La loi 09-08 face aux plateformes

Par Fayçal El Amrani

Peut-on encore parler de consentement libre et éclairé lorsque l’accès à un service numérique suppose d’accepter des conditions longues et complexes, tandis que les données recueillies permettent de dresser des profils et de déduire des informations que l’utilisateur n’a pas directement communiquées ? Avec l’intelligence artificielle, l’enjeu porte autant sur les données confiées que sur les conclusions qu’un système peut en tirer, puis sur les usages qui en sont faits.

Au Maroc, la loi 09-08 encadre depuis 2009 la protection des personnes physiques à l’égard du traitement de leurs données personnelles. Elle définit largement le traitement, qui comprend notamment la collecte, l’utilisation, le rapprochement, la transmission et la conservation des données. Cette formulation permet d’appréhender des outils apparus depuis l’adoption du texte, des réseaux sociaux aux systèmes d’intelligence artificielle. L’enjeu tient à la précision des règles et à leur mise en œuvre face à des pratiques qui évoluent rapidement.

Le texte organise aussi les démarches préalables auprès de la Commission nationale de contrôle de la protection des données à caractère personnel, avec des formalités différentes selon la nature des traitements. Il encadre les finalités, la pertinence et la durée de conservation des données, prévoit des droits pour les personnes concernées et confie à la Commission des missions de contrôle. Sa refonte, annoncée comme étant entre les mains du Secrétariat général du gouvernement, doit adapter ces garanties aux réalités numériques actuelles.

Le consentement demeure l’un des points les plus sensibles. Pour être éclairé, il suppose que la personne sache quelles données sont recueillies, à quelles fins et selon quelles modalités. Or l’acceptation de conditions d’utilisation ne garantit pas toujours que l’utilisateur comprend les croisements de données possibles, la création de profils ou les inférences produites par un algorithme. Le problème s’accentue lorsque l’accès à un service largement utilisé semble dépendre de cette acceptation.

Les véhicules connectés illustrent l’extension de ces pratiques au-delà des réseaux sociaux. Les données liées à l’utilisation d’une voiture peuvent être transmises au constructeur par les services embarqués. Leur traitement soulève des questions concrètes : quelles informations sont recueillies, combien de temps sont-elles conservées et qui peut y accéder ? Les mêmes interrogations concernent les applications, les objets connectés et les outils d’intelligence artificielle. Dans chaque cas, la collecte accompagne des gestes ordinaires et peut rester peu visible pour l’utilisateur.

L’enjeu est aussi de savoir qui peut faire respecter les règles. Lorsqu’une plateforme internationale opère depuis l’étranger, une autorité nationale peut se heurter à son poids économique et à sa capacité de maintenir ou de retirer un service. Le président de la CNDP a évoqué une rencontre avec Facebook en 2019 au cours de laquelle l’entreprise aurait répondu aux demandes de la Commission en lui suggérant de couper la plateforme. Cet épisode illustre le déséquilibre auquel les régulateurs peuvent être confrontés.

La coupure d’un service toucherait directement les utilisateurs, les entreprises et les institutions qui en dépendent. L’application de la loi suppose donc des moyens permettant d’obtenir des réponses des plateformes, d’enquêter, d’imposer des mesures et d’en suivre l’exécution. L’expérience brésilienne autour du réseau X a également montré que l’exigence d’un représentant légal peut devenir un levier dans les relations entre un État et une entreprise numérique étrangère.

Les décisions américaines contre Meta donnent une illustration récente des différents recours possibles. Dans une affaire portant sur la sécurité des jeunes, des décisions rendues au Nouveau-Mexique en 2026 ont fixé à 942 millions de dollars le montant total des sanctions et ordonné des changements concernant notamment la protection des mineurs. Meta a annoncé faire appel. Cette procédure est distincte de l’accord conclu en août par l’entreprise avec plusieurs États américains au sujet des effets de ses plateformes sur les jeunes, accord auquel le Nouveau-Mexique n’a pas participé.

Le 25 septembre, un jury du Nouveau-Mexique a par ailleurs conclu, dans une autre procédure liée aux données des utilisateurs et au scandale Cambridge Analytica, que Facebook avait trompé les habitants de l’État sur certains aspects de ses pratiques. L’affaire peut entraîner des sanctions financières supplémentaires, dont le montant reste à déterminer. Ces deux dossiers portent sur des questions distinctes, mais ils illustrent la manière dont les tribunaux peuvent examiner à la fois les pratiques de collecte et les effets des plateformes sur leurs utilisateurs.

Le débat a également posé la question du statut institutionnel de la CNDP. Le président de la Commission s’est déclaré favorable à ce qu’elle accède à une valeur constitutionnelle, au regard des enjeux de vie privée, de protection des citoyens et de fonctionnement démocratique. Une reconnaissance de ce niveau donnerait à cette mission une place institutionnelle plus forte. Il a toutefois souligné qu’un changement de statut, à lui seul, laisserait entière la question du respect des règles sur le terrain.

Pour lui, la protection des données dépend aussi d’une évolution des pratiques et des réflexes. Il a cité l’installation, à Casablanca, de dispositifs de reconnaissance faciale ou de contrôle présentés comme des solutions commerciales, parfois sans examen suffisant de leur nécessité ni des conséquences pour les citoyens. L’enjeu est de faire entrer la protection des données dans les décisions des administrations et des entreprises, dès la conception d’un dispositif.

Cette question prend une dimension géopolitique lorsque les données des citoyens sont traitées par des plateformes mondiales. La capacité du Maroc à défendre ses règles dépendra de ses moyens d’action et de son positionnement face à ces entreprises. La donnée engage la vie privée et la capacité d’une société à préserver l’autonomie de jugement de ses membres.

La loi 09-08 pose déjà des principes destinés à encadrer les traitements. Sa refonte devra préciser comment les appliquer aux systèmes qui croisent les informations, déduisent des caractéristiques personnelles et orientent les contenus ou les décisions. L’actualisation du texte et le renforcement de l’autorité de contrôle devront s’accompagner de moyens effectifs et d’une culture de conformité. C’est à cette condition que les garanties prévues par la loi pourront peser dans les rapports entre les citoyens, les acteurs publics et les grandes plateformes.

Suivez les dernières actualités de Laverite sur Google news