Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
opérations depuis le Maroc, et ce sans préjudice de l’application du paragraphe 4 de l’article 5 du décret précité n°2-24-921. 3.15.3. Protection des données à caractère personnel Le prestataire de services est tenu de prouver qu'il respecte les principes de protection des données pour les traitements de données à caractère personnel réalisés pour son propre compte. Il doit fournir des éléments de preuve par rapport aux points suivants : ⎯ Les finalités des traitements sont clairement définies, légitimes et transparentes ; ⎯ La traçabilité des traitements est assurée, tant pour le prestataire de services que pour son commanditaire ; ⎯ Les traitements reposent sur une base légale valide ; ⎯ Les finalités des traitements ne doivent en aucun cas être détournées ; ⎯ Les données traitées doivent être limitées au strict nécessaire, adéquates et pertinentes pour les finalités poursuivies ; ⎯ La qualité des données doit être préservée, en garantissant leur exactitude et leur mise à jour ; ⎯ Les durées de conservation des données doivent être précisément définies et limitées. Le prestataire de services doit justifier, pour les traitements de données caractère personnel effectués pour son propre compte, qu'il respecte les droits des personnes concernées. Il doit, au minimum, justifier les éléments suivants : ⎯ L’information des usagers doit être fournie de manière loyale et transparente ; ⎯ Le consentement des usagers doit être recueilli de façon explicite, démontrable et rétractable ; ⎯ Les usagers doivent avoir la possibilité d'exercer leurs droits d'accès, de rectification et d'effacement des données ; ⎯ Les usagers doivent également pouvoir exercer leurs droits de limitation du traitement, de portabilité et d'opposition
2369