Sommaire
Des données sensibles à grande échelle
Une banque ou un assureur cumule plusieurs catégories de données : identité et numéro de carte nationale, coordonnées, situation familiale et professionnelle, revenus, patrimoine, historique des transactions, et, pour l'assurance vie et santé, des informations médicales. À ces données s'appliquent à la fois la loi 09-08, le secret professionnel prévu par la réglementation bancaire et les règles sectorielles de Bank Al-Maghrib et de l'ACAPS.
Les traitements à cartographier
| Traitement | Base légale probable | Point de vigilance |
|---|---|---|
| Ouverture de compte et connaissance client | Obligation légale (lutte contre le blanchiment) | Ne collecter que ce qu'exige la réglementation, conservation encadrée |
| Gestion des crédits et scoring | Exécution du contrat | Pas de décision fondée sur le seul traitement automatisé (article 11) |
| Assurance vie et santé | Consentement exprès pour les données de santé | Données sensibles : autorisation préalable en principe, sauf exception de l'article 22 |
| Prospection commerciale | Consentement pour les e-mails, SMS et appels automatisés (article 10) | Opposition gratuite à tout moment (article 9) |
| Bancassurance | Selon le cas | Informer le client de la communication de ses données entre banque et assureur |
| Enregistrement des appels | Intérêt légitime ou obligation selon l'usage | Information préalable du client, durée de conservation |
| Vidéosurveillance des agences | Sécurité | Formalité CNDP et information visible |
Le cloud et les prestataires
Les banques recourent de plus en plus au cloud et à des prestataires technologiques. Deux régimes se superposent :
- La loi 09-08 : contrat écrit avec chaque sous-traitant et encadrement des transferts à l'étranger (articles 43 et 44). Voir le transfert de données à l'étranger.
- La directive de Bank Al-Maghrib du 19 mai 2022 sur l'externalisation vers le cloud, qui impose notamment un accord préalable pour les externalisations importantes et des droits d'audit.
Les décisions automatisées
Un refus de crédit fondé uniquement sur un score automatique, sans intervention humaine ni possibilité pour le client de présenter ses observations, se heurte à l'article 11 de la loi 09-08. Voir l'IA dans la banque et l'assurance.
Les droits des clients
Les clients peuvent demander l'accès à leurs données, leur rectification (dans un délai de dix jours) et s'opposer à la prospection. Une procédure centralisée, connue des agences et du service client, évite les réponses incohérentes d'un canal à l'autre.
Checklist pratique
- Traitements recensés, déclarés ou autorisés auprès de la CNDP.
- Formalité CNDP adaptée accomplie pour les traitements de données de santé.
- Mentions d'information à jour dans les contrats, en agence et en ligne.
- Consentement recueilli pour la prospection automatisée.
- Prestataires et hébergements cloud recensés, contrats et transferts encadrés.
- Revue humaine prévue pour les décisions défavorables fondées sur un score.
À lire aussi
- 5 min de lecture
- 6 min de lecture
- 4 min de lecture
- 5 min de lecture
Questions fréquentes
La loi 09-08 s'applique-t-elle au secret bancaire ?
Les deux régimes coexistent. Le secret professionnel interdit de divulguer les informations des clients, et la loi 09-08 encadre en plus la façon dont ces données sont collectées, utilisées, conservées et transférées.
Un assureur doit-il obtenir une autorisation de la CNDP pour les données de santé ?
En principe oui : les données de santé sont sensibles, soumises à l'autorisation préalable et, en règle générale, au consentement exprès. L'article 22 de la loi 09-08 prévoit toutefois une simple déclaration dans certains cas, notamment la sélection des personnes pouvant bénéficier d'un droit, d'une prestation ou d'un contrat. La formalité se vérifie traitement par traitement.
Une banque peut-elle envoyer des offres par SMS ou e-mail à ses clients ?
La prospection par automate d'appel, fax ou courrier électronique exige le consentement préalable de la personne (article 10 de la loi 09-08), qui peut en outre s'y opposer gratuitement à tout moment.
Information générale, pas un avis juridique.
Signaler une erreurRéférences (6)
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Dahir n° 1-09-15 du 18 février 2009). (nouvel onglet)
- CNDP — Formalités : déclaration et autorisation préalables (cndp.ma). (nouvel onglet)
- CNDP — Transfert de données à l'étranger et formulaire F118 (cndp.ma). (nouvel onglet)
- Bank Al-Maghrib. Directive n° 4/W/2022 du 19 mai 2022 fixant les règles minimales en matière d'externalisation vers le cloud.
- Loi n° 103-12 relative aux établissements de crédit et organismes assimilés.
- CNDP — Liste des infractions à la loi n° 09-08 et des sanctions prévues (cndp.ma, 2024).