Fiche de révision : Introduction au droit numérique et régulation européenne

📋 Plan du Cours

1. Fondements du droit numérique
2. IA et régulation européenne
3. Conception numérique et pratiques abusives
4. Blockchain et cadre juridique
5. Protection des données personnelles
6. CNDP et droits des personnes
7. Déclarations et autorisations
8. Transferts et sécurité des données
9. Écrit électronique et signature
10. Services de confiance électronique
11. Cybersécurité et infractions informatiques

📖 1. Fondements du droit numérique

🔑 Notions clés & Définitions

• Droit numérique : Le droit numérique désigne l’ensemble des règles applicables aux technologies numériques, aux données et aux usages qui en découlent, en tenant compte de leurs effets juridiques, économiques et sociaux.
• Droit transversal : Le droit numérique n’est pas une branche isolée : il s’insère dans plusieurs disciplines juridiques comme le civil, le commercial, le pénal, le bancaire et l’administratif.
• Sources marocaines : Les sources du droit numérique au Maroc proviennent de plusieurs catégories juridiques, dont les lois, les décrets, les règlements et des normes internationales.
• Digital Morocco 2030 : La stratégie Digital Morocco 2030 est un programme visant à renforcer le positionnement numérique du Maroc, notamment par la digitalisation des services publics et le déploiement d’infrastructures comme la 5G.

📝 Points essentiels

• Le droit numérique encadre l’usage des technologies numériques et répond à des enjeux tels que la protection des données, la sécurité, la responsabilité et la confiance.
• Le droit numérique s’est construit progressivement : des textes initialement centrés sur des aspects informatiques ont évolué vers la protection des données, les contrats électroniques et la cybercriminalité.
• Les objectifs du droit numérique incluent la protection des individus, la sécurisation des transactions, l’encadrement du commerce électronique et la promotion de l’innovation.
• Le Maroc s’appuie sur la stratégie Digital Morocco 2030 pour soutenir la digitalisation, l’innovation et les infrastructures, ce qui renforce la nécessité d’un encadrement juridique du numérique.
• La transversalité du droit numérique impose une approche pluridisciplinaire pour traiter les questions de preuve, de commerce en ligne, de cybercriminalité, de paiements et d’e-gouvernement.

💡 Astuce mémo

Droit numérique = Données + Systèmes + Usages, appliqués dans toutes les matières (civil, commercial, pénal, finance, administration).

📖 2. IA et régulation européenne

🔑 Notions clés & Définitions

• Règlement européen sur l’IA : Règlement de l’Union européenne qui fixe des règles harmonisées pour l’intelligence artificielle afin d’assurer confiance et maîtrise lors de son utilisation.
• Risque inacceptable : Niveau de risque le plus élevé du cadre européen, visant certains usages d’IA jugés contraires aux libertés et à la dignité humaine.
• Modèles d’IA à usage général : Catégorie de modèles conçus pour de nombreuses tâches, comme certains grands modèles de langage, avec des obligations adaptées à leur puissance et à leurs risques.
• Obligation générale de maîtrise : Obligation du règlement européen imposant aux déployeurs et fournisseurs de systèmes d’IA de mettre en place des mesures pour garantir un niveau de maîtrise suffisant, notamment par la formation.

📝 Points essentiels

• Le règlement (UE) 2024/1689 du 13 juin 2024 organise un régime fondé sur des niveaux de risque et vise la confiance des utilisateurs, avec notamment le marquage CE.
• L’article 4 impose une obligation générale de maîtrise aux déployeurs et fournisseurs de SIA, incluant des mesures pour former les personnes concernées par le fonctionnement et l’utilisation.
• Le cadre distingue des exemples par niveau : risque minimal (ex. filtres anti-spam) et risque limité (ex. certains chatbots avancés) où la transparence est attendue.
• En risque élevé, la conformité est plus stricte et comprend notamment gestion des risques, documentation/traçabilité, qualité des données, supervision humaine et enregistrement dans la base européenne.
• Pour les modèles d’IA à usage général, le règlement prévoit des obligations allant d’exigences de transparence (article 53) à des évaluations plus poussées pour les modèles les plus puissants.

💡 Astuce mémo

Risque = 3 étages : minimal (bonnes pratiques), élevé (conformité lourde), inacceptable (interdiction).

📖 3. Conception numérique et pratiques abusives

🔑 Notions clés & Définitions

• Interfaces truquées : Les interfaces truquées sont des techniques de design manipulatoires qui orientent l’utilisateur vers des choix qu’il n’aurait pas faits spontanément.
• Dark patterns : Les dark patterns désignent, dans la pratique, des mécanismes d’interface visant à influencer le consentement ou les décisions de l’utilisateur par des artifices.
• Freemium : Le modèle freemium propose une base gratuite puis facture des fonctions avancées, ce qui peut poser des difficultés lors du renouvellement et de l’annulation.
• Fonctionnalités addictives : Les fonctionnalités addictives sont des dispositifs de conception pensés pour capter l’attention et prolonger l’usage en exploitant la vulnérabilité psychologique.
• Personnalisation monétisée : La personnalisation monétisée transforme l’attention de l’utilisateur en revenu via le profilage, notamment pour diffuser des publicités ciblées.

📝 Points essentiels

• Le bilan de qualité sur l’équité numérique identifie quatre problématiques majeures liées à la conception : interfaces truquées, freemium, dépendance addictive et monétisation via personnalisation des données.
• Les interfaces truquées sont des stratégies manipulatoires qui influencent les décisions des consommateurs et compromettent l’équité numérique.
• Le modèle freemium soulève des enjeux autour du renouvellement et de l’annulation des abonnements.
• Le bilan reconnaît que des règles récentes (dont celles visant certaines entités réglementées) complètent l’arsenal existant, tout en pointant des lacunes de couverture et de mise en œuvre.
• La Commission européenne envisage un futur règlement sur l’équité numérique pour lutter plus efficacement contre ces pratiques contraires à l’éthique.

💡 Astuce mémo

D-F-A-P : Dark patterns, Freemium, Addiction, Personnalisation monétisée (profilage/publicités ciblées).

📖 4. Blockchain et cadre juridique

📖 5. Protection des données personnelles

🔑 Notions clés & Définitions

• Données à caractère personnel : Ce sont des informations permettant d’identifier directement ou indirectement une personne physique, notamment via un identifiant ou des éléments propres à son identité.
• Traitement : C’est toute opération appliquée à des données personnelles, comme la collecte, l’enregistrement, le stockage, l’utilisation ou l’effacement.
• Données sensibles : Ce sont des données personnelles qui révèlent notamment l’origine, les opinions, la santé, ou l’appartenance syndicale, y compris des données génétiques.
• CNDP : La CNDP est l’autorité marocaine chargée de contrôler la licéité des traitements et de protéger la vie privée, les libertés et droits fondamentaux.
• Consentement préalable : C’est l’accord de la personne concernée, donné de façon libre, spécifique et informée, qui conditionne certains traitements de données personnelles.

📝 Points essentiels

• La loi marocaine impose un traitement loyal et licite, avec finalité déterminée, données adéquates et non excessives, et conservation limitée à la durée nécessaire.
• Le responsable doit informer la personne lors de la collecte, sauf cas prévus (défense/sécurité, impossibilité, dispositions légales spécifiques, finalités journalistiques/artistiques/littéraires).
• Le délai de rectification est de 10 jours, et en cas de refus ou absence de réponse la CNDP peut être saisie.
• Le transfert à l’étranger n’est autorisé que si le pays assure un niveau de protection suffisant, et sinon il faut un fondement comme le consentement explicite ou des exceptions prévues par la loi.
• La déclaration préalable est requise avant la mise en œuvre pour les traitements ne nécessitant pas d’autorisation, et la CNDP délivre un récépissé sous 24h permettant le démarrage du traitement.
• Les obligations de sécurité exigent des mesures techniques et organisationnelles adaptées pour empêcher accès illégal, altération ou diffusion non autorisée, et tenir compte du niveau de risque.

📖 6. CNDP et droits des personnes

🔑 Notions clés & Définitions

• Droit d’accès : Le droit d’accès permet à la personne d’obtenir des informations sur l’existence du traitement, ses finalités, catégories de données, destinataires et une copie compréhensible des données.
• Droit de rectification : Le droit de rectification permet de demander la correction, mise à jour, effacement ou verrouillage de données inexactes, incomplètes ou traitées illégalement.

📝 Points essentiels

• La CNDP est créée par la loi n°09-08 du 18 février 2009 et est placée auprès du Premier ministre (article 27).
• La CNDP peut recevoir et instruire les plaintes, mener des investigations et audits et délivrer récépissés, ainsi qu’autoriser certains traitements sensibles ou spécifiques.
• Le droit à l’information s’applique lors de la collecte des données et doit être clair, précis et non équivoque, avec notamment identité du responsable, finalités et destinataires.
• La rectification doit être effectuée gratuitement dans un délai de 10 jours ; en cas de refus ou absence de réponse, la personne peut saisir la CNDP.
• Le responsable peut refuser des demandes d’accès abusives ou répétitives.

💡 Astuce mémo

Accès, puis Rectif : 10 jours pour corriger (sinon CNDP).

📖 7. Déclarations et autorisations

🔑 Notions clés & Définitions

• Demande écrite DGI : La demande écrite encadre les transferts de données à sens unique vers d’autres administrations en exigeant une base légale.
• Délibération CNDP 579-2013 : Cette délibération motive la possibilité de traitements sans consentement lorsque l’objectif relève d’une mission d’intérêt public.
• Déclaration simplifiée CNDP : La déclaration simplifiée est un mode de formalisation auprès de la CNDP pour certains traitements comme la gestion des newsletters.
• Autorisation préalable CNDP : L’autorisation préalable est exigée avant certains traitements sensibles ou à risques, notamment pour des données de santé et la reconnaissance faciale très encadrée.
• Interconnexion CNDP : L’interconnexion de fichiers avec d’autres traitements nécessite un régime CNDP distinct de la simple collecte ou du transfert.

📝 Points essentiels

• La communication DGI→autres administrations est à sens unique et n’est pas une interconnexion.
• Même sans consentement, une demande écrite avec base légale doit viser des personnes identifiées, rester ponctuelle, et porter sur des données pertinentes et limitées.
• Si les administrations ne sont pas en conformité avec la loi 09-08, l’échange n’est pas valable juridiquement, comme rappelé par la CNDP.
• Les transferts à l’étranger peuvent être autorisés seulement avec déclaration préalable à la CNDP, dont un exemple est la délibération D-02-2023 du 27 février 2023.
• Pour les newsletters, une déclaration simplifiée CNDP (D-940-2025, 28 novembre 2025) encadre collecte, finalités et durée jusqu’au désabonnement.
• Pour la reconnaissance faciale, la CNDP autorise sous conditions fortes (D-195-EUS/2020, 30 décembre 2020) dont la demande préalable, la limitation des bases et une architecture évolutive vers un tiers de confiance national.

💡 Astuce mémo

Pas d’interconnexion : sens unique DGI→administrations, et dès qu’il y a transfert/interconnexion ou données sensibles, CNDP = déclaration ou autorisation préalable.

📖 8. Transferts et sécurité des données

🔑 Notions clés & Définitions

• Secret professionnel : Le secret professionnel impose de ne pas divulguer les informations confidentielles obtenues dans le cadre de fonctions, même après leur cessation.
• Transfert vers un État non autorisé : Le transfert de données vers un État non autorisé consiste à exporter des données en dehors du cadre de transfert permis par la loi.
• Mesures de sécurité et de confidentialité : Les mesures de sécurité et de confidentialité désignent l’ensemble des protections imposées pour empêcher l’accès non autorisé et préserver l’intégrité des données.
• Hébergement des données sensibles au Maroc : L’hébergement des données sensibles au Maroc impose que les données sensibles soient hébergées sur le territoire marocain dans le respect des obligations de sécurité.

📝 Points essentiels

• Le manquement aux mesures de sécurité et de confidentialité est puni d’emprisonnement de 3 mois à 1 an et/ou d’une amende de 20 000 à 200 000 DH.
• Le transfert de données vers un État non autorisé est puni d’emprisonnement de 3 mois à 1 an et/ou d’une amende de 20 000 à 200 000 DH.
• En matière de cybersécurité, l’hébergement des données sensibles doit être réalisé au Maroc uniquement.
• Les prestataires de services de confiance doivent avertir immédiatement l’autorité compétente et la personne concernée en cas de faille de sécurité ou d’atteinte à l’intégrité.

💡 Astuce mémo

Transfert interdit = Sanction : État non autorisé, c’est 3 mois–1 an et/ou 20 000–200 000 DH.

📖 9. Écrit électronique et signature

🔑 Notions clés & Définitions

• Certificat électronique qualifié : Un certificat électronique qualifié est un certificat délivré dans le cadre des services de confiance pour permettre des usages juridiques fiables comme la signature ou le cachet électroniques.
• Données de création de la signature : Les données de création servent à produire la signature ou le cachet et leur confidentialité est une obligation du titulaire du certificat.
• Cachet électronique : Le cachet électronique est un dispositif de service de confiance utilisé pour garantir l’intégrité et l’authenticité d’un document ou d’un message.
• Horodatage : L’horodatage est un service de confiance qui associe une date et une heure à une donnée afin d’assurer la traçabilité des transactions électroniques.
• Recommandé électronique : Le recommandé électronique est un service de confiance qui formalise l’envoi d’un message pour renforcer la preuve dans les échanges électroniques.

📝 Points essentiels

• En cas de faille de sécurité ou d’atteinte à l’intégrité, le titulaire et les acteurs concernés doivent avertir immédiatement l’autorité nationale et la personne concernée.
• Le titulaire d’un certificat électronique qualifié est seul responsable de la confidentialité des données liées à la signature ou au cachet.
• Le titulaire doit notifier rapidement toute modification des données figurant dans le certificat.
• En cas de doute sur la sécurité du certificat, le titulaire doit demander sa révocation immédiate.
• Le titulaire ne peut plus utiliser le certificat après son expiration ou sa révocation.
• L’utilisation illégale des données de création d’une signature ou d’un cachet d’autrui est punie de 1 an à 5 ans d’emprisonnement et de 10 000 à 100 000 dirhams.

💡 Astuce mémo

Confidentialité + Changements notifiés + Doute = révocation immédiate + Fin (expiration/révocation) = plus d’usage : CCDD-F.

📖 10. Services de confiance électronique

🔑 Notions clés & Définitions

• Loi 43-20 : La loi encadre les services de confiance pour sécuriser les transactions électroniques par des mécanismes garantissant la fiabilité des échanges.
• Services de confiance : Les services de confiance sont des prestations électroniques destinées à fournir des preuves techniques de fiabilité pour les transactions numériques.
• Signature électronique : La signature électronique permet d’authentifier un acte ou une transaction électronique et de contribuer à la traçabilité de l’opération.
• Certification de site web : La certification de site web est un service de confiance qui vise à renforcer la fiabilité de l’identité du site lors d’échanges en ligne.

📝 Points essentiels

• La loi 43-20 garantit la fiabilité des échanges électroniques notamment via signature électronique, cachet, horodatage, recommandé électronique et certification de site web.
• La loi 43-20 aligne le Maroc sur des standards européens, citant notamment le règlement eIDAS, pour améliorer authenticité et traçabilité des transactions.
• Le décret n° 2-22-687 précise l’application de la loi 43-20 relative aux services de confiance pour les transactions électroniques.
• En combinant ces services de confiance avec le cadre cybersécurité, les échanges numériques bénéficient d’une meilleure sécurité juridique pour citoyens et entreprises.

💡 Astuce mémo

eIDAS = confiance européenne : signature, cachet, horodatage prouvent l’authenticité et la traçabilité.

📖 11. Cybersécurité et infractions informatiques

🔑 Notions clés & Définitions

• Infractions informatiques : Les infractions informatiques regroupent des atteintes commises via des systèmes informatiques, notamment contre l’accès, l’intégrité et l’exploitation des données.
• Atteinte à l’intégrité des données : L’atteinte à l’intégrité des données vise des actions qui altèrent ou compromettent la fiabilité du contenu des données.
• Fraude électronique : La fraude électronique désigne des manœuvres frauduleuses menées au moyen d’outils ou de systèmes numériques.
• Diffusion illicite de contenus : La diffusion illicite de contenus correspond à la mise en circulation de contenus sans droit, via des canaux numériques.
• Cybersécurité des systèmes d’IA : La cybersécurité des systèmes d’IA est l’ensemble des mesures visant à empêcher attaques, manipulations et vols d’informations affectant des systèmes d’IA et leurs données.

📝 Points essentiels

• La lutte contre les infractions commises par systèmes informatiques couvre le piratage, l’accès illégal, l’atteinte à l’intégrité des données, la fraude et la diffusion illicite de contenus.
• La protection des infrastructures d’IA et de données contre les attaques, manipulations et vols d’informations est présentée comme essentielle à la cybersécurité des systèmes d’IA.
• Le Dahir n°1-14-124 du 27 chaoual 1435 (24 août 2014) promulgue la loi n°136-12 publiée au BO n°6290 du 18 septembre 2014.
• La loi n°75-12, promulguée par le Dahir n°1-14-125 (27 chaoual 1435, 24 août 2014), encadre une coopération arabe contre la criminalité informatique, la fraude électronique et des contenus nuisibles.
• Le décret n°2-21-406 du 4 hija 1442 (15 juillet 2021) précise notamment les modalités de conservation des données techniques et les orientations que l’Autorité nationale peut édicter.
• La Directive Nationale de la Sécurité des Systèmes d’Information (DNSSI), émise par la DGSSI, fixe des orientations normatives pour les entités publiques (dont la gestion des journaux et des traces).

💡 Astuce mémo

P-A-I-F-D : Piratage, Accès illégal, Intégrité, Fraude, Diffusion illicite.

📅 Repères chronologiques

📊 Tableaux de synthèse

Niveaux de risque dans le règlement européen sur l’IA

⚠️ Pièges & confusions fréquents

1. Confondre le rôle du droit numérique (droit transversal) avec une branche autonome, alors qu’il s’insère dans civil, commercial, pénal, bancaire/financier et administratif.
2. Mélanger définition et champ : un « système d’IA » dépend du contexte d’usage, alors que le droit vise le système (pas l’IA abstraite).
3. Croire que la conformité au « risque minimal » impose des obligations : le cours dit au contraire qu’il n’y a aucune obligation spécifique pour ce niveau.
4. Sous-estimer le délai de rectification : le cours fixe 10 jours et relie l’absence de réponse/refus à une saisine de la CNDP.
5. Oublier que le droit à l’information a des limites : dans certains cas (sécurité/défense/criminalité, impossibilité, fins journalistiques/artistiques/littéraires), l’information préalable n’est pas due.
6. Confondre déclaration préalable et autorisation préalable CNDP : la santé et/ou certains traitements à risque sensible exigent une autorisation avant mise en œuvre.
7. Confondre crypto-actifs et blockchain : le cours précise que les transactions en crypto ne sont pas reconnues comme moyens de paiement et que la technologie blockchain n’est pas interdite.

✅ Checklist Examen

1. Définir le droit numérique (règles applicables aux technologies numériques/données/systèmes/usages) et expliquer son caractère transversal.
2. Lister les objectifs du droit numérique dans le cours (protection des individus, sécurité des transactions, encadrement du commerce électronique, promotion de l’innovation).
3. Expliquer le fonctionnement d’un système d’IA en trois étapes (inputs/traitement/outputs) et donner au moins deux exemples de sorties (recommandation, prédiction, décision, contenu).
4. Citer la définition retenue pour « système d’IA » (approche Règlement européen sur l’IA) et repérer l’idée de niveaux d’autonomie et d’influence des environnements.
5. Rappeler le règlement (UE) 2024/1689 du 13 juin 2024 et l’objectif de confiance via le marquage CE, puis préciser l’article 4 (obligation générale de maîtrise avec formation).
6. Maîtriser le tableau des niveaux de risque (minimal/limité/élevé/inacceptable) : donner un exemple et l’obligation principale attendue.
7. Pour les données personnelles (loi n°09-08), distinguer « données à caractère personnel », « traitement », « données sensibles », et « responsable du traitement ».
8. Donner les droits des personnes : droit à l’information (collecte), droit d’accès et droit de rectification (délai de 10 jours) avec saisine CNDP en cas de refus/absence de réponse.
9. Expliquer la logique CNDP : création par la loi n°09-08 du 18 février 2009, missions (déclarations/récépissés, contrôle et investigations, plaintes) et lien avec l’autorisation/déclaration selon le risque.
10. Rappeler les formalités CNDP : déclaration préalable (récépissé sous 24h) versus autorisation préalable, ainsi que les règles de transfert à l’étranger (pays sûrs versus exceptions/consentement explicite).
11. Sur les services de confiance, distinguer signature électronique simple/avancée/qualifiée et rappeler que la qualifiée a la même force qu’une signature manuscrite.
12. En cybersécurité, citer les éléments de la loi n°05-20 : obligations (notamment hébergement au Maroc pour données sensibles, journaux/traces pendant un an pour opérateurs privés, déclaration incidents) et le rôle de la DGSSI (DGSSI/autorité nationale).
13. En blockchain, décrire le registre (partagé/distribué/permanent), le rôle des clés publiques/privées et le principe d’intégrité via le hash, puis distinguer blockchain publique, privée et de consortium.