التحقق من هوية العميل دون جمع مفرط: معرفة العميل والقانون 09.08

قانونان وملف واحد#

يفرض القانون 43.05 المتعلق بمكافحة غسل الأموال تحديد هوية العميل وممثليه ومستفيده الفعلي، والتحقق من هذه المعلومات بناءً على وثائق موثوقة، وحفظها عشر سنوات. ويؤطر القانون 09.08 الصادر في 18 فبراير 2009 كل معالجة للمعطيات الشخصية. ويُطبَّق القانونان في الوقت نفسه على الملف نفسه. ولا تعارض بينهما: فالأول يحدد ما يجب جمعه، والثاني يحدد كيفية القيام بذلك.

والقراءة التالية هي قراءتنا. لا يوجد نص واحد للجنة الوطنية ينص عليها، لكنها تنبثق من التمفصل بين القانونين.

الأساس القانوني: الالتزام لا الموافقة#

تجعل المادة 4 من القانون 09.08 الموافقةَ القاعدةَ، مع استثناءات. ومن بينها احترام التزام قانوني. وتستند المعطيات التي يفرضها القانون 43.05 إلى هذا الاستثناء: فلا معنى لطلب «موافقة» العميل على التحقق من هويته، ما دام لا يستطيع الرفض دون أن تتوقف العلاقة.

في المقابل، تصبح الموافقة ضرورية من جديد بالنسبة لما يخرج عن هذا الالتزام، كإرسال نشرة إخبارية عبر البريد الإلكتروني. فلا تجمع بين الأمرين في خانة واحدة للتأشير.

رقم البطاقة الوطنية للتعريف: إذن مسبق#

تشير اللجنة الوطنية إلى أن المعالجة التي تشمل رقم البطاقة الوطنية للتعريف تخضع للإذن المسبق المنصوص عليه في المادة 12 من القانون 09.08. ولا يكفي مجرد تصريح. والمكتب الذي يُدخل هذا الرقم في برنامج التدبير أو جدول التتبع الخاص به يجب أن يودع الطلب قبل الشروع في المعالجة. وتفصّل منهجية الامتثال للجنة الوطنية هذه الخطوات.

ويعاقَب على معالجة المعطيات دون الإجراء المطلوب بغرامة من 10.000 إلى 100.000 درهم (المادة 52). ويعرّض الجمع غير المشروع أو التدليسي لعقوبات أشد (المادة 54). اطلع على جدول عقوبات القانون 09.08.

إخبار العميل#

تفرض المادة 5 الإشارة، لحظة الجمع، إلى:

• هوية المكتب المسؤول عن المعالجة؛
• الغاية: احترام التزامات القانون 43.05 وتدبير الملف؛
• الجهات المتلقية، بما فيها السلطات المؤهلة بموجب القانون؛
• حقوق الولوج والتصحيح والتعرض، وكيفية ممارستها.

ويمكن إدراج هذا البيان في استمارة ربط العلاقة وفي رسالة التكليف، بالفرنسية والعربية. وهو يشرح الإطار العام، دون الإشارة أبداً إلى تصريح بالاشتباه، وهو ما تمنعه المادة 29 من القانون 43.05.

جمع ما يفرضه القانون، لا أكثر#

والتصرف السليم: أن تكون قادراً، بالنسبة لكل خانة في الاستمارة، على ذكر الالتزام الذي تخدمه. والخانة التي لا مبرر لها تُحذف.

نسخ وثائق الهوية#

لم نرصد أي مداولة للجنة الوطنية تتعلق تحديداً بنسخ البطاقة الوطنية للتعريف. أما المداولة رقم 478-2013، التي يُستشهد بها أحياناً في هذا الموضوع، فتتعلق في الواقع بالبيومترية لمراقبة الولوج.

وأقرب نص هو المداولة رقم 479-AU-2013 الصادرة في فاتح نونبر 2013، وهي نموذج إذن لتدبير حسابات عملاء الأبناك. وهي تدرج وثائق الهوية ضمن المعطيات التي يمكن جمعها، وتشير إلى القانون 43.05، وتعيّن وحدة معالجة المعلومات المالية (UTRF)، التي أصبحت الهيئة الوطنية للمعلومات المالية، كجهة متلقية، وتحصر الحفظ في المدة الضرورية، ما لم يفرض القانون مدة أطول. وتبيّن كيف تقرأ اللجنة الوطنية مسألة معرفة العميل.

وبالنسبة لمكتب مهني، تتمثل الممارسة المتناسبة في:

1. الاحتفاظ بالنسخة فقط في الملفات الداخلة في نطاق القانون 43.05، كدليل على التحقق؛
2. عدم نسخ البطاقة الوطنية لمجرد موعد أو لملف خارج النطاق؛
3. تخزين النسخة في فضاء محدود الولوج، وليس أبداً في بريد إلكتروني شخصي؛
4. تدوين تاريخ التحقق والشخص الذي قام به.

الحفظ عشر سنوات ثم الحذف#

تحدد المادة 7 من القانون 43.05 مدة الحفظ في عشر سنوات: ابتداءً من نهاية العلاقة بالنسبة لتحديد الهوية، وابتداءً من العملية بالنسبة لوثائق العمليات. وهذه هي المدة الضرورية بمفهوم المادة 3 من القانون 09.08. وعند انقضائها، تُحذف المعطيات أو تُخفى هويتها. وتجنّب جدولة للحذف، ممسوكة في سجل المعالجات، الاحتفاظ إلى ما لا نهاية بأرشيف لم يعد أي قانون يبرره.

الأمن والولوج#

تفرض المادة 23 تدابير أمنية تقنية وتنظيمية؛ وتشترط المادة 24 عقداً مكتوباً وضمانات أمنية مع كل معالج من الباطن، بما في ذلك ناشرو البرامج ومقدمو خدمات الاستضافة. وعملياً: صلاحيات حسب الأدوار، وتسجيل الولوج إلى الملفات الحساسة، وتشفير الوثائق المخزنة، ومسطرة في حالة تسرب. وإذا كانت أدواتك مستضافة خارج المغرب، فتحقق أيضاً من قواعد نقل المعطيات نحو الخارج.

لائحة التحقق#

• كل خانة في استمارة معرفة العميل مرتبطة بالتزام من التزامات القانون 43.05.
• تم إيداع طلب إذن اللجنة الوطنية الذي يشمل رقم البطاقة الوطنية للتعريف.
• بيان الإخبار مدرج في الاستمارة وفي رسالة التكليف.
• نسخ الوثائق مخزنة في فضاء مؤمَّن وقابل للتتبع.
• جدولة الحذف بعد عشر سنوات محددة.
• العقود مع مقدمي الخدمات تتضمن البنود الأمنية.