Données personnelles: Les call centers marocains sont-ils à jour ?

Entré en vigueur en 2018, le Règlement général sur la protection des données (RGPD) de l’Union européenne a été conçu pour renforcer la sécurité et la confidentialité des données des citoyens européens. Au Maroc, le respect de ce règlement par les opérateurs présente de nombreuses contraintes d’ordre juridique et technique. Les call centers marocains sont-ils à jour des bonnes pratiques en la matière ?

Le Royaume est, depuis plus d’une vingtaine d’années, l’une des destinations privilégiées des acteurs économiques français souhaitant externaliser la gestion de la relation client en dehors de la France métropolitaine. En raison de sa main-d’œuvre qualifiée, de ses coûts opérationnels compétitifs et de sa proximité géographique avec l’Europe, le Maroc se distingue par son offre.

Cependant, cette externalisation implique une refonte des processus de gestion des données personnelles des clients au niveau opérationnel, en conformité avec l’orthodoxie de la réforme législative européenne sur la protection des données.

Le RGPD impose, en effet, un niveau très élevé de protection des données personnelles et des exigences strictes en matière de consentement, de transparence, de sécurité de ces données et des droits des personnes concernées (droit d’accès, de rectification et de suppression des données).

La formation comme critère déterminant
Les exigences qu’impose le législateur européen en vertu de ce règlement posent une contrainte d’implémentation dans les centres d’appels délocalisés au Maroc. Il existe tout d’abord des défis d’ordre technique relatifs à la compréhension des téléconseillers marocains des conséquences et implications du non-respect du règlement européen. Et pour cause, le RGPD prévoit des amendes importantes pouvant atteindre 4% du chiffre d’affaires mondial annuel de l’entreprise contrevenante ou jusqu’à 20 millions d’euros, en cas de violation grave du règlement. Dès lors, la qualification du téléconseiller revêt un caractère crucial dans le bon déroulement des activités.
«Les agents opérationnels sont tenus de passer une formation puis des tests tous les trois mois pour vérifier s’ils sont à jour du règlement RGPD. Le test comprend des mises en situation, des écoutes d’appels téléphoniques, des questionnaires, etc. Ce test périodique est obligatoire pour les agents qui traitent directement avec les clients français», indique Saïd, manager dans une grande entreprise de télé-conseil basée à Casablanca.

«Dès leur intégration, les conseillers clients bénéficient d’une formation initiale au RGPD. Ils signent la charte relative audit règlement. Lors de leur parcours professionnel, ils sont sensibilisés à une fréquence régulière sur les bonnes pratiques à adopter lors de la manipulation des données personnelles et leur traitement. Outre les formations initiales et continues dispensées à l’ensemble de nos collaborateurs, un module e-learning dédié au RGPD est mis en ligne pour apprécier le niveau de maîtrise de tout un chacun par le biais de Quiz», indique Saad Berrada, General Manager Maroc-Tunisie chez Intelcia, l’un des centres de contacts les plus à cheval sur la sécurité des données privées au Maroc.

Plusieurs organismes privés offrent des formations à destination des DPO (Data Protection Officer) exerçant dans les établissements publics et privés au Maroc. Cette formation, qui s’étale généralement sur une semaine, prépare à l’examen de certification auprès d’un organisme agréé par la Commission nationale de l’informatique et des libertés (CNIL) française.

La certification : Un précieux sésame
En interne, les grandes boîtes ne lésinent pas sur les moyens. «Avant même son entrée en vigueur, Intelcia avait déjà désigné un délégué à la protection des données et avait défini les actions nécessaires pour assurer la conformité réglementaire. Nous avons un service de compliance et une fonction DPO dédiés, et non seulement un rôle comme le préconise le RGPD. Concrètement, il y a une véritable traçabilité des différents traitements de données jusqu’à leur suppression à la fin du contrat, et ce, à travers un registre de données. L’accès aux données clients est aussi minimisé selon le besoin et la finalité du traitement», assure Berrada.

Pour garantir la conformité avec le RGPD, les grandes entreprises de télé-conseil au Maroc mettent en place des mesures de suivi adaptées. Cela comprend, en plus de la formation continue des agents, la mise en place de politiques de protection des données, ainsi que l’adoption de technologies de pointe pour sécuriser le traitement et le stockage des données personnelles, et un protocole rigoureux.

«Nous nous basons sur une démarche conforme de la manipulation des données à travers des politiques tracées, comme la politique du bureau et de l’écran propre, la politique de sécurité du mot de passe, la politique générale de sécurité des systèmes de l’information (PGSSI), etc.», ajoute la même source.

Dans le marché très concurrentiel des centres de contacts, les grands groupes concourent à l’obtention des différentes certifications, et plus particulièrement la conformité à la norme ISO/IEC 27001 relative aux systèmes de management de la sécurité de l’information.

Saad Berrada nous confie : «Intelcia est inscrite dans une démarche de certification ISO 27001 V 2022. La conformité à cette norme signifie que l’entreprise a mis en place un système pour gérer les risques liés à la sécurité de ses propres données et des données qu’elle traite, et que le système est conforme aux bonnes pratiques.»
En tout état de cause, que les entreprises de télé-conseil disposent ou pas de la certification, elles restent tenues par le respect des exigences du RGPD dès lors qu’elles traitent de la donnée européenne.

RGPD, une inspiration pour la législation marocaine ?

Tout centre de contact client exerçant au Maroc est soumis aux dispositions de la loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel.
Cette loi, bien qu’elle reconnaisse l’importance de la protection des données personnelles, présente de nombreuses lacunes en comparaison avec le règlement européen (RGPD).

En premier lieu, il convient de noter que les deux textes réglementaires n’ont pas la même couverture territoriale.

Car si le RGPD s’applique à toutes les entreprises qui collectent ou traitent des données personnelles de citoyens résidents de l’Union européenne, indépendamment de l’endroit où se situe l’entreprise (pays hors Union européenne compris), la loi 09-08 s’applique uniquement aux entreprises opérant sur le territoire marocain et traitant les données personnelles de citoyens marocains.

Il en est de même en ce qui concerne la transparence des données, le consentement des utilisateurs (qui peut être retiré librement à tout moment, selon les termes du RGPD), et le droit à l’oubli (ou droit à l’effacement des données).

Sur ce dernier point, la loi marocaine accuse un sérieux retard. Elle ne donne la possibilité à la personne concernée de demander l’effacement de ses données privées que si ces dernières ont été collectées de façon non conforme à la loi, ou si elles s’avèrent être inexactes ou incomplètes.

La question de l’utilisation des informations à caractère personnel pose également problème. En effet, si le législateur marocain sanctionne l’usage frauduleux ou illicite des données privées, il ne prévoit pas de sanctions claires dans le cas où ces informations personnelles sont traitées à des fins autres que celles initialement affichées.