Transfert des Données à Caractère Personnel
– du Maroc à l’Etranger _
Le traitement des données à caractère personnel est soumis à une réglementation précise qui vise à protéger les personnes concernées et à encadrer les obligations des responsables de traitement. Au Maroc, c’est La Commission Nationale de contrôle de la protection des Données à caractère Personnel (ci-après : « CNDP ») qui est chargée de vérifier que les traitements des données personnelles sont licites, légaux et ne portent pas atteinte à la vie privée, aux libertés et droits fondamentaux de l’homme.
Ainsi, tout responsable de traitement se doit de communiquer à la CNDP toutes les informations relatives à la nature des données collectées, à la destination, au type de traitement etc…
En effet, chaque responsable de traitement doit notifier tout transfert à l’étranger, et ce, selon les modalités prévues au Dahir n° 1-09-15 du 22 safar 1430 (18 février 2009) portant promulgation de la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données àcaractère personnel.
Il s’agit donc de notifier la CNDP – déclaration ou demande d’autorisation – en cas de stockage ou d’hébergement des données sur des serveurs situés hors territoire national.
NB. La CNDP n’autorise le transfert à l’étranger d’un fichier de données personnelles que lorsque le traitement sous-jacent a fait l’objet d’une demande de déclaration ou d’autorisation approuvée par la CNDP.
De plus, l’article 43 de la loi 09-08 dispose que « Le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat étranger que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet. »
La CNDP apprécie ce caractère en fonction des dispositions en vigueur dans chaque Etat, de ses mesures de sécurité, des caractéristiques propres du traitement telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées.
Par conséquent, et après examen de la CNDP, cette dernière a établit une liste par le biais de la Délibération n°236-2015 du 18 Décembre 2015 portant modification de la délibération n°465-2013 du 06 Septembre 2013 citant les Etats assurant une protection suffisante de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement des données à caractère personnel. Et ce, comme suit :
Allemagne, Autriche, Belgique, Bulgarie, Canada, Chypre, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Irlande, Islande, Italie, Lettonie, Liechtenstein, Lituanie, Luxembourg, Malte, Norvège, Pays-Bas, Pologne, Portugal, République Tchèque, Roumanie, Royaume-Uni, Slovaquie, Slovénie, Suède, Suisse.
Toujours dans le cadre de la protection et du contrôle des droits des personnes concernées, la CNDP a veillé à instaurer des conditions de transfert à l’étranger pour les pays ne figurant pas dans la liste mentionnée ci-dessus. En effet, l’article 44 indique que le responsable de traitement peut transférer des données à caractère personnel vers un Etat ne répondant pas aux conditions citées à l’article 43, dans les cas suivants :
- Quand la personne concernée a donné expressément son consentement au transfert.
- Si le transfert est nécessaire :
- À la sauvegarde de la vie de la personne concernée ;
- À la préservation de l’intérêt public ;
- Au respect d’obligations permettant d’assurer la constatation, l’exercice ou la défense d’un droit en justice ;
- À l’exécution d’un contrat entre le responsable du traitement et la personne concernée ;
- À l’exécution d’un contrat, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers;
- À l’exécution d’une mesure d’entraide judiciaire internationale ;
- À la prévention, le diagnostic ou le traitement d’affections médicales.
- En application d’un accord international auquel le Maroc est partie ;
- Sur autorisation expresse de la CNDP si le traitement garantit un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes, notamment en raison des clauses contractuelles ou règles internes d’entreprise dont il fait l’objet.
Finalement, l’article 60 énonce que quiconque vient en violation des dispositions des articles 43 et 44 de la loi 09-08, à savoir le transfert de données à caractère personnel vers un Etat étranger sans notification préalable, peut être puni d’un emprisonnement de trois mois à un an et d’une amende de 20.000 à 200.000 DH ou de l’une de ces deux peines seulement.