La Marina

Morocco

Cité des arts

Une source d'inspiration

A découvrir en cliquant ici

Rédaction : Véronique Narame

Saïd Irhai, Président de la Commission nationale de contrôle

de la protection des données à caractère personnel (CNDP)

« Création de la CNDP,  une grande avancée dans la protection de la vie privée au Maroc »

Paru dans CIO Mag N° 35 – Février/Mars 2015

La Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) est une autorité indépendante chargée de la protection des données personnelles au Maroc. Saïd Irhai, Président de la CNDP, expose les avancées en la matière.

La CNDP a pour ambition de rendre effective la protection des données personnelles au Maroc. Son objectif vise à concilier le droit à la vie privée et le développement de l’économie numérique, des exigences découlant d’une norme constitutionnelle et d’un engagement international. Elles sont encadrées par l’article 24 de la constitution du Royaume, par l’adhésion du pays à la convention 108 du Conseil de l’Europe et au Protocole additionnel y afférant. « Les principales priorités de la CNDP consistent à renforcer son volet  institutionnel et à consolider ses capacités opérationnelles, ainsi que celles de l’institution en tant qu’autorité de contrôle au service de la protection des données personnelles », explique Saïd Ihrai, Président de la CNDP. La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel a doté la Commission d’attributions et de pouvoirs qui l’habilite à faire respecter le droit des personnes et à protéger leurs données personnelles et leur vie privée. L’instance possède également un pouvoir de contrôle et d’investigation, lequel lui permet de vérifier la conformité à la loi des traitements mis en place par les organismes publics ou privés.

Lutte contre la criminalité et la fraude transfrontalière

Le Maroc, qui a été le premier pays africain à délivrer un passeport biométrique, après avoir introduit les cartes d’identité, les permis de conduire et les cartes grises électroniques, a chargé la CNDP de définir des règles en matière de protection de la vie privée, conformément aux standards internationaux. Le commerce électronique, qui a connu un développement sans précédent ces dernières années, est également encadré. « La loi 09-08 permet d’assurer une protection contre l’usage abusif des données à caractère personnel », précise Saïd Irhai. L’Etat marocain a par ailleurs entrepris d’adapter sa législation en fonction des risques que peut générer la cybercriminalité. Le code pénal présente désormais plusieurs dispositions visant à la réprimer. La monarchie chérifienne a également ratifié la Convention de Budapest sur la cybercriminalité. L’objectif est de mettre en conformité les instruments juridiques nationaux et de faciliter la coopération internationale.

Concernant le secteur bancaire, une commission mixte a été mise en place en 2012. Elle regroupe Bank Al Maghrib, le Groupement professionnel des banques du Maroc et l’Association professionnelle du secteur financier. « Le partenariat institué entre la CNDP et le secteur bancaire vise l’accompagnement des établissements de crédit dans la mise en œuvre de la loi n° 09-08. Il consiste également à solutionner les problèmes découlant de l’uniformisation des pratiques et à renforcer le dispositif de protection des données personnelles, ainsi que son acceptation par la clientèle bancaire. Il s’agit enfin de procéder à l’examen des interactions de ce dispositif avec les exigences de la lutte contre la criminalité et la fraude transfrontalière ». Des mécanismes de concertation ont également été mis en place avec les opérateurs téléphoniques. Leur but ? Accompagner la mise en conformité du secteur des télécommunications. « Cette coopération s’est avérée fructueuse et les trois opérateurs sont en train d’achever le processus de mise en conformité », explique le Président de la CNDP. S’agissant des données traitées dans le Cloud informatique, elles font l’objet d’une délibération spécifique en voie d’adoption par la CNDP. Elle permettra d’encadrer cette nouvelle forme de sous-traitance de sorte à préserver la sécurité et la confidentialité.

Elévation du niveau de protection des données

Depuis son installation, il y a quatre ans, la CNDP a amélioré ses prestations au plan interne et a renforcé sa visibilité à l’international. Au  plan  national, un  des principaux acquis de la Commission a  été  la constitutionnalisation de la protection de la vie privée. Elle a par ailleurs été accréditée, en 2011, par la 33ème Conférence internationale des autorités de contrôle à Mexico. Et a co-présidé le groupe de travail relatif à l’élaboration d’un référentiel commun aux Autorités francophones de contrôle des données personnelles, lequel a été adopté par la 7^ème  conférence de l’AFAPDP réunie à Marrakech en novembre 2013. Le Maroc a également adhéré, en 2014, à la Convention 108 du Conseil de l’Europe et à son protocole additionnel sur la protection des données personnelles. La CNDP espère être prochainement reconnue par l’Union européenne comme une autorité assurant « une protection suffisante et adéquate des données personnelles ». « Cette élévation du niveau de protection des données personnelles découle du préambule de la constitution de 2011, laquelle institue de façon claire la primauté du droit international sur le droit interne au Maroc », souligne le Président de la CNDP.  

Pionnier en matière de protection des données personnelles dans le Monde arabe et africain, le Maroc, via la CNDP, est membre accrédité de la Conférence internationale des Autorités de protection des données personnelles. Il l’est également de l’Association francophone des Autorités de protection des données personnelles. Son adhésion au Global Privacy Enforcement de l’OCDE vient d’être confirmée. Sa participation au sein de l’organisme de l’UE Improving pratical and helpful cooperation beetween data protection autorities (PHEDRA) renforce sa présence internationale et consolide sa visibilité au niveau mondial.  

Said Ihrai : « La CNDP, une instance pionnière dans

la région MENA et au-delà »

CIO MAG - Octobre/Novembre 2013

Propos recueillis par Véronique Narame

Said Ihrai est juriste, expert en droit international. Il a été Président d’université, Président de session du Conseil de la jeunesse et de l’Avenir (CNJA), membre de la Commission consultative pour la régionalisation et du Comité d’Orientation de l’Institut Royal des Etudes Stratégiques. Il fait partie du Conseil scientifique de l’Institut du droit économique de la mer de la Principauté de Monaco (INDEMER). Depuis 2010, il préside la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

CIO Mag : Monsieur Said Ihrai, en votre qualité de Président de la Commission marocaine chargé du contrôle de la protection des données personnelles, pourriez-vous nous présenter la situation en matière de contrôle et de sécurité informatique au Maroc.

Said Ihrai : Depuis l’installation de la CNDP, il y a 3 ans, tout a changé. Au plan interne d’abord, la CNDP, créée par la loi 09-08, était une institution qui venait de démarrer. Actuellement c’est un organisme qui compte dans la protection de la vie privée et des droits et libertés des citoyens et des résidents au Maroc. La nouvelle constitution de 2011 a d’ailleurs élevé la protection de la vie privée au rang de norme constitutionnelle (art.24).

Une concertation permanente est instituée entre la Commission et les organismes professionnels représentant les responsables de traitement de données personnelles du secteur public et privé, à savoir les opérateurs téléphoniques, Bank al-Maghrib, le Groupement professionnel des banques, la Fédération marocaine des assureurs, la Confédération générale des entreprises du Maroc, l’Association des utilisateurs des systèmes d’information(AUSIM), l’Association des entreprises informatiques au Maroc (APEBI), etc. La CNDP a dernièrement réuni tous ces représentants pour une journée de réflexion et d’accompagnement, et plus d’une centaine de personnes y ont assisté. En ce qui concerne le secteur public, la CNDP a obtenu que chaque administration désigne en son sein un responsable de la protection des données personnelles. La protection des données personnelles est bien en marche au Maroc.

CM : Et au plan international, qu’est-ce qui a changé ?

S.I. : Une cellule de veille technologique existe au sein de la CNDP. Notre insertion dans le système international de la protection des données nous permet de suivre cette évolution et d’organiser notre coopération en conséquence. La CNDP est en effet membre accrédité de la Conférence internationale des Autorités de protection des données personnelles. Elle est aussi membre de l’Association francophone des Autorités de protection des données personnelles, dont la 7ème conférence se tiendra à Marrakech le 22 et 23 novembre prochain.

Le Maroc a, par ailleurs, adhéré depuis cette année, et à l’instigation de la CNDP, à la convention 108 sur la protection des données du Conseil de l’Europe, et l’on nous a assuré que l’adhésion au protocole de 2001 est en bonne voie. De nombreux challenges ont été relevés et la CNDP s’est attaché, depuis sa création, à en relever un autre, celui de l’ « adéquation ». Nous espérons en effet, que la CNDP sera reconnue par l’Union européenne comme une Autorité de protection assurant « une protection suffisante et adéquate des données personnelles ». C’est ce défi que la CNDP se propose de relever, nous l’espérons dans un avenir proche et la Commission s’y prépare activement.

CM : Est-ce que ce dispositif accroît le développement d’activités d’Offshoring au Maroc, en facilitant notamment la circulation des données avec les partenaires européens ?

S.I. : La CNDP est consciente de l’importance que revêt l’ « adéquation » pour le secteur de l’offshoring. Je voudrais rappeler que c’est l’une des raisons qui ont poussé le Maroc a adopté en 2009, la loi 08-09. Nous avons reçu, à plusieurs reprises, des représentants d’entreprises agissant dans le cadre des trois segments de l’offshoring, le BPO, l’IT et l’AMRC. Nous leur avons rappelé que le retard qu’a pris l’« adéquation » est principalement dû au fait que les Européens sont en train de réviser leurs instruments de protection des données personnelles. En effet, l’UE est sur le point d’adopter le règlement qui viendra se substituer à la Directive 95/46 de 1995. Les travaux relatifs à la révision de la convention 108 et de son protocole de 2001 sont aussi en cours. La CNDP suit tous ces travaux avec une attention particulière. D’ailleurs, les amendements à la loi 09-08 que la CNDP a soumis au gouvernement en vue de leur adoption par le parlement tiennent compte des amendements introduits dans les nouveaux textes européens en préparation. Le secteur de l’offshoring, avec lequel nous sommes en contact permanent, peut être rassuré. La CNDP ne ménage aucun effort pour accéder au rang des pays assurant une protection adéquate des données personnelles, ce qui, il faut le signaler, facilitera énormément la libre circulation des informations et des transferts de données personnelles entre le Maroc et les pays de l’UE. Et permettra ainsi de mettre en place avec nos partenaires européens les bases de la « co-localisation » de beaucoup d’activités au Maroc. C’est dans ce cadre que la CNDP a organisé, en collaboration avec la Chambre française du commerce et de l’industrie, deux rencontres avec les hommes d’affaires à Marrakech et à Tanger. Trois autres opérations de sensibilisation sont programmées au mois d’octobre à Casablanca, Rabat et Fès. Une campagne similaire est en préparation avec les milieux d’affaires espagnols et Européens.

CM : Quels sont les moyens technologiques mis en œuvre pour sécuriser les échanges de données sur Internet ?

S.I. : Nous sommes actuellement en train de mettre en place, avec d’autres services publics, les technologies les plus sophistiquées pour contrôler la sécurité des transferts des données personnelles en dehors du territoire national.

CM : Comment fonctionne la CNDP ?

S.I. : La CNDP fonctionne comme toutes les autres Autorités de contrôle avec, néanmoins, des spécificités. Pour son organisation, je vous renvoie à l’organigramme et au règlement intérieur affichés sur son site. Pour ce qui est de ses prérogatives, elles sont celles d’une véritable Autorité de contrôle habilitée par la loi 09-08 à mener des enquêtes et des investigations, à prononcer des sanctions administratives et, le cas échéant, concernant les sanctions pénales, à transmettre le dossier relatif aux infractions graves à la loi au Procureur du Roi. A cet égard je voudrais rappeler que les sanctions prévues par la loi sont dissuasives, elles peuvent aller jusqu’à 300 000dh d’amende (27 000 euros) et à 4 ans d’emprisonnement. La CNDP est aussi une instance de consultation pour le gouvernement et le parlement. Toute question ayant un rapport direct ou indirect avec les données personnelles doit, conformément à la loi, lui être soumise.

CM : S’agissant des requêtes traitées par la CNDP, qui concernent-elles ?

S.I. : La CNDP reçoit et instruit quotidiennement des plaintes, par écrit ou par Internet, de citoyens relatives aux sollicitations téléphoniques non désirées ou à l’utilisation abusive de leurs données personnelles, ou encore au refus d’exercer leurs droits d’accès, d’opposition ou de rectification de leurs données. Elle reçoit aussi les déclarations ou demandes d’autorisation de la part de personnes ou d’entreprises souhaitant procéder au traitement de données personnelles, par exemple demande d’autorisation pour recourir aux données biométriques pour l’accès au lieu de travail, pour traiter des informations relatives à la santé, pour effectuer des sondages d’opinion, etc. La CNDP procède aussi à des investigations quand elle le juge nécessaire.

CM : Quelle est la nature des relation entre la CNDP et l'ANRT ?

S.I. : Le Royaume du Maroc, conscient des enjeux liés aux Technologies de l’Information et de la Communication, a engagé, dès la fin des années 1990, une politique ambitieuse de développement et de modernisation du secteur des télécommunications. C’est dans cette optique que l'Agence nationale de réglementation des télécommunications (ANRT) a été créée en 1998. S’agissant des relations de la CNDP avec l’ANRT, il est à rappeler que cette agence a été parmi les premiers organismes, avec Bank al-Maghrib, à veiller à la mise en conformité de leurs traitements de données personnelles avec la loi 09-08.

CM : Récemment, vous avez-reçu le représentant de Google. Quels ont été les débats ?

S.I. : Le Représentant de Google, Head of Enterprise Emerging Markets à Dubaï, a été reçu, à sa demande, au siège de la CNDP à Rabat, en août. Notre interlocuteur souhaitait obtenir une réponse sur les conditions que doit respecter Google pour que ses traitements soient conformes à la loi 09-08. Il voulait également connaître notre position sur l’hébergement des données personnelles dans des serveurs Cloud situés à l’étranger. De notre côté, nous avons voulu savoir comment développer et sécuriser les systèmes d’information du Maroc, dans le cadre du Cloud computing, quand les serveurs sont établis hors du territoire marocain. La partie marocaine a également abordé la question de la protection des données générées par le moteur de recherche et stockées par ce dernier. A savoir, la durée de la protection des droits des personnes concernées dans ce domaine, ainsi que le genre de protection qu’assure Google. La CNDP a aussi souhaité savoir comment la protection des internautes mineurs était assurée, et en particulier pour ceux qui utilisent les moteurs de recherche de Google.

CM : Envisagez-vous d’autres échanges les fournisseurs de moteurs de recherche et les réseaux sociaux ?

S.I. : Absolument. La CNDP espère sérieusement étendre ses contacts aux autres fournisseurs de moteurs de recherche (Yahoo, Altavista, Bing, etc.), ainsi qu’aux réseaux sociaux sur le Web (Facebook, Twitter…), ceci dans le but d’assurer une meilleure protection des données personnelles au Maroc. N’oublions pas que 6 millions de Marocains, sur 16 millions d’internautes, sont inscrits sur Facebook ! La Commission est résolue à relever ce nouveau défi. Une rencontre entre les Autorités de protection et le représentant de Facebook a été prévue, au mois de septembre, en marge de la 35th Conférence internationale des autorités de contrôle, à Varsovie.

CM : Monsieur le Président, le Maroc, avec la CNDP, est l’un des tous premiers pays africains à souscrire à « l’international informatique » en matière de traitement des données. Qu’est ce qui a déterminé cela ?

S.I. : La CNDP est consciente qu’elle constitue une instance pionnière dans la région MENA et dans le Monde musulman. Vous parliez de défi tout à l’heure, c’est en effet un autre défi que se lance la CNDP, défi visant à réussir la construction au sein de ces ensembles régionaux d’une Autorité de contrôle de la protection des données personnelles crédible au plan international et efficace au plan interne.

Touhami Rabii, PDG de Gemadec : une référence

internationale dans l’expertise documentaire

Paru dans CIOmag – Février/Mars 2012

Le PDG de Gemadec est un homme de challenge. A 44 ans, ce mathématicien dans l’âme, diplômé en informatique et génie logiciel, a réussi le tour de force d’imposer son entreprise dans le secteur de l’expertise documentaire, non seulement au Maroc, mais plus largement à l’international. Il fournit ses solutions informatiques en Afrique et au Moyen-Orient, dans des domaines aussi variés que le recensement des populations, la sécurisation des frontières ou encore l’automatisation des processus bancaires et postaux. « Gemadec s’est organisée autour de trois métiers stratégiques : le courrier hybride et l’éditique ; la dématérialisation documentaire ; l’identification et la biométrie. Le développement de ces activités d’ingénierie a permis une croissance importante et une présence aujourd’hui dans plus de 20 pays dans le monde », confirme Touhami Rabii, dirigeant de Gemadec.

Ce qui fait la valeur et la différence de son entreprise, c’est sa souplesse d’intervention, sa rapidité d’exécution et sa capacité d’innovation. Il a ainsi acquis la confiance des gouvernements et des organisations postales qui lui confient le développement et la gestion du courrier hybride. Il a aussi accompagné le processus de dématérialisation de la compensation bancaire piloté par Bank Al-Maghrib, et gère l’ensemble des flux de chèques et des effets de commerce de plus de la moitié des banques marocaines.

Les clés de son succès, l’audace

Pour ses opérations sur le continent, Touhami Rabii construit des partenariats sud/sud en s’entourant des compétences locales. « Dans tous les pays où nous opérons, nous commençons d’abord par la formation et la certification d’un partenaire avec lequel s’établit un relais de proximité auprès de nos clients. Les techniciens et ingénieurs sont ensuite régulièrement informés et formés sur les évolutions technologiques de nos produits. Ceci leur permet de faire du support local. Quant à nos consultants, ils interviennent à un second, voire à un troisième niveau », explique le manager.

Sur ce principe, il va concevoir, avec un opérateur local au Sénégal, le premier guichet automatique bancaire (GAB) doué de parole, pour faciliter les transactions de la clientèle analphabète. « Les premiers GABs que nous avons déployés, à l’époque, parlaient wolof », ajoute-t-il, précisant que cette application s’est réalisée durant l’époque où il travaillait pour le groupe Wincor Nixdorf.

Son expertise lui vaut de nombreuses distinctions parmi lesquelles la certification Capability Maturity Model Integration (CMMI), l’admission au sein du Consortium international AFPC et l’intégration du Forum de Publipostage de l’Union postale universelle. Ce succès, Touhami Rabii le doit à ses décisions opportunes ainsi qu’à un bon business plan.

Success story

En 2005, il quitte l’opérateur allemand où il officiait comme directeur commercial chargé de l’Afrique francophone, et reprend, contre toute attente, une petite entreprise marocaine en difficulté. Il la restructure, en changeant totalement de stratégie, et s’entoure d’une équipe de choc. Sept ans plus tard, Gemadec est reconnue à l’international. Il prouve ainsi que les potentialités existent - au Maroc et en Afrique - et qu’il suffit, en somme, de créer les bonnes synergies pour optimiser les capacités d’action des experts ès TIC du continent.