Géolocalisation et protection des données à caractère personnel
L’utilisation la plus courante des systèmes de géolocalisation est le suivi des véhicules d’un organisme, public ou privé, en vue d’en rationaliser l’utilisation[1]. Or, la mise en œuvre de ce traitement légitime peut constituer une atteinte à la vie privée des conducteurs dont les déplacements sont collectés et analysés.
Face à une situation où les contentieux se multiplient en la matière, la Commission Nationale de contrôle de la protection des Données à caractère Personnel (ci-après la « CNDP » ou la « Commission ») a rendu une délibération n°17-2014 du 10 janvier 2014 portant sur les conditions nécessaires à la mise en place d’un dispositif de géolocalisation.
Cependant, avec cette accessibilité incessante aux technologies de géolocalisation, il est de plus en plus difficile de déterminer la frontière entre vie privée et vie professionnelle.
Des règles à respecter avant l’utilisation d’un système de géolocalisation
Tout d’abord, il convient de noter qu’un système de géolocalisation ne peut être installé avec seul objectif de contrôler, à titre d’exemple, les déplacements de ses employés. En effet, et dans ce cas-là, l’employeur doit en premier lieu témoigner un intérêt légitime pour la mise en place d’un système de géolocalisation.
C’est pour cela que la délibération[2] de la CNDP citée plus haut vient déterminer une liste de finalités autorisées qui peuvent notamment être : l’optimisation et rationalisation de la gestion du parc automobile – assurer les secours de l’employé (en cas d’incident ou d’accident) – assurer la sécurité des marchandises et des véhicules (en cas de vol par exemple) – l’évaluation du rendement des conducteurs – facturer une prestation de service directement liée à l’utilisation d’un véhicule.
NB : Le système de géolocalisation ne doit être activé que si le véhicule est utilisé à des fins professionnelles.
Des règles à respecter en cas d’utilisation du système
Il est à préciser qu’avant toute installation et mise en œuvre d’un dispositif de géolocalisation dans des véhicules, la CNDP impose d’une part, que le responsable du traitement informe de manière expresse, précise et non équivoque les instances représentatives des employés, par courrier, dans un délai raisonnable sur les moyens ou les techniques permettant le contrôle des salariés.
D’autre part, le responsable doit obtenir pour la collecte de ses données de géolocalisation, le consentement préalable libre et éclairé de la personne concernée ou la justification de l’existence d’une dérogation à l’exigence du consentement, conformément aux dispositions de la loi 09-08 promulguée par le Dahir n° 1-09-15 du 22 safar 1430 (18 février 2009) relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (ci-après la « Loi 09-08 »).
Par ailleurs, le règlement en vigueur précise que la durée de conservation ne doit pas dépasser un (1) an[3]. De plus le responsable de traitement est dans l’obligation de prendre toutes les précautions utiles pour préserver la sécurité et la confidentialité des images traitées et, notamment pour empêcher qu’elles soient détruites, déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance, et ce conformément à la Loi 09-08.
Important : L’accès aux informations collectées par un système de géolocalisation, doit être limité au gestionnaire du parc automobile et au service des ressources humaines.[4]
Une procédure à suivre
Etant donné que le géolocalisation est de nature à porter atteinte aux droits et libertés des personnes, son admission doit être exceptionnelle et subordonnée à une notification à la CNDP au moyen d’une demande de déclaration type.
De plus, l’interconnexion et le recoupement avec d’autres fichiers dont les finalités principales sont différentes, doivent faire l’objet d’une demande d’autorisation distincte, conformément à l’article 12, paragraphe 1, alinéa f de la Loi 09-08.
Et finalement, concernant le transfert de données à l’étranger, ce dernier doit être préalablement notifié à la Commission.
Des sanctions prévues en cas de non-respect des règles
Il incombe au responsable du traitement d’assurer le respect des dispositions en vigueur, sous le contrôle de la CNDP.[5]
Cependant et conformément à l’article 55 de la Loi 09-08, quiconque qui conserve des données à caractère personnel au-delà de la durée prévue ou/et en violation des dispositions de l’article 3 de la même Loi et/ou les traite à des fins autres qu’historiques, statistiques ou scientifiques, est puni d’un emprisonnement de trois (3) mois à un (1) an et d’une amende de 20.000 à 200.000 DH ou de l’une de ces deux peines seulement.
De plus, le responsable qui procède à un traitement de données à caractère personnel sans mettre en œuvre les mesures visant à préserver la sécurité des données, encourt une peine d’emprisonnement de trois (3) mois à un (1) an et d’une amende de 20.000 à 200.000 DH ou de l’une de ces deux peines seulement.
Par ailleurs, en l’absence du consentement préalable du citoyen concerné, le responsable de traitement peut faire face à un emprisonnement de trois (3) mois à deux (2) ans et/ou d’une amende allant de 20.000 à 300.000 DH.
Aussi, toute personne concernée doit avoir le droit d’accès, de rectification et d’opposition aux informations la concernant car tout responsable de traitement de données à caractère personnel refusant les droits d’accès est puni d’une amende de 20.000 à 200.000 DH par infraction, conformément aux articles 7, 8 et 9 de la même loi.[6]
Enfin, quiconque qui effectue un transfert de données à caractère personnel vers un Etat étranger, en violation des dispositions des articles 43 et 44 de la présente loi, est puni d’un emprisonnement de trois (3) mois à un (1) an et/ou d’une amende de 20.000 à 200.000 DH.
[1]https://www.cwa-maghreb.com/wp-content/uploads/2018/10/Protectiondesdonneesquellerepresentation.pdf, (Page consulté le Jeudi 24 septembre 2020) ; (Publié le Jeudi 1er Octobre 2015).)
[2]Ibidem.
[3]https://www.cndp.ma/images/deliberations/deliberation%20n-17-2014-10-01-2014.pdf (Page consulté le jeudi 24 septembre 2020).
[4]Ibid.
[5]Conformément au 3ème paragraphe de l’article 3 de la Loi 09-08.
[6]Conformément à l’article 53 de la Loi 09-08.