القانون 09-08 ومعطيات الزبناء: دليل المتاجر الإلكترونية

كل طلبية بالدفع عند الاستلام تحمل اسمًا ورقم هاتف وعنوانًا. وهذه في المغرب معطيات ذات طابع شخصي بمفهوم القانون 09-08، والبائع الذي يقرر كيف تُستعمل يتحمل مسؤوليتها أمام اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). يعرض هذا الدليل ما يطلبه القانون من المتجر الإلكتروني التزامًا بعد التزام، مع المادة القانونية وصفحة اللجنة التي تشرحها. إنه قراءة عملية للنصوص وليس استشارة قانونية؛ ففي الحالات الخاصة تقدم اللجنة نفسها مواكبة نشرحها لاحقًا.

ما الذي يشمله القانون 09-08 في متجر الدفع عند الاستلام

تعرّف اللجنة المعطيات الشخصية بأنها المعلومات التي تسمح بالتعرف المباشر أو غير المباشر على شخص ذاتي: الاسم العائلي والشخصي، والعنوان البريدي أو الإلكتروني، ورقم الهاتف، ورقم البطاقة البنكية، والصورة، وعنوان IP. وتضم بطاقة الطلبية معظمها، وكذلك ملاحظات وكيل التأكيد بعد المكالمة، والملف المرسل إلى شركة التوصيل، وقائمة المشترين الذين تعيد استهدافهم بالإعلانات.

يسمي القانون من يحدد غايات المعالجة ووسائلها «المسؤول عن المعالجة». وفي المتجر هو البائع: الشركة، أو المقاول الذاتي الذي يبيع باسمه. أما المنصة وشركة التوصيل ومركز الاتصال فيعالجون المعطيات أيضًا، لكن الالتزامات الأساسية تقع عليك.

ولم يبق القانون حبرًا على ورق. ففي يوليوز 2023 أعلن رئيس اللجنة لموقع Médias24 انتقالها من المرحلة البيداغوجية إلى مرحلة التطبيق الصارم للقانون. وفي ماي 2025 أفادت Hespress بأن اللجنة تراسل الشركات لتذكيرها بواجب التصريح بمعالجات المعطيات وتنبيهها إلى العقوبات. وفي غشت 2026 كانت لا تزال تستشهد بالقانون 09-08 مادة مادة في توجيهاتها الخاصة بالانتخابات التشريعية. أما النص التطبيقي فهو المرسوم رقم 2-09-165، المنشور مع القانون في الإطار التنظيمي على موقع اللجنة.

الموافقة أم تنفيذ العقد: على أي أساس تعالج معطيات الطلبية

تجعل المادة 4 من القانون 09-08 الموافقة قاعدة عامة، لكنها تنص على استثناءات تلخصها اللجنة في صفحة حقوق الأشخاص: لا تُشترط الموافقة إذا كانت المعالجة ضرورية لتنفيذ عقد يكون الشخص المعني طرفًا فيه، أو للوفاء بالتزام قانوني، أو لتحقيق مصلحة مشروعة لا تمس بحقوق الشخص.

وفي متجر الدفع عند الاستلام يبدو الحد واضحًا: الاتصال بالزبون (الكليان بالدارجة) لتأكيد الطلبية التي وضعها للتو، وتسليم عنوانه لشركة التوصيل، والاحتفاظ بالفاتورة، كلها تنفيذ للبيع. أما استعمال الرقم نفسه لإرسال عرض الأسبوع المقبل فغاية أخرى لها قواعدها الخاصة المشروحة أدناه.

وتضيف المادة 3 مبادئ تسري في كل الحالات: أن تُجمع المعطيات لغايات محددة وصريحة ومشروعة، وأن تكون ملائمة وغير مفرطة، وصحيحة، وألا تُحفظ مدة تتجاوز ما تتطلبه الغاية. وعمليًا:

• لا تطلب إلا ما يحتاجه التوصيل: الاسم والهاتف والمدينة والعنوان. والخانة المضافة «للاحتياط» معطى مفرط.
• لا تطلب رقم البطاقة الوطنية. فاللجنة تضع معالجة المعطيات التي تتضمن رقم البطاقة الوطنية للتعريف ضمن الحالات الخاضعة للإذن المسبق لا للتصريح البسيط.
• لا تتبادل مع بائعين آخرين «لائحة سوداء» بالزبناء الذين رفضوا الطرود. فالمادة 4 لا تجيز تبليغ المعطيات إلى الغير إلا لغايات مرتبطة مباشرة بوظائف الطرفين، وبشرط الموافقة المسبقة للشخص المعني.
• حدد مدة حفظ بطاقات الطلبيات ودوّنها، لأن التصريح لدى اللجنة يجب أن يتضمنها.

إخبار الزبون من استمارة الطلب

توجب المادة 5 إخبار كل شخص تُطلب معطياته، بشكل صريح ودقيق، قبل جمعها. وتحدد اللجنة ما يجب أن تتضمنه دعامة الجمع: هوية المسؤول عن المعالجة، والغايات، والجهات المرسل إليها، وكيفية ممارسة الحقوق، وهل الأجوبة إلزامية أم لا، ومراجع وصل التصريح أو الإذن الصادر عن اللجنة.

ودعامة الجمع في المتجر هي استمارة صفحة البيع ومسار الطلب في المنصة، وأيضًا محادثة واتساب أو المكالمة التي يأخذ فيها الوكيل عنوانًا ناقصًا. ويكفي إشعار قصير تحت زر الطلب مع رابط إلى صفحة كاملة عن المعطيات الشخصية. وتنشر اللجنة صيغًا نموذجية منها صيغة للاستمارات الورقية والإلكترونية، ويمكن تكييفها مع المتجر على هذا النحو تقريبًا:

«بواسطة هذه الاستمارة، يجمع [اسم المتجر أو الشركة] معطياتكم الشخصية من أجل معالجة طلبيتكم وتوصيلها. وقد كانت هذه المعالجة موضوع تصريح لدى اللجنة الوطنية تحت رقم [رقم الوصل]. تُبلَّغ معطياتكم إلى [شركة التوصيل، مركز الاتصال…]. ويمكنكم ممارسة حقوق الولوج والتصحيح والتعرض بمراسلة [البريد أو الهاتف]، طبقًا للقانون 09-08.»

وملاحظتان عمليتان: يجب أن يطابق الإشعار الواقع، فإذا كان مركز اتصال في مدينة أخرى أو أداة مستضافة في الخارج يطّلع على المعطيات فاذكر ذلك. ورقم الوصل لا يوجد إلا بعد التصريح، وهو الخطوة التالية.

التصريح لدى اللجنة قبل البدء

تصوغ اللجنة القاعدة بوضوح: كل المعالجات يجب أن تكون موضوع تصريح مسبق، باستثناء ما هو خارج نطاق القانون أو معفى أو خاضع للإذن. وتضيف في أسئلتها الشائعة أن الهيئات العامة والخاصة لا يمكنها الشروع في المعالجة إلا بعد تسلم وصل التصريح أو إذن كتابي. وفي 2026 ذكّرت مجددًا بأن هذا الواجب مصدره المادة 12.

وللبيع عبر الإنترنت مسار خاص. فقد اعتمدت اللجنة المداولة رقم 508-AU-2014، وهي نموذج تصريح خاص بالمعالجات المرتبطة بالبيع عبر الإنترنت، يُودَع على الاستمارة F-214 الخاصة بالتصريح المطابق لقرار. ولتدبير الزبناء نموذجه (المداولة رقم 32-2015). ويغطي نموذجان أحدث، اعتُمدا في نونبر 2025، ملفات تعريف الارتباط في المواقع (المداولة D-939-2025) والنشرات الإخبارية (D-940-2025). وما لا يندرج في أي نموذج يمر عبر استمارة التصريح العادي F-211.

وتطلب اللجنة في ملف البيع عبر الإنترنت خصوصًا نسخة من وثيقة جمع الموافقة أو الأساس القانوني الآخر، ونسخة من عقد المعالجة من الباطن ببنود السرية عند الاقتضاء، ووثيقة تثبت صلاحية الموقّع. أما الآجال فتقول إنها تسلم وصل التصريح داخل أجل 24 ساعة، وتبلغ داخل ثمانية أيام قرارها إخضاع المعالجة للإذن المسبق إن رأت ذلك.

وإذا ترددت في اختيار الاستمارة، تتيح اللجنة استمارة طلب المواكبة قبل الإيداع، وخطًا هاتفيًا هو 3020.

شركات التوصيل ومراكز الاتصال والأدوات: من يرى المعطيات أيضًا

تمر الطلبية بأيد عدة: منصة المتجر، وجدول بيانات، وبرنامج تدبير الطلبيات، وفريق التأكيد، وشركة التوصيل. وتلزم المادة 23 من القانون المسؤول باختيار معالجين من الباطن يقدمون ضمانات كافية للأمن، وبربطهم بعقد. وقد ذكّرت اللجنة في 2026 بضرورة تأطير المعالجة من الباطن بعقود مطابقة للقانون 09-08 (المادتان 23 و25). ويجب أن ينص العقد على أن المعالج من الباطن لا يتصرف إلا بتعليماتك، وأنه يتحمل الالتزامات الأمنية نفسها.

ويحدد البند النموذجي للمعالجة من الباطن لدى اللجنة المضمون: الحفاظ على أمن المعطيات، وعدم معالجتها إلا بتعليمات، وعدم اللجوء إلى معالج آخر دون موافقة، وإتلاف المعطيات عند نهاية العقد. اطلب هذه الالتزامات من مركز الاتصال الخارجي ومن الوكلاء المستقلين ومن مزودي البرمجيات. أما شركات التوصيل فتتلقى الاسم والهاتف والعنوان لتسليم الطرد، فاذكرها جهاتٍ مرسلًا إليها في الإشعار والتصريح، وتحقق مما ينص عليه عقدها بشأن السرية.

وكثير من الأدوات التي يستعملها البائعون تحفظ المعطيات خارج المغرب. ولا يجوز النقل إلى الخارج إلا في الحالات المنصوص عليها في المادتين 43 و44 من القانون 09-08: نحو بلد مدرج في لائحة اللجنة (المعدلة بالمداولة رقم 236-2015)، أو نحو غيره بموافقة صريحة من الشخص، أو إذا كان ضروريًا لتنفيذ العقد المبرم معه، أو بإذن من اللجنة. ويُقدَّم الطلب على الاستمارة F118، ولا يُمنح إذن النقل إلا إذا كانت المعالجة الأصلية نفسها قد صُرّح بها أو أُذن فيها.

العروض الترويجية عبر الرسائل والبريد وواتساب

تأكيد الطلبية ليس استقراءً مباشرًا، أما إرسال عرض فهو كذلك. وتمنع المادة 10 الاستقراء المباشر بواسطة آلة اتصال أوتوماتيكية أو جهاز استنساخ بعدي أو بريد إلكتروني أو أي وسيلة تستخدم تقنية مماثلة، تجاه شخص لم يعبّر عن موافقته المسبقة. وقد حذرت اللجنة مجددًا في 2026 من أي استقراء مباشر دون موافقة مسبقة استنادًا إلى المادة 10. وتضع بطاقتها حول الاستقراء عبر الرسائل والبريد الإلكتروني شرطين: الموافقة المسبقة للمتلقي، والتصريح بالمعالجة لدى اللجنة قبل الشروع فيها.

وهناك استثناء واحد: بحسب هذه البطاقة لا تُشترط الموافقة المسبقة إذا جمعت بيانات الاتصال من الشخص نفسه بمناسبة بيع سابق لمنتجات أو خدمات مماثلة، شرط أن يتمكن من التعرض مجانًا عند الجمع وفي كل رسالة. وفي جميع الحالات:

• ضع وسيلة صالحة لإيقاف الرسائل (رقمًا أو عنوانًا أو رابطًا)؛ وقد نقل موقع Médias24 موقف اللجنة بأن رابط «StopSMS» يجب أن يُذكر في الرسالة التي يتلقاها المرسل إليه؛
• لا تُخفِ هوية المرسل، ولا تستعمل موضوعًا لا علاقة له بالعرض؛
• لا تشترِ أبدًا ملف أرقام دون التحقق من طريقة تكوينه، فبطاقة اللجنة تطلب التأكد من مشروعية قاعدة بيانات المزود.

ولا يذكر القانون واتساب بالاسم، لكن المنع يشمل «وسيلة تستخدم تقنية من الطبيعة نفسها». لذلك فالأحوط اعتبار البث الترويجي عبر واتساب إلى المشترين السابقين ضمن الفئة نفسها. ويشرح دليلنا حول التأكيد الآلي للطلبيات عبر واتساب كيف تفصل بين التأكيد والترويج.

الرد على الطلبات وحماية الملفات

يحتفظ الزبون بثلاثة حقوق على معطياته تلخصها اللجنة في صفحة الحقوق: الولوج مجانًا ودون تأخير؛ والتصحيح الذي يلزم المسؤول بإجرائه مجانًا وداخل أجل أقصاه عشرة أيام كاملة؛ والتعرض في أي وقت لأسباب مشروعة ودون مصاريف. وإذا رفضت أو لم ترد، يمكن للشخص اللجوء إلى اللجنة التي تتلقى الشكايات عبر الإنترنت أو البريد الإلكتروني أو حضوريًا.

خصص قناة واحدة لهذه الطلبات (بريدًا إلكترونيًا أو رقم واتساب المتجر) وشخصًا مكلفًا بالرد. فالزبون الذي يسأل «لماذا لديكم رقمي؟» يستحق أن يعرف المصدر والغاية، لا أن يُقابَل بالصمت.

وتفرض المادة 23 كذلك تدابير تقنية وتنظيمية ملائمة للمخاطر، ضد الضياع أو التغيير أو النشر أو الولوج غير المرخص. وفي نشاط الدفع عند الاستلام تكون التسريبات الأكثر شيوعًا عادية جدًا:

• ملفات طلبيات مصدّرة تتداول في مجموعات واتساب ولا تُحذف أبدًا؛
• حساب دخول واحد يتقاسمه كل الوكلاء، بمن فيهم من غادروا؛
• جداول بيانات مشتركة مع «أي شخص لديه الرابط»؛
• لوائح زبناء محفوظة في الهواتف الشخصية للوكلاء.

امنح كل شخص حسابه الخاص المحدود بعمله، واسحب الولوج يوم المغادرة، واحذف الملفات المصدّرة بعد تسليمها لشركة التوصيل. كما يُلزم القانون كل من يطّلع على المعطيات بالسر المهني حتى بعد مغادرة عمله، فأدرج ذلك في عقود الوكلاء.

كلفة عدم الامتثال

هذه المبالغ واردة في الباب السابع من القانون وفصّلها موقع Médias24. وإذا كان مرتكب المخالفة شخصًا معنويًا تُضاعف الغرامات، كما تُضاعف العقوبات في حالة العود. ووصفت Hespress ما يلي الشكاية: ترسل اللجنة أولًا إنذارًا إلى المسؤول عن المعالجة لتسوية وضعيته، ثم تنظم زيارات ميدانية إن لم يمتثل، وقد تصل إلى إحالة الملف على النيابة العامة.

لائحة المراجعة لمتجر الدفع عند الاستلام

1. أحصِ معالجاتك: الطلبيات والتوصيل، والتأكيد بالهاتف وواتساب، وخدمة الزبناء، والترويج، وملفات تعريف الارتباط وبكسلات الإعلانات.
2. دوّن لكل معالجة الغاية والمعطيات والجهات المرسل إليها ومدة الحفظ وأي نقل إلى الخارج.
3. اختصر استمارة الطلب فيما يحتاجه التوصيل، واحذف رقم البطاقة الوطنية.
4. أضف الإشعار إلى كل استمارة، وصفحة كاملة عن المعطيات الشخصية.
5. أودع التصاريح (نموذج البيع عبر الإنترنت، وملفات تعريف الارتباط، والنشرة الإخبارية إن وُجدت) وأضف أرقام الوصولات إلى إشعاراتك.
6. وقّع بنود المعالجة من الباطن مع مركز الاتصال والوكلاء ومزودي البرمجيات، وتحقق من مكان استضافة أدواتك للمعطيات.
7. افصل الزبناء الذين قبلوا تلقي العروض عن غيرهم، وضع وسيلة لإلغاء الاشتراك في كل رسالة ترويجية.
8. أنشئ قناة واحدة لطلبات الولوج والتصحيح والتعرض.
9. أغلق الحسابات المشتركة والملفات المصدّرة القديمة، وامنح كل وكيل ولوجه الخاص.
10. راجع كل ذلك كلما أضفت أداة أو متجرًا أو سوقًا جديدة.

وإذا كنت تبيع بصفة مقاول ذاتي فالقانون يسري عليك بالطريقة نفسها، ويغطي دليلنا حول نظام المقاول الذاتي للتجارة الإلكترونية بقية التزاماتك. ولمكالمة التأكيد نفسها راجع مقالنا حول تأكيد طلبيات الدفع عند الاستلام.

أين يقع كاشود من كل هذا

يتضمن كاشود مركز اتصال يؤكد فيه الوكلاء طلبيات الدفع عند الاستلام بالهاتف، ويمكنه تأكيد الطلبيات عبر واتساب، بما في ذلك بواسطة وكيل ذكاء اصطناعي. ويمكن لحساب واحد في كاشود أن يدير عدة متاجر.

وأيًا كانت الأداة، تبقى الالتزامات السابقة على عاتق البائع بصفته المسؤول عن المعالجة: الإشعار، والتصريح، واختيار ما يُجمع ومدة حفظه. فإذا كان التأكيد يتم بالهاتف وعبر واتساب، فصِف القناتين في الإشعار والتصريح باعتبارهما جزءًا من معالجة الطلبيات. وإذا كان حساب واحد يدير متاجر تملكها شركات مختلفة، فكل شركة مسؤولة عن معالجة معطيات زبنائها وتصرّح بمعالجاتها.

ويجيب دعم كاشود عبر البريد الإلكتروني والدردشة والهاتف، من الاثنين إلى الجمعة، من 9 صباحًا إلى 6 مساءً بتوقيت غرينتش (توقيت المغرب).