الامتثال للجنة الوطنية لحماية المعطيات: المنهجية في 8 مراحل

المرحلة 1: جرد المعالجات#

ضع لائحة بكل استعمال للمعطيات الشخصية داخل المؤسسة. أكثر المعالجات شيوعاً:

• تدبير المستخدمين والأجور؛
• تدبير العملاء والزبناء المحتملين (نظام إدارة العلاقات، الفوترة، خدمة العملاء)؛
• المراقبة بالكاميرات داخل المقرات؛
• استمارات الموقع الإلكتروني وأدوات قياسه؛
• مراقبة الولوج إلى البنايات؛
• التواصل مع العملاء عبر واتساب أو البريد الإلكتروني.

لكل معالجة، سجّل غايتها، وفئات المعطيات، والأشخاص المعنيين، والمرسل إليهم، ومدة الحفظ، ومقدمي الخدمات المتدخلين. هذا الجرد ليس استمارة يفرضها القانون، لكن بدونه لا يمكن الوثوق في أي من المراحل الموالية.

المرحلة 2: تحديد الإجراء المطلوب لكل معالجة#

ينص القانون على نظامين:

• التصريح المسبق، بالنسبة لأغلب المعالجات. يسمح الوصل الذي تسلّمه اللجنة الوطنية بالشروع في المعالجة.
• الإذن المسبق، بالنسبة للمعالجات الأكثر حساسية. حسب اللجنة الوطنية، يشمل ذلك خاصة: المعطيات الحساسة (الأصل العرقي أو الإثني، الآراء السياسية، القناعات الدينية أو الفلسفية، الانتماء النقابي، الصحة بما فيها المعطيات الجينية)، واستعمال المعطيات لأغراض غير تلك التي جُمعت من أجلها، والمعطيات المتعلقة بالمخالفات والإدانات، وبعض المعالجات التي تستعمل رقم البطاقة الوطنية للتعريف، والربط بين ملفات ذات غايات مختلفة.

في حالة الشك حول تصنيف معالجة ما، يبقى المرجع هو صفحة «الإجراءات» على موقع اللجنة الوطنية.

المرحلة 3: التحقق من الغاية والأساس القانوني والتناسب#

اطرح ثلاثة أسئلة لكل معالجة:

• لماذا تُجمع هذه المعطيات؟ يجب أن تكون الغاية دقيقة.
• على أي أساس؟ الموافقة، أو أحد استثناءات المادة 4 (عقد، التزام قانوني، مصلحة مشروعة...).
• هل كلها ضرورية؟ احذف حقول الاستمارات التي لا فائدة منها وحدد مدة للحفظ.

المرحلة 4: إيداع الإجراءات لدى اللجنة الوطنية#

أودع التصريحات وطلبات الإذن باستعمال الاستمارات التي تضعها اللجنة الوطنية رهن الإشارة. احتفظ بالوصولات والأذون المحصل عليها: فهي أول أدلة امتثالك في حالة المراقبة.

المرحلة 5: إخبار الأشخاص#

تفرض المادة 5 إخبار كل شخص عند جمع معطياته بهوية المسؤول، والغايات، والمرسل إليهم، والطابع الإلزامي أو الاختياري للأجوبة، والحقوق التي يتمتع بها. عملياً:

• عبارة إخبارية أسفل كل استمارة في الموقع؛
• سياسة خصوصية يسهل الوصول إليها؛
• بند في عقود الشغل وعقود العملاء؛
• لوحة ظاهرة تُخبر الأشخاص بوجود المراقبة بالكاميرات وبحقوقهم.

المرحلة 6: تأمين المعطيات وتأطير المعالجين من الباطن#

تفرض المادتان 23 و24 تدابير تقنية وتنظيمية ملائمة: تدبير صلاحيات الولوج، كلمات مرور قوية، نسخ احتياطية، تسجيل العمليات، تحسيس المستخدمين. ويجب أن يرتبط كل مقدّم خدمة يعالج المعطيات لحسابك بعقد مكتوب يُلزمه باحترام تعليماتك وتأمين المعطيات.

المرحلة 7: تسوية النقل نحو الخارج#

برنامج على الإنترنت مستضاف خارج المغرب، شركة أم تتلقى معطيات الموارد البشرية، أداة أجنبية للرسائل الإلكترونية: كلها حالات نقل. تحقق مما إذا كانت الدولة المستقبِلة واردة في لائحة اللجنة الوطنية أو ما إذا كان أحد الاستثناءات ينطبق. وإلا فإن الإذن ضروري (الاستمارة F118). اطلع على دليل نقل المعطيات نحو الخارج.

المرحلة 8: تنظيم طلبات ممارسة الحقوق#

عيّن عنوان تواصل، وشخصاً مسؤولاً، ومسطرة داخلية لمعالجة طلبات الولوج والتصحيح والتعرض. بالنسبة للتصحيح، يحدد القانون أجل عشرة أيام.

وماذا بعد؟#

الامتثال ليس مشروعاً لمرة واحدة. كل معالجة جديدة (تطبيق جديد، مقدّم خدمة جديد، حملة تسويقية جديدة) يجب أن تمر من هذه المراحل قبل تنفيذها. وقد كثّفت اللجنة الوطنية مراقبتها سنة 2025: المؤسسات التي وثّقت مسارها في وضعية أريح بكثير. اطلع أيضاً على العقوبات المنصوص عليها في القانون 09.08.

لائحة تحقق عملية#

• جرد المعالجات منجز ومحيَّن.
• الإجراء (تصريح أو إذن) محدد ومودَع لكل معالجة.
• العبارات الإخبارية موجودة في كل نقاط الجمع.
• عقود موقعة مع كل المعالجين من الباطن.
• حالات النقل نحو الخارج محددة ومسوّاة.
• مسطرة الرد على طلبات ممارسة الحقوق قائمة.