Usage du pass vaccinal en entreprise: l'éclairage de Omar Seghrouchni

Invité de la chambre française du commerce et de l’industrie du Maroc (CFCIM) ce mardi 2 novembre, Omar Seghrouchni, président de la Commission nationale de contrôle et de protection des données à caractère personnel (CNDP) a apporté des éclairages relatifs au dernier communiqué de la Commission, sur le pass vaccinal, notamment sur son usage en entreprise.

Questionné sur le cadre juridique appliqué lors d'un contrôle, effectué au Maroc, du pass vaccinal d’un salarié européen, M. Seghrouchni indique que “si la collecte se fait sur le territoire marocain, la loi marocaine s’applique”.

“Si je collecte de l’information de citoyens ou résidents européens en Europe, c’est la loi européenne qui va s’appliquer et de ce fait le RGPD (règlement général sur la protection des données). Donc tout être humain, citoyen marocain ou résident étranger ou résident européen qui se fait contrôler par rapport au pass vaccinal au Maroc; la collecte est faite au Maroc: c’est la loi marocaine qui s’applique”, ajoute-t-il.

Me Nesrine Roudane, présidente de la commission juridique et fiscale de la CFCIM et modératrice de cet événement, interroge M. Seghrouchni sur des cas constatés dans la pratique, relatifs aux entreprises qui, pour faciliter ou fluidifier l’accès des salariés, encouragent ces derniers à télécharger leurs pass sanitaires sur une plateforme ou à les envoyer par e-mail.

“Ces employeurs ne deviennent-ils pas de facto responsables de traitement ? Par conséquent, certaines démarches doivent-elles être respectées?”, questionne-t-elle.

Selon M. Seghrouchni, “c’est expressément dit au sein du communiqué. On dit clairement que ça doit être un outil de contrôle d’accès sans stockage. Si certains enregistrent le pass sanitaire ou les informations qui y sont, ils deviennent de facto responsables de traitement. De ce fait, ils doivent se conformer à la loi 09-08 et faire les notifications nécessaires. On appréciera si la proportionnalité est respectée”. C’est-à-dire “si c’est nécessaire ou pas”.

“S’il y a la carte nationale par exemple (parmi les informations collectées, ndlr), ça sera une demande d’autorisation. S’il y a une donnée de santé, par exemple le type de vaccin, ça sera une demande d’autorisation. S’ils réduisent le champ, ça peut être une déclaration. Donc ça sera étudié au cas par cas”, ajoute-t-il.

Toujours dans le cadre du stockage des données relatives au pass sanitaire, M. Seghrouchni est questionné sur le cas des entreprises qui disposent déjà d’une autorisation de la CNDP pour stocker les données RH de leurs collaborateurs; à savoir le dossier médical, la carte d’identité nationale, les diplômes etc. Doivent-elles déposer une nouvelle demande pour le pass sanitaire, sachant qu’elles sont déjà autorisées à stocker certaines données ?

Pour M. Seghrouchni, “si les données nouvellement collectées étaient déjà prévues dans l’autorisation qui était donnée”, la réponse est “non”. Mais seulement “si la finalité est la même”.

“Dans le traitement RH dans sa globalité, il y a un ensemble de finalités. Si, par exemple, la nature du vaccin est collectée, il faut regarder si des informations similaires étaient déjà autorisées à la collecte” ajoute-t-il.