حماية المعطيات الشخصية في المغرب: ملف لم يعد يحتمل التأجيل
يكتشف مسير شركة متوسطة في الدار البيضاء، أثناء تدقيق قانوني طلبه بنك أو مستثمر، أن مؤسسته تجمع معطيات الزبناء منذ خمس سنوات، وتحتفظ بملفات الأجراء، وتستعمل كاميرات للمراقبة ونظاماً بالبصمة لضبط الحضور، من دون أي تصريح أو ترخيص لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي، المعروفة اختصاراً بـ CNDP. هذه ليست حالة نادرة أو قصة نظرية. إنها صورة تتكرر في عدد كبير من عمليات التدقيق القانوني بالمغرب.
المفارقة واضحة: يتوفر المغرب منذ سنة 2009 على قانون خاص بحماية المعطيات الشخصية، لكن جزءاً مهماً من المقاولات، خصوصاً المقاولات الصغيرة والمتوسطة، لا يزال يتعامل مع الملف باعتباره شأناً تقنياً يخص قسم المعلوميات. والحال أن المسؤولية قانونية وتجارية في المقام الأول. قاعدة بيانات الزبناء، ملفات الأجور، السير الذاتية، تسجيلات الكاميرات، عناوين البريد الإلكتروني، أرقام الهواتف، نسخ البطاقة الوطنية، بيانات التصفح والبصمات كلها قد تدخل في نطاق القانون رقم 09-08.
وقد أعاد الحديث الإعلامي، ومنه ما نشرته Medias24 بشأن تحالف APEBI وAPDND لتعزيز الثقة الرقمية، هذا الموضوع إلى الواجهة. لا يُنشئ هذا التحالف المهني التزامات قانونية جديدة بذاته، لكنه يبعث برسالة عملية: الشركات التي تريد بيع خدمات رقمية، أو الاشتغال مع مؤسسات مالية، أو الفوز بصفقات دولية، ستُطالب أكثر فأكثر بإثبات امتثالها، لا بمجرد كتابة عبارة فضفاضة من قبيل «نحترم خصوصيتكم» على موقعها.
لماذا لا تستطيع الشركة تجاهل CNDP؟
عدم الامتثال قد يؤدي إلى متابعة زجرية، أو أمر بإيقاف معالجة معينة، أو تعطيل مشروع تجاري يعتمد على البيانات. وقد تكون الخسارة التجارية أثقل من الغرامة: بنك يرفض التعاقد، شركة أوروبية تطلب ضمانات غير متوفرة، أو زبون ينشر واقعة تسريب على شبكات التواصل الاجتماعي. الثقة الرقمية تُبنى ببطء، لكنها قد تنهار في ساعات.
ولا توجد، في التقارير العلنية المتاحة، قاعدة إحصائية تسمح بمقارنة دقيقة بين جميع المعالجات النشطة فعلياً وعدد الملفات المصرح بها. لذلك ينبغي الحذر من الأرقام غير الموثقة المتداولة. غير أن الفارق يبدو عملياً واسعاً بالنظر إلى عدد المقاولات والمواقع والتطبيقات وأنظمة الموارد البشرية التي تعالج بيانات يومياً.
القانون 09-08: الأساس التشريعي لحماية البيانات في المغرب
من الظهير رقم 1-09-15 إلى دخول القانون حيز التطبيق
صدر القانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي بموجب الظهير الشريف رقم 1-09-15 الصادر في 22 من صفر 1430 الموافق 18 فبراير 2009. ونُشر النص في الجريدة الرسمية، بما في ذلك النسخة الفرنسية في العدد 5714 بتاريخ 5 مارس 2009.
أما التفاصيل الإجرائية، فقد نظمها المرسوم رقم 2-09-165 الصادر في 21 مايو 2009 لتطبيق القانون 09-08، والمنشور في الجريدة الرسمية عدد 5744 بتاريخ 18 يونيو 2009. عملياً، لا يكفي أن يقرأ المسير القانون وحده؛ فالمرسوم وقرارات ومداولات CNDP والنماذج المعتمدة لديها تحدد كيفية إيداع التصاريح وطلبات الترخيص ومضمون الوثائق المطلوبة.
مضمون المادة الأولى من القانون 09-08: المعطيات ذات الطابع الشخصي هي كل معلومة، أياً كان نوعها أو دعامتها، تتعلق بشخص ذاتي معرف أو قابل للتعرف عليه بصورة مباشرة أو غير مباشرة.
بعبارة بسيطة، لا تقتصر البيانات الشخصية على الاسم ورقم البطاقة الوطنية. رقم الهاتف المهني، عنوان IP، الصورة، الصوت، رقم تسجيل الأجير لدى CNSS، لوحة ترقيم السيارة، البريد الإلكتروني، البصمة، الموقع الجغرافي وحتى مجموعة معلومات تسمح بالتعرف على الشخص قد تُعد معطيات شخصية.
ما المقصود بمعالجة المعطيات؟
تعريف المعالجة في المادة الأولى واسع كذلك. فهو يشمل الجمع والتسجيل والتنظيم والحفظ والتعديل والاستعمال والإرسال والربط والمحو والإتلاف. فتح ملف Excel للزبناء معالجة. تشغيل برنامج للأجور معالجة. إرسال لائحة تجارية إلى وكالة تسويق معالجة. تصوير العمال بالكاميرا معالجة أيضاً.
أما المسؤول عن المعالجة فهو الشخص الذاتي أو المعنوي الذي يحدد الغرض من المعالجة ووسائلها. في شركة مغربية، تكون الشركة نفسها عادة هي المسؤول، ويمثلها قانوناً مسيرها أو مديرها العام. شركة الاستضافة أو مزود برنامج الموارد البشرية قد يكون مناولاً ينفذ المعالجة لحسابها، لكنه لا يعفيها من المسؤولية.
ما الشركات والقطاعات المعنية؟
ينطبق القانون، وفق نطاقه المحدد في المادة 2، على المعالجات الآلية للمعطيات الشخصية، وكذلك على المعالجات غير الآلية متى كانت البيانات مضمنة أو معدة للإدراج في ملفات منظمة. لهذا لا يُعفى ملف ورقي مرتب حسب أسماء المرضى أو الأجراء لمجرد أنه غير إلكتروني.
تتعرض بعض الأنشطة لمخاطر أعلى: التجارة الإلكترونية، البنوك والتأمين، الصحة، مراكز النداء، التعليم، التشغيل والموارد البشرية، العقار، النقل والتوصيل، التسويق الرقمي والتطبيقات المحمولة. وتوجد استثناءات محددة، منها الاستعمال الشخصي أو العائلي المحض، إضافة إلى أنظمة خاصة ببعض المعالجات المرتبطة بالدفاع والأمن وفق الشروط القانونية. لا يجوز لشركة تجارية أن تتوسع في تفسير هذه الاستثناءات لمصلحتها.
CNDP: ليست مجرد مكتب لتلقي التصاريح
الوضع القانوني والمهام
أحدثت المادة 27 من القانون 09-08 اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي. وتتمثل مهمتها في مراقبة احترام القانون، وتلقي التصاريح، ودراسة طلبات الترخيص ونقل البيانات، ومعالجة الشكايات، وإبداء الرأي وإصدار المداولات والتوصيات.
تستطيع اللجنة إجراء مراقبة بناء على الوثائق أو داخل المقرات، بواسطة الأعوان المؤهلين ووفق الضمانات القانونية. وقد تطلب سجلات المعالجة، عقود المناولة، نماذج الموافقة، سياسات الأمن، التصاريح السابقة، أو توضيح المسار الذي تسلكه البيانات بين الشركة ومقدمي الخدمات.
في الميدان، السؤال الأول لا يكون دائماً: «هل وقع تسريب؟». قد يكون أبسط: ما الغرض من جمع هذه النسخة من البطاقة الوطنية؟ من يستطيع فتح الملف؟ أين يوجد الخادم؟ ما مدة الاحتفاظ؟ وهل تم إشعار الشخص بحقوقه؟ غياب أجوبة موثقة يكشف بسرعة أن الامتثال لم يُبنَ على أساس سليم.
CNDP والقواعد الأوروبية: تشابه دون تطابق
يتقاطع القانون 09-08 مع المبادئ الأوروبية المتعلقة بالمشروعية، وتحديد الغرض، وتقليل البيانات، والأمن وحقوق الأشخاص. لكنه ليس نسخة من النظام الأوروبي العام لحماية البيانات RGPD. فلا توجد في القانون المغربي، مثلاً، غرامة إدارية عامة بنسبة 4% من رقم المعاملات العالمي، ولا التزام عام مماثل بتعيين مسؤول حماية البيانات في الحالات التي حددها RGPD.
كما لا يتضمن القانون 09-08، بصيغته الحالية، قاعدة عامة مماثلة لأجل 72 ساعة لإشعار السلطة بكل خرق للبيانات. ومع ذلك، قد تنشأ واجبات إشعار أو تعاون من مداولات CNDP، أو شروط ترخيص، أو تشريعات قطاعية، أو عقود مع الزبناء والشركاء. الصمت بعد اختراق خطير ليس استراتيجية قانونية سليمة.
أما تحالف APEBI-APDND، فيندرج في مسار التقريب العملي بين الأمن السيبراني وحماية البيانات والثقة الرقمية. بالنسبة للشركة، الرسالة واضحة: الامتثال المغربي ومواءمة العقود مع متطلبات الشركاء الأوروبيين أصبحا جزءاً من القدرة التنافسية.
التصريح لدى CNDP: متى يكفي ومتى يلزم الترخيص؟
المبدأ: مراقبة مسبقة قبل بدء المعالجة
تنظم المادة 12 من القانون 09-08 مبدأ الإجراءات المسبقة لدى CNDP، بينما تتناول المادة 13 إمكان وضع معايير مبسطة أو إعفاء بعض فئات المعالجة بقرار من اللجنة. لذلك فالتعبير المتداول «كل ملف يخضع دائماً لتصريح عادي» يحتاج إلى تدقيق: الأصل هو الإجراء المسبق المناسب، لكن نوعه يتوقف على طبيعة البيانات والغرض والربط والمستفيدين وقرارات CNDP النافذة.
التصريح العادي يناسب، من حيث المبدأ، المعالجات الجارية التي لا تدخل ضمن فئات الترخيص: إدارة الزبناء والطلبيات، المحاسبة، الفوترة، الموارد البشرية العادية أو إدارة الموردين. لكن وجود رقم البطاقة الوطنية، أو بيانات صحية، أو بصمات، أو ربط ملفات ذات أغراض مختلفة قد ينقل الملف إلى نظام الترخيص.
المادة 14 من القانون 09-08: تخضع لترخيص مسبق فئات محددة من المعالجة، ومنها معالجة البيانات الحساسة، وبعض البيانات الجينية، والمعطيات المتعلقة بالمخالفات والإدانات، والمعالجات التي تتضمن رقم البطاقة الوطنية للتعريف، والربط بين ملفات ذات أغراض مختلفة وفق الحالات القانونية.
البيانات الحساسة تشمل، بحسب التعريف الوارد في المادة الأولى، الأصل العرقي أو الإثني، الآراء السياسية، المعتقدات الدينية أو الفلسفية، الانتماء النقابي، والمعطيات المتعلقة بالصحة، بما فيها المعطيات الجينية. وتخضع الملفات الطبية، لذلك، لعناية خاصة، ويستحسن عرض مشاريعها على محام متخصص في قانون الصحة قبل تشغيل النظام.
المعطيات البيومترية والبصمة
استعمال البصمة لضبط الحضور منتشر في شركات مغربية كثيرة، لكنه ليس امتداداً بسيطاً لآلة التوقيت. البصمة معطى بيومتري شديد الحساسية من زاوية المخاطر، وقد أخضعت CNDP استعمالاته لمداولات وضوابط خاصة، مع فحص الضرورة والتناسب والبدائل المتاحة.
إذا كان المطلوب مجرد إثبات وقت الدخول، فقد تسأل اللجنة عن سبب عدم اعتماد بطاقة مهنية أو رمز فردي أقل مساساً بالحياة الخاصة. شراء الجهاز من مورد لا يعني أن استعماله أصبح قانونياً. المورد يبيع التقنية؛ أما الشركة فتتحمل مسؤولية الغرض والمشروعية والأمن.
كيف يودع الملف عملياً؟
تتوفر النماذج والتعليمات المحينة على الموقع الرسمي cndp.ma. ويتضمن الملف عادة هوية المسؤول عن المعالجة، الغرض، فئات الأشخاص والبيانات، المستفيدين، مدة الحفظ، وسائل الأمن، المناولين، ومكان الاستضافة والتحويلات إلى الخارج. ويمكن أن تطلب اللجنة وثائق تكميلية بحسب طبيعة المشروع.
المسطرة لدى CNDP مجانية من حيث الرسوم الإدارية. أما أتعاب المحامي أو المستشار، فليست تعريفة قانونية ثابتة. في السوق، قد تتراوح معالجة ملف محدود بين 3,000 و8,000 درهم، بينما ترتفع الكلفة إذا تعددت المعالجات أو شملت البصمة والصحة والتحويل الدولي والعقود التقنية. ويمكن الاستعانة بـمحام في قانون الأعمال بالرباط لمتابعة الإجراءات والمراسلات الإدارية.
بالنسبة إلى الترخيص، تنص المادة 18 على أجل شهرين لبت اللجنة في الطلب، مع إمكان تمديده مرة واحدة لمدة مماثلة بقرار معلل. عملياً، الملف الناقص أو الأسئلة التقنية قد تجعل المسار يستغرق ثلاثة أو أربعة أشهر. لذلك لا ينبغي توقيع عقد تشغيل نهائي يفترض بدء المعالجة خلال أسبوع ثم تقديم الطلب لاحقاً.
أما التصريح، فيسلم عنه وصل وفق القواعد القانونية والتنظيمية، لكن الوصل لا يصحح معالجة غير مشروعة في أصلها. كما يجب إشعار CNDP بالتغييرات الجوهرية: غرض جديد، بيانات إضافية، مزود سحابي جديد، مستفيدون جدد أو نقل إلى بلد آخر.
التزامات المسؤول عن المعالجة داخل الشركة
الجودة، المشروعية وتحديد الغرض
تلزم المادة 3 بأن تعالج البيانات بنزاهة ومشروعية، وأن تجمع لأغراض محددة وصريحة ومشروعة، وأن تكون ملائمة وغير مفرطة، وصحيحة ومحينة، وألا تُحفظ مدة تتجاوز ما يتطلبه الغرض.
عملياً، لا يحق لمتجر إلكتروني طلب نسخة البطاقة الوطنية من كل زبون لمجرد أنها «قد تنفع لاحقاً». ولا يجوز لشركة الاحتفاظ بسير جميع المترشحين إلى أجل غير محدد. ولا ينبغي استعمال أرقام هواتف جُمعت لتوصيل الطلبات في حملات إعلانية إذا لم يكن الأشخاص قد أُخبروا بهذا الغرض ولم تتوافر قاعدة قانونية مناسبة.
الموافقة ليست خانة شكلية
تضع المادة 4 الموافقة في صلب مشروعية المعالجة، مع وجود حالات قانونية يمكن فيها إجراء المعالجة دونها، مثل تنفيذ عقد يكون الشخص طرفاً فيه، أو احترام التزام قانوني، أو حماية مصالح حيوية، أو أداء مهمة ذات مصلحة عامة، أو تحقيق مصلحة مشروعة ضمن الشروط التي لا تطغى فيها حقوق الشخص.
الموافقة الصحيحة يجب أن تكون حرة ومحددة ومبنية على معلومات واضحة. الخانة المؤشرة مسبقاً، أو ربط شراء منتج بالموافقة الإجبارية على رسائل إعلانية غير ضرورية، يضعفان قيمتها القانونية. ويجب الفصل بين قبول الشروط التجارية والموافقة على التسويق كلما اختلف الغرضان.
واجب الإخبار
تحدد المادة 5 المعلومات التي ينبغي تقديمها عند جمع البيانات: هوية المسؤول عن المعالجة، أغراض المعالجة، المستفيدون، ما إذا كانت الإجابة إلزامية أو اختيارية، عواقب عدم الإجابة، وحقوق الولوج والتصحيح والتعرض، إضافة إلى رقم وصل التصريح أو الترخيص عند الاقتضاء.
ينبغي أن تظهر هذه المعلومات بلغة مفهومة في الاستمارة، أو عقد الشغل، أو صفحة الطلب، أو سياسة الخصوصية. نسخ سياسة فرنسية تشير إلى CNIL والقانون الفرنسي لا يحقق الامتثال المغربي. هذه غلطة شائعة في المواقع المحلية.
أمن البيانات والمناولون
تفرض المادة 23 على المسؤول اتخاذ تدابير تقنية وتنظيمية مناسبة لحماية البيانات من الإتلاف أو الضياع أو التغيير أو النشر أو الولوج غير المأذون. والمطلوب التزام جدي بالوسائل المتناسبة مع الخطر، وليس وعداً باستحالة وقوع أي حادث.
تشمل التدابير العملية إدارة صلاحيات الولوج، كلمات مرور قوية، المصادقة المتعددة، التشفير، النسخ الاحتياطي، تسجيل العمليات، تحديث البرمجيات، فصل بيئات الاختبار عن البيانات الحقيقية، وخطة للتعامل مع الحوادث. ملف أجور مفتوح لجميع العاملين على شبكة الشركة يمثل مشكلة قانونية، حتى لو لم يقع تسريب خارجي.
وتنظم المادة 24 الاستعانة بالمناول. يجب اختيار مقدم يقدم ضمانات كافية، وأن يُؤطر العمل بعقد مكتوب يحدد التعليمات، والسرية، والأمن، والمناولين الفرعيين، ومصير البيانات عند انتهاء العقد. في إحدى الصور المتكررة بالممارسة، يستخدم مكتب طبي في الدار البيضاء برنامجاً مشتركاً مع مزود تقني يستطيع موظفوه فتح ملفات المرضى بلا ضوابط تعاقدية. هنا لا تكفي عبارة «المزود مسؤول عن السيرفر»؛ العيادة تظل مسؤولة عن اختيار المناول وشروط المعالجة.
حقوق الزبناء والأجراء
حق الولوج والتصحيح
تمنح المادة 7 للشخص حق الحصول من المسؤول عن المعالجة على تأكيد وجود بيانات تخصه، ومعرفة أغراضها وفئاتها ومصدرها والمستفيدين منها، والحصول على نسخة مفهومة منها وفق الشروط القانونية. كما تمنحه المادة 8 حق طلب تصحيح البيانات غير الصحيحة أو غير المكتملة أو غير المحينة، أو محوها أو إغلاقها عندما تكون معالجتها غير مطابقة للقانون.
لا ينبغي اختزال هذه الحقوق في زبناء الموقع. للأجير حق يتعلق بملفه المهني وبيانات الحضور والتقييمات والمعلومات التي تخصه، مع مراعاة حقوق الغير وسرية بعض الوثائق. وعند نشوء نزاع شغلي، قد تصبح طريقة جمع البيانات واستعمالها جزءاً من الملف المعروض على مفتش الشغل أو المحكمة الابتدائية، لذلك يستحسن التنسيق مع محام متخصص في قانون الشغل.
حق التعرض على المعالجة
ينظمه المادة 9 من القانون 09-08، وليس المادة 12 كما يرد أحياناً في بعض الملخصات. ويجوز للشخص، لأسباب مشروعة، الاعتراض على معالجة بياناته، كما يحق له التعرض دون مصاريف على استعمالها لأغراض الاستكشاف التجاري، ولا سيما الإعلانات الموجهة.
عملياً، يجب أن تتضمن كل رسالة تسويقية وسيلة سهلة للانسحاب، وأن تتوقف الشركة عن إعادة إدراج الشخص في قوائم جديدة. وضع رابط إلغاء الاشتراك لا يعمل، أو مطالبة الزبون بإرسال نسخة بطاقته الوطنية لإيقاف نشرة بريدية، ممارسة غير متناسبة.
تنظيم الطلبات داخلياً
لا يقرر القانون 09-08 قاعدة عامة وبسيطة مفادها أن كل طلب يجب الرد عليه خلال 30 يوماً، كما هو شائع في بعض المقالات التي تخلط بين الأنظمة. تختلف الآجال والتفاصيل بحسب الحق والنصوص التنظيمية والإجراءات المعتمدة. الحل الآمن هو الرد دون تأخير، وضبط أجل داخلي لا يتجاوز 30 يوماً للملفات العادية، مع الرجوع إلى النص والنموذج الجاريين إذا كان الطلب معقداً.
يفضل إنشاء عنوان مثل donneespersonnelles@entreprise.ma وسجل يتضمن تاريخ الطلب، هوية صاحبه، القرار، تاريخ الجواب والإجراءات المنفذة. ولا تسلم البيانات قبل التحقق المعقول من الهوية، حتى لا يتحول طلب الولوج نفسه إلى تسريب.
المراقبة بالكاميرات في أماكن العمل
تخضع المراقبة بالفيديو للقانون 09-08 ولمداولات CNDP. يجب تحديد الغرض، ووضع إشعار واضح، وحصر زاوية التصوير ومدة الحفظ والأشخاص المخولين بالمشاهدة. تصوير دورات المياه أو غرف تبديل الملابس، أو تسجيل العمال باستمرار دون ضرورة متناسبة، يمثل مساساً خطيراً بالحياة الخاصة.
كما لا ينبغي تركيب كاميرا خفية لمراقبة الأداء العادي ثم استعمال التسجيل تلقائياً في مسطرة تأديبية. قد يناقش القضاء الاجتماعي مشروعية الدليل وظروف الحصول عليه، إلى جانب مراقبة CNDP.
نقل المعطيات الشخصية خارج المغرب واستعمال الخدمات السحابية
قاعدة المادة 43
المادة 43 من القانون 09-08: لا يجوز نقل المعطيات إلى دولة أجنبية إلا إذا كانت تضمن مستوى حماية كافياً للحياة الخاصة والحقوق والحريات الأساسية للأشخاص إزاء معالجة بياناتهم.
معنى النقل أوسع من إرسال ملف بالبريد الإلكتروني. استضافة قاعدة البيانات خارج المغرب، تمكين فريق دعم أجنبي من الولوج إليها، النسخ الاحتياطي في مركز بيانات خارجي أو استعمال منصة SaaS أجنبية كلها قد تشكل نقلاً دولياً.
وتنظم المادة 44 الحالات والاستثناءات التي يمكن أن تسمح بالنقل رغم غياب مستوى الحماية الكافي، ومنها موافقة الشخص أو ضرورة النقل لتنفيذ عقد أو حماية مصلحة عامة أو حق قضائي أو مصالح حيوية، إضافة إلى الضمانات الكافية التي يمكن أن يقدمها المسؤول، خصوصاً بواسطة بنود تعاقدية مناسبة. ويظل الرجوع إلى CNDP والحصول على القرار المطلوب ضرورياً بحسب الحالة.
Google وMicrosoft وSalesforce ليست مجرد برامج
قد تشتري الشركة اشتراكاً في Google Workspace أو Microsoft 365 أو Salesforce وتفترض أن سمعة المزود تكفي. قانونياً، يجب أولاً تحديد مواقع التخزين والدعم، وهوية الكيانات التي يمكنها الولوج، وشروط المناولين الفرعيين، وآلية النقل الدولي.
الولايات المتحدة لا تتمتع، في النظام المغربي، باعتراف عام يمكن للشركة افتراضه تلقائياً لكل عملية نقل. كما ينبغي الرجوع إلى قرارات CNDP وقائمتها المحينة بدل الاعتماد على منشور قديم. الحل العملي يكون بإعداد طلب نقل، وإرفاق العقود وبنود حماية البيانات ووصف تدابير الأمن، والاستعانة عند الحاجة بـمحام في القانون الرقمي والأمن السيبراني.
في حالة استشارية نموذجية، خسرت شركة تصدير مغربية مرحلة متقدمة من التفاوض مع عميل فرنسي لأنها لم تستطع بيان مكان استضافة بيانات مندوبي المبيعات، ولا تقديم ترخيص نقل أو عقد مناولة منظم. لم يسأل العميل عن شعار الخصوصية؛ طلب وثائق قابلة للتدقيق.
العلاقة مع الاتحاد الأوروبي
حتى سبتمبر 2026، لا يستفيد المغرب من قرار ملاءمة عام صادر عن المفوضية الأوروبية بموجب المادة 45 من RGPD. لذلك، عندما تنقل شركة أوروبية بيانات أشخاص موجودين في الاتحاد إلى مزود مغربي، تحتاج غالباً إلى ضمانات مثل البنود التعاقدية النموذجية الأوروبية، مع تقييم المخاطر عند الاقتضاء.
أما النقل من المغرب إلى دولة أوروبية، فينبغي فحص موقف CNDP والقرار المنطبق على البلد والعملية المحددين. لا يجوز الخلط بين قواعد الاتجاهين. الحصول مستقبلاً على تقارب أكبر مع المعايير الأوروبية سيكون مكسباً مهماً لخدمات التعهيد ومراكز النداء والبرمجيات المغربية، وهو أحد الأبعاد العملية للنقاش الذي تحركه مبادرات مثل تحالف APEBI-APDND.
العقوبات: ماذا تخاطر الشركة فعلياً؟
العقوبات الزجرية في القانون 09-08
توجد الأحكام الزجرية في المواد 51 إلى 65. ومن الأخطاء المتداولة إسناد مبلغ موحد لكل مخالفة أو القول إن CNDP تفرض مباشرة كل الغرامات الجنائية. الغرامة والعقوبة تتوقفان على الوصف القانوني الدقيق، والمحكمة الزجرية هي التي تحكم بالعقوبات الجنائية بعد سلوك المسطرة.
تعاقب المادة 52 عرقلة مهام المراقبة التي تضطلع بها اللجنة بالعقوبات المحددة فيها. أما المادة 53 فتعاقب، بالحبس من ثلاثة أشهر إلى سنة وبغرامة من 20,000 إلى 200,000 درهم أو بإحدى هاتين العقوبتين فقط، من ينفذ معالجة للمعطيات الشخصية دون القيام بالتصريح أو الحصول على الترخيص المطلوب بموجب المادة 12.
وتعاقب مواد أخرى الجمع التدليسي أو غير المشروع، والانحراف عن الغرض، والإفشاء غير المأذون، والإخلال بالأمن أو الاحتفاظ غير المشروع، ونقل البيانات إلى الخارج خلافاً للمادتين 43 و44. بعض الأفعال قد يعرض مرتكبها لغرامات أعلى بحسب طبيعتها، كما تضعف المسؤولية أكثر عندما يتعلق الأمر بمعطيات حساسة أو إفشاء ألحق ضرراً بالأشخاص.
يمكن مساءلة الشخص المعنوي وفق الشروط التي يقررها القانون، مع إمكان فرض عقوبات إضافية. لذلك ففكرة أن الغرامة سيتحملها تقني المعلوميات وحده غير صحيحة. المسؤولية قد تطال الشركة ومسيريها أو الأشخاص الذين ارتكبوا الأفعال بحسب الأدوار والإثباتات.
كيف تتحرك CNDP؟
غالباً ما يبدأ الملف بطلب معلومات أو مراقبة أو شكاية، ثم قد يصدر تنبيه أو إعذار لتصحيح الوضع. وإذا استمرت المخالفة أو كانت جسيمة، تستطيع اللجنة اتخاذ التدابير الداخلة في اختصاصها وإحالة الوقائع التي تحمل وصفاً جرمياً إلى النيابة العامة المختصة.
لا ينبغي فهم النهج التوعوي للجنة باعتباره حصانة. السوق نفسه أصبح أداة ضغط: دفاتر التحملات، البنوك، شركات التأمين والمجموعات الدولية تطلب أرقام التصاريح، وسياسات الأمن، وعقود المناولة وإثباتات نقل البيانات. أحياناً تضيع الصفقة قبل أن يصل أي محضر من CNDP.
خرق البيانات والسمعة
تسريب قائمة زبناء أو ملفات أجور قد يؤدي إلى مطالب بالتعويض أمام المحاكم، ونزاعات شغل، وشكايات زجرية، فضلاً عن الضرر التجاري. ولا توجد في القانون الحالي قاعدة عامة مطابقة حرفياً لإشعار RGPD خلال 72 ساعة، لكن على الشركة توثيق الحادث، إيقافه، حفظ الأدلة، تقييم الضرر، وإشعار الجهات والأشخاص عندما يفرض القانون القطاعي أو قرار CNDP أو العقد ذلك، أو عندما يكون الإشعار ضرورياً لتقليص الخطر.
خطة امتثال عملية للمقاولات المغربية
1. جرد جميع المعالجات
ابدأ من الواقع، لا من النماذج الجاهزة. اجتمع مع الموارد البشرية والمبيعات والمحاسبة والتسويق والمعلوميات والأمن. سجل كل معالجة: البيانات، الأشخاص، الغرض، الأساس القانوني، المستفيدون، مدة الحفظ، مكان الاستضافة، المناولون والتحويلات الدولية.
يمكن لمقاولة صغيرة البدء بجدول Excel، لكن يجب أن يكون صادقاً ومحيناً. من الضروري إدراج ملفات CNSS والأجور، نظام ANAPEC والتوظيف، كاميرات المراقبة، البصمة، CRM، الموقع، النشرة البريدية، WhatsApp المهني، النسخ الاحتياطية وملفات الموردين.
2. تصنيف الإجراءات لدى CNDP
حدد ما يحتاج إلى تصريح، وما يدخل في معيار مبسط أو إعفاء منشور، وما يتطلب ترخيصاً مسبقاً، وما يتضمن نقلاً إلى الخارج. ابدأ بالبصمة والبيانات الصحية والبطاقة الوطنية والكاميرات وقواعد الزبناء الكبيرة، لأنها الأعلى خطراً.
3. إعداد الوثائق القانونية
تحتاج الشركة عادة إلى سياسة خصوصية، وإشعارات مختصرة عند الجمع، وبنود عقود الشغل، وعقود مناولة، وسياسة حفظ وإتلاف، وإجراء لمعالجة طلبات الحقوق، وخطة للحوادث. ينبغي كذلك تصحيح شروط الموقع وعقود التجارة الإلكترونية بمساعدة محام متخصص في التجارة الإلكترونية.
4. الأمن والتكوين
الوثائق وحدها لا تكفي. درّب الموظفين على التصيد الإلكتروني، وإرسال الملفات، والتحقق من هوية طالب البيانات، والتبليغ عن الحوادث. كثير من التسريبات لا يبدأ بقرصان خارق، بل بموظف أرسل ملف Excel إلى العنوان الخطأ.
5. تعيين مرجع داخلي
لا يفرض القانون 09-08 تعيين مندوب لحماية البيانات DPD أو DPO بالطريقة نفسها التي يفرضها RGPD في حالات معينة. لكن تعيين مرجع داخلي أو خارجي ممارسة جيدة، خاصة في الصحة والتمويل والتجارة الإلكترونية ومراكز النداء.
يمكن أن يكون المرجع أجيراً مدرباً أو محامياً أو مستشاراً خارجياً، بشرط وضوح مهامه وتجنب تضارب المصالح. تتراوح خدمات المرجع الخارجي للمقاولات الصغيرة، بحسب الحجم والمخاطر، تقريباً بين 1,500 و5,000 درهم شهرياً. وهذه أثمان سوق تقريبية وليست رسوماً رسمية.
الميزانية والمدة الواقعية
بالنسبة إلى مقاولة تضم بين 10 و50 أجيراً ومعالجات عادية، قد تتراوح كلفة المواكبة الكاملة بين 15,000 و40,000 درهم. وقد ترتفع عند وجود منصة صحية أو بصمة أو تطبيق محمول أو تحويلات متعددة. أما المدة الواقعية فتتراوح غالباً بين ثلاثة وستة أشهر، مع ضرورة استمرار المراجعة سنوياً وعند إطلاق أي منتج جديد.
يمكن اللجوء إلى محامين متخصصين في القانون الرقمي بالدار البيضاء أو إلى خبراء في مدن أخرى، بما فيها محامو قانون الأعمال بمراكش. لكن لا تسلم المشروع بالكامل للمستشار: الامتثال لا ينجح دون مشاركة الإدارة والفرق الداخلية.
كيف تودع شكاية لدى CNDP؟
متى يمكن تقديم الشكاية؟
يمكن للشخص الذي يرى أن بياناته جُمعت أو استعملت أو نُقلت بشكل غير مشروع، أو أن حقوقه في الولوج أو التصحيح أو التعرض لم تُحترم، أن يلجأ إلى CNDP. ومن الأفضل أن يبدأ بطلب مكتوب إلى المسؤول عن المعالجة، مع الاحتفاظ بنسخة وإثبات الإرسال. لكن وصف هذه الخطوة بأنها شرط قانوني مطلق في جميع الشكايات يحتاج إلى سند خاص؛ فهي في المقام الأول خطوة عملية قوية تسمح بإثبات النزاع ومنح المؤسسة فرصة للجواب.
الوثائق والمسار
يتوفر نموذج الشكاية والتعليمات الحالية على الموقع الرسمي للجنة. يرفق المشتكي عادة نسخة من وثيقة الهوية، وطلبه الأول، وإثبات الإرسال، والجواب إن وجد، وصور الشاشة أو العقود أو الرسائل المؤيدة. ويمكن الإيداع وفق القنوات التي تعلن عنها CNDP، بما فيها الإرسال أو الإيداع المباشر بحسب الإجراءات الجارية.
لا ينبغي تقديم أجل 60 يوماً على أنه أجل قانوني عام مضمون للفصل في كل شكاية ما لم ينص عليه الإجراء الخاص المنشور وقت الإيداع. مدة البحث تتوقف على تعقيد الملف، وطلبات المعلومات والمراقبة. وقد تنتهي الشكاية بتسوية الوضع، أو إعذار المسؤول، أو إجراء رقابي، أو إحالة الوقائع ذات الصبغة الجرمية إلى النيابة العامة.
كما لا يمنع اللجوء إلى CNDP، من حيث المبدأ، من سلوك المساطر القضائية المناسبة. يمكن رفع دعوى تعويض أمام المحكمة المختصة إذا ثبت الخطأ والضرر والعلاقة السببية، أو تقديم شكاية إلى النيابة العامة عندما تشكل الوقائع جريمة. وقد يتداخل الملف مع نزاع شغلي أو تجاري، لذلك يجب اختيار المحكمة والمسار وفق طبيعة العلاقة.
الخلاصة: الامتثال استثمار في الثقة وليس ورقة إدارية
حماية البيانات الشخصية في الشركة المغربية لا تبدأ بملء نموذج وتنتهي بوصل. إنها منظومة تشمل مشروعية الجمع، وإخبار الأشخاص، واحترام حقوقهم، وتأمين الأنظمة، وضبط المناولين، وتنظيم النقل الدولي، وحذف البيانات عند انتهاء الحاجة إليها.
القانون 09-08 موجود منذ 2009، لكن مرحلة التساهل العملي تتراجع تحت ضغط الرقمنة والشركاء الدوليين ومتطلبات الأمن السيبراني. وتحالف APEBI-APDND مؤشر مهني على هذا التحول، لا بديلاً عن القانون أو قرارات CNDP.
ابدأ الآن بالجرد. حدد أخطر ثلاث معالجات في شركتك، وافحص وضعها لدى CNDP وعقودها وأمنها. حماية المعطيات ليست قضية تقنيين فقط؛ إنها اتفاق ثقة بين المقاولة وزبنائها وأجرائها وشركائها. ومن يحمي هذه الثقة اليوم، يتفادى غداً نزاعاً مكلفاً أو صفقة ضائعة.
