Le carnet du boucher
Le boucher du quartier note le numéro de téléphone d'une cliente pour la prévenir quand l'agneau arrive. Il n'a pas le droit de vendre ce carnet à une agence de publicité : la donnée a été donnée pour un usage précis.
M08 · B. Assurer la confidentialité des données
Les données personnelles et la loi 09-08
Ce qu'est une donnée à caractère personnel et une donnée sensible, les principes de la loi marocaine 09-08 et le rôle de la CNDP (déclaration, autorisation, droits des personnes), la loi 05-20 sur la cybersécurité, le RGPD pour les clients européens, et ce que cela change concrètement dans un site web.
1Situer
Souk Atlas collecte des noms, des adresses, des téléphones et l'historique des commandes de ses clients. Ces informations ne lui appartiennent pas tout à fait : elles concernent des personnes, qui ont des droits, et la loi encadre ce que l'entreprise peut en faire. Le développeur est en première ligne : c'est lui qui construit les formulaires et la base.
2Comprendre
Collecte : on informe la personne, on recueille son accord, et on ne demande que le nécessaire pour un but précis.
1 / 5
Qu’est-ce qu’une donnée personnelle ?
Certaines données sont sensibles et protégées plus fortement : l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la santé (y compris génétique) et la vie sexuelle. On y ajoute en pratique les données biométriques (empreintes, visage). Leur traitement est en principe interdit, sauf exceptions encadrées (consentement exprès, obligation légale…).
La loi 09-08 et la CNDP
Les grands principes :
| Principe | Ce que cela veut dire pour Souk Atlas |
|---|---|
| Finalité déterminée | dire à quoi servent les données (gérer les commandes) et ne pas s’en servir pour autre chose |
| Consentement ou base légale | la personne accepte, ou le traitement est nécessaire au contrat (livrer la commande) |
| Proportionnalité (minimisation) | ne demander que ce qui est utile : pas de CIN pour vendre un tajine |
| Exactitude | permettre de corriger les données |
| Durée limitée | supprimer ou anonymiser quand la finalité est atteinte |
| Sécurité | protéger contre la perte, la fuite, l’accès non autorisé |
| Formalités | déclarer le traitement à la CNDP, ou obtenir son autorisation pour les cas sensibles (données sensibles, transfert à l’étranger, interconnexion de fichiers) |
Les personnes concernées ont des droits : être informées au moment de la collecte, accéder à leurs données, les faire rectifier et s’opposer à leur traitement, en particulier à la prospection commerciale.
La loi 05-20 et les autres textes
- La loi 05-20 relative à la cybersécurité (2020) fixe des obligations de sécurité aux administrations, aux opérateurs d’infrastructures d’importance vitale et à certains prestataires. Elle s’appuie sur la DGSSI (Direction générale de la sécurité des systèmes d’information), qui publie aussi des alertes et des guides utiles à tous.
- Le RGPD (règlement européen) s’applique aussi à un site marocain dès qu’il cible des personnes situées dans l’Union européenne : vente en France, en Espagne…
- Le droit d’auteur (loi 2-00, leçon A.3) protège les contenus du site, pas les données des clients, mais il concerne les mêmes projets.
Ce que cela change pour le développeur
Concrètement, dans un projet web :
- une mention d’information près de chaque formulaire et une page « Données personnelles » ;
- des champs minimaux, des cases de consentement décochées ;
- une base protégée : accès limités (leçon B.3), mots de passe hachés, données sensibles chiffrées (leçon B.4) ;
- des fonctions d’export et de suppression d’un compte ;
- une purge automatique des données trop anciennes ;
- en cas de fuite : savoir la détecter, la limiter, et prévenir les personnes concernées et l’autorité.
Le dossier médical
Ce que sait votre médecin sur votre santé est plus protégé que votre adresse : c'est une donnée sensible. Une boutique en ligne n'a, en principe, aucune raison d'en collecter.
Publicité
3Manipuler
Classez chaque information collectée par une boutique en ligne.
Nom et prénom du client
Adresse e-mail amina.benali@mail.ma
Adresse IP de connexion
Numéro de CIN
Historique des achats d'un client identifié
Un certificat médical joint pour un retour de produit
La religion déclarée dans un formulaire
Les empreintes digitales d'un employé pour la pointeuse
Le nombre total de commandes passées en mars
Le prix moyen d'un tajine sur le site
4Pratiquer
Exercice 1 · Un formulaire d'inscription conforme
Le formulaire d'inscription demande : nom, prénom, e-mail, mot de passe, date de naissance, CIN, profession, situation familiale, téléphone. Le site vend de l'artisanat livré à domicile. Que gardez-vous, que retirez-vous, et qu'ajoutez-vous au formulaire ?
Voir le corrigé
À garder : nom, prénom, e-mail, mot de passe (haché), téléphone (pour la livraison) ; l'adresse peut être demandée seulement à la commande. À retirer : CIN, profession, situation familiale, date de naissance (sauf si une vente est réservée aux majeurs : alors une case « j'ai plus de 18 ans » suffit). Principe de minimisation : on ne collecte que ce qui sert la finalité. À ajouter : une mention d'information (qui collecte, pour quoi faire, combien de temps, droits d'accès, de rectification et d'opposition, contact), une case non cochée par défaut pour la publicité, et le numéro de déclaration à la CNDP.
Exercice 2 · Exercer son droit d'accès
Un client écrit : « Quelles données avez-vous sur moi ? ». Décrivez ce que le site doit pouvoir lui fournir, et la requête SQL de départ.
Voir le corrigé
Le site doit lui communiquer les données le concernant (fiche client, adresses, commandes, préférences, journaux de connexion), leur finalité, les destinataires (transporteur, prestataire de paiement) et la durée de conservation, après avoir vérifié son identité. Point de départ : SELECT * FROM clients WHERE id = ?; puis SELECT * FROM commandes WHERE client_id = ?; et les autres tables qui référencent ce client. Prévoir dès la conception une fonction d'export (et de suppression) par client.
Publicité