حماية المعطيات الشخصية في المغرب أمام التطبيقات الأجنبية: ماذا يملك المستخدم المغربي من حقوق فعلاً؟

مقدمة: حين يتحول هاتفك إلى نافذة مفتوحة على حياتك الخاصة

قبل أسابيع، استشارني شاب من الدار البيضاء يستعمل تطبيق نقل أجنبي بشكل يومي. كان سؤاله بسيطاً في الظاهر: أين تذهب بيانات تنقلاتي؟ بعد مراجعة سياسة الخصوصية وشروط الاستخدام، اتضح أن المسألة أعقد مما يبدو. التطبيق يجمع الموقع الجغرافي، سجل الرحلات، أوقات التحرك، وسيلة الأداء، وأحياناً بيانات الجهاز نفسه. والأهم أن جزءاً من المعالجة أو التخزين قد يتم خارج المغرب، بل أحياناً في دول تثير نقاشاً جدياً حول مستوى حماية الحياة الخاصة.

هذا ليس استثناءً. اليوم، يستعمل ملايين المغاربة هواتف ذكية وتطبيقات أجنبية بشكل يومي: Facebook وInstagram وTikTok وGoogle وWhatsApp وGlovo وInDrive وYango. عملياً، هذه التطبيقات تعرف عن المستخدم المغربي أكثر مما يعرفه عنه كثير من المحيطين به: أين يذهب، ماذا يشتري، مع من يتواصل، ما الذي يبحث عنه، وفي أي ساعة ينام ويستيقظ.

هنا يطرح السؤال الحقيقي، وليس السؤال النظري: هل يحمي القانون المغربي فعلاً المواطن المغربي أمام عمالقة التكنولوجيا الأجانب؟ الجواب المختصر: نعم من حيث المبدأ، لكن بحدود واضحة ومقلقة من حيث التطبيق. المرجع الأساسي في المغرب هو القانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، الصادر بتنفيذه الظهير الشريف رقم 1-09-15 بتاريخ 22 صفر 1430 (18 فبراير 2009) والمنشور بالجريدة الرسمية عدد 5714 بتاريخ 23 أبريل 2009.

لكن، بصراحة مهنية، هذا النص وُضع في زمن رقمي مختلف تماماً. سنة 2009 لم يكن TikTok قد أصبح قوة عالمية، ولم تكن تطبيقات النقل والتوصيل تعتمد بهذا العمق على التتبع الجغرافي والتحليل الخوارزمي. لذلك، عندما نحاول تطبيق القانون 09-08 على منصات أجنبية عابرة للحدود، تظهر مناطق رمادية كثيرة. وهذا بالتحديد ما يجعل موضوع حماية المعطيات الشخصية في المغرب أمام التطبيقات الأجنبية موضوعاً مستعجلاً، لا مجرد نقاش قانوني بارد.

قضية InDrive وYango وGlovo ليست سوى عرض لمرض أوسع: سيادة البيانات. من يملك بيانات المغاربة؟ من يراقب استعمالها؟ ومن يعاقب إذا وقع خرق أو تسريب أو استعمال تعسفي؟ هذه الأسئلة لم تعد رفاهية فكرية، خصوصاً مع التحول الرقمي المتسارع في المغرب، ورهان Maroc Digital 2030، واستعداد المملكة لمواعيد دولية كبرى تجعل الأمن الرقمي وحماية الحياة الخاصة جزءاً من صورة الدولة وثقة المستثمرين والمواطنين معاً.

القانون 09-08: الدرع القانوني المغربي... وحدوده أيضاً

ماذا يقول القانون 09-08 فعلاً عن المعطيات الشخصية؟

القانون 09-08 هو النص المرجعي الأول في المغرب في مجال protection données personnelles Maroc. يبدأ من التعريفات، وهي ليست تفصيلاً تقنياً كما يظن البعض، بل أساس كل نزاع. فبحسب المادة الأولى، يقصد بالمعطى ذي الطابع الشخصي كل معلومة كيفما كان نوعها، وبغض النظر عن دعامتها، بما في ذلك الصوت والصورة، والمتعلقة بشخص ذاتي معرف أو قابل للتعرف عليه.

المادة 1 من القانون 09-08: المعطى الشخصي هو كل معلومة تسمح، بشكل مباشر أو غير مباشر، بالتعرف على شخص ذاتي.

هذا يعني، بوضوح، أن الأمر لا يقتصر على الاسم ورقم البطاقة الوطنية أو البريد الإلكتروني. الموقع الجغرافي، عنوان IP، رقم الهاتف، سجل الطلبات، صورة الوجه، البصمة الصوتية، وحتى بعض المعطيات السلوكية التي تسمح بإعادة التعرف على الشخص، كلها تدخل في دائرة الحماية.

ثم تأتي المادة 3 لتعريف المسؤول عن المعالجة، وهو الشخص الذاتي أو الاعتباري، العام أو الخاص، الذي يحدد غايات ووسائل معالجة المعطيات. هذا المفهوم جوهري جداً. لماذا؟ لأن السؤال في التطبيقات الأجنبية ليس فقط: هل جُمعت بياناتك؟ بل أيضاً: من المسؤول قانوناً عنها؟ هل هي الشركة الأم؟ فرع محلي؟ موزع؟ شريك تجاري؟ شركة إشهار مرتبطة؟

المادة 3 من القانون 09-08: المسؤول عن المعالجة هو الشخص الذي يحدد أغراض المعالجة ووسائلها.

في الممارسة، كثير من المستخدمين المغاربة يظنون أنهم يتعاملون مع تطبيق “يشتغل في المغرب”، بينما المسؤول القانوني الحقيقي قد يكون مقيماً في إيرلندا أو هولندا أو سنغافورة أو دبي. وهنا تبدأ الصعوبة.

الظهير المؤسس ومرسوم التطبيق

الإطار القانوني لا يقف عند الظهير الشريف رقم 1-09-15 فقط. هناك أيضاً المرسوم رقم 2-09-165 بتاريخ 25 جمادى الأولى 1430 (21 ماي 2009) المتعلق بتطبيق القانون 09-08، والمنشور بالجريدة الرسمية عدد 5744 بتاريخ 18 يونيو 2009. هذا المرسوم نظم الجوانب الإجرائية، خصوصاً ما يتعلق بالتصاريح، طلبات الترخيص، وبعض كيفيات عمل اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، المعروفة اختصاراً بـCNDP.

في الواقع العملي، النصان معاً يشكلان العمود الفقري لـحماية الحياة الخاصة الرقمية في المغرب. لكن يجب قول الحقيقة كما هي: حتى عدد مهم من المقاولات المغربية نفسها لا يحترم دائماً واجبات التصريح أو الترخيص لدى CNDP. وقد عاينت ذلك بنفسي في ملفات امتثال تخص شركات ناشئة وتجاراً إلكترونيين ومصحات خاصة. بعضهم يجمع معطيات حساسة دون أي تصريح مسبق، فقط لأنه يعتقد أن “سياسة الخصوصية” المنسوخة من موقع أجنبي تكفي. لا، لا تكفي.

النطاق الترابي: هنا تتعقد الأمور مع التطبيقات الأجنبية

أكبر إشكال في موضوع RGPD Maroc applications mobiles étrangères هو النطاق الترابي للقانون المغربي. فبحسب الصياغة المعمول بها، وخصوصاً في المواد المتعلقة بنقل المعطيات والمعالجة المرتبطة بالتراب الوطني، يظهر أن القانون 09-08 صُمم أساساً لمواجهة معالجات تتم داخل المغرب أو من طرف جهات لها إقامة أو مؤسسة داخل المغرب. وهذا ما جعل كثيراً من الفقهاء والمهنيين يعتبرون أن النص يفتقد إلى امتداد خارج إقليمي صريح على شاكلة ما جاء به المادة 3 من اللائحة الأوروبية لحماية البيانات RGPD.

بعبارة أبسط: إذا كانت الشركة الأجنبية لا تتوفر على مؤسسة قانونية بالمغرب، ولا ممثل قانوني واضح، فإن تفعيل الجزاءات المغربية ضدها يصبح شديد الصعوبة. نعم، يمكن نظرياً الحديث عن وقوع آثار المعالجة على التراب المغربي، أو عن استهداف مستخدمين مغاربة، لكن في التنفيذ الفعلي أمام CNDP أو النيابة العامة أو المحاكم، تظهر عقبات الاختصاص والتنفيذ والتبليغ.

وهنا أسمح لنفسي بملاحظة صريحة: القانون 09-08 كان متقدماً زمن صدوره، لكنه اليوم لم يعد كافياً وحده لضبط اقتصاد التطبيقات العالمي. استعمال نص من 2009 لمواجهة نماذج تجارية مبنية على الذكاء الاصطناعي، الإعلانات السلوكية، التتبع الدقيق، والخوادم الموزعة عالمياً، يشبه إلى حد ما محاولة ضبط حركة المرور في مدينة 2026 بإشارات صممت لقرية صغيرة قبل عشرين سنة.

CNDP: شرطي المعطيات الشخصية، لكن بإمكانات محدودة

اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي هي المؤسسة المركزية في هذا المجال. مقرها في الرباط، شارع النخيل، حي الرياض. وهي الجهة التي تستقبل التصاريح، تمنح التراخيص في بعض المعالجات الحساسة، تراقب مدى احترام القانون، وتتلقى الشكايات.

لكن يجب أن نكون واقعيين. CNDP تقوم بدور مهم، غير أن التحدي أكبر من الإمكانات المتاحة. عندما يكون الخصم شركة مغربية أو فرعاً محلياً واضحاً، تصبح المراقبة والإنذار والإحالة على النيابة العامة أموراً ممكنة. أما عندما يتعلق الأمر بمنصة عالمية تدير بيانات المغاربة من خارج الحدود، فسلطة اللجنة تصطدم عملياً بمحدودية النفاذ والتنفيذ. وهذا ليس انتقاداً للمؤسسة بقدر ما هو وصف لخلل تشريعي وبنيوي.

Facebook وInstagram وTikTok وGoogle: ماذا تجمع فعلاً عن المستخدم المغربي؟

المعطيات المجمعة أكثر بكثير من الاسم والبريد الإلكتروني

حين يقرأ المستخدم سياسة الخصوصية بسرعة، يظن أن التطبيق يجمع الحد الأدنى اللازم لتقديم الخدمة. الواقع مختلف. Google مثلاً، بحكم سيطرته على نظام Android المستعمل على نطاق واسع في المغرب، يستطيع جمع طبقات متعددة من البيانات: عمليات البحث، المواقع الجغرافية، استعمال التطبيقات، معرفات الأجهزة، سجل الفيديوهات على YouTube، الأوامر الصوتية، وحتى مؤشرات مرتبطة بالاهتمامات الاستهلاكية.

Meta عبر Facebook وInstagram وWhatsApp تجمع بدورها معطيات غزيرة: لائحة الأصدقاء، الرسائل الوصفية metadata، الصفحات التي تتفاعل معها، مدة مشاهدة المحتوى، الموقع التقريبي أو الدقيق، نوع الهاتف، اللغة، جهات الاتصال إذا منحت الإذن، ونشاطك خارج المنصة عبر أدوات التتبع والإعلانات. أما TikTok فيعتمد بقوة على التحليل السلوكي الدقيق: مدة المشاهدة، التوقف، إعادة العرض، الاهتمامات، الجهاز، الموقع، وأنماط التفاعل. في بعض البيئات التقنية، قد تدخل أيضاً معطيات ذات طابع بيومتري إذا كانت المنصة تستعمل تقنيات التعرف على الوجه أو السمات.

من منظور القانون المغربي، هذه كلها معطيات شخصية ما دامت تسمح بالتعرف المباشر أو غير المباشر على الشخص. وهنا تبرز المادة 4 من القانون 09-08، التي تفرض أن تتم المعالجة لأغراض محددة ومشروعة وواضحة، وألا تتم معالجة لاحقة تنافي تلك الأغراض.

المادة 4 من القانون 09-08: يجب أن تُجمع المعطيات لأغراض محددة وصريحة ومشروعة، وألا تعالج لاحقاً بشكل يتنافى مع هذه الأغراض.

المشكلة العملية أن عبارات مثل “تحسين التجربة” و“تخصيص المحتوى” و“تطوير الخدمة” قد تتحول إلى غطاء واسع لاستعمالات إشهارية وتجارية مكثفة. قانونياً، هذا يطرح سؤال الغاية. هل المستخدم المغربي وافق فعلاً على كل استعمال؟ أم وافق على نص طويل ومتشعب لا يقرأه أحد تقريباً؟

سياسات الخصوصية بخط صغير: هل نحن أمام رضا حقيقي أم مجرد افتراض؟

القانون 09-08 يشترط، في المادة 5 والمادة 6، الإعلام المسبق وشرعية المعالجة، وعلى رأسها الرضا في الحالات التي يكون فيها مطلوباً. والرضا، حتى يكون صحيحاً، يجب أن يكون حراً، محدداً، ومستنيراً.

المادة 6 من القانون 09-08: لا تكون معالجة المعطيات ذات الطابع الشخصي مشروعة إلا إذا وافق الشخص المعني عليها برضى لا لبس فيه، أو قامت على أحد الأسس القانونية المقررة.

هنا، بصراحة، أغلب التطبيقات الأجنبية تضع المستخدم أمام معادلة غير متوازنة: إما أن تضغط “أوافق” على حزمة شروط طويلة ومعقدة، أو لا تستعمل الخدمة. هل هذا رضا حر فعلاً؟ في تقديري، وفي ضوء روح القانون 09-08، الجواب محل شك كبير. الموافقة المفترضة بمجرد الاستعمال، أو المربعات المسبقة التأشير، أو دمج أغراض متعددة في موافقة واحدة، كلها ممارسات تضعف مشروعية الرضا.

المرجع الأوروبي أكثر صراحة هنا، إذ يعتبر RGPD أن الخانات المسبقة التأشير لا تنتج موافقة صحيحة. صحيح أن هذا النص الأوروبي ليس واجب التطبيق تلقائياً في المغرب، لكنه يفيد كمقارنة معيارية مهمة، خاصة عند التفكير في إصلاح القانون المغربي.

حالة Meta وTikTok وGoogle من زاوية المسؤول القانوني

في ملفات كثيرة، تشير شروط الاستخدام إلى أن المستخدمين خارج الولايات المتحدة وكندا قد يكونون تابعين لكيان قانوني في إيرلندا بالنسبة لبعض خدمات Meta، أو لكيانات أخرى بحسب نوع الخدمة. TikTok يعتمد بنية مؤسساتية معقدة بين أوروبا وآسيا والولايات المتحدة. أما Google فله شبكة عالمية من الشركات التابعة والخوادم الموزعة. النتيجة واحدة: المستخدم المغربي يجد نفسه أمام بنية قانونية شديدة التعقيد، تجعل تحديد المسؤول عن المعالجة وإلزامه بالقانون المغربي أمراً غير يسير.

ولهذا السبب بالذات، فإن نقاش Google TikTok collecte données utilisateurs marocains لم يعد نقاشاً تقنياً، بل أصبح نقاش سيادة قانونية. من يفرض القواعد؟ الدولة التي يوجد فيها المستخدم؟ أم الدولة التي يوجد فيها المقر؟ أم الدولة التي توجد فيها الخوادم؟ الجواب اليوم، عملياً، موزع وغير مستقر.

نقل المعطيات خارج المغرب: أخطر منطقة رمادية في الملف كله

المواد 43 إلى 52: الإطار القانوني لنقل البيانات إلى الخارج

الجزء الأكثر حساسية في القانون 09-08 يتعلق بـCNDP Maroc transfert données hors Maroc. فالمبدأ العام أن نقل المعطيات الشخصية إلى دولة أجنبية لا يجوز إلا إذا كانت تلك الدولة توفر مستوى كافياً من الحماية للحياة الخاصة والحريات والحقوق الأساسية للأشخاص تجاه معالجة المعطيات.

المادة 43 من القانون 09-08: لا يمكن للمسؤول عن المعالجة نقل معطيات ذات طابع شخصي إلى دولة أجنبية إلا إذا كانت هذه الدولة تضمن مستوى كافياً من حماية الحياة الخاصة والحريات والحقوق الأساسية للأشخاص تجاه المعالجة.

ثم تأتي المادة 44 لتقرر بعض الاستثناءات، من قبيل موافقة الشخص المعني صراحة، أو ضرورة النقل لتنفيذ عقد، أو حماية مصلحة حيوية، أو حالات أخرى منصوص عليها قانوناً.

المادة 44 من القانون 09-08: يمكن، على سبيل الاستثناء، الإذن بنقل المعطيات إلى دولة لا توفر مستوى كافياً من الحماية في حالات معينة، منها الموافقة الصريحة للشخص المعني أو ضرورة تنفيذ عقد.

هذا الإطار يبدو منطقياً على الورق. لكن في الممارسة، تظهر ثلاثة أسئلة مزعجة: من يحدد الدول ذات الحماية الكافية؟ كيف نتحقق من مكان الخوادم الحقيقي؟ وهل تكفي الإشارة إلى مقر قانوني في دولة أوروبية إذا كانت المعالجة التقنية تتم في دولة أخرى؟

قائمة الدول الملائمة وقرار CNDP رقم D-096/2013

أصدرت CNDP مداولات وقرارات تتعلق بنقل المعطيات إلى دول أجنبية، ومن أهم الإشارات في هذا الباب المداولة رقم D-096/2013 المتعلقة بالتحويلات نحو الدول الثالثة. الفكرة الأساسية أن بعض الدول أو الأنظمة القانونية قد تعتبر، وفق تقييم اللجنة، مضمونة من حيث مستوى الحماية، بينما لا تحظى دول أخرى بهذا التقدير.

لكن، بصراحة، الإشكال ليس فقط في وجود القائمة أو عدمه، بل في الشفافية والتحديث والوضوح العملي. كثير من الفاعلين الاقتصاديين، بل وحتى بعض المهنيين، لا يملكون تصوراً دقيقاً ومحدثاً حول ما تعتبره CNDP “مستوى كافياً” في كل حالة. وعندما يتعلق الأمر بخدمات سحابية معقدة، قد تكون البيانات موزعة بين مراكز متعددة عبر العالم، فتزداد الصعوبة.

InDrive وYango وGlovo: تحليل حالة بحالة

InDrive يثير نقاشاً واسعاً لأن البنية القانونية قد تشير إلى تسجيل أو تمثيل في دولة، بينما البنية التقنية أو بعض مسارات المعالجة قد ترتبط بدول أخرى. إذا كانت البيانات فعلاً تمر أو تخزن في بيئات خاضعة لقوانين مراقبة واسعة، فإن هذا يطرح إشكالاً مباشراً بمقتضى المواد 43 وما يليها من القانون 09-08. لكن، والصدق هنا واجب، لا أعلم بوجود قرار قضائي مغربي منشور حسم بشكل صريح في مشروعية معالجة InDrive لبيانات المستخدمين المغاربة وفق هذا النص. لذلك، أي جواب قاطع سيكون غير دقيق.

Yango يطرح السؤال نفسه تقريباً، مع تعقيد إضافي مرتبط بمجموعة الشركات الأم والروابط العابرة للحدود. في إحدى الاستشارات التي باشرتها لفائدة عامل مستقل كان يشتغل مع منصة أجنبية، اكتشفنا أن بيانات تحديد الموقع كانت متاحة للمنصة خارج ساعات العمل أيضاً. قانونياً، هذا قد يمس بمبدأ التناسب والغاية المحددة، لكن المشكلة كانت في تحديد الجهة الملزمة قانوناً داخل المغرب. الملف كان ممكناً من زاوية الشكاية والإنذار، لكنه صعب من زاوية التنفيذ الفعلي.

أما Glovo فالوضع مختلف نسبياً لأنه مرتبط ببيئة قانونية أوروبية، ما يعني أن معالجة البيانات تخضع من حيث الأصل أيضاً لمنظومة RGPD. هذا قد يمنح المستخدم المغربي، عملياً، أدوات أفضل داخل واجهات التطبيق نفسها من حيث طلب نسخة من البيانات أو حذف الحساب أو الاعتراض على بعض المعالجات. لكن هذا لا يعني تلقائياً أن القانون المغربي أصبح غير ذي صلة، بل يعني فقط أن المستوى التعاقدي والتنظيمي قد يكون أوضح مقارنة ببعض التطبيقات الأخرى.

في ملف آخر، رافقت شركة ناشئة مغربية كانت تريد استعمال AWS لتخزين بيانات زبنائها. السؤال كان: هل يكفي اختيار خوادم أوروبية؟ الجواب لم يكن آلياً. اضطررنا إلى مراجعة نوع البيانات، طبيعة النقل، العقود التقنية، وما إذا كان الأمر يستوجب تصريحاً أو ترخيصاً خاصاً لدى CNDP. هذه التفاصيل تبيّن أن نقل المعطيات الشخصية إلى دول أجنبية ليس مسألة تقنية فقط، بل مسألة قانونية صرفة.

الترخيص المسبق: واجب كثيرون يتجاهلونه

عدد كبير من الشركات، خصوصاً التطبيقات والمقاولات الرقمية، يتعامل مع نقل البيانات خارج المغرب كأنه أمر تلقائي. هذا خطأ. في حالات متعددة، يكون الترخيص أو التصريح المسبق لدى CNDP ضرورياً، خاصة عندما يتعلق الأمر بمعطيات حساسة أو بنقل منهجي إلى دول أجنبية. تجاهل هذه الخطوة قد يعرض المسؤولين لعقوبات مقررة في القانون 09-08.

والأخطر أن بعض الفاعلين ينسخون وثائق امتثال من أوروبا أو الخليج ويظنون أنها تكفي في المغرب. لا. الامتثال المحلي له منطقه الخاص، ومفاهيم مثل “المسؤول عن المعالجة” و“المناول” و“النقل نحو دولة أجنبية” يجب تفكيكها بدقة وفق القانون المغربي وقرارات CNDP، لا وفق تصورات عامة.

حقوقك العملية كمستخدم مغربي: ماذا تستطيع أن تطلب بالضبط؟

حق الولوج إلى المعطيات: المادة 7

القانون 09-08 لا يكتفي بمنع بعض الممارسات، بل يمنح الشخص المعني حقوقاً مباشرة. أول هذه الحقوق هو حق الولوج المنصوص عليه في المادة 7. لك أن تسأل المسؤول عن المعالجة: هل تعالجون بياناتي؟ ما هي هذه البيانات؟ من أين جاءت؟ لأي غرض تستعمل؟ وهل نُقلت إلى جهات أخرى؟

المادة 7 من القانون 09-08: يحق لكل شخص ذاتي يثبت هويته أن يحصل من المسؤول عن المعالجة على تأكيد بشأن معالجة معطيات تخصه، وعلى مضمون هذه المعطيات وغايات المعالجة والجهات المرسل إليها.

عملياً، إذا أردت تفعيل هذا الحق مع Facebook أو Google أو TikTok، فابدأ بالأدوات الداخلية داخل الحساب: تنزيل نسخة من بياناتك، طلب تقرير الخصوصية، أو مراسلة قسم حماية البيانات عبر النماذج المخصصة. والأفضل دائماً أن تحتفظ بنسخة من طلبك وتاريخ الإرسال والرد.

حق التصحيح وحق التعرض: المادتان 8 و9

المادة 8 تمنحك حق تصحيح البيانات غير الصحيحة أو الناقصة أو الملتبسة. إذا كان التطبيق يحتفظ بمعلومة خاطئة عنك، أو يربط حسابك ببيانات لم تعد صحيحة، فمن حقك طلب التعديل.

المادة 8 من القانون 09-08: يمكن للشخص المعني أن يطلب تصحيح أو تتميم أو تحيين أو إقفال أو محو المعطيات المتعلقة به إذا كانت غير صحيحة أو غير كاملة أو ملتبسة.

أما المادة 9 فتنص على حق التعرض لأسباب مشروعة، خصوصاً إذا كانت المعالجة تمس وضعك الخاص أو إذا كانت تستعمل لأغراض الاستطلاع أو التنقيب التجاري أو الإشهار المباشر.

المادة 9 من القانون 09-08: يحق للشخص المعني أن يتعرض، لأسباب مشروعة، على معالجة معطياته ذات الطابع الشخصي.

هنا نصل إلى نقطة مهمة جداً في موضوع droits utilisateurs marocains données personnelles: القانون المغربي يمنح أدوات حقيقية، لكن تفعيلها أمام منصة أجنبية يعتمد كثيراً على حسن تعاونها، وعلى مدى وجود عنوان قانوني أو ممثل يمكن مخاطبته بفعالية.

هل يوجد حق في المحو أو “الحق في النسيان”؟

كثير من الناس يسألون: هل أستطيع أن أطلب من Facebook أو Google حذف كل بياناتي؟ الجواب الدقيق هو التالي: القانون 09-08 لا ينص صراحة على “حق في النسيان” بالمفهوم الأوروبي الوارد في المادة 17 من RGPD. لكنه يتيح، عبر المادتين 8 و9، إمكانات مهمة للتصحيح والإقفال والمحو في بعض الحالات، خصوصاً إذا كانت البيانات غير مشروعة أو زالت غاية الاحتفاظ بها أو ثبتت معالجتها بشكل مخالف.

عملياً، توفر Meta وGoogle أدوات حذف الحساب والبيانات، لكن تنفيذ الحذف قد يستغرق أسابيع أو أشهراً، وقد تبقى بعض المعطيات محفوظة لأسباب تقنية أو قانونية أو أمنية بحسب ما تعلنه المنصة. النصيحة هنا بسيطة: استعمل أدوات الحذف داخل التطبيق، ثم أكد طلبك كتابة، واحتفظ بالأدلة. إذا لم تتجاوب المنصة، يمكن الانتقال إلى CNDP.

التظلم أمام CNDP: كيف تشتكي، وماذا تتوقع واقعياً؟

متى تتوجه إلى CNDP؟

إذا شعرت أن تطبيقاً أو شركة عالجت معطياتك دون سند، أو رفضت تمكينك من حقوقك، أو نقلت بياناتك بشكل مشبوه، أو وقع تسريب أو استعمال غير مشروع، فيمكنك التوجه إلى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي. مقرها في الرباط، شارع النخيل، حي الرياض. ويمكن تقديم الشكاية عن طريق الإيداع المباشر أو البريد المضمون.

من الأفضل، عملياً، ألا تتوجه إلى اللجنة مباشرة دون خطوة أولى. راسل أولاً المسؤول عن المعالجة أو خدمة الدعم أو قسم الخصوصية في التطبيق، واطلب جواباً واضحاً. لماذا؟ لأن CNDP ستنظر بإيجابية أكبر إلى ملف يظهر أنك حاولت حل النزاع أولاً وأنك تتوفر على مراسلات وأدلة.

ماذا يجب أن يتضمن ملف الشكاية؟

الشكاية الجيدة لا تقوم على الانطباعات. يجب أن تكون دقيقة، مؤرخة، ومدعمة. في الممارسة، أنصح دائماً بإرفاق ما يلي:

• نسخة من البطاقة الوطنية للتعريف.
• عرض واضح للوقائع: ماذا حدث؟ متى؟ ما نوع البيانات المعنية؟
• الأدلة المتوفرة: لقطات شاشة، رسائل إلكترونية، روابط لسياسات الخصوصية، نسخ من الشروط العامة للاستعمال، أي إشعار تلقيته من التطبيق.
• ما يثبت أنك راسلت الجهة المعنية أولاً ولم تتلق جواباً أو تلقيت جواباً غير كاف.

المسطرة أمام CNDP مجانية من حيث الأصل. وإذا قمت بها بنفسك فلن تؤدي رسوماً. لكن الاستعانة بمحامٍ قد تكون مفيدة في الملفات المعقدة، خاصة إذا كان النزاع يتعلق بمعطيات حساسة أو بخرق واسع أو بشركة أجنبية.

كم تستغرق المعالجة؟ وماذا يمكن أن تفعل اللجنة؟

القانون لا يمنح دائماً آجالاً إجرائية مفصلة كما في بعض الأنظمة المقارنة. لكن في التجربة العملية، من شهرين إلى ستة أشهر هو نطاق زمني معقول لملفات كثيرة، وقد يطول أكثر في القضايا المعقدة. شخصياً، واكبت ملفاً يتعلق بتطبيق صحي شارك معطيات ذات طبيعة طبية مع طرف ثالث دون وضوح كافٍ، واستغرق التفاعل الإداري حوالي ثمانية أشهر قبل الوصول إلى مخرجات عملية.

CNDP يمكنها أن تطلب توضيحات، توجه إنذاراً أو إعذاراً، تصدر توصيات، أو تُحيل الملف إلى النيابة العامة إذا تبين لها وجود أفعال قد تشكل جريمة. لكن مرة أخرى، عندما تكون الجهة الأجنبية بلا ممثل قانوني واضح في المغرب، تبقى فعالية هذه الخطوات متفاوتة.

العقوبات: المواد 54 إلى 63

القانون 09-08 لا يكتفي بالتوصيات، بل يتضمن عقوبات جنحية. المواد 54 إلى 63 تنص على غرامات وعقوبات حبسية بحسب نوع المخالفة: معالجة دون تصريح أو ترخيص، نقل غير مشروع، خرق السرية، أو عرقلة حقوق الأشخاص.

في الخطاب العام يقال كثيراً إن العقوبات قد تصل إلى 300.000 درهم وإلى خمس سنوات حبسا في بعض الحالات. هذا صحيح من حيث الإطار العام للنصوص الزجرية بحسب طبيعة الفعل. لكن يجب قول ما لا يقال أحياناً: العقوبة لا معنى عملياً لها إذا لم يكن هناك شخص أو ممثل قانوني يمكن متابعته داخل الاختصاص المغربي. لذلك تبدو بعض هذه المقتضيات قوية نظرياً، محدودة عملياً أمام المنصات العالمية.

اللجوء إلى القضاء: متى تتجاوز CNDP؟

الطعن الإداري والمسار القضائي

إذا صدر عن CNDP قرار ترى أنه مجحف أو غير كافٍ، أو إذا كان هناك نزاع إداري مرتبط باختصاصها، يمكن سلوك طريق القضاء الإداري أمام المحكمة الإدارية المختصة بحسب القواعد العامة. هذا المسار يبقى أقل شيوعاً عند الأفراد، لكنه وارد خصوصاً في الملفات المهنية أو التنظيمية.

دعوى المسؤولية المدنية: الفصل 77 من قانون الالتزامات والعقود

إلى جانب القانون 09-08، يمكن تأسيس طلب التعويض على الفصل 77 من قانون الالتزامات والعقود، الذي يقرر أن كل فعل يرتكبه الإنسان عن بينة واختيار، ومن غير أن يسمح له به القانون، فأحدث ضرراً مادياً أو معنوياً للغير، ألزم مرتكبه بتعويض ذلك الضرر.

الفصل 77 من قانون الالتزامات والعقود: كل فعل ارتكبه الإنسان عن بينة واختيار، ومن غير أن يسمح له به القانون، فأحدث ضرراً مادياً أو معنوياً للغير، ألزم مرتكبه بتعويض هذا الضرر.

هذا مهم جداً لأن خرق المعطيات الشخصية لا ينتج فقط ضرراً مادياً مباشراً. قد يسبب ضرراً معنوياً، مساساً بالسمعة، قلقاً، أو كشفاً لمعلومات حساسة. والقضاء المغربي يقبل من حيث المبدأ التعويض عن الضرر المعنوي إذا ثبتت عناصر المسؤولية: الخطأ، الضرر، والعلاقة السببية.

أما التقادم، فإذا لم يوجد نص خاص في القانون 09-08 بالنسبة للدعوى المدنية، فيرجع إلى القواعد العامة، ومن بينها الفصل 387 من قانون الالتزامات والعقود بشأن التقادم الخمسي في بعض الدعاوى الشخصية. لكن، عملياً، لا أنصح أبداً بالانتظار. الأدلة الرقمية تتغير بسرعة، والروابط تختفي، وسياسات الخصوصية تُعدّل باستمرار.

الشكاية الجنائية والصعوبات العملية

يمكن أيضاً تقديم شكاية إلى السيد وكيل الملك إذا كانت الأفعال تشكل جنحة بمقتضى القانون 09-08. هذا المسار يكون أكثر فعالية عندما تكون الجهة المعنية شركة مغربية أو فرعاً محلياً أو شخصاً ذاتياً يمكن تحديده. أما مع التطبيقات الأجنبية التي لا تتوفر على كيان قانوني بالمغرب، فإن الشكاية تصطدم سريعاً بإشكال الاختصاص الترابي والتنفيذ.

في بعض الحالات، قد يكون من الأجدى الجمع بين أكثر من مسار: تظلم أمام CNDP، مراسلة قانونية، ثم دعوى مدنية أو شكاية جنحية إذا ظهرت معطيات كافية. كما يمكن، عند وجود عدد كبير من المتضررين، التفكير في تحرك جماعي عبر جمعيات حماية المستهلك استناداً إلى القانون 31-08 القاضي بتحديد تدابير لحماية المستهلك. صحيح أن القانون 09-08 لا ينظم دعوى جماعية صريحة بالمعنى الأمريكي، لكن العمل الجماعي قد يقوي الملف إعلامياً وقانونياً.

كم تكلف الاستعانة بمحامٍ؟

من حيث الأتعاب، لا توجد تسعيرة موحدة. لكن بشكل تقريبي في السوق المغربي، يمكن أن تتراوح الاستشارة الأولية بين 500 و2.000 درهم. أما إعداد شكاية متكاملة أمام CNDP ومتابعتها فقد يتراوح بين 3.000 و8.000 درهم. وإذا انتقل الملف إلى مسطرة قضائية كاملة أمام المحكمة الابتدائية ثم الاستئناف، فقد نتحدث عن 10.000 إلى 30.000 درهم أو أكثر بحسب تعقيد الملف وعدد الأطراف والخبرة المطلوبة.

من يحتاج إلى مرافقة متخصصة يمكنه التواصل مع محام متخصص في قانون المعطيات الشخصية بالدار البيضاء أو مع مكتب محاماة في القانون الرقمي بالرباط، خاصة أن CNDP يوجد مقرها هناك. وفي الملفات ذات البعد الزجري، قد يكون من المفيد أيضاً استشارة محامٍ متمرس في المساطر الجنحية. أما المقاولات التي تبحث عن الامتثال القبلي، فغالباً ما يفيدها التواصل مع مكتب متخصص في الامتثال القانوني والرقمي.

ما الذي يجب أن يتغير في القانون المغربي؟

إصلاح 09-08 لم يعد ترفاً

لنكن واضحين: القانون 09-08 يحتاج إلى مراجعة عميقة. ليس لأنه سيئ، بل لأنه أصبح قديماً مقارنة بسرعة التحول الرقمي. المغرب اليوم يعيش رقمنة واسعة للخدمات، من التجارة الإلكترونية إلى الصحة إلى التعليم إلى الخدمات العمومية. ومع اقتراب مواعيد دولية كبرى وتعزيز تموقع المملكة كمركز إقليمي للاستثمار والتكنولوجيا، لا يمكن الإبقاء على نص لا يمنح امتداداً خارج إقليمياً واضحاً تجاه المنصات التي تستهدف المستخدم المغربي.

من بين الأوراش التي يجب التفكير فيها بجدية: توسيع النطاق الترابي على نمط أقرب إلى المادة 3 من RGPD، التنصيص الصريح على الحق في المحو أو النسيان، تقوية حماية القاصرين، وضع قواعد أدق للمعطيات البيومترية، والتنصيص على واجب الإشعار بخرق البيانات خلال آجال محددة.

الاستلهام من RGPD دون نسخ أعمى

لا أدعو إلى نسخ أوروبي حرفي. للمغرب خصوصياته القانونية والمؤسساتية والاقتصادية. لكن من الحكمة الاستفادة من التجارب المقارنة. وجود مسؤول حماية المعطيات داخل بعض الهيئات، فرض سجل للمعالجات، تقوية الشفافية، وتشديد شروط الرضا، كلها عناصر مفيدة يمكن تكييفها محلياً.

كما أن استراتيجية المغرب الرقمي 2030 تجعل مسألة السيادة الرقمية جزءاً من النقاش العمومي. والسيادة هنا لا تعني الانغلاق، بل تعني أن تكون للمغرب قواعد فعالة، قابلة للتطبيق، وتمنح المواطن والمقاولة والإدارة وضوحاً قانونياً أكبر.

نصائح عملية: كيف تحمي معطياتك ابتداءً من اليوم؟

قبل تثبيت أي تطبيق أجنبي

اقرأ، على الأقل، جزء ما هي البيانات التي نجمعها في سياسة الخصوصية. نعم، أعرف أن النصوص طويلة ومملة. لكن خمس دقائق هنا قد توفر عليك مشكلة كبيرة لاحقاً. انتبه خصوصاً إلى أذونات الموقع الجغرافي والمايكروفون والكاميرا وجهات الاتصال.

إذا كان التطبيق لا يحتاج فعلاً إلى الولوج إلى جهات الاتصال أو الكاميرا، فلا تمنحه ذلك. ولا تربط حساباتك الحساسة بخيار “الدخول عبر Facebook أو Google” إلا عند الضرورة القصوى. هذا الربط يضاعف تدفق البيانات بين المنصات.

داخل الإعدادات: افعل هذه الأمور بانتظام

فعّل المصادقة الثنائية في كل حساب مهم. راجع دورياً سجل الأجهزة المتصلة. اطلب من حين لآخر نسخة من بياناتك من Google أو Facebook أو TikTok. احذف التطبيقات التي لم تستعملها منذ أكثر من ثلاثة أشهر. وراقب إشعارات تغيير سياسات الخصوصية، لأنها غالباً تمر بصمت بينما تحمل تعديلات جوهرية.

بالنسبة للتطبيقات الحساسة، مثل النقل أو التوصيل أو المواعدة أو الصحة، اجعل إذن الموقع الجغرافي أثناء الاستعمال فقط بدل “دائماً”. هذه خطوة صغيرة، لكنها فعالة جداً.

إذا وقع خرق أو شككت في سوء استعمال

تحرك بسرعة خلال أول 48 ساعة. سجل التاريخ والوقت، خذ لقطات شاشة، حمّل نسخة من الشروط والسياسة كما كانت يوم الواقعة إن أمكن، وراسل التطبيق فوراً. بعد ذلك، إذا لم تتلق جواباً مقنعاً، جهز ملفك ووجّه شكاية إلى CNDP. وإذا كان الضرر كبيراً أو تعلق بمعطيات حساسة، فكر في استشارة محامٍ عن بعد في المغرب دون تأخير.

أما المقاولات المغربية التي تطور تطبيقات أو تدير مواقع أو تجمع بيانات الزبناء، فلا تنتظروا الإصلاح التشريعي. ضعوا منذ الآن سجلاً للمعالجات، راجعوا التصاريح المطلوبة، عيّنوا مسؤولاً داخلياً عن الامتثال، واستشيروا عند الحاجة محامياً في قانون الأعمال أو متخصصاً في حماية المستهلك لأن الثقة الرقمية أصبحت أصلاً تجارياً لا يقل أهمية عن رأس المال نفسه.

خاتمة: السيادة الرقمية تبدأ من وعي المواطن أيضاً

الخلاصة واضحة. القانون 09-08 لحماية المعطيات الشخصية في المغرب موجود، ويمنح المستخدم المغربي حقوقاً حقيقية: حق الولوج، التصحيح، التعرض، والتظلم أمام CNDP. لكنه، في صيغته الحالية، يواجه صعوبة جدية عندما يكون الخصم تطبيقاً أجنبياً ضخماً بلا ممثل قانوني واضح داخل المغرب.

هذا لا يعني أن المواطن المغربي بلا حماية. يعني فقط أن الحماية غير مكتملة، وأن استعمالها يحتاج إلى وعي، توثيق، ومبادرة. إذا كنت تستعمل Facebook أو Instagram أو TikTok أو Google أو InDrive أو Yango أو Glovo، فاعلم أن بياناتك ليست تفصيلاً تقنياً. إنها جزء من حريتك الشخصية، من أمنك، ومن كرامتك الرقمية.

والحقيقة التي يجب أن نكررها بلا مجاملة هي هذه: سيادة المغرب الرقمية لن تُبنى بالشعارات، بل بقانون محدث، وCNDP أقوى، ومستخدم يعرف حقوقه ولا يضغط “أوافق” بعينين مغمضتين. وإذا كنت تعتقد أن بياناتك استُعملت أو نُقلت أو كُشفت بشكل غير مشروع، فلا تتردد في طلب المشورة القانونية المناسبة. أحياناً، أول رسالة قانونية مكتوبة جيداً تغيّر مسار الملف كله.