À l’approche du scrutin du 23 septembre, la campagne électorale ne se joue plus uniquement sur le terrain. Elle se déroule aussi dans les téléphones, les bases de données et désormais les outils de l’intelligence artificielle. Face à cette nouvelle réalité, la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) rappelle aux partis politiques que l’utilisation des données des électeurs reste soumise à des règles précises. Dix exigences encadrent ainsi la collecte, l’exploitation et la circulation des données durant les différentes étapes du processus électoral.Le rappel intervient à quelques semaines des législatives. Dans un communiqué daté du 28 août, la CNDP indique avoir sensibilisé les formations politiques aux obligations qui leur incombent avant d’élargir cette information au grand public et notamment aux électeurs. Une première note publiée le 3 août avait déjà détaillé les principales règles à respecter.Données personnelles à protéger Premier enjeu : les données utilisées pour contacter les électeurs. Un numéro de téléphone, une adresse électronique ou toute autre information personnelle ne constitue pas un blanc-seing pour démarcher un citoyen. La constitution et l’utilisation de fichiers doivent respecter les principes prévus par la loi 09-08. Les traitements concernés doivent être déclarés à la CNDP conformément au régime applicable.Les données doivent par ailleurs être collectées de manière loyale, pour une finalité clairement définie et légitime, et ne peuvent être conservées au-delà de la période nécessaire à cette finalité. La question devient encore plus sensible lorsqu’il s’agit des opinions politiques. Considérées comme des données sensibles par la loi 09-08, celles-ci bénéficient d’une protection renforcée. En l’absence d’une base légale spécifique, leur traitement est soumis à l’autorisation de la CNDP et nécessite le consentement exprès de la personne concernée.La règle concerne notamment les pratiques permettant de déduire ou de catégoriser les préférences politiques d’un électeur afin d’adapter le discours ou la sollicitation qui lui est adressée.Pas de démarchage sans consentementLa CNDP rappelle également les règles applicables à la prospection directe. Courriels, appels automatisés ou autres procédés similaires ne peuvent être utilisés sans accord préalable. Les citoyens disposent, de leur côté, de plusieurs droits : être informés de l’utilisation de leurs données, savoir à quelles fins elles sont traitées et à quels destinataires elles peuvent être communiquées, mais aussi demander leur accès, leur rectification, leur effacement ou leur verrouillage dans les conditions prévues par la loi.Le non-respect de ces règles peut avoir des conséquences pénales. Le traitement de données révélant des opinions politiques sans consentement exprès est ainsi passible, au titre de la loi 09-08, de six mois à deux ans d’emprisonnement et d’une amende comprise entre 50.000 et 300.000 dirhams, rappelle la note de la CNDP.L’IA à identifierAutre nouveauté mise en avant par la CNDP : l’intelligence artificielle. L’institution demande que les contenus réalisés à l’aide de ces technologies soient clairement identifiés comme tels. Une exigence qui intervient alors que l’IA peut désormais produire en quelques minutes des textes, images, vidéos ou autres contenus susceptibles d’être diffusés dans le cadre d’une campagne.La note de la CNDP ne précise toutefois pas encore sous quelle forme cette identification doit apparaître, ni à partir de quel niveau d’utilisation d’un outil d’IA un contenu doit être considéré comme généré par cette technologie. Cette vigilance s’inscrit dans un cadre électoral déjà renforcé. La loi organique 53.25 inclut désormais les réseaux sociaux, les plateformes électroniques et les outils d’intelligence artificielle parmi les moyens pouvant être utilisés dans le cadre d’infractions électorales.Le jour du scrutin, la diffusion de publicités, tracts ou documents électoraux par ces canaux est sanctionnée de trois à six mois d’emprisonnement et d’une amende de 20.000 à 50.000 dirhams. La diffusion de fausses nouvelles, de rumeurs ou de procédés trompeurs visant à influencer le vote ou à inciter les électeurs à s’abstenir est, elle, passible de deux à cinq ans de prison et de 50.000 à 100.000 dirhams d’amende.Sont également concernés les montages utilisant l’image ou les propos d’une personne sans son consentement, ainsi que les contenus falsifiés susceptibles de porter atteinte à la vie privée d’un électeur ou d’un candidat, de le diffamer ou de compromettre l’intégrité du scrutin.Sous-traiter et responsabilitéLa CNDP porte aussi son attention sur les coulisses techniques des campagnes numériques. Lorsqu’un parti confie le traitement de données à une agence, une entreprise spécialisée ou un prestataire technologique, cette relation doit être encadrée par un contrat conforme aux exigences de la loi 09-08. Le responsable du traitement reste tenu de sélectionner un prestataire présentant des garanties suffisantes en matière de sécurité et de veiller au respect de ses instructions.Un numéro dédiéLa responsabilité ne disparaît donc pas avec la sous-traitance. Même principe pour les données hébergées ou transférées à l’étranger. Le recours à des plateformes, services informatiques ou infrastructures situés hors du Maroc peut entraîner un transfert international de données. Celui-ci doit alors respecter les dispositions des articles 43 et 44 de la loi 09-08, notamment en matière de niveau de protection du pays destinataire, de consentement exprès ou d’autorisation de la CNDP assortie de garanties appropriées.Au-delà des obligations imposées aux formations politiques, la CNDP entend également donner aux électeurs les moyens de faire valoir leurs droits. Un numéro dédié, le 3020, est ainsi mis à leur disposition pour obtenir des informations et suivre les questions relatives à la protection des données personnelles tout au long du processus électoral.À quelques semaines du vote, le message de la CNDP est donc clair : la bataille électorale peut désormais se jouer sur les écrans, mais elle ne peut échapper aux règles qui protègent les données et les droits des citoyens.