Loi 09-08 et CNDP : ce que ça implique pour un projet d'IA
De quoi on parle
La loi 09-08 encadre au Maroc le traitement des données à caractère personnel. La CNDP — Commission Nationale de contrôle de la protection des Données à caractère Personnel — en assure le contrôle.
Une donnée personnelle est une donnée qui permet d'identifier une personne, directement ou indirectement. L'image d'une personne filmée en fait partie. Un dossier du personnel aussi. Une base clients également.
Cela concerne donc directement l'analyse vidéo, la lecture de documents RH, et une partie des agents métier.
Les principes qui structurent un projet
La finalité. Un traitement doit avoir un objectif défini et légitime, énoncé à l'avance. « On verra ce qu'on en fait » n'est pas une finalité.
La proportionnalité. On ne collecte que ce qui est nécessaire à cette finalité. Si compter des passages suffit, il n'y a pas de raison d'identifier les personnes.
L'information. Les personnes concernées doivent être informées. Sur un site équipé de caméras, l'affichage est en général déjà en place.
La durée de conservation. Elle doit être définie et appliquée. Conserver indéfiniment n'est ni utile ni conforme.
Les droits des personnes. Accès, rectification, opposition, suppression.
Le cas particulier de la biométrie
C'est le point qui change tout.
Un gabarit facial est une donnée qui identifie une personne de façon durable et qu'elle ne peut pas modifier. On remplace un badge volé, pas un visage. Le traitement biométrique relève donc d'un régime distinct, qui exige une autorisation préalable de la CNDP, un dossier justifiant sa nécessité, et un encadrement contractuel.
Nos agents fonctionnent sans biométrie par défaut. La classification se fait par comportement et par zone — une personne est présente à tel endroit, à tel moment, pendant telle durée — sans que le système sache de qui il s'agit.
Ce n'est pas une limite technique. C'est une architecture. Nous activons les modules biométriques uniquement pour des clients disposant d'une autorisation préalable, dans un cadre contractuel strict.
Ce que le traitement local change au dossier
Il supprime la question du transfert. Un traitement en cloud étranger implique un transfert de données personnelles hors du Maroc, avec les obligations correspondantes. En local, il n'y a pas de transfert, donc rien à encadrer sur ce point.
Il rend la localisation vérifiable. Vous pouvez montrer la machine. Ce n'est pas une clause contractuelle à laquelle il faut se fier, c'est un fait constatable.
Il ne dispense de rien d'autre. Finalité, proportionnalité, information, durée de conservation, droits des personnes : ces obligations demeurent intégralement.
Ce que nous fournissons
Sur le plan technique, et uniquement technique :
Une cartographie du traitement
quelles données, quelle finalité, quelle durée
Une architecture minimisante
pas de biométrie par défaut, pas de suivi inter-caméras, traitement local
Une journalisation complète
chaque décision de l'agent tracée et horodatée
Un paramétrage de rétention défini avec vous et appliqué automatiquement
Une documentation technique exploitable par votre conseil pour constituer un dossier
Ce que nous ne fournissons pas : la qualification juridique de votre traitement, la rédaction des mentions d'information, les démarches auprès de la CNDP. Ces éléments relèvent d'un conseil juridique, et nous vous recommandons d'en consulter un plutôt que de vous fier à un prestataire technique.
Pourquoi c'est un argument commercial
Dans les secteurs sensibles, la conformité n'est pas une contrainte à subir : c'est la condition d'entrée.
Un établissement de santé, une banque ou une administration ne choisit pas le prestataire qui en sait le plus sur les personnes. Il choisit celui qui protège les personnes tout en protégeant leurs données. Une architecture locale et sans biométrie par défaut ouvre des portes plutôt qu'elle n'en ferme.
Questions fréquentes
Faut-il déclarer notre système de vidéosurveillance ?
Les obligations dépendent de la nature exacte du traitement. Nous fournissons la documentation technique ; la qualification relève de votre conseil.
Peut-on faire de la reconnaissance faciale ?
Sous autorisation préalable de la CNDP, dans un cadre encadré. Pas par défaut.
Peut-on suivre une personne d'une caméra à l'autre ?
Nos agents ne le font pas. Le suivi inter-caméras s'approche d'un traitement biométrique et sort du cadre par défaut.
Combien de temps conservez-vous les données ?
Nous n'en conservons aucune : tout reste chez vous. Les durées sont paramétrées avec vous.
Et si nous recevons un contrôle ?
Vous disposez de la documentation technique du traitement. Le volet juridique relève de votre conseil.
Le traitement local suffit-il à être conforme ?
Non. Il simplifie considérablement le dossier, il ne remplace pas les autres obligations.
Parlons de votre projet.
Trente minutes, gratuit et sans engagement, pour identifier où l'IA crée le plus de valeur chez vous.