conformité réglementaire : analyse de risques pour un projet conversationnel

Déployer un chatbot ou une plateforme conversationnelle au Maroc implique de traiter des données personnelles : numéro de téléphone, nom, historique d'échanges, parfois données financières ou de santé. La loi 09-08 impose une analyse de risques préalable, calquée sur le PIA (Privacy Impact Assessment) européen. Voici comment la conduire.

Cartographier les traitements

Première étape : recenser toutes les catégories de données manipulées par le projet. Pour un chatbot WhatsApp banque, ça peut donner :

• Données d'identification : numéro WhatsApp, nom, prénom, CIN si renseignée.
• Données bancaires : IBAN, numéro de compte, historique de transactions consultées.
• Données comportementales : historique de conversation, sujets abordés, satisfaction.
• Données techniques : IP, appareil, timestamps.

Identifier la base légale

Chaque traitement doit s'appuyer sur une base légale valide au sens de la loi 09-08 :

• Consentement explicite pour le marketing et les analyses non essentielles.
• Exécution d'un contrat pour les notifications transactionnelles (confirmation de commande, OTP).
• Obligation légale pour la lutte anti-blanchiment ou la conservation KYC.
• Intérêt légitime pour l'amélioration du service, sous conditions strictes.

Évaluer les risques

Une matrice risque simple croise probabilité (faible/moyen/élevé) et impact (faible/moyen/élevé). Risques classiques d'un chatbot :

• Fuite d'un historique conversationnel exposant des données sensibles.
• Usurpation d'identité si l'authentification est faible.
• Utilisation abusive des données pour du profilage non autorisé.
• Transfert vers un pays tiers (Meta hébergeant WhatsApp Cloud API aux USA).

Mesures techniques recommandées

• Chiffrement au repos et en transit pour toutes les données.
• Rétention limitée : ne pas garder les conversations au-delà du besoin (ex : 12 mois).
• Anonymisation ou pseudonymisation pour les analytics.
• Contrôle d'accès strict avec journalisation des consultations par les agents.
• Hébergement Maroc pour la base client si les volumes le justifient (N+ONE, Datacenter Maroc).

Mesures organisationnelles

• Nomination d'un correspondant conformité réglementaire.
• Formation des équipes traitant les données.
• Procédure d'exercice des droits (accès, rectification, suppression).
• Gestion des sous-traitants (BSP, hébergeur, éditeur chatbot) avec contrat conforme.

Déclaration ou demande d'autorisation

Selon la nature des données, une simple déclaration à la réglementation applicable suffit, ou une demande d'autorisation préalable est requise (données sensibles, transferts internationaux). Le portail e-conformité réglementaire permet ces démarches en ligne.

Conclusion

L'analyse de risques conformité réglementaire n'est pas un exercice bureaucratique mais une méthode structurée pour identifier les points de fragilité de votre projet conversationnel avant qu'ils ne deviennent des incidents. Un projet WhatsApp bien documenté côté conformité protège l'entreprise et rassure les clients.