Traitement des plaintes Exprience de la CNDP Juin

Traitement des plaintes : Expérience de la CNDP Juin 2015 M. Said IHRAI Président

Plan de l’intervention Institution de la protection des données personnelles au Maroc L’expérience marocaine en matière de traitement des plaintes Analyse des données concernant les plaintes 2

I-Institution de la protection des données personnelles au Maroc 1 -Quelques dates clés § Fév. 2009: Loi 09 -08 a été promulguée. § Août 2010: Création de la CNDP. § Nov. 2012: Date limite pour se conformer à la loi 09 -08. § Fin 2010 : Membre de l'AFAPDP. 2009 2010 § § § Fév. 2012: Structure institutionnelle opérationnelle. 2012 2011 2014 2015 Juillet 2011 : la constitutionnalisation § Jan. 2014 : Premiers contrôles (sites web). de la protection de la vie privée. § Sept. 2014: Adhésion du Maroc à la Convention 108 (Co. E). Nov. 2011: la CNDP a été accréditée par l’ICDPPC. § Nov. 2014 : Lancement des opérations de contrôle sur place. § 2015 : + grande visibilité internationale GPEN/ IWGDPT, etc. 3

Axe IV Axe V 4 Développer la coopération institutionnelle e trin oc a e d e l ie s un d v er ine la ée t or ca de onn nan ab ro n El ma ctio es d n te xte ote et d les e onte et pr l e e e u c iqu ivé n pr rson te d olit que p i pe om ial, p om c c n so éco Axe VI S' le ass s ur pe dro er rs its qu c o so n on d e nt ce ne es re rn s sp ée ec s té s Axe III Axe I le ce es s pla l d ée n na n e tio on tre na es d es et l M istre ts d nel n n g re me rso ite pe Axe II tra Moderniser et améliorer les processus Se ns inf ibilis or me er e t r I-Institution de la protection des données personnelles au Maroc 2 Elements de La stratégie de la CNDP

I-Institution de la protection des données personnelles au Maroc 3 - Etat des lieux : Quelques Réalisations 1. Tous les services administratifs sont opérationnels. 2. En cours : « Data center » moderne et efficace. 1. Augmentation du nombre de plaintes reçues; 1. Séminaires et ateliers; 2. Contrôles; 3. Dépliants; 3. Instruction des notifications en hausse; 4. Spots radio et télévision; 4. Encadrement de certains traitements par le recours aux délibérations de la CNDP 5. Veille juridique et technologique. ØStructure institutionnelle ØRespect des droits des individus 2. www. cndp. ma; 5. Entrevues; 1. Banques, assurances, télécommunication, centres d'appels, organismes publics, etc. ; 2. En cours : Santé, Tourisme et Éducation. 6. émission radio hebdomadaire. ØLa sensibilisation ØLes avancées de la conformité Réalisations de la CNDP 5

I-Institution de la protection des données personnelles au Maroc 4 -Quelques chiffres clés (15/06/2015) Délibérations doctrinales 22 Plaintes Contrôles 211 CNDP 364 (Budget: 1. 5 Mdh) Demandes d’autorisation 1605 (RH: 27) Déclarations 1312 Demandes de transfert à l’étranger 454 6

II-Le processus d’instruction des plaintes -Traitement des plaintes- Ø La CNDP reçoit les plaintes de toute personne concernée estimant être lésée par un traitement de données personnelles (Article 28 de la loi 0908); Ø La plainte peut être adressée à la CNDP par: q Voie Postale q Voie électronique (+80% des cas) q Dépôt sur place q Via Twitter La CNDP peut également déclencher une procédure par auto-saisine. 7

II-Le processus d’instruction des plaintes Dépôt Recevabilité Traitement Clôture 8

II-Le processus d’instruction des plaintes 1 -Dépôt 1 - Le plaignant peut adresser la plainte à la CNDP, par : • Email, en remplissant le formulaire sur le site web www. cndp. ma (disponible en arabe, français et bientôt en anglais); • Courrier ; • Fax ; • Dépôt sur place. 2 - Le Secrétariat Général centralise toutes les plaintes et les transmet au service compétent ; 3 - Les services du département de l’Expertise et des Contrôles enregistrent la plainte et désignent un cadre responsable de son instruction. 9

II- Le processus d’instruction des plaintes Dépôt 10

II- Le processus d’instruction des plaintes 1 -Dépôt 11

II-Le processus d’instruction des plaintes 2 -Recevabilité 12 ● Le responsable de l’instruction de la plainte décide de sa recevabilité. Il s’agit de vérifier s’il s’agit d’une atteinte à la vie privée ou à l’un des droits relatifs à la protection des données. ●Le responsable doit accuser réception de la plainte. Cet accusé se fait selon les cas de figure suivant: ● Plainte non recevable : le responsable de l’instruction rappelle au plaignant l’objet et la référence de sa plainte et lui signale que sa réclamation n’entre pas dans les attributions de la CNDP. Le plaignant est alors orienté vers l’institution compétente. ● Plainte recevable : au cas où la plainte relève des attributions de la CNDP, le responsable confirme sa réception et informe le plaignant de l’objet, la référence et la procédure de traitement de la plainte. ● Plainte recevable mais incomplète : dans ce cas, un e mail, un courrier ou un appel téléphonique comportant une demande de complément d’information est adressé au plaignant auquel le plaignant doit répondre dans un délai fixé, sous peine de voir la plainte réputée abandonnée.

II- Le processus d’instruction des plaintes 3 -Traitement Recevabilité A l’issue de l’examen de la plainte, le responsable doit transmettre au responsable du traitement une notification, pour lui demander de prendre les mesures nécessaires dans un délai de 15 jours, et l’inviter à se conformer à la loi dans les meilleurs délais. ● Si le responsable du traitement réagit à la lettre de la CNDP, un échange s’ensuit en vue de trouver une solution à l’objet de la plainte. ● Quand l’instruction aboutit à un résultat positif, le dossier de la plainte est clos et le plaignant est informé de la suite donnée à sa requête; ● Si le responsable du traitement ne répond pas avec diligence aux sollicitations de la CNDP ou si les échanges s’avèrent infructueux, recours à des mesures plus contraignantes : mise en demeure, contrôle sur place, interdiction du traitement effectué, ouverture d’une procédure en justice (chapitre VII de la loi O 9/08). 13

II- Le processus d’instruction des plaintes ü Le plaignant est informé au fur et à mesure des différentes étapes de l’instruction de la plainte; ü Le Département de l’expertise et des contrôles peut, pour certaines plaintes, consulter d’autres Départements pendant l’instruction (Département juridique, Système d’information, etc. ) avant leur soumission aux membres de la Commission pour validation. ü Le suivi pour chaque plainte déposée est assuré à travers un dossier physique et une application informatique. ü Un dispositif de veille via Twitter est en place pour recevoir les questions particulières des internautes et recueillir éventuellement leurs plaintes. 14

III-Indicateurs relatifs aux plaintes reçues 15

III- Indicateurs relatifs aux plaintes reçues 2 -Répartition par thèmes des plaintes reçues en 2014 AUTRES (2) 12% DONNÉES SUR INTERNET (1) 11 % SMS 50% VIDEOSURVEILLANCE 9% SPAM 17% - (1) Données sur internet : Réseaux sociaux, vidéos en ligne, presse électronique … - (2) Autres : Biométrie, GRH, … 16

III-Indicateurs relatifs aux plaintes reçues Répartition géographique des plaintes reçues en 2014 17% 2% 6% 57% 18% Casablanca Rabat Marrakech Mohammedia Autres 17

III-Indicateurs relatifs aux plaintes reçues 4 -Mesures contraignantes prises par la Commission suite à des plaintes reçues en 2014 13 10 Mises en demeure Contrôles sur place / de site web 18

III-Indicateurs relatifs aux plaintes reçues Cas N° 1 5 - Analyse de cas • Une étudiante française a remarqué que sa candidature pour des offres d’emploi est restée sans réponse; • Ayant appris que certains employeurs font des recherches sur Internet à propos des candidats à l’embauche, elle constate qu’après avoir saisi son nom sur les moteurs de recherche, les premiers résultats font remonter des articles qu’elle a publiés dans des journaux marocains dans lesquels elle exprime certaines de ses convictions idéologiques. • Estimant que ces publications portent préjudice à sa carrière professionnelle, elle dépose une plainte auprès de la CNDP dans laquelle demande le retrait de ses articles. La CNDP contacte alors les journaux concernés. • Ces journaux répondent favorablement aux exigences de la CNDP et retirent les articles en question de leurs sites Web. 19

III-Indicateurs relatifs aux plaintes reçues Cas N° 2 • Une multinationale spécialisée dans la fabrication de cosmétiques a mis en ligne une vidéo publicitaire qui montre certains de ses vendeurs en train de promouvoir ses produits auprès de ses clients. • Une des vendeuses s’est opposée à l’utilisation de son image à des fins commerciales au motif que son consentement n’avait pas été recueilli. • La CNDP a contacté le responsable du traitement pour lui demander de retirer la vidéo en question. Celui-ci a tout de suite supprimé la vidéo de ses supports de communication en ligne, tout en présentant ses excuses à la personne concernée. 20

III-Indicateurs relatifs aux plaintes reçues Cas N° 3 • La CNDP a reçu la plainte d’un citoyen dans laquelle il affirme qu’il est interdit de chéquier du fait de son inscription, par erreur, par une banque marocaine au fichier de la Centrale des incidents de paiement; • A l’occasion de l’examen de cette plainte, il s’est avéré que le plaignant n’a jamais été client de la banque précitée et qu’il a subi un grave préjudice en raison de la confusion faite par celle-ci entre le plaignant et l’un de ses clients; • En collaboration avec la banque concernée et la Banque centrale, la CNDP a pu corriger cette erreur et mettre fin à cet incident. 21

III-Indicateurs relatifs aux plaintes reçues Cas n° 4 SMS et SPAM En 2014, 67% des plaintes reçues concernent le harcèlement par le biais de SMS et de courriers indésirables; • La démarche de la CNDP pour faire face à ce phénomène se décline en 2 actions : 1. La CNDP fait valoir le droit d’opposition des plaignants auprès des responsables de traitement; 2. La CNDP s’adresse directement aux entreprises et aux particuliers qui offrent en location ou à la vente, des bases de données de personnes physiques pour leur utilisation dans des campagnes de prospection directe, en leur rappelant que cette pratique constitue une infraction grave, passible de lourdes sanctions inscrites au chapitre VII de la loi 09/08. 22

III-Indicateurs relatifs aux plaintes reçues Conclusions et perspectives Le nombre croissant des plaintes atteste de l’impact des campagnes de sensibilisation menées par la CNDP L’accroissement rapide des plaintes implique la nécessité de renforcer les moyens de la CNDP L’intérêt de renforcer la coopération afin de mieux répondre aux attentes des plaignants : • En interne, avec les parties prenantes concernées (Régulateurs, groupements professionnels, société civile) • À l’international, avec d’autres APD. 23

III-Indicateurs relatifs aux plaintes reçues Conclusions et perspectives ü Envisager la mise en place d’un processus de traitement rapide des plaintes, inspiré des expériences les plus avancées en matière de protection des données personnelles; ü Prévoir d’autres canaux de dépôt des plaintes pour offrir plus d’accessibilité au public: ligne téléphonique spéciale, dépôt de plaintes dans d’autres langues, etc. ; ü Mettre à la disposition des personnes concernées des formulaires simplifiés de plainte. ü Renforcement tous azimuts des campagnes de sensibilisation. 24

Merci pour votre aimable attention +: Imm. Les patios, Bd. Annakhil, 3ème étage, Hay Riyad, Rabat, MAROC (: +212 5 37 71 70 73 +212 5 37 57 11 24 ; : +212 5 37 57 21 41 @ : contact@cndp. ma : www. cndp. ma : @CNDP_Maroc