Commission Droit & Pratiques du Commerce International SEMINAIRE L EXTERNALISATION DE SERVICES AU MAROC ASPECTS CONTRACTUELS ET LEGAUX Sujet de l exposé : Le contrat d externalisation de services & La protection des données personnelles (résumé) Préparé et présenté par Amin Hajji Président de la Commission Droit & Pratiques du Commerce International Avocat au barreau de Casablanca Le 5 juin 2008 Salle des Conférences Fondation Al Saoud Casablanca 1
Mesdames et Messieurs, En 2007, le commerce mondial des services qui inclut les exportations de services informatiques et les externalisations de logiciels s est considérablement accru pour atteindre environ 4.000 milliards de dollars, soit environ le quart du commerce mondial et à titre d exemple, l Inde a exporté la même année des prestations de services informatiques dans le cadre des BPO équivalent 18 milliard de dollars et la Chine a réalisé un chiffre d affaires à l export grâce à l externalisation de logiciel dans le cadre des ITO pour plus de 30 milliards de dollars et ceci à travers les 12.000 entreprises chinoises dont l activité est dédiée à cette industrie. La part du Maroc dans cette industrie de services au niveau mondial est peut être encore peu significative mais elle est appelée à grandir à l avenir avec la montée en puissance du plan émergence qui se déploie dans différentes zones d activités dédiées à l offshoring. Cependant, et malgré l instauration d une charte spéciale d investissement dans le domaine de l offshoring par la circulaire du Premier Ministre du 7 novembre 2007 ainsi que par la publication de la loi du 30 novembre 2007 relative à l échange électronique de données juridiques, il reste encore un sérieux vide juridique à remplir dans les plus proches délais qui consiste à instituer une loi sur la protection des données personnelles. L objet de cette loi est d apporter une réponse sans équivoque notamment aux investisseurs européens quant à leur exigence absolue de protection des données privées qu ils mettent à la disposition des prestataires de services locaux. Il est par ailleurs à noter que ce pré requis est demandé car les donneurs d ordre européens qui sont soumis à une législation nationale et européenne très restrictives qui met en cause leur responsabilité civile et pénale en cas de défaillance de la personne chargée du traitement des données. 2
En effet, les contrats d externalisation de services qui mettent en jeu le transfert de données privées de personnes établies au Maroc ou à l étranger posent la question de la protection de ces mêmes données contre des utilisations abusives ou malveillantes de la part des prestataires engagés dans de tels services externalisés. Ainsi et pour les contrats établis entre un donneur d ordre européen et un prestataire de services local au Maroc, il y a lieu de veiller à la rédaction la plus complète et la plus précise de la clause de sécurité des données personnelles puisqu il n y a pas comme il est dit plus haut de loi marocaine instaurée sur cette importante question de la protection des données à caractère personnel. A titre d exemple, cette exigence de rédaction spécifique de la clause de protection des données de la part du donneur d ordre/exportateur de données résident dans un pays membre de l Union Européenne est justifiée par l existence de règles impératives relatives aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous traitants/importateurs de données établis dans des pays tiers en vertu de la directive 95/46/CE du 24 octobre 1995 complétée par une décision de la Commission Européenne du 27 décembre 2001 qui a inclut des clauses contractuelles types («sous traitants») [ voir document en annexe]. Les articles 56 et 57 de la Directive disposent que «les flux transfrontaliers de données à caractère personnel sont nécessaires au développement du commerce international.. et que la protection des personnes garanties dans la Communauté par la présente directive ne s oppose pas aux transferts de données à caractère personnel vers des pays tiers assurant un niveau de protection adéquat. et que lorsqu un pays tiers n offre pas un niveau de protection adéquat, le transfert de données à caractère personnel vers ce pays doit être interdit». Toutefois, l article 59 de ladite directive précise que «des mesures particulières peuvent être prises pour pallier l insuffisance du niveau de protection dans un pays tiers lorsque le responsable du traitement présente des garanties appropriées..» Il est par ailleurs mentionné à l article 4 de la Décision de la Commission 3
du 27 décembre 2001 que «les autorités compétentes des Etats membres peuvent exercer les pouvoirs dont elles disposent pour interdire ou suspendre les flux de données vers des pays tiers afin de protéger les individus à l égard du traitement de leurs données à caractère personnel..». Ainsi et en vertu de la liberté contractuelle en droit civil marocain qui énonce que «les obligations contractuelles valablement formées tiennent lieu de la loi à ceux qui les ont faites» (article 230 du D.O.C.) et que l autonomie de la volonté est consacré par le droit privé international marocain, les parties contractantes peuvent parfaitement soumettre les conditions de mise en œuvre du traitement des données aux règles étrangères comme les dispositions européennes précitées et en particulier les Clauses Contractuelles Types. Sur un autre plan et dans l attente de l approbation du projet de loi sur la protection des données personnelles au Maroc, un projet de loi est en examen auprès du Secrétariat Général du Gouvernement et son dispositif reprend les grands principes du texte communautaire de 1995 et il est prévu d instituer auprès du Premier Ministre une «Commission de Contrôle de la Protection des Données à caractère Personnel» chargée de mettre en œuvre et de veiller au respect des dispositions de la loi et des textes pris pour son application. Il est à noter que le projet de loi dispose de la condition de réciprocité dans le niveau de la protection des données personnelles dans tout autre Etat vers lequel un transfert de données à caractère personnel sera effectué à partir du Maroc [ article 43 du projet]. De plus l arsenal répressif du projet de loi est assez marqué notamment à la lecture de l article 61 qui évoque une punition «d un emprisonnement de six mois à un an et d une amende de 20.000 à 300.000 Dirhams ou de l une de ces deux peines seulement, tout responsable de traitement, tout sous traitant et toute personne qui, en raison de ses fonctions, est chargé de traiter des données à caractère personnel et qui, même par négligence, cause ou facilite l usage abusif ou frauduleux des données traitées ou reçues ou les communique à des tiers non habilités». Sur point de la négligence, l appréciation du juge reste très large ce qui conduit à bien réfléchir sur les modalités 4
pratiques et effectives prises par le prestataire pour «verrouiller» le processus de traitement des données et ne pas s exposer à la mise en jeu de sa responsabilité délictuelle par la personne dont les données ont été utilisées frauduleusement au titre de l application de l article 85 du dahir formant code des obligations et contrats. Il faut toutefois préciser que les activités d offshoring avec des transferts de données qui ont lieu au Maroc jusqu à ce jour sont régies par des textes généraux comme par exemple l article 11 de la Constitution du Royaume de 1996 qui dispose que «la correspondance est secrète», l article premier de Dahir du 15 novembre 1958 formant code de la presse tel que modifié par la loi du 3 octobre 2002 qui dispose que «tous les médias ont le droit d accéder aux sources d informations et de se procurer des informations de sources diverses, sauf si lesdites informations sont confidentielles en vertu de la loi» et en particulier le Pacte international relatif aux droits civils et politiques signé le 16 décembre 1966 à NewYork auquel le Maroc est partie depuis le 8 novembre 1979 et qui précise que «nul ne sera l objet d immixtion arbitraires ou illégales dans sa vie privée, sa famille, son domicile ou sa correspondance, ni d atteintes à son honneur et sa réputation. Toute personne a droit à la protection de la loi contre de telles atteintes». Par ailleurs, le code pénal dispose en son article 446 que «toutes personnes dépositaires par état ou profession, de secret qu on leur confie ont révélé ces secrets, sont punis de l emprisonnement d un mois à six mois et d une amende de 200 à 1000 dirhams». En conclusion, l activité de la l offshoring de services de traitement de données à caractère personnel est source de nombreux risques juridiques qui pèsent sur l ensemble des parties impliquées dans le processus de traitement de ces données. La chaine de responsabilités entre l exportateur et l importateur de données pourrait être invoquée par la personne dont les données ont fait l objet de divulgation ou d utilisation illégale, ce qui nous conduit à affirmer que la rédaction de contrats internationaux impliquant le transfert de données soit la plus fine possible avec les références à tous les dispositifs de contrôle mis en place par les parties tant au niveau des exigences légales lorsqu elles existent, qu au niveau des mécanismes techniques qui devraient être détaillés en annexe au contrat pour bien préciser les engagements de 5
sécurité pour la protection des données pris par les parties pour être en conformité avec la loi générale et spéciale mais aussi pour donner la meilleure protection aux données ayant fait l objet de traitements transfrontières. ***** 6