L o i N ° 09 . 08 R e l a t i v e à l a p r o t e c t i o n des

1. LoiN°09.08 Relativeàlaprotectiondes personnes l’égarddu données à personnel physiquesà traitementdes caractère Événement www.mcinet.gov.ma 1 1

2. 1.1Contextegénéral ·Lamultiplicitédesinformationspersonnelles; ·Ledéveloppementtechnologiquefacilitel'utilisationdes donnéesàcaractèrepersonnel; ·Lanécessitédeprotégerlecitoyencontrel'utilisation desesdonnéespersonnelles; abusive ·L'intérêtduMarocpourunelégislationappropriée. 3

3. 1.2Contextegénéral Laviepersonnelledesindividusetleursdonnéespersonnelles sontexposéesàdenouveauxrisques,induitsparle développementetlaproliférationdestechnologiesde l’informationetdel’internetauprèsdugrandpublic. · Lamultiplicationdesapplicationsinformatiquesbaséessurla collecteetletraitementdesdonnéespersonnellesdans · plusieursdomaines:Servicesadministratifsenligne-Santé ligne-Commerceélectronique-donnéesbiométriques… en 4

4. 2.1Instaurationde laConfiance Numérique LeProgramme«ConfiancenumériqueetCybersécurité» constitueunvoletfondamentalduPlanvisantàpromouvoir lestechnologiesdel’informationauMarocetàfairede l’économienumériqueunvéritablevecteurde développement. · Lesactionss’inscrivantdanslecadredecePlannepeuvent sedéployer,d’unemanièreefficacesansêtreaccompagnées d’unestratégie,permettantànotrepaysdesedoterd’un cadrenationaljuridique,techniqueetorganisationnelpourla cybersécuritéetlaconfiancenumérique. · 5

5. 2.2Instaurationde laConfiance Numérique Les3objectifsprincipauxpoursuivisdanslecadredecette stratégienationale: ·lasécuritédesinfrastructuresetdessystèmesd’information ainsiquecellesdesaccès; ·garantir lasécurité,l’intégritéetlaconfidentialitédes échangesdématérialisésnationauxettransfrontaliers. ·-Assurerlaprotectiondelavieprivéeetluttercontrela cybercriminalité 6

6. 2.3Instaurationde laConfiance Numérique l’opérationnalisation de cette politique s’est traduite par l’élaborationd’unefeuillederoutepourlacybersécuritéetla confiancenumériquesedéclinantentroisgrandsaxes: 1) Lamiseenplacedesorganismesinstitutionnelsdelaconfiance numériqueafin decoordonnerla luttecontrela cybercriminalité; 2) Lelancementdeplansdecommunication,deformationetde sensibilisationpourasseoirlaculturedelacybersécuritéparmi tousle utilisateurs,particuliersetentreprises. 7

7. 2.3Instaurationde laConfiance Numérique 3) l’élaboration d’un cadre législatif adéquat pour favoriser le développementdestransactionsetdeséchangesélectroniques avecpourobjectifsde : Protéger les utilisateurs contre les risques engendrés par le · développementdes nouveauxsupports technologiques; Mettrenotredispositiflégislatifenphaseavecleschangementsinduits parledéveloppementdesTIC; · Harmoniser notre législation avec l’environnement juridique · internationaletnotammentceluide nos partenaires. 8

8. 2.4Instaurationde laConfiance Numérique Cette démarche a abouti à l’adoption d’un certain nombre de texteslégislatifs: LaLoi53-05relativeà l’échangeélectroniquedes donnéesjuridiques; · La loi n°07- 03 complétant le code pénal en ce qui concerne la répressiondes infractionsrelativesaux systèmesinformatiques; · Laloi09-08relativeàlaprotectiondespersonnesphysiquesàl’égard destraitementsdes donnéesà caractère personnel. · 9

9. 3.1Protectiondes données à caractèrepersonnel Al’international: ·Déclarationuniverselle desdroitsdel'homme: l'article12; ·DirectiveduParlement 1995. européenetduConseil du24Octobre 10

10. 3.2Protectiondes données à caractèrepersonnel -AuMaroc: ·Etude«confianceNumériqueetSécuritédessystèmes»; ·Desdispositionsdisperséesdansquelquestexteslégislatifs nationaux; ·Obligationdusecretprofessionneldansungrandnombrede texteslégislatifs; ·LeMarocsouscritauxprincipesgénérauxinstituantlerespect laprotectiondesdroitshumains; et ·ApprobationduMarocdecertainstraitésetconventions internationauxdanscedomaine. 11

11. 4.1Champsd’applicationdelaLoi ·Permettreàl’arsenallégislatifmarocaindedisposerd’unmoyen légalspécifiquepourassureruneprotectionefficacedesdonnées àcaractèrepersonnel; ·Protectionducitoyencontre l’usageabusifdesesdonnéesà caractèrepersonnel; ·Adéquationdelalégislation internationales. marocaineavecleslégislations 12

12. 4.2Champsd’applicationdelaLoi Laprésentelois'appliqueautraitementdesdonnéesàcaractère personnellorsque: Letraitementesteffectuéparunepersonnephysiqueou moraledontleresponsableestétablisurleterritoire marocain; · Leresponsablen'estpasétablisurleterritoiremais recourtàdesmoyensautomatisésounon,situéssur territoiremarocain. · le 13

13. 4.3Champsd’applicationdelaLoi Cetteloine s'appliquepas: · Autraitementdesdonnéeseffectuépourl'exercice d'activitésexclusivementpersonnellesoudomestiques; Auxdonnéesrecueilliesettraitéesdansl’intérêtdela défensenationale,delasécuritéintérieureouextérieurede l'Etat; · Auxdonnéesàcaractèrepersonnelrecueilliesettraitéesà desfinsdepréventionetderépressiondescrimesetdélits. · 14

14. 5.1Axesprincipaux Lesdonnéesà caractèrepersonneldoiventêtre: traitéesloyalementetlicitement; collectéespourdesfinalitésdéterminées,expliciteset légitimes; · · exactesetmisesàjour; conservéessousuneformepermettantl'identificationdes personnesconcernées; · · Letraitement ne peutêtreeffectuéque si lapersonne concernéeadonnéson consentementformel. 15

15. 5.2Axesprincipaux Les personnesconcernéesparletraitementont : Ledroitàl’information; · Ledroitd'accèspours’assurerdel’intégrité de ses · donnéesetlasécuritéde leurs utilisations; Ledroitderectification; · Ledroitd’opposition. · 16

16. 5.3Axesprincipaux Obligationsdes personnesresponsablesdu traitement: ·Demanderuneautorisationouunedéclarationavanttout detraitement; type · Protégerlesdonnéescontretouteformedetraitements illicites; ·Assurerlaconfidentialité,laprotectiondesdonnéescontre destruction,l’accèsnonautoriséetlesecretprofessionnel. la 17

17. 5.4Axesprincipaux LaprésenteLoi prévoitla créationd’uneCommission Nationalede contrôlede laprotection des Donnéesà caractèrePersonnel(CNDP),composéed’unprésidentet membres,chargéede: 6 ·Informertouteslespersonnesconcernéesdeleursdroitset obligations; ·Donnersesavisaugouvernement,parlementetautorités compétentes; ·Recevoirlesplaintesdespersonnesconcernées. 18

18. 5.5 Transfert de données versunpaysétranger Interdictiondetransférerdes donnéesà caractèrepersonnel versun paysétrangern’assurantpas un niveaude protectionsuffisantcontreuneutilisationarbitrairede données,à l’exceptiondes cas suivants : · Pourpréserverlaviedelapersonneoul'intérêtpublicou d'établirundroitdevantlajustice; Enapplicationd'unaccordbilatéraloumultilatéralauquel RoyaumeduMarocestsignataire; le · Avecautorisationexpresseetmotivéedelacommission. · 19

19. 5.6Sanctions et dispositiontransitoire La loiprévoit: · • • • Des Des Des sanctions sanctions sanctions administratives; pécuniaires; d’emprisonnement. Dispositiontransitoire · • Undélaidedeuxansestaccordéauxresponsablesdu traitement pourrégulariserleurssituationenconformité aveclesdispositionsdeprésenteloi. 20

20. Niveau de maturité en termes de sécurité au sein des entreprises marocaines *Livre blanc AUSIM: Données à caractère personnel :Quels enjeux et comment se préparer à la loi 09-08 ?

21. Evolution constante des règlements mondiaux et d'industrie Taiwan:Computer- ProcessedPersonal Data Protection Law Korea: 3 Acts for Financial Data Privacy Singapore:Monetary Authority ofSingapore Act Russia:Computerization & Protection of Information/ Participation in Int’l Info Exchange Japan:Guidelines for theProtection of ComputerProcessed Personal Data Vietnam:Banking Law Hong Kong: Privacy Ordinance Philippines:Secrecy of BankDeposit Act New Zealand:Privacy Act United Kingdom: Data ProtectionAct Poland: Polish Constitution Australia: Federal PrivacyAmendment Bill Canada: Personal Information Protection& Electronics Document Act Germany:Federal Data Protection Act & State Laws EU: ProtectionDirective China Commercial Banking Law USA: Federal, Financial & HealthcareIndustry Regulations & State Laws Morocco:09-08 Pakistan: Banking CompaniesOrdinance Mexico:E-Commerce Law Israel:Protection ofPrivacy Law Brazil:Constitution, Habeas Data & Code of Consumer Protection &Defense India:SEC Board of India Act South Africa:Promotion of Accessto Information Act Chile:Protection of Personal Data Act Colombia: Political Constitution –Article 15 Indonesia:Bank SecrecyRegulation 8 Argentina:Habeas Data Act

22. Initiatives des entreprises marocaines orientées vers la loi 09-08 *Livre blanc AUSIM: Données à caractère personnel :Quels enjeux et comment se préparer à la loi 09-08 ?

23. Loi 09-08: Protection des personnes physique à l’égard du traitement des données à caractère personnel: 8 Chapitres

24. Chapitre III, Section 3, Articles 23 et 24: Des obligations de confidentialité et de sécurité des traitements et de secret professionnel

25. Chapitre III, Section 3, Articles 23 et 24: Des obligations de confidentialité et de sécurité des traitements et de secret professionnel

26. Chapitre III, Section 3, Articles 23 et 24: Des obligations de confidentialité et de sécurité des traitements et de secret professionnel

27. Chapitre III, Section 3, Articles 23 et 24: Des obligations de confidentialité et de sécurité des traitements et de secret professionnel

28. Chapitre III, Section 3, Articles 23 et 24: Des obligations de confidentialité et de sécurité des traitements et de secret professionnel