Module 2Assurer la confidentialité des données
Chapitre 5 sur 9
Les données personnelles et sensibles, la loi 09-08 et la CNDP, la loi 05-20 et le RGPD, le droit d'auteur des sites web et les mécanismes de protection des données.
Objectifs
Avec ce chapitre, tu sauras…
Leçon 1
| Exemple | Donnée personnelle ? |
|---|---|
| « Sara Alaoui, née le 12/03/2005 » | oui (identification directe) |
le numéro de CIN AB123456 | oui (identification indirecte) |
| l'adresse IP d'un visiteur du site | oui (identifiable avec l'aide du fournisseur d'accès) |
| « 42 % des stagiaires viennent de Casablanca » | non : statistique anonyme |
| le dossier médical d'un stagiaire | oui, et sensible |
| le numéro de téléphone professionnel d'un formateur | oui |
| Notion | La question | Exemple |
|---|---|---|
| confidentialité des données (vie privée) | qui a le droit d'accéder aux données, et pour quoi faire ? | le stagiaire accepte que ses notes soient vues par ses formateurs, pas par les entreprises |
| protection des données | quels outils et politiques restreignent réellement l'accès et évitent la perte ? | contrôle d'accès par rôle, sauvegardes, chiffrement |
| sécurité des données | comment protéger les données contre les attaques et les accidents ? | pare-feu, correctifs, détection d'intrusion |
Leçon 2
| Texte | Pays | Date | À retenir |
|---|---|---|---|
| loi 09-08 | Maroc | 18 février 2009 | protection des personnes physiques à l'égard du traitement des données à caractère personnel ; crée la CNDP |
| loi 05-20 | Maroc | juillet 2020 | cybersécurité des administrations, des établissements publics et des infrastructures d'importance vitale ; autorité : la DGSSI |
| RGPD (règlement général sur la protection des données) |
Leçon 3
Leçon 4
| Technologie | Principe | Avantage |
|---|---|---|
| sauvegarde sur disque ou sur bande | copie des données désignées sur une baie de disques ou une cartouche | la bande est lente mais portable et hors ligne quand elle n'est pas dans le lecteur : à l'abri des attaques réseau |
| mise en miroir (mirroring) | réplique exacte d'un disque, d'un site ou de fichiers, disponible à plusieurs endroits | continuité immédiate en cas de panne d'un disque ou d'un site |
| instantané (snapshot) |
Leçon 5
| Mécanisme | Rôle |
|---|---|
| découverte des données | première étape : savoir quelles données existent, où elles sont, lesquelles sont essentielles ou sensibles (inventaire, registre des traitements) |
| prévention des pertes de données (DLP) | outils et règles qui empêchent le vol, la fuite ou la suppression accidentelle : bloquer l'envoi d'un fichier de clients par e-mail personnel ou sur une clé USB |
| stockage avec protection intégrée | baies de stockage avec redondance des disques (RAID) et mise en grappe (clustering) |
| sauvegarde | copies séparées pour restaurer après une perte, une destruction ou une modification |
1La CNDP a été instituée par la loi…
2Une donnée relative à la santé est…
3Le principe qui interdit de collecter des données excessives est…
4La loi 05-20 concerne…
5Le RGPD est applicable depuis…
6Une copie continue des données qui permet de basculer immédiatement est…
7Une case « J'accepte la prospection » pré-cochée…
8L'adresse IP d'un visiteur est…
L'essentiel du chapitre
| Union européenne |
| adopté en 2016, applicable depuis le 25 mai 2018 |
| s'applique aussi aux entreprises marocaines qui traitent les données de personnes situées dans l'UE (centres d'appel, sites de vente vers l'Europe) |
| loi sur la cybersécurité | Chine | 1er juin 2017 |
| CCPA | Californie (États-Unis) | 2018 | droit des consommateurs de contrôler leurs informations personnelles |
| Principe de la loi 09-08 | Ce qu'il impose au développeur et à l'entreprise |
|---|---|
| finalité | collecter pour un but déterminé, explicite et légitime, et ne pas utiliser les données pour un autre but |
| proportionnalité | ne collecter que les données adéquates, pertinentes et non excessives au regard de ce but |
| qualité des données | des données exactes et mises à jour ; corriger ou effacer les données inexactes |
| durée de conservation | ne pas garder les données plus longtemps que nécessaire |
| consentement | en règle générale, la personne doit avoir donné son consentement (sauf exceptions : contrat, obligation légale…) |
| sécurité et confidentialité | prendre les mesures techniques et organisationnelles pour protéger les données contre la perte, l'accès non autorisé ou la diffusion |
| formalités | déclarer le traitement à la CNDP avant sa mise en œuvre, ou obtenir son autorisation préalable (données sensibles, interconnexion de fichiers, transfert vers un pays étranger qui ne protège pas suffisamment les données) |
| Droit | En pratique |
|---|---|
| droit à l'information | être informé, au moment de la collecte, de l'identité du responsable, de la finalité, des destinataires et de ses droits |
| droit d'accès | obtenir la copie des données qui la concernent |
| droit de rectification | faire corriger ou effacer les données inexactes |
| droit d'opposition | s'opposer au traitement pour des motifs légitimes, et toujours à la prospection commerciale |
| Loi 09-08 | Loi 05-20 | |
|---|---|---|
| ce qu'elle protège | les personnes (leurs données personnelles) | les systèmes d'information (de l'État et des secteurs vitaux) |
| autorité | CNDP | DGSSI |
| qui est concerné | tout organisme, public ou privé, qui traite des données personnelles | les administrations, établissements publics, infrastructures d'importance vitale, opérateurs |
| image d'un système ou d'un volume à un instant précis (données et fichiers système) |
| restauration rapide d'un système entier à un moment donné |
| protection continue des données (CDP) | enregistre chaque modification au moment où elle est faite | on peut revenir à n'importe quel instant, sans perdre les dernières heures de travail |
| réplication | copie continue des données vers un autre emplacement | copie vivante : permet le basculement immédiat si le système principal tombe |
| snapshots et réplication |
| voir le tableau précédent |
| pare-feu | filtrer le trafic pour que seuls les utilisateurs autorisés accèdent aux données ou les transfèrent |
| authentification et autorisation | vérifier l'identité de chaque utilisateur (qui es-tu ?) puis ses droits (as-tu le droit de faire cela ?) |
| chiffrement | rendre les données illisibles sans la clé, même en cas de vol (chapitre 6) |
| protection des points d'accès (endpoints) | protéger les postes, les ports, les routeurs et les appareils connectés qui servent de porte d'entrée au réseau |
| effacement des données | supprimer définitivement les données qui ne sont plus nécessaires : c'est une exigence de la loi 09-08 (durée de conservation) et du RGPD |
| reprise après sinistre (PRA) | pratiques et technologies pour redémarrer après une cyberattaque, une catastrophe naturelle ou une panne majeure, souvent avec un site de secours distant |
Quel mécanisme de protection répond à chaque besoin ? (1) un employé ne doit pas pouvoir envoyer le fichier clients vers sa messagerie personnelle ; (2) revenir à l'état du serveur d'hier 14 h après une mise à jour ratée ; (3) continuer à servir les clients si le centre de données principal est inondé ; (4) savoir dans quelles bases se trouvent des numéros de CIN ; (5) supprimer les données des candidats non retenus après un an.
En informatique, on parle aussi de PII (Personally Identifiable Information, informations d'identification personnelle) et de PHI (Protected Health Information, informations de santé).
La première définition des « données privées » du résumé (des données « lisibles par tous les utilisateurs qui ont accès à la bibliothèque », mais modifiables seulement par leur créateur) vient de la documentation d'un système IBM particulier : c'est une notion de droits d'accès à des fichiers, pas la définition juridique. Pour le module et pour l'examen, retiens la définition de la loi 09-08 ci-dessus.
Vie privée, protection et sécurité des données
La confidentialité des données (data privacy) est le droit d'une personne de décider elle-même quand, comment et dans quelle mesure ses informations personnelles (nom, localisation, coordonnées, comportement en ligne) sont partagées ou communiquées à des tiers.
La confidentialité définit les règles ; la protection et la sécurité les font respecter. Une entreprise peut avoir une excellente sécurité technique et violer la vie privée de ses clients (en revendant leurs données sans consentement) : les trois sont nécessaires.
Dans de nombreux pays, la vie privée est un droit fondamental ; au Maroc, l'article 24 de la Constitution de 2011 garantit le droit de toute personne à la protection de sa vie privée. Et pour que les gens acceptent d'utiliser un service en ligne, ils doivent avoir confiance dans la façon dont leurs données sont traitées.
Le chapitre 1 a présenté le droit d'auteur. Pour un site web, retiens quatre points :
© 2026 Nom du titulaire. Tous droits réservés.) n'est pas obligatoire mais rappelle que le contenu ne peut pas être utilisé sans autorisation ;Prévois dans le contrat la cession des droits patrimoniaux sur le code et les maquettes, liste les composants tiers et leurs licences, et ajoute une page de mentions légales (éditeur, hébergeur, droit d'auteur, politique de confidentialité et de cookies).
La protection des données est l'ensemble des processus qui protègent les informations importantes contre la corruption, la compromission et la perte, et qui garantissent qu'elles peuvent être restaurées rapidement après un incident.
Elle évolue selon deux axes :
Tableau: Les technologies de stockage protecteur
Pour l'application de gestion de stagiaires, remplis dans ton carnet de sécurité une fiche de registre des traitements : (1) nom et finalité du traitement ; (2) catégories de personnes concernées ; (3) liste des données collectées, en signalant celles qui sont sensibles ; (4) destinataires ; (5) durée de conservation ; (6) mesures de sécurité ; (7) formalité CNDP (déclaration ou autorisation) et justification. Écris ensuite la mention d'information à placer sous le formulaire d'inscription.
Classe chaque donnée en « non personnelle », « personnelle » ou « sensible » : (1) le nombre total d'inscrits à l'ISTA ; (2) l'e-mail sara.alaoui@gmail.com ; (3) un certificat médical d'absence ; (4) la photo d'un stagiaire sur sa fiche ; (5) l'appartenance d'un formateur à un syndicat ; (6) la moyenne de la classe en M108 ; (7) le numéro de compte bancaire pour la bourse.
Pour chaque situation, cite le principe de la loi 09-08 qui n'est pas respecté : (1) le formulaire d'inscription à une newsletter demande la CIN et la date de naissance ; (2) les e-mails des stagiaires, collectés pour la scolarité, sont vendus à une école privée ; (3) les dossiers des stagiaires de 2008 sont toujours dans la base ; (4) aucun texte n'indique aux visiteurs à quoi servent leurs données ; (5) une ancienne adresse erronée ne peut pas être corrigée ; (6) le fichier des stagiaires est stocké sur un serveur aux États-Unis sans autorisation.
La loi 09-08 et la CNDP
Le responsable du traitement (l'entreprise, l'école, l'administration qui décide pourquoi et comment les données sont traitées) doit collecter et traiter les données de façon loyale, licite et transparente, et respecter les principes suivants.
Les personnes concernées ont des droits que l'application doit permettre d'exercer :
La loi prévoit des sanctions pénales (amendes et emprisonnement) en cas de manquement, par exemple pour une collecte frauduleuse ou un traitement sans déclaration.
<form method="post" action="inscription.php">
<!-- … champs nom, prénom, e-mail, téléphone … -->
<label>
<input type="checkbox" name="newsletter" value="1">
J'accepte de recevoir les actualités de l'établissement par e-mail.
</label>
<button>S'inscrire</button>
<p class="mention">
Les informations recueillies sont traitées par l'ISTA Exemple pour gérer votre inscription
et le suivi de votre formation. Elles sont destinées au service de la scolarité et conservées
pendant la durée de la formation puis 5 ans. Conformément à la loi 09-08, vous disposez
d'un droit d'accès, de rectification et d'opposition, que vous pouvez exercer à l'adresse
dpo@ista-exemple.ma. Ce traitement a été notifié à la CNDP sous le n° D-XXX/2026.
</p>
</form>La loi 05-20 sur la cybersécurité
La loi 05-20, promulguée en juillet 2020, vise à mettre en place un cadre juridique de règles et de mesures de sécurité pour assurer et renforcer la sécurité et la résilience des systèmes d'information :
Ces organismes doivent notamment adopter une politique de sécurité, classer leurs actifs selon leur sensibilité, réaliser des audits et déclarer leurs incidents de sécurité à l'autorité nationale (la DGSSI, avec son centre de veille maCERT).