‎CNDP والاستضافة خارج المغرب: الترخيص المسبق إلزامي

‎صدر القانون رقم ‎09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجات البيانات ذات الطابع الشخصي في الجريدة الرسمية المغربية عدد ‎5682 بتاريخ 23 ربيع الثاني 1430 (19 أبريل 2009). يسري على كل معالجة لبيانات شخصية تُجرى في المغرب، أيًا كانت الوسيلة. تُعرّف المادة الأولى البيانات الشخصية بأنها كل معلومة، أيًا كانت طبيعتها وبصرف النظر عن دعامتها، بما فيها الصوت والصورة، تتعلق بشخص طبيعي محدد الهوية أو قابل لتحديدها. بالتالي، يُنشئ نموذج التواصل الذي يجمع عنوان بريد إلكتروني معالجةً لبيانات شخصية. المشغّل — سواء كان المؤسسة العميلة أو الوكالة التي تُدير الموقع نيابةً عنها — مسؤول معالجة بموجب هذا القانون. يحدد الموقع الجغرافي للخادم بعدها ما إذا كان نقلًا دوليًا قائمًا يستوجب ترخيص ‎CNDP.

‎هذا هو جوهر الموضوع بالنسبة لأي وكالة تستضيف مواقع خارج المغرب. تُرسي المادة 43 من القانون ‎09-08 المبدأ: لا يجوز لمسؤول المعالجة نقل بيانات شخصية إلى دولة أجنبية إلا إذا كانت تضمن مستوى حماية كافيًا للخصوصية والحريات والحقوق الأساسية. تُقيّم ‎CNDP هذا المستوى مراعيةً الأحكام القانونية المعمول بها في الدولة المستقبِلة، والتدابير الأمنية المعتمدة، وخصائص المعالجة. تُدرج المادة 44 استثناءات — الموافقة الصريحة، الضرورة التعاقدية، المصلحة الحيوية، السجل العام — لكن لا شيء منها يُعفي من كل الإجراءات في جميع الحالات. عمليًا، كل موقع مغربي تُخزَّن بياناته على خوادم أوروبية أو أمريكية يخضع لهذا الاشتراط: التخزين المادي للبيانات في الخارج يُشكّل نقلًا بمفهوم القانون.

‎تتنظم المطابقة في مرحلتين متمايزتين يُلزم بهما ‎CNDP بهذا الترتيب. لا يمكن منح ترخيص النقل إلا بعد أن تُعلَن المعالجة الأساسية أو تُرخَّص. هذا التسلسل هو الثغرة الأكثر شيوعًا لدى الوكالات: بعضها يعرف تصريح المعالجة، لكنه يجهل أن نموذج ‎F118 — الخاص بالنقل إلى الخارج — إجراء منفصل. يملك ‎CNDP بعد ذلك شهرين لإصدار قراره قابلة للتمديد مرة. يُعلَّق هذا الأجل إذا كان الملف ناقصًا حتى يكتمل. بدون رقم ترخيص، يكون النقل مخالفًا للقانون — سواء كان الخادم المستقبِل في فرنسا أو ألمانيا أو الولايات المتحدة.

‎هذا الاعتراض الأكثر شيوعًا لدى الوكالات — ويقوم على خلط بين البيانات الحساسة والبيانات الشخصية. يُميّز القانون ‎09-08 بين فئتين. البيانات الحساسة (الصحة، الأصل العرقي، الآراء السياسية، المعتقدات الدينية، الانتماء النقابي) تخضع لنظام أشد صرامة. لكن البيانات الشخصية العادية — اسم أو عنوان بريد إلكتروني أو رقم هاتف — كافية لاستيفاء التزامات القانون، بما فيها ترخيص النقل الدولي. نموذج تواصل لا يطلب سوى الاسم الأول والبريد الإلكتروني يكفي لإنشاء معالجة بمفهوم القانون ‎09-08. حجم الموقع أو حجم البيانات لا يُغيّر الالتزام: القانون لا يحدد عتبة دنيا.

‎يُقرّر القانون ‎09-08 عقوبات جنائية على مسؤولي المعالجة الذين يُخالفون أحكامه. تستهدف المادة 60 تحديدًا النقل غير المشروع للبيانات الشخصية إلى الخارج: تُعرّض صاحبها للسجن من ثلاثة أشهر إلى سنة وغرامة من 20.000 إلى 200.000 درهم — أو إحدى العقوبتين. للأشخاص المعنويين، تُضاعَف الغرامات. يُضاف إلى ذلك المخاطر التي تطال السمعة: يجوز لـ‎CNDP نشر قراراتها، وكل تدقيق موثق يؤثر على علاقة الوكالة بعملائها. أصدرت ‎CNDP في فبراير 2023 بلاغًا يستهدف تحديدًا الشركات التي أغفلت الإخطار بنقل بيانات إلى الخارج، مما يؤكد أن هذا الالتزام خاضع للرقابة الفعلية.

‎المطابقة مع ‎CNDP ليست إجراء يتولاه العميل وحده. حين تختار الوكالة مزوّد الاستضافة وتُعدّ الخادم وتُدير نماذج الموقع، فإنها تُعدّ مسؤولة معالجة أو معالِجًا من الباطن وفق العقود الموقَّعة. في كلتا الحالتين، تقع عليها التزامات. إدراج مرافقة ‎CNDP ضمن خدمات الإطلاق — تدقيق المعالجات، وإيداع التصريحات، وصياغة البيانات القانونية المطابقة — يُميّز الوكالة ويُزيل مسؤولية قانونية لا يشعر بها العميل. وهو أيضًا حجة تجارية: لا يتعين على العميل التعامل مع إجراء إداري لدى جهة لا يعرفها.