التصريحات والتراخيص لدى CNDP: دليل عملي | Upsilon Consulting

باختصار: يتعين على كل مقاولة تعالج البيانات الشخصية بالمغرب تقديم تصريح أو الحصول على ترخيص من اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). يفصل هذا الدليل المراحل والوثائق المطلوبة والآجال القانونية وحالات الإعفاء المنصوص عليها في القانون 09-08.

مقدمة: لماذا يجب التصريح بمعالجاتكم لدى CNDP؟

اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) هي الهيئة المغربية المكلفة بالسهر على احترام القانون 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي. كل مقاولة أو جمعية أو مؤسسة عمومية تجمع أو تخزن أو تستعمل معطيات شخصية تخضع لاختصاصها.

عدم الامتثال لالتزامات التصريح أو الترخيص يعرض المقاولة لعقوبات جنائية وغرامات قد تصل إلى 300.000 درهم، بل وعقوبة سجنية. لذلك فإن فهم الفرق بين التصريح والترخيص أمر جوهري لتأمين نشاطكم.

التصريح أم الترخيص: ما الفرق؟

التصريح المسبق (النظام العام)

التصريح هو الإجراء المعتاد. ينطبق على غالبية معالجات البيانات الشخصية غير الحساسة. إذا كانت مقاولتكم تدير قاعدة بيانات العملاء أو ملف الأجور أو نظام الفوترة، فيجب عليكم إيداع تصريح مسبق لدى CNDP.

المبدأ بسيط: تخبرون CNDP بوجود معالجتكم، وتسلمكم اللجنة وصل استلام في أجل 24 ساعة. هذا الوصل يعتبر بمثابة ترخيص لتنفيذ المعالجة.

الترخيص المسبق (البيانات الحساسة)

الترخيص مطلوب للمعالجات المتعلقة بـالبيانات الحساسة: الأصول العرقية أو الإثنية، الآراء السياسية، القناعات الدينية، الانتماءات النقابية، البيانات الصحية، البيانات الجينية، البيانات البيومترية أو البيانات المتعلقة بالمخالفات أو الإدانات.

تتوفر CNDP على أجل 30 يوما للبت في طلب الترخيص. في حال عدم الرد خلال هذا الأجل، يعتبر الترخيص مرفوضا (السكوت يعني الرفض).

الترخيص للتحويلات الدولية

كل تحويل للبيانات الشخصية نحو بلد لا يتوفر على مستوى حماية ملائم يستلزم أيضا ترخيصا مسبقا من CNDP، وفقا للمادتين 43 و44 من القانون 09-08.

محتوى التصريح (المادة 15 من القانون 09-08)

يجب أن يتضمن كل تصريح أو طلب ترخيص المعلومات التالية:

1. هوية المسؤول عن المعالجة: الاسم أو التسمية التجارية، عنوان المقر الاجتماعي، رقم السجل التجاري.
2. الغرض من المعالجة: الهدف الدقيق من جمع واستعمال البيانات (مثلا: إدارة العلاقة مع العملاء، التوظيف، التسويق المباشر).
3. فئات البيانات المعالجة: الاسم، اللقب، العنوان، البريد الإلكتروني، الهاتف، البيانات البنكية، إلخ.
4. فئات الأشخاص المعنيين: العملاء، الأجراء، الموردون، العملاء المحتملون.
5. متلقو البيانات: المصالح الداخلية، المتعاقدون من الباطن، الشركاء التجاريون.
6. التحويلات الدولية: بلدان الوجهة والضمانات المتخذة.
7. مدة الاحتفاظ: الفترة التي ستحتفظ خلالها بالبيانات.
8. تدابير الأمن: الأجهزة التقنية والتنظيمية لحماية البيانات (التشفير، مراقبة الولوج، النسخ الاحتياطية).

الإجراءات خطوة بخطوة للتصريح

الخطوة 1: رسم خريطة معالجاتكم

قبل أي إجراء، قوموا بجرد جميع معالجات البيانات الشخصية في مقاولتكم. لكل معالجة، حددوا الغرض وفئات البيانات والأشخاص المعنيين وتدابير الأمن المتخذة.

الخطوة 2: تحديد النظام المطبق

لكل معالجة، تحققوا مما إذا كانت تخضع للتصريح البسيط أو التصريح المبسط أو الترخيص المسبق. البيانات الحساسة والتحويلات الدولية تستلزم دائما الترخيص.

الخطوة 3: إعداد الملف

اجمعوا الوثائق التالية:

• استمارة التصريح أو الترخيص (متوفرة على موقع CNDP)
• نسخة من السجل التجاري أو ما يعادله
• وصف مفصل للمعالجة حسب المادة 15
• سياسة السرية للمقاولة
• تدابير الأمن المتخذة

الخطوة 4: إيداع الطلب

يتم الإيداع عبر الإنترنت من خلال منصة CNDP (https://www.cndp.ma). يمكنكم أيضا القيام بإيداع مادي في مقر اللجنة بالرباط.

الخطوة 5: الحصول على وصل الاستلام أو القرار

• التصريح: وصل استلام يسلم في غضون 24 ساعة.
• الترخيص: قرار في غضون 30 يوما. في حال عدم اكتمال الملف، يمكن لـCNDP طلب وثائق إضافية، مما يوقف سريان الأجل.

الخطوة 6: تحديث تصريحاتكم

كل تعديل جوهري على المعالجة (تغيير الغرض، إضافة فئات بيانات، تحويل دولي جديد) يجب أن يكون موضوع تصريح جديد أو تحديث لدى CNDP.

الإعفاءات من التصريح (المادة 18)

بعض المعالجات معفاة من التصريح المسبق:

• المعالجات المتعلقة بالبيانات الشخصية الواردة في السجلات العمومية الموجهة لإعلام العموم والمفتوحة للاطلاع.
• المعالجات التي يقوم بها شخص ذاتي لممارسة أنشطة شخصية أو منزلية حصرا.
• المعالجات التي ينحصر غرضها في مسك سجل يكون، بموجب أحكام تشريعية أو تنظيمية، موجها لإعلام العموم.

ملاحظة مهمة: الإعفاء من التصريح لا يعفي من الامتثال لباقي التزامات القانون 09-08، ولا سيما حقوق الولوج والتصحيح والتعرض للأشخاص المعنيين.

التصريحات المبسطة (المادة 17)

يمكن لـCNDP وضع معايير مبسطة لفئات معينة من المعالجات التي لا تمس بشكل واضح بالحياة الخاصة. في هذه الحالة، يكفي تصريح مبسط باستمارة مخففة.

المعالجات الشائعة المشمولة بالمعايير المبسطة تشمل عادة:

• إدارة الأجور والموارد البشرية
• إدارة العملاء والموردين
• المحاسبة العامة

راجعوا موقع CNDP للتحقق مما إذا كانت معالجتكم مؤهلة لمعيار مبسط.

نصائح عملية للمقاولات

1. عينوا مسؤولا داخليا مكلفا بالامتثال لـCNDP. سينسق هذا المرجع التصريحات ويضمن تحديث السجلات.
2. احتفظوا بسجل للمعالجات موثق ومحدث. هذه ممارسة جيدة تسهل عمليات المراقبة المحتملة.
3. توقعوا الآجال: لا تطلقوا معالجة جديدة قبل الحصول على وصل الاستلام أو الترخيص.
4. كونوا فرقكم على الممارسات الجيدة لحماية البيانات الشخصية.
5. استعينوا بخبير محاسب أو مستشار متخصص لتأمين إجراءاتكم.

خلاصة

الامتثال لـCNDP ليس اختياريا: إنه التزام قانوني يحمي مقاولتكم والأشخاص الذين تعالجون بياناتهم على حد سواء. باتباع المراحل الموضحة في هذا الدليل والتأكد من التمييز الصحيح بين التصريح والترخيص، تقلصون بشكل كبير مخاطركم القانونية.

تواكب Upsilon Consulting المقاولات في جميع إجراءات الامتثال لـCNDP، من رسم خريطة المعالجات إلى إيداع التصريحات وطلبات الترخيص.

---

اقرأ أيضا

CNDP والقانون 09-08: دليل شامل عقوبات CNDP: المخاطر الجنائية والغرامات التحويل الدولي للبيانات الشخصية بالمغرب مساعدة الامتثال لـCNDP