La CNIL a créé un groupe de travail sur « l’offshoring »

En déplacement au Maroc, la délégation française de la CNIL avait pour mission de faire conformer la législation marocaine avec les législations française et européenne en matière de protection des données personnelles.

En effet, la loi du 6 août 2004, transposant la directive européenne 95/46, dispose que « le responsable d’un traitement ne peut transférer des données à caractère personnel vers un Etat n’appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes à l’égard du traitement dont ces données font l’objet ou peuvent faire l’objet. »

Cet article ajoute que « le caractère suffisant du niveau de protection assuré par un Etat s’apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l’origine et de la destination des données traitées. »

En d’autre terme, délocaliser des services qui mettent en œuvre des traitements automatisés impliquant des données personnelles européennes peut être illégal si les pays vers lesquels les données sont transférées n’offrent pas ce « niveau de protection suffisant », notamment s’agissant de la vie privée.

Il s’agissait donc pour la CNIL d’inciter le gouvernement marocain à mettre en place un dispositif de protection. En particulier, la promulgation d’une loi fondamentale en matière de protection de données personnelles est souhaitée. Dans ce cadre, une commission d’informatique et libertés indépendante devrait être instituée.

Comme a pû le rappeler le Président de la CNIL dans une interview accordée à « l’Economiste », « Ce sont-là les deux critères à remplir pour pouvoir justifier d’un niveau de protection de données équivalent à celui que l’on retrouve en Union Européenne ».

L’enjeu est également important pour les entreprises recourant à l’offshoring.

En effet, l’article 226-26 du code pénal prévoit que le fait de ne pas respecter les formalités préalables à la mise en œuvre d’un traitement de données à caractère personnel est passible d’une peine de 5 d’emprisonnement et de 300 000 euros d’amende.

À cet égard, le groupe de travail se fixe également pour mission de proposer des solutions pour inciter les entreprises à un meilleur respect des règles de protection des données.

À l’heure actuelle, le responsable d’un traitement souhaitant transférer ses données vers un pays tiers à l’Union Européenne qui ne dispose pas d’un niveau de protection suffisant, devra solliciter une autorisation à la CNIL. Cette autorisation peut en effet être délivrée par la CNIL. La demande devra néanmoins avoir préalablement fait l’objet du contrôle de la commission, qui s’assurera qu’un certains nombre d’exigences sont respectées.

Cette faculté d’autorisation est prévu, à titre dérogatoire, par l’article 69 de la Loi relative « à l’informatique, aux fichiers et aux libertés ».

Mais pour le Président de la CNIL, « il est beaucoup plus intelligent que le gouvernement marocain mette en place un dispositif de protection, plutôt que de compter sur le contrôle de la CNIL. »