Centres d'appels au Maroc : RGPD et protection des données

Le cabinet accompagne les centres d'appels et les plateformes d'externalisation (offshoring, nearshoring) qui s'implantent au Maroc pour le compte de donneurs d'ordre européens. L'enjeu est double : traiter au Maroc des données de citoyens de l'Union européenne sous l'empire du Règlement général sur la protection des données (RGPD), tout en se conformant à la loi n° 09-08 et au contrôle de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

Expert juridique intervenant sur des programmes financés par l'Union européenne, Maître Abdelatif Laamrani conjugue la lecture européenne du texte et la pratique marocaine de son application. Nous intervenons en français, en anglais, en espagnol et en arabe, dans la langue du donneur d'ordre.

Audits RGPD

Nos audits partent de la réalité du plateau, non d'une grille théorique : cartographie des flux entre le donneur d'ordre européen et le site marocain, registre des activités de traitement (article 30), qualification de chaque acteur en responsable de traitement ou sous-traitant, revue des contrats au regard de l'article 28, sécurité des postes, des accès distants et des outils CRM.

Faute de décision d'adéquation pour le Maroc, le transfert de données hors de l'Union européenne est sécurisé par les clauses contractuelles types de la Commission européenne et une analyse d'impact du transfert, articulées avec les formalités requises auprès de la CNDP. Le client reçoit un plan de remédiation hiérarchisé, opposable lors d'un audit de son donneur d'ordre comme d'un contrôle d'autorité.

DPO externalisé

Peu de centres d'appels disposent en interne d'un délégué à la protection des données (DPO) indépendant et rompu au double cadre européen et marocain. Le cabinet assure cette fonction (articles 37 à 39 du RGPD) : interlocuteur des autorités et des donneurs d'ordre, traitement des demandes d'exercice des droits dans les délais légaux, conduite des analyses d'impact pour les traitements à risque, gestion des violations de données et de leur notification sous 72 heures, formation des superviseurs et des téléconseillers.

Le donneur d'ordre trouve en face de lui un juriste qualifié ; le centre d'appels gagne un argument décisif dans ses appels d'offres.

Politiques de protection des données

La conformité se prouve par écrit. Le cabinet rédige le corpus qui la démontre au titre du principe de responsabilité : politique de confidentialité et mentions d'information, politique de sécurité des systèmes d'information, politique de conservation et de purge, procédures de gestion des violations et des demandes de droits, charte des téléconseillers, encadrement de la sous-traitance ultérieure. Ces textes sont conçus pour être appliqués sur un plateau, non pour dormir dans un classeur.

Enregistrement des appels et consentement

L'enregistrement des conversations concentre le risque contentieux d'un centre d'appels. Le cabinet en fixe la base légale selon la finalité (consentement, exécution du contrat ou intérêt légitime), le message d'information diffusé en début d'appel et le droit d'opposition, une durée de conservation proportionnée (qualité, formation, preuve d'une souscription), l'accès restreint aux enregistrements et la suspension de l'enregistrement lors de la saisie de données bancaires.

Les campagnes de prospection téléphonique sont calibrées sur les règles du pays du consommateur appelé et sur les exigences de la CNDP, afin qu'aucun appel ne devienne la source d'une sanction.

Contrats d'infogérance, e-réputation et contentieux numérique : voir notre page droit du numérique.

Questions fréquentes

Un centre d'appels installé au Maroc est-il soumis au RGPD ?

Oui, dès lors qu'il traite des données de personnes situées dans l'Union européenne pour le compte d'un donneur d'ordre européen, ou qu'il cible lui-même ces personnes. Il reste en outre soumis à la loi marocaine n° 09-08 et au contrôle de la CNDP.

Comment transférer des données de l'Union européenne vers le Maroc ?

Le Maroc ne bénéficie pas d'une décision d'adéquation. Le transfert repose donc sur les clauses contractuelles types de la Commission européenne, complétées d'une analyse d'impact du transfert et des mesures de sécurité adaptées.

Faut-il un consentement pour enregistrer les appels ?

Pas toujours. La base légale dépend de la finalité : consentement, exécution du contrat ou intérêt légitime. L'information de la personne en début d'appel et son droit d'opposition sont en revanche toujours requis.