Privacy by Design au Maroc : du Principe aux Formulaires et à la Prise de Rendez-vous

D'où vient le Privacy by Design#

Le concept a été développé dans les années 1990 par Ann Cavoukian, alors commissaire à l'information et à la protection de la vie privée de l'Ontario (Canada). Il repose sur une idée simple : il est plus efficace et moins coûteux de concevoir un système respectueux des données dès le départ que de corriger un système qui ne l'est pas.

Les sept principes fondateurs#

1. Anticiper plutôt que réagir. Prévenir les atteintes à la vie privée avant qu'elles ne se produisent.
2. Protéger par défaut. Sans action de l'utilisateur, ses données sont protégées au niveau maximal.
3. Intégrer la protection à la conception. Elle fait partie de l'architecture du système, pas d'une couche ajoutée.
4. Rechercher une fonctionnalité complète. Protection et fonctionnalités ne s'opposent pas ; il faut viser les deux.
5. Sécuriser de bout en bout. Les données sont protégées pendant tout leur cycle de vie, de la collecte à la destruction.
6. Rester visible et transparent. Les pratiques doivent pouvoir être vérifiées par les utilisateurs et les autorités.
7. Respecter l'utilisateur. Ses intérêts restent au centre : paramètres clairs, information compréhensible, choix réels.

Ce que dit le RGPD#

L'article 25 du RGPD transforme ces idées en obligation pour les organisations soumises au droit européen. Il distingue :

• la protection dès la conception : mettre en place, dès la définition des moyens du traitement, des mesures techniques et organisationnelles comme la pseudonymisation ou la minimisation ;
• la protection par défaut : ne traiter, par défaut, que les données nécessaires à chaque finalité, qu'il s'agisse de la quantité de données collectées, de l'étendue du traitement, de la durée de conservation ou du nombre de personnes y ayant accès.

Au Maroc#

La loi 09-08 ne mentionne pas le Privacy by Design. Deux de ses exigences y conduisent pourtant directement :

• l'article 3, qui impose des données adéquates, pertinentes et non excessives au regard de la finalité, et conservées seulement le temps nécessaire ;
• l'article 23, qui impose des mesures techniques et organisationnelles de sécurité.

Une organisation marocaine qui applique le Privacy by Design respecte donc plus facilement la loi 09-08. Elle se prépare aussi au RGPD si elle sert des clients situés dans l'Union européenne.

Pour les données de santé, la CNDP a publié le 28/11/2025 des délibérations qui servent de modèles. D-939 (cookies) et D-940 (newsletters) : déclaration simplifiée ; D-941 (suivi des patients), D-942 (vidéosurveillance en santé) et D-943 (contrôle d'accès) : autorisation. Un cabinet qui propose la prise de rendez-vous en ligne se reporte au modèle D-941. Voir les données de santé.

Appliquer la démarche à un projet digital#

Checklist#

Pour les formulaires et les outils de prise de rendez-vous :

• Champs strictement nécessaires (art. 3 : données « adéquates, pertinentes et non excessives »).
• Mention d'information : responsable, finalité, destinataires, droits, référence CNDP.
• Case de prospection non précochée (art. 10).
• Santé = données sensibles (art. 21) ; modèle D-941.
• Rappels SMS ou WhatsApp annoncés, avec possibilité de refus.
• Suppression automatique à l'échéance.
• Hébergement et sous-traitants documentés.

Pour tout projet :

• Associer une personne chargée de la protection des données dès le cadrage de chaque projet.
• Justifier chaque donnée collectée par une finalité précise.
• Paramétrer tous les réglages par défaut au niveau le plus protecteur.
• Utiliser des données fictives ou pseudonymisées pour les tests.
• Prévoir la suppression automatique des données dès la conception.
• Déposer la formalité CNDP avant la mise en production.

Ce que dit le texte#

Loi 09-08 : art. 3 (données adéquates, pertinentes et non excessives ; durée de conservation), art. 10 (prospection directe), art. 12 (formalités : déclaration ou autorisation selon le traitement), art. 21 (données sensibles), art. 23 (sécurité). Le RGPD (art. 25) s'applique si vous ciblez des personnes situées dans l'Union européenne.

Erreurs fréquentes#

• Demander la CIN sans nécessité.
• Envoyer le motif de consultation par e-mail non chiffré.
• Ne pas déclarer le traitement.

KaperX conçoit des formulaires et des outils de rendez-vous conformes à ces règles, que le client possède.