Transferts internationaux · Maroc
Sécuriser les transferts de données d'un projet IA marocain
Identifier les flux étrangers d’un projet IA et préparer les formalités de transfert indiquées par la CNDP.
Par Rédaction KANOUN · Mise à jour documentaire :
Périmètre : Maroc. Les références ci-dessous fondent les repères juridiques ; les recommandations décrivent des choix d’organisation à adapter au projet.
Cartographier les flux du service
Nous recommandons de demander au fournisseur où les fichiers, requêtes, sauvegardes et journaux sont traités, et quelles équipes y accèdent. Une localisation annoncée pour le stockage principal ne décrit pas nécessairement tous les flux du service. Faites confirmer les réponses pour l’offre et la configuration effectivement utilisées.
Exemple : un fichier stocké au Maroc peut être envoyé à une API étrangère pour produire une réponse. Examinez ce flux séparément, en identifiant les données personnelles présentes et les destinataires. Cette cartographie constitue une préparation du dossier, pas une autorisation.
Appliquer les conditions de transfert
La CNDP distingue les destinations figurant sur sa liste et les autres, pour lesquelles elle expose des conditions telles que le consentement exprès, certaines nécessités ou une autorisation expresse fondée sur des garanties suffisantes. Sa page présente le formulaire F118 et précise que l’autorisation de transfert suppose un traitement sous-jacent déclaré ou autorisé et approuvé. CNDP — Demande de transfert à l’étranger.
Vérifiez les pièces correspondant au traitement et au transfert dans les procédures publiées. Le contrat du fournisseur peut faire partie du dossier ; sa signature ne permet pas de conclure que les formalités sont accomplies. CNDP — Procédures de notification.
Recommandations contractuelles et suivi
Nous recommandons de préciser les destinations acceptées, les sous-traitants, l’usage des données pour l’entraînement, les modalités de restitution et la suppression en fin de service. Préparez une procédure interne lorsque le fournisseur annonce un changement de région ou de prestataire.
Gardez une version datée de la cartographie et les justificatifs du dossier. Avant de changer d’offre, comparez les nouveaux flux aux hypothèses utilisées pour les formalités initiales. Ne transposez pas automatiquement des clauses européennes à un dossier marocain : l’analyse doit suivre les conditions CNDP et les règles applicables au cas concerné.