Consentement aux données personnelles au Maroc : le recueillir, le prouver, le retirer

Le consentement est la base légale la plus utilisée et la plus mal mise en œuvre. Sur la plupart des sites que nous auditons, il existe une case à cocher et rien derrière : aucune trace de ce qui a été accepté, ni de quand, ni de moyen de revenir en arrière. Or un consentement qu’on ne peut pas prouver ne vaut pas mieux qu’une absence de consentement.

Trois exigences, pas une

• Le recueil — libre, éclairé et spécifique. « J’accepte la politique de confidentialité » couvre mal plusieurs finalités distinctes : recevoir un devis n’est pas recevoir une newsletter.
• La preuve — que vous devez pouvoir produire : quelle version du texte a été acceptée, à quelle date, pour quelles finalités.
• Le retrait — aussi simple que l’accord, et réellement appliqué en aval : si le retrait ne vide pas la liste de diffusion, il n’existe pas.

Quand le consentement n’est pas la bonne base

Erreur fréquente et coûteuse : demander un consentement là où le traitement repose sur autre chose. Facturer un client, payer un salarié ou tenir une comptabilité ne dépend pas de son accord — ces traitements ont une autre base. Demander un consentement dont vous ne tiendrez pas compte est pire que de ne pas le demander : cela crée une promesse que le système ne peut pas honorer.

La conséquence pratique : si un retrait de consentement ne peut pas être exécuté sans casser une obligation légale, c’est le signe que la base choisie était mauvaise.

Ce que cela donne dans un logiciel

• Une finalité par case, et pas de case pré-cochée.
• Un enregistrement horodaté par consentement : finalité, date, version du texte, canal.
• La version des textes conservée — sinon vous ne pouvez pas prouver ce qui a été accepté.
• Un retrait propagé à tous les systèmes concernés, y compris les outils tiers.
• Une durée de conservation qui s’applique aussi aux preuves de consentement.

Le cas des cookies et de la mesure d’audience

Un traceur qui n’est pas strictement nécessaire au fonctionnement du site suppose un accord préalable. En pratique, cela veut dire ne rien déposer avant le choix de la personne — pas déposer d’abord et informer ensuite. Un bandeau qui informe pendant que les traceurs sont déjà actifs n’a aucune valeur, et c’est le cas de la majorité des sites.

Ce que nous vérifions sur un site existant

Dans cet ordre, parce que c’est celui où les problèmes apparaissent : ce qui est déposé avant le choix ; ce qui est réellement enregistré quand quelqu’un accepte ; ce qui se passe quand quelqu’un refuse ou se retire ; et ce qui reste dans les outils tiers après un retrait. Voir conformité CNDP, ou faites le point avec notre auto-évaluation.

Guides liés : la déclaration CNDP, loi 09-08 et RGPD.