Comment la CNDP pousse les professions réglementées vers les standards internationaux

Dans un contexte de transformation numérique accélérée, la protection des données personnelles devient, de plus en plus, un enjeu de confiance et de souveraineté. La Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) intensifie son accompagnement auprès des professions réglementées, des métiers de la santé aux notaires, avocats, laboratoires, pharmaciens, adouls, hôtels et agences de voyages. La Commission veut garantir que chaque traitement de données respecte la loi 09-08 et que le citoyen puisse exercer pleinement son droit à la vie privée.

La CNDP le rappelle : la protection des données personnelles ne concerne pas uniquement les professions dites réglementées. Elle s’applique à toute personne ou organisme qui « porte » un traitement de données à caractère personnel. Cela inclut bien sûr les médecins, dentistes, pharmaciens, laboratoires d’analyses médicales, avocats, notaires ou adouls. Mais aussi des secteurs que l’on associe moins spontanément à ces obligations tels que les hôtels, restaurants, agences de voyages, agences de location de voitures…

Autrement dit, dès lors qu’un professionnel manipule des données (papier, digital, image ou son) il est soumis à la loi 09-08.

Dans chacune de ces activités, le même principe s’applique, à savoir collecter, exploiter et conserver les données selon des règles claires, puis les détruire ou les anonymiser une fois la durée de conservation dépassée.

Une obligation commune : respecter la finalité annoncée

La CNDP insiste sur un point fondamental : la légitimité de collecter des données ne donne jamais le droit de les utiliser pour une autre finalité. A titre d’exemple, la Direction générale des impôts collecte des données pour garantir le calcul de l’impôt. Cela ne l’autorise évidemment pas à les communiquer ou les vendre à un livreur de pizzas. Idem pour un médecin qui est légitime pour collecter les données nécessaires au soin de son patient. Mais il ne peut pas les transmettre à un laboratoire pharmaceutique sans un cadre légal ou un consentement clair.

Le même schéma se retrouve dans tous les métiers, une collecte souvent encadrée par une loi sectorielle, mais une exploitation strictement limitée à la finalité annoncée. C’est ce que la CNDP appelle la distinction entre lois verticales (celles qui régissent un métier) et lois transverses (qui s’appliquent à tous, comme la loi 09-08, le droit du travail ou le code des impôts).

L’erreur la plus fréquente, selon la CNDP, est de croire qu’une loi verticale dispense de respecter la loi transversale. « Avec le temps, nous arrivons à homogénéiser les visions et les perceptions. C’est un travail de tous les jours », souligne la Commission.

Lire aussi : La CNDP renforce sa surveillance des données personnelles sur le darkweb

Depuis plusieurs années, la CNDP multiplie les actions auprès des professionnels et des institutions qui les encadrent. Elle ne travaille pas uniquement avec les professionnels eux-mêmes : ordres nationaux, barreaux, associations professionnelles sont au cœur de sa stratégie d’accompagnement.

Cet accompagnement passe par des conventions permettant d’adapter les exigences à chaque métier, des formations ciblées, des guides pratiques, des délibérations spécifiques pour préciser certaines obligations, un travail de conseil pour simplifier les processus, des contrôles, lorsque des cas rigides ou problématiques se présentent.

La CNDP insiste cependant sur une philosophie importante : les contrôles existent, mais l’approche pédagogique reste privilégiée. L’objectif n’est pas de sanctionner, mais de faire progresser la culture de conformité partout où des données sont manipulées.

Les erreurs les plus fréquentes notées par la CNDP

Selon la Commission, la première erreur constatée est simple et répandue, à savoir l’absence de notification des traitements à la CNDP. Or cette notification est indispensable pour que le traitement apparaisse dans le Registre National, un registre public, mis à jour chaque semaine, qui permet à tout citoyen de vérifier si un professionnel a effectué son engagement juridique. Sans cette notification, un citoyen n’a aucune garantie que ses données soient traitées selon la loi.

Le deuxième type d’erreur concerne le non-respect de l’engagement juridique, notamment à travers des solutions techniques inadéquates : logiciels mal sécurisés, stockage non conforme, absence de mesures de confidentialité…

La CNDP rappelle que son objectif est d’atteindre un jour le régime d’accountability, où chaque responsable de traitement est autonome dans sa conformité. L’Europe n’a pu atteindre ce niveau qu’après quarante ans de régime de notification, avant l’arrivée du RGPD. La CNDP espère que le Maroc pourra y parvenir plus rapidement grâce aux efforts d’accompagnement en cours.

Par ailleurs, certaines professions ont pleinement intégré les enjeux de protection des données. C’est notamment le cas des pharmaciens que la CNDP cite comme exemple de forte mobilisation. D’autres avancent également grâce à leur motivation et leur engagement. Mais il existe aussi des situations plus complexes.

Pour les adouls, par exemple, la CNDP indique qu’ils sont « encore aux abonnés absents ». Ils ne répondent pas aux courriers, ce qui freine la mise en œuvre de la conformité dans ce métier. La Commission affirme toutefois qu’elle examinera avec les institutions concernées la meilleure manière d’avancer.

La diversité des comportements montre que le pays est engagé dans un processus progressif, profession par profession, l’objectif est de normaliser le respect de la loi 09-08 et d’en faire un réflexe dans toutes les activités manipulant des données personnelles.

Secret professionnel et données personnelles : deux logiques complémentaires

Loin d’être une simple contrainte réglementaire, la conformité à la loi 09-08 apporte des bénéfices tangibles. Les professionnels qui respectent la loi sont plus protégés. Leurs clients, patients ou partenaires remettront beaucoup plus difficilement en cause la gestion des données qui les concernent. Cela réduit les risques de litiges, de contestations et de tensions autour du respect de la vie privée.

La CNDP souligne également que les professionnels conformes contribuent à placer le Maroc au niveau des standards internationaux. A l’heure où le pays ambitionne d’accélérer sa transformation numérique et de développer une véritable économie de la donnée, ces standards sont essentiels.

Pour être considérés comme conformes, leurs traitements doivent être notifiés et apparaître dans le Registre National, garantissant un engagement juridique vérifiable.

L’un des points sensibles dans plusieurs professions (médecins, avocats, notaires, adouls…) concerne la crainte que la CNDP interfère avec le secret professionnel.

La Commission est catégorique :

-la loi 09-08 ne remet en rien en cause le secret professionnel.

-Elle ne s’intéresse ni au contenu des données, ni à leur volume, ni à leur valeur économique. Elle ne cherche pas à connaître le nombre de patients d’un médecin, ni le chiffre d’affaires d’un cabinet ou d’un établissement.

-Son action se concentre sur les processus de traitement et non sur les données elles-mêmes.

La CNDP veut, à travers cela, renforcer la confiance du citoyen en lui assurant que les informations le concernant sont gérées conformément à la loi et dans le respect de sa vie privée.

Cette confiance est un pilier essentiel pour l’adoption massive des services numériques, pour le développement de l’économie de la donnée et pour la protection des intérêts collectifs représentés par l’Etat.

Au-delà des normes, c’est un rapport au digital qui est en train de se construire : plus responsable, plus transparent, plus respectueux de la vie privée. Et ce mouvement est appelé à s’amplifier à mesure que les professionnels gagnent en maturité juridique et technique.