![[Maroc] La protection des données personnelles : grand défi de la société de l'information. Par Ahmed Benattou.](local/cache-gd2/fe/2a152ebaefe4eb5bed29f4ebadbbb3.jpg?1708010739)
Un internaute naviguant sur internet signifie qu’il laisse des traces de son passage sur différentes plateformes numériques. Ces traces consistent en des données qu’il fournit quotidiennement pour devenir adhérent d’un forum, acheter un article en ligne, ou bien accepte le stockage des cookies sur son ordinateur. La protection de ces données n’étant pas toujours de mise, les internautes se trouvent exposés à des pratiques malhonnêtes ou ciblées qui peuvent ruiner leur expérience sur internet, voire même leur poser des problèmes au quotidien.
Ces derniers peuvent voir leurs données confisquées pour qu’elles soient exploitées à des fin criminelles, commerciales ou publicitaires. Cette mauvaise exploitation des données personnelles consiste en l’envoi de mails et de publicités non sollicités par l’internaute, et parfois sans même que le propriétaire du site n’en soit au courant. Quelle est la solution juridique trouvée par le législateur marocain dans ce cadre ? Quel est le modus operandi du tiers dans la collecte des données personnelles ? Et de quelle manière l’internaute pourrait-il récupérer ces données ?
I- Protection des données personnelles.
« En raison de la circulation sur les réseaux Internet de données relatives à la vie privée des personnes physiques et de renseignements confidentiels relatifs aux personnes morales, cette protection revêt un intérêt particulier pour éviter les abus éventuels ».
L’avènement d’une société d’information a imposé au droit marocain de suivre l’évolution des nouvelles technologies d’information. Dans ce contexte, le législateur marocain a adopté la loi 09-08 relative à la protection des personnes physiques à l’égard des traitements des données à caractère personnel. L’élaboration de cette loi était devenue une nécessité pour protéger la vie privée des internautes.
A-Le champ d’application de la loi 09-08 au Maroc.
Une donnée personnelle peut être définie comme toute donnée permettant l’identification d’une personne physique, directement ou indirectement (nom, prénom, numéro de téléphone, etc.….). Mis en place en France par la loi du 6 Janvier 1978 modifiée à maintes reprises pour se conformer aux grandes orientations de la directive européenne en la matière, ce régime reste quand même récent au Maroc.
En s’inspirant du modèle français, la loi marocaine a défini un champ d’application couvrant le traitement automatisé et non automatisé des données propres à une personne physique, identifiée ou identifiable. Par personne identifiable on entend celle dont le fichier comporte des informations permettant son identification telles que l’adresse IP, le numéro d’immatriculation, le numéro de téléphone, l’empreinte digitale, etc.…
En plus, le responsable du traitement doit être établi sur le territoire marocain ou être en mesure de faire appel à des moyens situés sur le territoire marocain. Au Maroc, il s’agit de la Commission Nationale de contrôle de la Protection des données à caractère personnel (CNDP). Celle-ci a la possibilité de sous-traiter le traitement, mais elle reste quand même responsable et a une obligation de confidentialité.
Lors de la collecte des données, comme pour la vente en ligne, la personne concernée bénéficie d’un droit à l’information, d’un droit d’accès, de rectification des données le concernant et d’opposition au traitement des données sans motif légitime . Autrement dit, les personnes concernées ont un droit de regard sur l’utilisation de leurs données.
Par contre, une autorisation préalable auprès de la commission nationale est nécessaire pour que le responsable du traitement puisse accomplir les opérations de traitement. Selon les dispositions des articles 12 à 26 de la loi 09-08, les obligations de confidentialité et de sécurité sont explicitement mises à la disposition du responsable du traitement et des personnes agissant sous son autorité.
Dans un souci de transparence, tout fichier contenant des informations relatives à des personnes doit aussi être respectivement déclaré à l’autorité de contrôle ou autorisé par elle (selon le type de données ou de traitement) avant de pouvoir être exploité. Au Maroc, c’est la commission nationale de contrôle et de la protection des données à caractère personnel qui s’en charge.
Cette dernière a été institutionnellement créée auprès du premier ministre. La commission veille au respect de la loi, donne son avis aux autorités publiques en matière de protection des données personnelles, reçoit les notifications et les déclarations des personnes concernées et délivre des autorisations. En outre, elle est dotée des pouvoirs d’investigation et d’enquête, d’injonction et de sanction . Pourtant, le pouvoir de sanctionner n’est pas directement exercé par la CNDP, mais il est transféré au juge qui est, bien évidemment, habilité à prononcer des sanction.
En effet, c’est ce qui a été convenu au terme d’une convention qui a été signée à Strasbourg le 8 Novembre 2001. Ceci a amené le conseil du gouvernement marocain à adopter en date du 14 Janvier 2014, le projet de loi n°132-13 portant approbation du protocole additionnel à la convention européenne pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel.
B-Les principes directeurs orientant la politique de protection des données à caractère personnel.
La loi 09-08 définit les données à caractère personnel comme étant « Toute information, de quelque nature qu’elle soit et indépendamment de son support, y compris le son et l’image, concernant une personne physique identifiée ou identifiable, dénommée ci‐après personne concernée ».
Le but de cette loi est de permettre au Maroc de protéger juridiquement tout particulier pouvant être victime d’une violation de sa vie privée. Cependant, la dégradation de la notion de « données à caractère personnel » a nécessité la mise en place d’un régime de protection ayant pour finalité la garantie de l’équilibre entre les droits et libertés des personnes concernées et les intérêts publics ou privés légitimes, poursuivies par le responsable du traitement. Il existe trois principes directeurs pour garantir cet équilibre et pour rendre sa valeur réelle à cette notion ainsi galvaudée. Il s’agit des principes de loyauté, de compatibilité et de proportionnalité.
Le principe de loyauté suppose que la collecte et le traitement des données à caractère personnel doivent être effectués de manière licite et loyale , pour une finalité bien déterminée, explicite et légitime. Ceci dit, le responsable du traitement doit s’abstenir de collecter déloyalement des données et respecter la durée du traitement, sous peine de sanctions pénales. Le principe de loyauté est également prévu dans le code international de pratiques loyales en matière de publicité de la CCI.
Par ailleurs, les données doivent être traitées de manière compatible avec les finalités initiales de collecte. Autrement dit, le responsable du traitement doit éviter de détourner ledit traitement de sa finalité originelle. Il s’agit du principe de compatibilité.
Enfin, le principe de proportionnalité signifie qu’un traitement ne peut être licite que si les données sont adéquates, pertinentes et non-excessives par rapport aux finalités pour lesquelles elles ont été enregistrées.
II- Technique de collecte des données à caractère personnel.
Recenser une clientèle nécessite parfois une diffusion et une élaboration minutieuse d’une publicité qui lui est destinée. Toutefois, Internet permet d’aller plus loin en offrant la possibilité de procéder à une collecte d’informations « agressive » à l’aide d’outils dénommés « Cookies ».
Dans cette partie, il sera question de montrer comment ces « Cookies » (A) servent d’outils de collecte d’informations à partir des données personnelles des clients et dont le but est l’élaboration de publicités (B), et comment celles-ci peuvent-elles être conçues à partir de leurs goûts et préférences personnels.
A-Cookies, collecte invisible des données.
Certains sites commerciaux comme ceux qui sont spécialisés dans l’e-commerce poussent l’internaute à remplir un questionnaire pour pouvoir accéder à d’autres parties du site. C’est ainsi qu’il se trouve dans l’obligation de fournir certaines informations personnelles comme le nom, le prénom, l’adresse, l’adresse mail, etc. C’est à ce stade du processus qu’interviennent les Cookies.
Ces fichiers s’installent sur le disque dur de l’utilisateur et commencent à enregistrer des informations en rapport avec les sites qu’il a visités. En d’autres termes, les Cookies permettent d’enregistrer les traces de passages de l’utilisateur sur un forum ou un site web. Ensuite, ces traces sont stockées via l’ordinateur de l’internaute pour constituer ainsi des informations sur ses habitudes de navigation. Enfin, le serveur ayant mis en place la récolte de ces informations, procède à la récupération des données pour les réutiliser lors de la prochaine visite du site par l’internaute.
Ainsi, celui-ci n’aura pas à refaire tout le processus en remplissant le même questionnaire à chaque fois qu’il visite ledit site. Ces données peuvent également être exploitées pour constituer le profil de navigation de l’internaute à partir de ses préférences. Cependant une fois celles-ci modifiées, l’empreinte stockée au moyen des Cookies permettra de modeler le nouveau profil commercial, politique, économique, social et culturel de l’internaute en fonction de ses nouvelles préférences. Il convient toutefois de poser la question suivante : Est-ce que cette collecte de données est complétement innocente, n’ayant aucune finalité précise ?
Tout d’abord, il est important de signaler que cette collecte de données est un dispositif mis en œuvre à l’insu de l’internaute. Certains sites vont plus loin en utilisant les Cookies pour stocker automatiquement des adresses électroniques à l’insu de leurs propriétaires n’en soient au courant, ce qui a donné lieu à plusieurs débats judiciaires. Une collecte d’informations à l’insu de leurs propriétaires est une « collecte déloyale ».
La Cour de Cassation française s’est basée sur le fondement de l’article 226 du code pénal pour définir la collecte déloyale dans un arrêt du 3 Novembre 1987 qui dispose ce qui suit : « caractérise des moyens frauduleux, déloyaux et illicites la collecte auprès de tiers à l’insu des intéressés et sans déclaration de traitement ». En France, toute collecte déloyale est sanctionnée pénalement (5 ans d’emprisonnement et 300 000 euros d’amende ). Des précisions ont été également apportées par la Haute juridiction qui a apporté plus de clarté concernant cette notion, en attestant que le fait de recueillir des adresses électroniques personnelles de personnes physiques sur un espace public d’Internet est déloyal, empêchant ainsi les titulaires desdites adresses de faire opposition.
Dans le but de protéger les données à caractère personnel et ainsi la vie privée des internautes, la commission nationale de l’informatique et des libertés a recommandé aux sites émetteurs d’informer les internautes sur la finalité des Cookies, de leur durée de validité s’ils ne sont pas supprimés par l’internaute ainsi que des conséquences de la désactivation de ces procédés. Selon cette commission, une information préalable et claire serait la solution efficace pouvant mettre fin aux problèmes liés aux cookies.
Au Maroc en revanche, le législateur n’a mentionné le terme cookies dans aucun texte législatif, y compris la loi 09-08, et pourtant ces petits fichiers de taille dérisoire existent sur l’ordinateur de tout internaute. Ceci dit, on peut constater que cette loi englobe implicitement l’ensemble des moyens pouvant porter préjudice à la personne concernée notamment les cookies, et œuvre à la protéger à travers les dispositions des articles 7, 8, 9 et 10.
De ce fait, le législateur a donné à cette loi un aspect général de manière à y prévoir n’importe quelle forme de menace au traitement légal des données à caractère personnel, que ce soit les cookies ou autres moyens pouvant voir le jour dans un avenir proche ou lointain. En outre, l’aspect général de la loi ouvre un champ d’interprétation large conférant au législateur la possibilité de lutter contre toute menace électronique susceptible de violer l’intégrité des données à caractère personnel des personnes concernées.
Cependant, ces données intéressent en premier lieu « les personnes concernées » qui sont encore en vie. Qu’en est-il alors d’une personne décédée ? Est-ce que les ayants droit peuvent être considérés comme des personnes concernées ?
« Dans un arrêt du 8 Juin 2016, le Conseil d’État français a confirmé la décision de la CNIL qui a elle-même approuvé la décision d’un employeur qui a refusé de communiquer le relevé des appels aux ayants-droit de son employé décédé. Le motif légal du Conseil a été que la loi informatique et libertés ne prévoit la communication des données à caractère personnel qu’à la personne concernée par ces données” et que les ayants droit ne pouvaient être regardés comme des “personnes concernées”. Il a également considéré que la communication de ces données à des ayants-droit est contraire aux dispositions de « l’article 2 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, relatif au droit à la vie ».
Il s’agit d’un cas nouveau qui n’est pas encore prévu par la loi informatique, mais qui ferait l’objet de codification, vu que la jurisprudence fait partie des sources d’inspiration du législateur.
B-Publicité.
Dans la lutte que se livrent aujourd’hui les e-commerçants dans un marché de plus en plus concurrentiel, l’innovation de la publicité est devenue indispensable pour améliorer les résultats de vente. Le développement d’Internet a amené les professionnels du secteur publicitaire à proposer une mesure de l’audience et des comportements des consommateurs sur le réseau en ligne.
La publicité est une annonce destinée à promouvoir la vente de biens ou de services. Son but est de faire connaitre un produit au public, mais aussi d’inciter ce dernier à l’acquérir. Elle se distingue d’autres méthodes de persuasion, telles que la propagande, les relations publiques ou la communication. La publicité est présente sous plusieurs supports notamment la télévision, la radio ou encore Internet. Avec l’avènement de ce dernier, il est devenu possible pour l’internaute de se retrouver directement sur le site du cybercommerçant, se renseigner et commander des produits.
Au Maroc, celle-ci est réglementée et fait l’objet d’un premier chapitre de la loi 31-08 destinée à protéger les consommateurs. D’après cette loi, le fournisseur est tenu, lors de toute publicité par courrier électronique :
• de donner une information claire et compréhensible concernant le droit de s’opposer, pour l’avenir, à recevoir les publicités ;
• d’indiquer et de mettre à la disposition du consommateur un moyen approprié pour exercer efficacement ce droit par voie électronique.
Il est cependant interdit, lors de l’envoi de toute publicité par courrier électronique :
• d’utiliser l’adresse électronique ou l’identité d’un tiers ;
• de falsifier ou de masquer toute information permettant d’identifier l’origine du message de courrier électronique ou son chemin de transmission.
Il est également stipulé que les dispositions énoncées dans cet article s’appliquent quelle que soit la technique de communication utilisée, et donc l’on peut considérer que même une publicité en ligne y est incluse.
Il faut rappeler, comme mentionné ci-dessus, que la collecte des données personnelles d’un internaute peut servir à créer un profil qui lui est propre notamment commercial, qui se forge en fonction de ses préférences. Ces données donnent une idée sur les goûts de l’internaute et donc, constituent une source d’inspiration pour l’annonceur qui commence à envoyer des publicités coïncidant avec ses préférences. L’annonceur choisit alors son site ou les sites d’autrui comme support électronique pour diffuser sa publicité et ce, sans qu’il prenne l’autorisation des propriétaires des sites, ni celle de l’internaute qui est son principal objectif.
D’un point de vue légal, ceci est une violation du principe de loyauté de la publicité, prévu dans un arrêté du 4 Mai 2007 du ministre délégué auprès du Premier Ministre, chargé des affaires économiques et générales . Ce principe suppose la mise à la disposition du client de ne pas recevoir de messages publicitaires par voie électronique.
Cet arrêté semble présenter le mérite d’englober toute forme de publicité quel qu’en soit le support, ce qui veut dire qu’il prend également en charge les nouvelles technologies, notamment la publicité par voie électronique .
Bibliographie
Textes de loi
Loi 31-08 sur la protection du consommateur ;
Livres
Conférences
Webographie
Logiciel
