déclaration Universelle des Droits de l’Homme (DUDH) établit des normes universelles pour la protection des droits fondamentaux. L’article 12 de la DUDH stipule que « nul ne sera l’objet d’immixtions arbitraires dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d’atteintes à son honneur et à sa réputation. Toute personne a droit à la protection de la loi contre de telles immixtions ou de telles atteintes ». Ce principe fondateur sert de base aux législations nationales et internationales sur la protection des données personnelles, soulignant l’importance du respect de la vie privée dans une société de plus en plus numérisée.

2.2 La convention 108 du Conseil de l’Europe.

Signée en 1981, la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, communément appelée Convention 108, est le premier instrument international contraignant en matière de protection des données. Cette convention vise à protéger les individus contre les abus qui peuvent accompagner la collecte et le traitement des données à caractère personnel et à réguler les flux transfrontaliers de données.

La Convention 108 impose plusieurs obligations aux États signataires, notamment :
La licéité et la loyauté du traitement des données : Les données doivent être collectées et traitées de manière légale et équitable.
La finalité spécifique : Les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne doivent pas être traitées ultérieurement de manière incompatible avec ces finalités.
L’exactitude et la mise à jour des données : Les données doivent être exactes et, si nécessaire, mises à jour.
La sécurité des données : Les mesures de sécurité appropriées doivent être prises pour protéger les données contre les risques tels que la perte, l’accès non autorisé, la destruction, l’utilisation, la modification ou la divulgation.

2.3 Le règlement général sur la protection des données (RGPD).

En 2016, l’Union Européenne a adopté le Règlement Général sur la Protection des Données (RGPD), qui est entré en vigueur le 25 mai 2018. Le RGPD renforce et harmonise la protection des données pour les individus au sein de l’UE, introduisant des principes tels que :
Le droit à l’oubli : Les individus peuvent demander la suppression de leurs données personnelles sous certaines conditions.
Le consentement explicite : Le traitement des données personnelles doit être basé sur un consentement clair et éclairé de la part des individus.
La portabilité des données : Les individus ont le droit de recevoir les données personnelles qu’ils ont fournies et de les transmettre à un autre responsable du traitement.

3. La protection des données à caractère personnel au niveau national.

Au Maroc, la protection des données personnelles a pris une importance croissante avec l’évolution rapide des technologies numériques et la globalisation des échanges d’informations. Le pays a mis en place un cadre juridique robuste pour garantir le respect de la vie privée des citoyens, inspiré par les standards internationaux et européens. La Loi 09-08, adoptée en 2009, en est le pilier central.

3.1 La loi 09-08.

À la fin de l’année 2009, le Maroc a lancé un vaste programme visant à développer l’usage de la technologie numérique au sein du royaume. Celui-ci a conduit notamment à une informatisation croissante des PME et de l’administration et à une meilleure accessibilité de la population à Internet. D’après ce développement technologique, le législateur marocain a constaté l’existence de nombreuses violations des données à caractère personnel et des atteintes à la vie privée. Il est donc devenu indispensable, d’une part, d’apporter au citoyen les garanties nécessaires face à une hausse de l’informatisation et aux inquiétudes que cela peut générer (atteintes à la vie privée, spams commerciaux, etc.), et d’autre part, de constituer un terrain favorable à l’afflux de capitaux internationaux.

C’est là tout l’objet de la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, inspirée de la Loi informatique et Libertés française et des conventions internationales telles que la convention 108 du 28 janvier 1981 à Strasbourg, qui ont poussé le Maroc à adopter cette loi. Elle a été publiée au Bulletin Officiel n° 5744 du 18 juin 2009, après avoir été promulguée par le Décret n° 2-09-165, en date du 21 mai 2009. Elle introduit, pour la première fois, dans le paysage juridique marocain, un ensemble de dispositions légales harmonisées avec le droit européen, notamment avec la Directive communautaire n° 95/46. L’esprit du texte se lit dès le premier article qui dispose : « L’informatique est au service du citoyen et évolue dans le cadre de la coopération internationale. Elle ne doit pas porter atteinte à l’identité, aux droits et aux libertés collectives ou individuelles de l’Homme. Elle ne doit pas constituer un moyen de divulguer des secrets de la vie privée des citoyens… » « Données à caractère personnel » : toute information, de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, concernant une personne physique identifiée ou identifiable, dénommée ci-après "personne concernée". Est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d’identification ou à un ou plusieurs éléments spécifiques de son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

3.2 La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

Pour assurer la mise en œuvre et le respect de la Loi 09-08, la Commission Nationale de Contrôle de la Protection des Données à Caractère Personnel (CNDP) a été créée. Cet organisme indépendant a pour missions principales :

Informer et sensibiliser : La CNDP sensibilise le public et les entreprises aux enjeux de la protection des données personnelles.
Contrôler et sanctionner : La CNDP vérifie la conformité des traitements de données avec la législation et peut imposer des sanctions en cas de non-respect.
Recevoir les plaintes : La CNDP traite les plaintes des citoyens concernant la violation de leurs droits en matière de protection des données.
Coopérer au niveau international : La CNDP collabore avec des autorités similaires dans d’autres pays pour harmoniser les pratiques de protection des données.

3.3 Le droit à l’oubli au Maroc.

Selon la CNDP, le droit à l’oubli consiste à demander aux gestionnaires de moteurs de recherche de déréférencer des pages comportant des données personnelles. Cette définition a été donnée par la CNDP suite à l’arrêt dans l’affaire C-131/12 du 13 mai 2014 - Agence Espagnole de la Protection des Données contre Google.

Il est à noter que, même nommé ainsi, ce droit ne réfère pas à l’oubli pur et simple, mais plutôt à un déréférencement. Cela signifie que l’article ou l’information compromettante sera toujours disponible dans la source en question ; seul son référencement sur le moteur de recherche, Google dans ce cas, sera supprimé.

Un oubli intégral s’apparente au droit à l’effacement, un droit qui est prévu par la loi 09-08 dans son 2ème chapitre, plus précisément l’article 8 qui donne le droit à la personne concernée, justifiant de son identité, d’obtenir du responsable du traitement « l’actualisation, la rectification, l’effacement ou le verrouillage des données à caractère personnel dont le traitement n’est pas conforme à la présente loi, notamment en raison du caractère incomplet et inexact de ces données ; le responsable du traitement est tenu de procéder aux rectifications nécessaires sans frais pour le demandeur et ce, dans un délai franc de dix jours ».

4. Le caractère immuable de la Blockchain.

La blockchain, souvent décrite comme une technologie révolutionnaire, repose sur un principe fondamental : l’immuabilité. Ce concept, au cœur de son fonctionnement, assure que les données enregistrées une fois dans la blockchain ne peuvent être ni modifiées ni supprimées. Cette caractéristique confère à la blockchain une sécurité et une transparence inégalées, mais elle présente également des défis uniques.

4.1 Le principe de l’immuabilité.

L’immuabilité de la blockchain découle de sa structure même. Chaque bloc de la chaîne contient un ensemble de transactions vérifiées par le réseau de pairs. Une fois qu’un bloc est ajouté à la chaîne, il est cryptographiquement lié au bloc précédent par un hachage unique, formant ainsi une chaîne continue et inaltérable de blocs.

Le stockage des données se fait sous forme d’une chaîne de blocs (d’où le nom Blockchain). Les informations sont regroupées par paquets qui sont ajoutés à la chaîne ; chaque paquet de données est lié au précédent de sorte qu’une modification d’une donnée altère la totalité de la chaîne de données. Ces chaînes de blocs sont donc immuables.

L’immuabilité d’une donnée ne signifie pas qu’une donnée ne peut pas être changée dans une blockchain, il suffit juste d’ajouter une nouvelle information décrivant le changement opéré, et non pas de remplacer une inscription.

4.2 Les avantages de l’immuabilité.

Sécurité inégalée : L’immuabilité garantit que les données, une fois enregistrées, sont à l’abri de toute altération frauduleuse. Cela est particulièrement important pour les applications nécessitant une sécurité renforcée, comme les transactions financières, les contrats intelligents et les registres de propriété.
Transparence et confiance : La transparence de la blockchain est directement liée à son immuabilité. Chaque participant du réseau peut vérifier les transactions enregistrées, assurant ainsi une confiance totale dans l’intégrité des données. Cette transparence est essentielle pour des secteurs tels que les chaînes d’approvisionnement, où la traçabilité des produits est cruciale.
Traçabilité et auditabilité : L’immuabilité permet une traçabilité complète des transactions, facilitant les audits et la conformité réglementaire. Chaque transaction peut être retracée jusqu’à son origine, garantissant une clarté totale pour les parties prenantes.

4.3 Les défis et limites de l’immuabilité.

Complexité technique : L’immuabilité de la blockchain repose sur des mécanismes cryptographiques complexes et des protocoles de consensus sophistiqués. La gestion et la maintenance de ces systèmes nécessitent des ressources significatives en termes de puissance de calcul et de consommation énergétique, surtout dans le cas des blockchains publiques comme Bitcoin.
Stockage et scalabilité : L’immuabilité implique que toutes les transactions doivent être conservées indéfiniment, ce qui pose des défis en termes de stockage. À mesure que la blockchain grandit, la quantité de données à stocker et à gérer augmente exponentiellement, ce qui peut affecter la scalabilité du réseau.
Résistance aux altérations : Bien que l’immuabilité soit une force, elle peut aussi être une faiblesse en cas d’erreurs ou de données incorrectes enregistrées. Corriger une erreur ou supprimer des informations sensibles devient extrêmement complexe, nécessitant des solutions innovantes comme le cryptage des données ou l’utilisation de blockchains permissionnées.

5. L’application du droit à l’oubli à la Blockchain.

Alors que la blockchain incarne une révolution technologique promettant transparence et sécurité, sa nature immuable soulève des défis inédits pour le droit moderne. L’application du droit à l’oubli, pilier de la protection des données personnelles, semble entrer en collision avec cette technologie qui, par essence, refuse d’effacer.

5.1 La Blockchain face au droit à l’oubli.

De ce qui précède, le droit à l’oubli ne s’applique qu’aux moteurs de recherche. Il y a quelques années, cette question pouvait être considérée comme hors sujet, mais si cette technologie n’a vu le jour qu’en 2009, son champ d’application ne cesse de s’élargir. En effet, en 2018, plusieurs moteurs de recherche ont vu le jour, comme Presearch et BitClave, utilisant comme base de données la Blockchain.

Ainsi, l’immuabilité de cette technologie ne pose aucun problème dans ce cas, puisqu’immuable n’implique pas l’inchangeabilité. Une donnée, comme expliqué ci-dessus, peut facilement être changée par une autre ; un référencement peut alors être remplacé par un autre, ou tout simplement par un lien corrompu.

5.2 La Blockchain face au droit à l’effacement.

L’immuabilité de cette technologie ne s’oppose pas au droit au déréférencement. Cependant, elle complique l’application du droit à l’effacement. En effet, une fois inscrite sur la blockchain, une donnée ne peut tout simplement pas être supprimée. Elle peut être modifiée certes, mais les traces de sa modification seront toujours disponibles au sein de la Blockchain.

Ceci étant dit, il existe bien un cas de figure dans lequel une donnée peut être supprimée : celui de recalculer la chaîne dans son intégralité jusqu’au bloc dans lequel l’information indésirable est inscrite et de dupliquer la chaîne tout en modifiant ou supprimant l’événement. Mais agir ainsi reviendrait à renier les fondements mêmes de la chaîne de blocs. Selon un rapport de l’Open Data Institute publié en 2016, l’effacement d’une donnée ou l’intervention sur un bloc risque d’endommager l’ensemble de la chaîne.

5.3 La Blockchain et son opposition aux obligations du responsable de traitement de données.

L’obligation primaire des responsables de traitement est de ne collecter des données à caractère personnel que pour des finalités déterminées, dont la personne concernée est explicitement informée. Ce dernier s’oblige à ne pas les traiter par la suite de manière incompatible avec ces finalités. En plus de cela, la loi 09-08 impose une autorisation préalable (le consentement préalable) de la personne concernée dans certains cas, et une déclaration préalable dans d’autres cas, selon la nature des informations collectées.

Parmi les obligations du responsable du traitement de données à caractère personnel, l’article 3 du premier chapitre de la loi 09-08 stipule que « Les données à caractère personnel doivent être :
Traitées loyalement et licitement ;
Collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités ;
Adéquates, pertinentes et non excessives, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement ;
Exactes et, si nécessaire, mises à jour. Toutes les mesures raisonnables doivent être prises pour que les données inexactes ou incomplètes, au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement, soient effacées ou rectifiées ;
Conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement.

6. La solution du cryptage et du hachage.

La CNIL encourage les responsables de traitement à supprimer leurs données via la clé de chiffrement. Cette clé est la méthode de cryptage utilisée pour stocker les données sur la Blockchain. Sans cette clé, personne, à l’exception du propriétaire des données, ne peut comprendre les données. Cela rend les données presque indéchiffrables, ce qui est le but d’une suppression. Par conséquent, l’utilisateur garde le contrôle de ses données grâce au cryptage lors de l’utilisation de la Blockchain.

Autre recommandation de la CNIL : supprimer les données via sa clé de chiffrement. En détruisant cette clé, aucun acteur - y compris le propriétaire des données - ne peut comprendre les données. Pour cette raison, les données sont presque indéchiffrables et ne peuvent être considérées que comme supprimées.

De ce fait, les utilisateurs conservent le contrôle de leurs données grâce au cryptage inhérent au système Blockchain. L’anonymisation des données est un moyen de supprimer les données concernant une personne spécifique de son fichier. En conséquence, il n’est plus possible d’exploiter des données concernant cette personne. Cette solution est envisageable seulement si l’on considère une donnée indéchiffrable comme supprimée, puisque la donnée reste toujours inscrite dans la Blockchain sans aucun moyen pour la déchiffrer.

7. Conclusion.

La Blockchain soulève effectivement de nombreux défis juridiques, et le droit à l’oubli n’en est qu’un parmi d’autres. Cette technologie décentralisée et immuable pose des problèmes complexes en termes de protection des données personnelles et de respect de la vie privée. Il est vrai qu’il reste difficile d’évaluer pleinement l’impact de la Blockchain sur la mise en œuvre du droit à l’oubli. Ce n’est pas tant la résistance de cette technologie à la censure qui pose problème, mais plutôt sa nature même qui rend complexe l’effacement effectif des données.

En effet, dans sa forme actuelle, le droit à l’oubli ne permet pas la suppression définitive des informations, mais seulement leur déréférencement. Cela signifie que les données restent présentes sur le réseau Blockchain, même si elles ne sont plus accessibles directement. Dans ce contexte, la solution proposée par la CNIL (Commission Nationale de l’Informatique et des Libertés) pour le droit à l’effacement semble être la plus envisageable. Cette autorité de régulation française a en effet recommandé des mécanismes techniques permettant de rendre les données "oubliables" sur la Blockchain, tout en préservant les avantages de cette technologie.

Bien que complexe, la conciliation entre les principes de la Blockchain et les exigences du droit à l’oubli et à l’effacement reste un enjeu majeur à relever pour permettre un déploiement de cette technologie dans le respect des droits fondamentaux.