Fiche de révision : Introduction au droit numérique marocain

📋 Plan du Cours

1. Droit numérique et enjeux
2. Sources du droit numérique marocain
3. Intelligence artificielle et réglementation
4. Risques et usages de l’IA
5. Interfaces truquées et modèles addictifs
6. Protection des données personnelles
7. CNDP et droits des personnes
8. Déclarations et autorisations des traitements
9. Transferts et sécurité des données
10. Écrit électronique et signature électronique
11. Cybersécurité et cybercriminalité
12. Blockchain et contrats numériques

📖 1. Droit numérique et enjeux

🔑 Notions clés & Définitions

• Droit numérique : Le droit numérique regroupe les règles applicables aux technologies numériques, aux données et aux systèmes d’information ainsi qu’aux usages qui en découlent.
• Droit transversal : Le droit numérique ne forme pas une branche autonome du droit, mais un ensemble de règles qui recoupe plusieurs domaines juridiques.
• Enjeux du numérique : Les enjeux du numérique renvoient aux impacts sociaux et économiques qui exigent encadrement, sécurité et responsabilité dans l’usage des outils numériques.
• Digital Morocco 2030 : Digital Morocco 2030 est une stratégie marocaine visant à faire du pays un hub numérique régional par la digitalisation des services et le déploiement d’infrastructures.

📝 Points essentiels

• Le droit numérique s’adapte à la transformation numérique devenue quotidienne et encadre l’usage des technologies numériques.
• Le droit numérique vise notamment la protection des citoyens, la sécurité des données et la confiance dans le numérique.
• Le droit numérique couvre plusieurs disciplines : administration numérique, commerce électronique, preuve électronique, cybersécurité et cybercriminalité, ainsi que le secteur bancaire et financier.
• La transversalité du droit numérique impose une approche pluridisciplinaire du juriste.
• La stratégie Digital Morocco 2030 prévoit notamment la digitalisation des services publics et le déploiement d’infrastructures comme la 5G.

💡 Astuce mémo

PSC : Protection des citoyens, Sécurité des données, Confiance numérique.

📖 2. Sources du droit numérique marocain

🔑 Notions clés & Définitions

• Lois numériques marocaines : Les règles législatives marocaines encadrent des usages numériques précis comme les données personnelles, la cybersécurité, les services de confiance et certains échanges électroniques.
• Loi n° 09-08 : La loi encadre le traitement des données à caractère personnel afin de protéger la vie privée lors de la collecte, du traitement et de la conservation des données.
• Loi n° 53-05 : La loi organise la validité et la fiabilité des données échangées électroniquement, et certaines dispositions ont été abrogées par la loi 43-20.
• Loi n° 43-20 : La loi fixe le cadre des services de confiance destinés aux transactions électroniques pour garantir sécurité, authenticité et valeur probante des échanges et signatures.
• Normes et standards internationaux : Les sources internationales complètent le droit marocain en influençant l’encadrement du numérique, notamment pour la sécurité, la preuve et la confiance dans les transactions.

📝 Points essentiels

• Le droit numérique marocain repose sur plusieurs sources éparpillées entre lois, décrets d’application et règlements administratifs, sans code unique dédié.
• La loi n° 05-20 traite de la cybersécurité en visant la sécurité des systèmes d’information et la fiabilité des NTIC.
• La loi n° 07-03 modifie le Code pénal pour couvrir des délits commis à travers ou contre les systèmes informatiques.
• La loi n° 31-13 garantit le droit d’accès à l’information publique, utile à la transparence notamment des décisions automatisées.
• Le cadre de preuve et de signature électronique s’appuie sur le régime des services de confiance instauré par la loi n° 43-20.

💡 Astuce mémo

09-08 = données privées ; 05-20 = cybersécurité ; 43-20 = services de confiance ; 53-05 = échanges électroniques fiables.

📖 3. Intelligence artificielle et réglementation

🔑 Notions clés & Définitions

• Règlement européen sur l’IA : Le règlement européen sur l’intelligence artificielle encadre les systèmes d’IA selon un régime fondé sur les niveaux de risque afin d’assurer confiance, maîtrise et sécurité des utilisateurs.
• Article 4 maîtrise de l’IA : L’article 4 du règlement européen impose aux fournisseurs et déployeurs de garantir un niveau de maîtrise suffisant de l’IA, notamment via la formation des personnes concernées.
• Système d’IA : Un système d’IA est un dispositif automatisé conçu pour fonctionner à divers niveaux d’autonomie et capable, après déploiement, de s’adapter et de générer des sorties influençant des environnements.
• Niveaux de risque RIA : Les catégories du RIA classent les systèmes d’IA par niveau de risque, ce qui déclenche des obligations allant de simples bonnes pratiques à une interdiction de mise sur le marché.
• Modèles d’IA à usage général : Les modèles à usage général sont pensés pour servir à de nombreuses tâches, donc leur encadrement prévoit des obligations graduées, notamment de transparence et d’évaluation renforcée pour les plus puissants.

📝 Points essentiels

• Le Règlement (UE) 2024/1689, adopté le 13 juin 2024, vise d’abord la confiance des utilisateurs et comporte notamment l’objectif de marquage CE.
• Le RIA prévoit une obligation générale de maîtrise de l’IA pour les déployeurs et fournisseurs, assortie d’exigences de formation prévues par l’article 4.
• Pour le risque limité, le régime impose une obligation de transparence en informant l’utilisateur qu’il interagit avec une IA.
• Les systèmes à risque élevé doivent appliquer des obligations strictes, dont gestion des risques, documentation technique, supervision humaine, qualité des données, et enregistrement dans la base européenne.
• Pour le risque inacceptable, le RIA impose une interdiction pure et simple de mise sur le marché de certains usages.
• Pour les modèles d’IA à usage général, l’article 53 impose au minimum des obligations de transparence, tandis que les modèles les plus puissants peuvent nécessiter une évaluation et atténuation renforcées des risques.

💡 Astuce mémo

RIA = Risque → Obligations : limité = transparence, élevé = conformité CE + enregistrement, inacceptable = interdiction.

📖 4. Risques et usages de l’IA

🔑 Notions clés & Définitions

• Niveaux de risque du RIA : Les niveaux de risque du règlement européen classent les systèmes d’IA selon leur dangerosité et déclenchent des obligations croissantes pour les déployeurs et fournisseurs.
• Interdictions du risque inacceptable : Le risque inacceptable correspond aux usages jugés contraires à la dignité humaine et aux libertés fondamentales, entraînant une interdiction sur le marché européen.
• Interfaces truquées : Les interfaces truquées sont des stratégies de design manipulatoires qui poussent les utilisateurs à décider comme le service le souhaite plutôt que selon leur intérêt réel.
• Fonctionnalités addictives : Les fonctionnalités addictives sont des mécanismes conçus pour capter l’attention et retenir l’utilisateur plus longtemps en exploitant des vulnérabilités psychologiques.
• Prompt : Un prompt est une courte consigne qui décrit une tâche ou une question à traiter par un modèle de langage afin de guider la réponse attendue.

📝 Points essentiels

• Le RIA prévoit quatre niveaux de risque: minimal sans obligation spécifique, limité avec transparence, élevé avec conformité stricte, et inacceptable avec interdiction.
• Pour le risque limité, l’obligation centrale est d’informer l’utilisateur qu’il interagit avec une IA et de lui fournir une information claire.
• Pour le risque élevé, la conformité impose notamment gestion des risques, documentation technique et traçabilité, supervision humaine, données de qualité et enregistrement dans la base européenne.
• Pour le risque inacceptable, les usages comme la manipulation subliminale ou la notation sociale de type « crédit social » sont interdits purement et simplement sur le marché de l’UE.
• L’article 4 du RIA impose aux déployeurs et fournisseurs de prendre des mesures pour garantir une maîtrise suffisante de l’IA, notamment par la formation des personnes concernées.
• Un prompt sert à communiquer une tâche à un modèle de langage; sa qualité conditionne la précision et la pertinence de la sortie attendue.

💡 Astuce mémo

Risque en 4 étages: 🟢 minimal (rien), 🟢 limité (je dis que c’est une IA), 🟡 élevé (conformité + supervision), 🔴 inacceptable (interdit).

📖 5. Interfaces truquées et modèles addictifs

🔑 Notions clés & Définitions

• Self-preferencing : Une pratique consistant pour une plateforme dominante à avantager ses propres services au détriment des concurrents, ce qui est encadré dans le droit des marchés numériques.
• Interopérabilité des services : Une exigence imposant aux plateformes dominantes de rendre leurs systèmes et services compatibles avec ceux d’autres acteurs pour permettre la connexion et l’usage sans blocage.
• Transparence des algorithmes : Une obligation d’informer clairement l’utilisateur sur le fonctionnement des algorithmes, de la modération et des publicités ciblées sur la plateforme.
• Publicités ciblées : Un dispositif de recommandation ou de promotion fondé sur des traitements, qui impose une information claire à l’utilisateur sur le motif de la recommandation ou du ciblage.
• Traçabilité des vendeurs : Une obligation qui vise à permettre d’identifier et de tracer les vendeurs sur les marketplaces, afin de renforcer la transparence et les recours.

📝 Points essentiels

• Le RMN (DMA) interdit de favoriser ses propres services (self-preferencing) et impose des règles d’accès pour éviter les abus des gatekeepers, notamment avec les obligations prévues aux art. 5 et 6.
• Le RMN (DMA) impose l’interopérabilité pour permettre l’usage connecté entre services, avec des exemples allant des messageries aux systèmes mobiles, comme précisé aux art. 7 et suivants.
• Le RSA (DSA) impose des obligations de transparence sur la modération et sur les publicités ciblées, en exigeant d’indiquer pourquoi un contenu ou une publicité est recommandée.
• Le RSA (DSA) prévoit une responsabilité des plateformes : lorsqu’un contenu illicite est signalé, elles doivent agir promptement, conformément aux art. 14 à 27.
• En cas de non-respect du RMN (DMA), les sanctions peuvent aller jusqu’à 10 % du chiffre d’affaires mondial.
• Le RSA (DSA) organise le signalement, le retrait et les voies de recours via des mécanismes de traitement des plaintes, prévus aux art. 8 à 12.

💡 Astuce mémo

DMA = “pas de favoritisme, j’ouvre l’accès, je rends visible” : Self-preferencing interdit + Interopérabilité + Transparence.

📖 6. Protection des données personnelles

🔑 Notions clés & Définitions

• Données à caractère personnel : Les données à caractère personnel sont toutes les informations permettant d’identifier directement ou indirectement une personne physique.
• Traitement des données : Le traitement désigne toute opération réalisée sur des données, comme la collecte, le stockage, l’utilisation ou l’effacement.
• Données sensibles : Les données sensibles sont des données qui révèlent notamment l’origine, les convictions, la santé ou l’appartenance syndicale.
• Responsable du traitement : Le responsable du traitement est l’entité qui fixe les finalités et les moyens du traitement, seul ou avec d’autres acteurs.

📝 Points essentiels

• Le traitement doit être loyal et licite, reposer sur une finalité déterminée et explicite, utiliser des données adéquates et non excessives, et respecter la durée de conservation strictement nécessaire.
• Les données doivent être exactes et mises à jour si nécessaire, avec des mesures pour effacer ou rectifier les données inexactes ou incomplètes au regard des finalités.
• Le traitement ne peut commencer que si la personne concernée a donné son consentement, et la communication à un tiers n’est possible que pour des fins liées aux fonctions du cédant et du cessionnaire, sous réserve du consentement préalable.
• La loi impose au responsable d’informer la personne préalablement lors de la collecte, et encadre des exceptions liées notamment à la défense, à la sécurité de l’État ou à certains traitements statistiques, historiques ou scientifiques.
• Le responsable doit corriger, mettre à jour, effacer ou verrouiller gratuitement les données inexactes ou traitées illégalement dans un délai de 10 jours.
• L’accès et les opérations sur les données doivent respecter les mesures de sécurité et le secret professionnel, avec des sanctions prévues en cas d’absence de déclaration/autorisation, de collecte frauduleuse, ou de traitement de données sensibles sans consentement exprès.

💡 Astuce mémo

FiNaDURe : Finalité, Non-excessif, Exactitude, Durée limitée, Respect du consentement.

📖 7. CNDP et droits des personnes

🔑 Notions clés & Définitions

• CNDP : Autorité marocaine chargée de contrôler et d’encadrer les traitements de données personnelles afin de garantir les droits et libertés des personnes concernées.
• Droits des personnes : Ensemble de prérogatives permettant d’agir sur leurs données (notamment être informé, accéder, demander rectification et s’opposer) selon les cas prévus.
• Consentement préalable : Accord demandé avant certains traitements ou usages, et dont l’absence peut rendre le traitement non conforme lorsqu’il est exigé par la CNDP.
• Information des personnes : Obligation d’expliquer clairement l’identité du responsable, les finalités, les destinataires et les droits d’accès, de rectification et d’opposition.
• Opposition : Droit permettant à une personne de s’opposer à un traitement, y compris en matière de prospection lorsqu’il est prévu par la réglementation applicable.

📝 Points essentiels

• Dans les ventes en ligne, le client doit être informé, pouvoir accéder à ses données, les corriger et s’opposer, et l’entreprise doit obtenir son consentement préalable pour les usages concernés.
• Pour les newsletters (déclaration simplifiée), le responsable doit obtenir le consentement préalable, permettre le désabonnement à tout moment et informer clairement sur l’identité du responsable, les finalités, les destinataires et les droits.
• En vidéosurveillance, les personnes doivent être informées par un affichage indiquant l’identité du responsable, la finalité et les moyens d’exercer les droits d’accès, de rectification et d’opposition.
• Dans l’échange d’informations entre administrations (délibération 579-2013), le consentement est en principe requis mais n’est pas nécessaire lorsque l’échange correspond à une mission d’intérêt public, sous conditions strictes (demande écrite, personnes identifiées, demande ponctuelle, données pertinentes et limitées).
• Les sanctions incluent l’amende pour le refus d’exécuter les droits d’accès, de rectification ou d’opposition et la sanction pénale en cas de traitement malgré une opposition légitime ou de prospection non autorisée.

💡 Astuce mémo

Newsletter = Consentement préalable + Désabonnement immédiat + Infos droits (accès/rectification/opposition).

📖 8. Déclarations et autorisations des traitements

🔑 Notions clés & Définitions

• Déclaration CNDP simplifiée : La déclaration simplifiée à la CNDP se fait via la plateforme CNDP-FORMS pour certains traitements soumis à obligations administratives.
• Autorisation préalable CNDP : L’autorisation préalable de la CNDP est requise avant la mise en œuvre de certains traitements, notamment lorsqu’ils portent sur des données sensibles.
• Mise en conformité des traitements existants : La mise en conformité impose d’adapter les traitements déjà en cours avant de poursuivre ou d’étendre leur fonctionnement selon les exigences CNDP.
• Transfert international de données : Le transfert des données vers l’étranger nécessite une autorisation préalable de la CNDP selon le régime applicable.
• Interconnexion spécifique de fichiers : L’interconnexion avec d’autres fichiers ayant des finalités différentes exige une autorisation spécifique de la CNDP.

📝 Points essentiels

• Les obligations administratives comprennent une déclaration simplifiée à la CNDP via la plateforme CNDP-FORMS et une mise en conformité des traitements existants.
• Pour des données de santé non anonymisées, le responsable doit obtenir une autorisation préalable de la CNDP avant toute mise en œuvre.
• Les finalités médicales comme la prise de rendez-vous, le suivi de santé, le diagnostic, les traitements et la télémédecine sont autorisées, mais d’autres objectifs exigent une autorisation spécifique.
• La collecte directe auprès du patient ou de son représentant légal est requise pour les traitements médicaux encadrés par la délibération citée.
• La mise en place de la vidéosurveillance exige une déclaration préalable à la CNDP, avec notification en cas de transfert des images à l’étranger et autorisation spécifique en cas d’interconnexion à finalités différentes.

💡 Astuce mémo

Déclaration = CNDP-FORMS ; Autorisation = données sensibles ou transfert/interconnexion à finalités différentes. Dans le médical et la vidéosurveillance, CNDP contrôle avant action.

📖 9. Transferts et sécurité des données

🔑 Notions clés & Définitions

• Chiffrement des données : Le chiffrement est une technique qui transforme des données lisibles en données codées pour empêcher leur lecture non autorisée.
• Prestations de cryptologie : Les prestations de cryptologie sont des services fournis par des prestataires agréés pour assurer la sécurité numérique via des mécanismes cryptographiques.
• Gestion des clés cryptographiques : La gestion des clés cryptographiques organise l’usage de la clé publique et de la clé privée pour permettre le bon fonctionnement des opérations de sécurité.
• Hébergement des données sensibles : L’hébergement des données sensibles impose des contraintes de localisation et de contrôle pour réduire les risques liés aux transferts.

📝 Points essentiels

• Les opérations de chiffrement s’appuient sur des algorithmes comme RSA, AES et SHA pour coder puis permettre le déchiffrement des messages.
• Les moyens et prestations de cryptologie peuvent être soumis soit à déclaration préalable, soit à autorisation DGSSI lorsque l’objectif est la protection de la confidentialité des données ou communications.
• Les prestataires de cryptologie agréés assurent notamment la génération et la gestion des clés ainsi que la fourniture de certificats électroniques.
• En cybersécurité, les données sensibles doivent être hébergées au Maroc uniquement.
• En cas d’externalisation, les contrats doivent être auditables et prévoir une réversibilité afin d’assurer le retour possible des données ou du système.

💡 Astuce mémo

Chiffrement = Code→Clé (public/privée) et transfert = Hébergement au Maroc + contrats auditables/réversibles.

📖 10. Écrit électronique et signature électronique

🔑 Notions clés & Définitions

• Écrit électronique : Notion d’échange de données sous forme dématérialisée, utilisée pour produire des écrits ayant une portée juridique dans des systèmes numériques.
• Signature électronique : Signature numérique permettant d’assurer la fiabilité d’un acte dématérialisé et de garantir la sécurité de l’échange électronique.
• Loi 43-20 services de confiance : Texte relatif aux services de confiance pour les transactions électroniques, visant à sécuriser l’authenticité et la traçabilité des échanges.
• Horodatage électronique : Service de confiance qui attribue une date et une heure à une transaction pour renforcer la traçabilité et l’ordre des opérations.
• Cachet électronique : Service de confiance appliqué à un échange pour contribuer à l’authenticité et à la preuve de la transaction électronique.

📝 Points essentiels

• La loi relative à l’échange électronique de données juridiques reconnaît la validité juridique des échanges et signatures électroniques sous des conditions de fiabilité et de sécurité.
• La loi 43-20 garantit la fiabilité des échanges électroniques en incluant notamment signature électronique, cachet et horodatage.
• La loi 43-20 prévoit aussi des services comme recommandé électronique et certification de site web pour soutenir l’authenticité et la traçabilité des transactions numériques.
• La fiabilité et la traçabilité des transactions numériques sont présentées comme des conditions de sécurité juridique et de confiance des citoyens et des entreprises.

💡 Astuce mémo

43-20 = Confiance : Signature + Cachet + Horodatage + Recommandé + Certification (pour prouver et tracer).

📖 11. Cybersécurité et cybercriminalité

🔑 Notions clés & Définitions

• Loi n° 05-20 cybersécurité : La loi n° 05-20 fixe un cadre national pour sécuriser les systèmes d’information en imposant des mesures proportionnées selon la sensibilité des infrastructures.
• Décret n° 2-21-406 : Le décret n° 2-21-406 précise les modalités d’application de la loi n° 05-20, notamment la conservation des données techniques et les orientations de l’autorité compétente.
• Directive Nationale de la Sécurité des Systèmes d’Information DNSSI : La DNSSI fournit des exigences techniques et organisationnelles pour les entités publiques, notamment la gestion des journaux et des traces.
• Convention de Budapest sur la cybercriminalité : La convention de Budapest encadre la poursuite des infractions informatiques comme le piratage, la fraude et l’atteinte à l’intégrité des données via les systèmes informatiques.
• Loi n° 07-03 modifiant le Code pénal : La loi n° 07-03 complète le Code pénal en réprimant diverses formes de cyberfraude et d’atteintes informatiques, y compris des usages abusifs de technologies comme l’IA.

📝 Points essentiels

• La loi n° 05-20 impose une classification des systèmes d’information selon la sensibilité et l’application de mesures de sécurité proportionnées.
• La loi n° 05-20 prévoit la notification obligatoire des incidents cyber, pour renforcer la prévention et la résilience nationale.
• Le décret n° 2-21-406 organise, pour la loi n° 05-20, la conservation des données techniques et les modalités d’encadrement via les orientations de l’autorité compétente.
• La convention de Budapest vise la répression des infractions commises par des moyens informatiques comme le piratage, l’accès illégal, la fraude et la diffusion illicite de contenus.

💡 Astuce mémo

Budapest = “preuves & poursuites” des crimes informatiques : piratage, accès illégal, fraude, atteinte aux données.

📖 12. Blockchain et contrats numériques

🔑 Notions clés & Définitions

• Smart contracts : Un smart contract est un programme informatique qui exécute automatiquement des clauses définies quand des conditions prévues sont réalisées.
• Contrat auto-exécutant : Un contrat auto-exécutant désigne un mécanisme d’exécution automatique sans intervention humaine, déclenché dès que les conditions sont remplies.
• Gaz du déploiement : Le gaz est le coût de déploiement d’un smart contract pour l’inscrire sur la blockchain et permettre ensuite l’interaction avec lui.
• Adresse publique : Une adresse publique est l’identifiant du smart contract sur la blockchain, utilisé pour l’identifier et interagir avec lui.

📝 Points essentiels

• Les clauses d’un smart contract sont réalisées sans intervention humaine dès que les événements/conditions prévues sont satisfaits.
• Le terme smart contract est un programme informatique plutôt qu’un contrat juridique formel, et un contrat n’est pas nécessaire pour l’existence du code.
• Le déploiement d’un smart contract nécessite des frais de gaz pour l’enregistrer sur la blockchain.
• Un smart contract est repéré sur la blockchain par une adresse publique permettant les interactions.

💡 Astuce mémo

Si… alors : une condition survient, l’exécution automatique démarre.

📅 Repères chronologiques

📊 Tableaux de synthèse

RIA : niveaux de risque et obligations

Blockchain : formes et caractéristiques

⚠️ Pièges & confusions fréquents

1. Confondre le droit numérique (droit transversal) avec une branche autonome du droit.
2. Croire que la loi 53-05 remplace la loi 43-20 : en réalité, 53-05 traite de l’écrit/signature électroniques et 43-20 organise les services de confiance.
3. Penser que tout traitement de données personnelles peut commencer sans consentement : la loi 09-08 impose le consentement quand il est requis, avec exceptions prévues.
4. Confondre “déclaration” CNDP et “autorisation préalable” CNDP : l’autorisation vise notamment les traitements sensibles/à risque et certains cas (transfert/interconnexion, santé non anonymisée).
5. Se tromper sur le RIA : le risque limité n’est pas “sans obligations”, il impose une obligation de transparence envers l’utilisateur.
6. Inverser la logique smart contract : ce n’est pas forcément un contrat juridique formel, c’est un programme qui exécute des clauses automatiquement.
7. Confondre smart contract et termes “propre contrat intelligent” : le cours insiste que “smart contract” est plutôt un programme, et que son déploiement coûte des frais de gaz.

✅ Checklist Examen

1. Définir le droit numérique et expliquer pourquoi il est un droit transversal, puis citer ses objectifs (protection des citoyens, sécurité des données, confiance).
2. Identifier les sources du droit numérique marocain (lois, décrets, règlements, normes internationales) et associer au moins 4 textes : 09-08, 53-05, 43-20, 05-20, 07-03, 31-13.
3. Définir “système d’IA” et rappeler l’idée du RIA fondée sur les niveaux de risque, puis donner le rôle de l’article 4 (maîtrise via formation).
4. Expliquer les 4 niveaux de risque du RIA et les obligations correspondantes (minimal/limité/élevé/inacceptable), en citant les éléments techniques attendus pour le risque élevé.
5. Connaître les “interfaces truquées” (dark patterns) et “fonctionnalités addictives”, puis relier le prompt à la génération de sorties par un modèle de langage.
6. Présenter les obligations RSA (DSA) et RMN (DMA) sur la transparence, la traçabilité et la responsabilité (signalement/retrait/recours), et rappeler la sanction possible en cas de non-respect du DMA (jusqu’à 10 % du CA mondial).
7. Rappeler les principes de la loi 09-08 (finalité, licéité/loyauté, données adéquates/non excessives, exactitude, durée limitée, consentement quand requis) et définir les notions : traitement, données sensibles, responsable du traitement.
8. Expliquer les droits des personnes (information, accès, rectification, opposition) et les règles de la prospection directe (interdiction sans consentement préalable, exceptions et désinscription).
9. Différencier déclaration simplifiée et autorisation préalable à la CNDP, puis citer les cas où une autorisation est requise (données sensibles/santé non anonymisée, transfert à l’étranger, interconnexion à finalités différentes).
10. Expliquer la sécurité des données et l’exigence d’hébergement au Maroc en cybersécurité, puis rappeler le rôle du chiffrement (RSA/AES/SHA) et la logique de contrats auditables/réversibles.
11. Présenter la loi 43-20 et les services de confiance (signature, cachet, horodatage, recommandé, certification de site) et relier les effets juridiques aux niveaux de signature (simple/avancée/qualifiée).
12. Définir cybersécurité (loi 05-20) et décrire le lien avec la notification des incidents, les exigences techniques/organisationnelles (décret 2-21-406 et DNSSI), puis situer la blockchain (principe d’immuabilité) et les smart contracts (If…Then, exécution automatique, adresse publique, gaz).