حماية البيانات الشخصية في المغرب: حقوقك واللجنة الوطنية (القانون 09-08)
يحمي القانون 09-08 بياناتك الشخصية في المغرب. وهو ينص على مبدأ بسيط: تكنولوجيا المعلومات تخدم المواطن ويجب ألا تنتهك هويتك أو حقوقك، ولا تفشي أسرار حياتك الخاصة (المادة الأولى). يشرح هذا الدليل ما يحميه القانون، والحقوق التي يمكنك ممارستها، ودور اللجنة الوطنية (CNDP).
ما يحميه القانون
"البيانات الشخصية" تعني أي معلومة تتعلق بشخص طبيعي معرّف أو قابل للتعريف، بما في ذلك الصوت والصورة (المادة الأولى). "المعالجة" تشمل كل عملية ممكنة تقريباً: الجمع، التسجيل، التخزين، الاستخدام، الإفصاح، الحذف، وما إلى ذلك (المادة الأولى).
يميز القانون أيضاً "البيانات الحساسة": البيانات التي تكشف الأصل العرقي أو الإثني، أو الآراء السياسية، أو المعتقدات الدينية أو الفلسفية، أو الانتماء النقابي، أو بيانات الصحة، بما في ذلك البيانات الجينية (المادة الأولى). تستفيد هذه البيانات من حماية معززة.
ينطبق القانون على المعالجة الآلية وكذلك على الملفات اليدوية، شريطة أن يكون المسؤول عن المعالجة مقيماً في المغرب أو يستخدم وسائل موجودة في الأراضي المغربية (المادة 2). لا ينطبق على الأنشطة البحتة الشخصية أو المنزلية، ولا على معالجة معينة تتعلق بالدفاع الوطني وأمن الدولة (المادة 2).
القواعد التي يجب على أي شخص يعالج بياناتك اتباعها
"المسؤول عن المعالجة" هو الشخص الذي يحدد أغراض ووسائل المعالجة (المادة الأولى). يجب أن يضمن معالجة بياناتك:
- بطريقة عادلة وقانونية؛
- لأغراض محددة وصريحة وشرعية؛
- بشكل كاف وملائم وليس مفرطاً؛
- بدقة وتحديثها عند الضرورة؛
- الاحتفاظ بها لفترة لا تتجاوز ما هو ضروري للأغراض المنشودة (المادة 3).
في المبدأ، المعالجة تكون ممكنة فقط إذا أعطيت موافقتك الصريحة بلا التباس (المادة 4). هذه الموافقة غير مطلوبة، مع ذلك، في حالات معينة، على سبيل المثال للامتثال لالتزام قانوني، أو لتنفيذ عقد أنت طرف فيه، أو لحماية مصالحك الحيوية (المادة 4).
حقوقك
يمنحك القانون 09-08 عدة حقوق يمكنك ممارستها مباشرة مع المسؤول عن المعالجة.
الحق في المعلومات
عند جمع بياناتك منك، يجب إطلاعك بطريقة صريحة ودقيقة بلا التباس: هوية المسؤول عن المعالجة، أغراض المعالجة، المستقبلون، ما إذا كانت الإجابات إلزامية أم اختيارية، ووجود حقوقك في الوصول والتصحيح (المادة 5). هذا الالتزام يخضع لحدود، خاصة للدفاع الوطني أو للمعالجة التي تتم فقط لأغراض صحفية أو فنية أو أدبية (المادة 6).
الحق في الوصول
بإثبات هويتك، قد تحصل، على فترات معقولة، بدون تأخير وبدون مقابل: على تأكيد معالجة بياناتك، وإبلاغك بها بصيغة مفهومة، وحتى معرفة المنطق الأساسي لأي معالجة آلية (المادة 7).
الحق في التصحيح
يمكنك طلب تحديث أو تصحيح أو حذف أو حجب البيانات التي لا تتوافق مع القانون، خاصة البيانات الناقصة أو غير الدقيقة. يجب على المسؤول عن المعالجة القيام بذلك بدون مقابل، في فترة زمنية واضحة من عشرة أيام. في حالة الرفض أو عدم الرد، قد تحيل الأمر إلى اللجنة الوطنية (المادة 8).
الحق في الاعتراض
يمكنك الاعتراض، على أسس شرعية، على معالجة بياناتك. قد تعترض أيضاً، بدون مقابل، على استخدامها لأغراض التسويق، خاصة التسويق التجاري (المادة 9).
التسويق المباشر: إطار صارم
يُحظر التسويق المباشر عبر أنظمة الاتصال الآلية أو الفاكس أو البريد الإلكتروني بدون موافقتك المسبقة (المادة 10). يوجد استثناء للبريد الإلكتروني إذا تم جمع بيانات الاتصال لديك أثناء عملية بيع، لمنتجات مماثلة، شريطة أن تتمكن من الاعتراض بسهولة وبدون مقابل (المادة 10). في جميع الحالات، لا يجوز للمُرسل إخفاء هويتهم (المادة 10).
علاوة على ذلك، لا يجوز اتخاذ أي قرار ينتج عنه آثار قانونية بحقك بناءً فقط على معالجة آلية تستهدف إنشاء ملف شخصي أو تقييم شخصيتك (المادة 11).
الإجراءات الشكلية: إشعار أو ترخيص
قبل تنفيذ عملية معالجة، يجب على المسؤول عن المعالجة استكمال الإجراءات الشكلية مع اللجنة الوطنية. حسب الحالة، يتعلق الأمر بـ:
- ترخيص مسبق، خاصة للبيانات الحساسة، البيانات الجينية، بيانات الجرائم، أو رقم بطاقة الهوية الوطنية (المادة 12)؛
- إشعار مسبق في الحالات الأخرى (المادة 12).
يتضمن الإشعار تفاصيل محددة (هوية المسؤول عن المعالجة، الأغراض، فئات البيانات، المستقبلون، فترة الاحتفاظ، التدابير الأمنية، وما إلى ذلك) (المادة 15). تصدر اللجنة إيصالاً خلال 24 ساعة، ويمكن حينئذ بدء المعالجة (المادة 19). معالجة البيانات الحساسة تخضع لترخيص بموجب القانون أو، في غياب ذلك، من اللجنة الوطنية (المادة 21).
الأمان والسرية
يجب على المسؤول عن المعالجة تنفيذ تدابير تقنية وتنظيمية مناسبة لحماية بياناتك من الفقدان أو التعديل أو الوصول غير المصرح به (المادة 23). بالنسبة للبيانات الحساسة أو الصحية، تنطبق ضوابط معززة (التحكم في الوصول، والوسائط، والنقل، وما إلى ذلك) (المادة 24). أي شخص يعالج بياناتك ملزم أيضاً بالسرية المهنية، حتى بعد انتهاء واجباته (المادة 26).
دور اللجنة الوطنية
تُنشأ اللجنة الوطنية لمراقبة حماية البيانات الشخصية ضمن مكتب رئيس الحكومة (المادة 27). تضمن الامتثال للقانون: تصدر آراء وتتلقى الإشعارات وتصدر الإيصالات (المادة 27)، وتفحص الترخيصات (المادة 28) وتطلع الجمهور على حقوقهم (المادة 29). لها سلطات حقيقية في التحقيق وقد تأمر بحجب أو حذف أو حظر عملية معالجة (المادة 30).
قد تقدم شكوى إليها إذا اعتقدت أنك تضررت من معالجة بياناتك؛ قد تأمر بالتصحيحات أو تحيل الأمر إلى النيابة العامة (المادة 28).
نقل البيانات إلى الخارج
لا يمكن نقل بياناتك إلى دولة أجنبية إلا إذا كانت تلك الدولة تضمن مستوى حماية كافياً (المادة 43). في غياب ذلك، يبقى النقل ممكناً في حالات محددة، على سبيل المثال بموافقتك الصريحة أو بترخيص معلل من اللجنة الوطنية (المادة 44).