حماية بيانات المدارس بالمغرب: قائمة تحقق CNDP

لا تُحسَم حماية بيانات التطبيقات المدرسية في المغرب في صفحة الخصوصية التي ينشرها التطبيق، بل يحسمها ملف يجب أن تكون المدرسة نفسها قادرة على تقديمه.

قبل أن توقّع مدرسة مغربية عقدًا مع تطبيق للتواصل بين المدرسة وأولياء الأمور، تحتاج إلى ملف تستطيع تسليمه إلى CNDP، أي اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي. ويتألف هذا الملف من ثلاثة أجزاء: تصريح مسبق يغطّي عملية المعالجة، ومقتطفات من عقد المناولة تُثبت التدابير الأمنية التقنية والتنظيمية، ثم إذن مسبق بموجب المادتين 43 و44 من القانون 09-08 إذا كان المزوّد يخزّن أي بيانات خارج المغرب. أما البند الثاني فمطلوب «عند الاقتضاء»، وهي الصياغة التي تستعملها الجهة المنظِّمة نفسها (CNDP).

بموجب القانون 09-08، يقع واجب الإيداع على عاتق المسؤول عن المعالجة. وفي منظومة التعليم الوطني العمومي يجوز أن يُمثَّل هذا المسؤول قانونيًا على مستوى المؤسسة؛ فقد أورد دليل مشترك صدر عام 2023 عن CNDP ووزارة التربية الوطنية — وُضع أصلًا لتنظيم المراقبة بالفيديو — عبارة «المدير على مستوى المؤسسات التعليمية» إلى جانب الوزير ومدير الأكاديمية الجهوية للتربية والتكوين (AREF) والنائب الإقليمي، بوصفهم ممثلين قانونيين محتملين (CNDP/MEN). ومهمة المزوّد هنا أن يجعل إيداع ملفك ممكنًا. وفي ما يلي كيف تتحقق من قدرته على ذلك.

حماية بيانات التطبيقات المدرسية بالمغرب: ست نقاط تحقّق قبل التوقيع

طبّق هذه النقاط الست على كل مزوّد مرشّح. وكل واحدة منها تقابل وثيقة يمكن أن تطلبها CNDP منك أنت، أي من المدرسة.

#	نقطة التحقّق	ما يطلبه القانون 09-08 من المدرسة	ما تسأل عنه المزوّد
1	مسار التصريح	كل عملية معالجة تستوجب تصريحًا مسبقًا، ما لم تكن خارج النطاق أو معفاة أو مرفوعة إلى مستوى الإذن المسبق	«أي استمارة تنطبق على نشر تطبيق للتواصل مع أولياء الأمور؟ وهل يمكنكم تزويدنا بوصف المعالجة الذي سنودعه؟»
2	مقتطفات عقد المناولة	قد يستلزم الملف «مقتطفات من عقد المناولة تضمن التدابير الأمنية التقنية والتنظيمية»	«أرسلوا لنا مجموعة البنود التي تذكر اسم مؤسستنا، قبل توقيع العقد لا بعده»
3	مكان الاستضافة	ينظّم المادتان 43 و44 نقل البيانات عبر الحدود، وتطلب CNDP عمليًا إذنًا مسبقًا لكل الوجهات	«أين توجد قواعد البيانات والنسخ الاحتياطية؟ ومن أين يصل فريق الدعم إليها؟»
4	تحديد الغاية	استعمال البيانات خارج الغاية المصرَّح بها يُعدّ انحرافًا بالغاية	«هل تُستعمل أي بيانات تلميذ أو ولي أمر في التحليلات أو تدريب النماذج أو التسويق؟»
5	مدة الحفظ	تربط قرارات CNDP الصادرة عام 2025 مدة الحفظ بمبدأ الضرورة، وقد حدّد قرارها بشأن ملفات تعريف الارتباط سقفًا مدته ستة أشهر	«ما جدول الحذف لكل نوع من البيانات؟ ومن يُطلقه؟»
6	التعامل مع الاختراقات	لا يفرض القانون 09-08 عليك أي واجب إخطار، لذلك على عقدك أن ينشئ هذا الواجب	«خلال كم من الوقت تُخطروننا كتابيًا؟ وبأي قدر من التفصيل؟»

تذكر ثلاثة من هذه الصفوف وثائق لم تطّلع عليها أغلب المدارس من قبل. وهذه صورتها العملية:

• الصف 1 — وصف المعالجة. نصف صفحة يزوّدك بها المزوّد وتنسخها في التصريح: الغاية («التواصل بين المؤسسة وأولياء الأمور: الإعلانات والغيابات والاجتماعات»)، وفئات البيانات (اسم التلميذ ونسبه، والقسم، واسم ولي الأمر، ورقم هاتف محمول واحد، وبريد إلكتروني واحد)، والمرسل إليهم (معلمو القسم، ومدير المدرسة، والمزوّد بصفته مناوِلًا)، ومدة الحفظ (الحذف بعد 12 شهرًا من مغادرة التلميذ)، وبلد الاستضافة في سطر واحد.
• الصف 2 — مقتطفات عقد المناولة. ملحق من صفحتين يذكر اسم مؤسستك في ترويسته — لا اسم الأكاديمية الجهوية ولا اسم الوزارة — ويُدرج التشفير أثناء التخزين وأثناء النقل، والأدوار المسمّاة التي تملك حق الوصول إلى قاعدة البيانات، ولائحة المناولين من الباطن، وبندًا لإعادة البيانات أو إتلافها عند انتهاء العقد. اطلبه في مرحلة طلب العروض، لأن المزوّد لن يجد بعد التوقيع أي سبب يدفعه إلى إعادة فتح الأوراق.
• الصف 6 — بند الاختراق الذي لا يفرضه القانون. جملة واحدة: «يلتزم المناوِل بإخطار المؤسسة كتابيًا خلال 48 ساعة من تأكيد أي وصول غير مصرَّح به إلى بيانات التلاميذ أو أولياء الأمور أو أي إفشاء لها، مع بيان عدد السجلات المتأثرة وفئات البيانات المعنية وخطوات المعالجة المتخذة.» موضعها العقد، لأن القانون 09-08 لا يمنحك شيئًا في هذا الباب.

توقّع أن تكون النقطتان 3 و6 أصعب ما يُجيب عنه المزوّد، وتعامل مع الجواب الغامض بوصفه جوابًا في حد ذاته: فمن لا يستطيع أن يخبرك في أي بلد توجد نسخه الاحتياطية لن يستطيع مساعدتك في صياغة طلب النقل. أما الصف 5 فهو الموضع الذي تثبت فيه وحدة الوثائق جدواها، إذ لا تصمد جداول الحذف إلا إذا استطاع أحدهم أن يرى ما هو مخزَّن ومدة تخزينه.

الجدول الزمني للإيداع لدى CNDP: 24 ساعة، 8 أيام، شهران

الآليات سهلة الوصف. تسلّم CNDP وصل التصريح خلال 24 ساعة. ولديها 8 أيام لإخطارك برفع المعالجة إلى مستوى الإذن المسبق إذا رأت أنها تنطوي على مخاطر بيّنة على الحياة الخاصة والحقوق الأساسية. ويُبلَّغ الرأي بشأن الإذن خلال شهرين، وهي مهلة يمكن للجنة تمديدها مرة واحدة، ولا تبدأ إلا حين يكتمل ملفك، لأن الطلب الناقص لا يُشغّل العداد حتى تُقدَّم الوثائق المطلوبة (CNDP). أما التصاريح النموذجية الخاصة بمعالجة بيانات الزبناء والموردين والموارد البشرية فموجودة منذ 2015 (Digital Policy Alert)، غير أن أيًّا منها لا يغطي التواصل مع أولياء الأمور ولا بيانات التلاميذ؛ فهي تُظهر أن آلية الإيداع قائمة دون أن تمنحك استمارة جاهزة لهذه المعالجة تحديدًا.

الشهران هما الرقم الذي يهمّ في الصفقات، وهما حدّ أدنى لا حدّ أقصى. فإذا كان المزوّد الذي اخترته يستضيف بياناتك في الخارج، انطبق عليك إذن النقل المنصوص عليه في المادتين 43 و44، وهو إذن منفصل عن تصريح المعالجة، ومطلوب عن كل معالجة مصرَّح بها أو مأذون بها بحسب دليل Chambers. وهذا العداد يقع بين توقيعك وانطلاق الخدمة، لا بعده.

ما الذي تغيّر لدى CNDP عام 2025

ظل موقف CNDP تعليميًا نحو خمسة عشر عامًا. ويصف دليل Chambers لعام 2026 الخاص بالمغرب، الذي حرّره مكتب DLA Piper بالدار البيضاء، هذا الموقف بدقة: فالجهة المنظِّمة «ركّزت، لأكثر من عقد، على تعريف الأطراف المعنية بأنظمة حماية البيانات المعمول بها»، ولم تبدأ إلا «في الأشهر القليلة الماضية» بتوجيه إنذارات إلى كبار المسؤولين عن المعالجة وفتح تحقيقات (Chambers). وقد ذهبت تلك الإنذارات إلى فنادق وشركات أدوية وجامعات عمومية وهيئات عامة أخرى.

وقد نُشر تسلسل القطاعات في ماي 2025: الصحة أولًا، حيث اتخذ نحو 3,000 صيدلي خطوات للامتثال، ثم المحامون والموثقون وكتّاب الضبط والمؤسسات الإعلامية. وتحمل الرسائل خطط عمل تمتد أشهرًا وتحذيرًا صريحًا من أن التأخير قد يجرّ عقوبات. كما سمّت الجهة المنظِّمة ما سيأتي لاحقًا: «تعتزم CNDP توسيع برنامج الامتثال ليشمل التعليم والبنوك والتأمين والتجارة الإلكترونية والخدمات الرقمية في الأشهر المقبلة» (Hespress). واقرأ التاريخ بعناية: عبارة «الأشهر المقبلة» قيلت في ماي 2025، أي قبل نحو خمسة عشر شهرًا من هذا المقال، ولا يوثّق أي مصدر علني أن مرحلة التعليم قد انطلقت فعلًا.

لذلك تعامل مع ذلك بوصفه إعلانًا لا حالة مدرسية موثّقة. فلا توجد في السجل العلني أي مسطرة زجرية ضد مدرسة مغربية بعينها أو ضد مزوّد تطبيق مدرسي بعينه. والموثَّق فعلًا هو أن منهج CNDP القطاعي ما زال ماضيًا: اتفاقيات DATA-TIKA مع القرض الفلاحي للمغرب ووزارة الفلاحة في أبريل 2026، وهيئة الخبراء المحاسبين في أبريل 2026، والهيئة الوطنية للمفوضين القضائيين التي استُقبلت في يونيو 2026 (CNDP). مهنة أو وزارة واحدة في كل مرة، بتواريخ محددة. وقراءتنا الخاصة أن هذه الوتيرة تجعل عبارة «التعليم هو التالي» جديرة بأن تُبنى عليها الخطط.

أما صلاحيات التفتيش فمنصوص عليها بوضوح. إذ تذكر صفحة مهام CNDP أن أعوانها «يمكنهم الوصول مباشرة إلى جميع العناصر الداخلة في مسارات المعالجة: المعطيات والتجهيزات والمحلات وحوامل المعلومات»، وأن هذه المراقبة قد تفضي إلى عقوبات إدارية أو مالية أو جنائية (CNDP). وما توثّقه تقارير 2025 هو تغيّر في مستوى النشاط — إنذارات وتحقيقات بدل التوعية — في إطار ولاية سبق أن وصفتها صفحة الجهة المنظِّمة نفسها.

ما يفرضه القانون 09-08 وما يغفله

هنا تحديدًا تخطئ المدارس التي قرأت عن GDPR. فالقانون 09-08، الصادر عام 2009، يستنسخ منطق التوجيه الأوروبي 95/46/EC. وهو قانون تصريحي قائم على الإذن، مبني على الرقابة القبلية للجهة المنظِّمة لا على المساءلة المستمرة داخل المؤسسة. وقد عدّد تحليل قانوني نُشر في دجنبر 2025 ما يفتقر إليه بالتالي: «المساءلة، ودراسة الأثر (DPIA)، والخصوصية بالتصميم وبالإعداد الافتراضي، وقابلية نقل البيانات، والسجل الداخلي للمعالجات، والإخطار بخروقات البيانات» (Village de la Justice). وكل بند في هذه اللائحة يتوقّع أن يجده مسؤولٌ مدرسي قادم من مرجعية أوروبية، ويشرح دليلنا حول التواصل المدرسي المتوافق مع GDPR شكل هذه الالتزامات حيث تنطبق فعلًا. ويتفق دليل Chambers على مسألة الإخطار بالخروقات: فالمسؤولون عن المعالجة والمناولون غير ملزمين بإخطار السلطة، وإن كان ذلك موصى به بشدة.

ولهذا نتيجتان عمليتان في مجال الصفقات.

الأولى، ما دام الالتزام تصريحًا مغربيًا وما دام المغرب لم يحصل بعد على قرار كفاية أوروبي، فإن شارة «التوافق مع GDPR» التي يرفعها مزوّد ما تجيب عن سؤال آخر غير السؤال الذي يطرحه ملفك. ولا شيء في المصادر يجعل إحداهما دليلًا على الأخرى. والثانية، بما أن لا شيء في النص القانوني يُلزمك بمسك سجل داخلي أو إجراء دراسة أثر، فإن موقفك الإثباتي كله يقوم على التصريح والعقد. وإذا كانا هزيلين، فلن يبقى شيء آخر تشير إليه.

أين يفشل المزوّدون في التعامل مع بيانات التلاميذ بالمغرب

مجموعات التراسل الاستهلاكية. طبّق النقطة 2 بالمقلوب على مدرسة تدير تواصلها مع أولياء الأمور عبر مجموعة WhatsApp أو Telegram عادية. فإذا طلبت CNDP مقتطفات من عقد مناولة، احتاجت المدرسة أولًا إلى وجود مثل هذا العقد مع مزوّد خدمة التراسل لتستخرج منه بنودًا، واحتاجت كذلك إلى القدرة على تحديد مكان تخزين محتوى الرسائل وأرقام هواتف أولياء الأمور. ولا يوثّق أي مصدر في السجل كيفية تعاقد هؤلاء المزوّدين مع المدارس المغربية، لذلك اعتبر هذا هو السؤال الذي تطرحه على ملفك أنت. الراحة التي توفرها هذه المجموعات حقيقية، لكن إمكان بناء الملف عليها أمر على المدرسة أن تتحقق منه بنفسها. والبديل هو قناة تراسل محدَّدة الإطار تستطيع أن تصف على استمارة مشاركيها ومدة حفظها ومكان تخزينها، مع الرسائل القصيرة لأولياء الأمور الذين لا يثبّتون أي تطبيق، وهم الفئة التي تدفع المدرسة عادةً إلى العودة إلى مجموعة استهلاكية مفتوحة.

تطبيقات أولياء الأمور الدولية. إذا ضمّت قائمتك المختصرة تطبيقًا دوليًا لأولياء الأمور — وأكثر الأسماء تكرارًا هي ClassDojo وSeesaw وRemind — فالسؤال الذي يُطرح على كل واحد منها هو: في أي بلد توجد قاعدة بياناته الأساسية ونسخه الاحتياطية ومنافذ وصول الدعم التقني؟ فهذه المنتجات تُستضاف عادةً خارج المغرب، ويجب تأكيد البلد المعني مع كل مزوّد على حدة. وإذا كان الجواب الاتحاد الأوروبي، فتلك هي الحالة الأيسر: إذ تشمل اللائحة المعتمدة لدى CNDP دول الاتحاد الأوروبي وأيسلندا وليختنشتاين والنرويج وسويسرا وكندا والمملكة المتحدة (Digital Policy Alert). لكن «معتمد» لا يعني «تلقائي»، فدليل Chambers يفيد بأن CNDP تشترط عمليًا إذنًا مسبقًا للنقل إلى جميع البلدان، مع تيسير الموافقة على الوجهات المدرجة. أما الوجهات غير المدرجة فيجب أن يتضمن الطلب بشأنها اسم الناقل وعنوانه واسم المستقبِل وعنوانه، وفئات البيانات، والأشخاص المعنيين، وغاية النقل وطريقته ووتيرته (Digital Policy Alert). وبما أن الإذن يُطلب عمليًا لجميع البلدان، فهذه هي مجموعة التفاصيل الجديرة بأن تجمعها من أي مزوّد، أيًّا كان مكان استضافته.

أنظمة تدبير المدارس ودفاتر النقط. حين تعالج المنظومة أكثر من الرسائل — النقط والغيابات والملاحظات الصحية وبيانات مراقبة الولوج — وجب أن تتسع الغاية المصرَّح بها لتغطي ذلك كله. وينطبق هذا على أي منصة لتدبير المدارس في قائمتك، بما فيها أنظمة دفاتر النقط من طراز Pronote. ومنطق هذا النظام القانوني بسيط: يُعرَّف الانحراف بالغاية بالفجوة بين ما صُرِّح به وما يُنجَز فعلًا؛ وكلما اتسع النطاق المصرَّح به اتسع معه السطح الذي قد تنفتح فيه تلك الفجوة. ومقارنة المسارات التي تديرها المدرسة فعليًا بالغاية التي تنوي التصريح بها هي أرخص وسيلة لاكتشاف تلك الفجوة قبل أن تكتشفها CNDP.

جانب التكلفة. يعاقَب على مخالفة القانون 09-08 بغرامة تتراوح بين 10,000 و600,000 درهم و/أو بالحبس من ثلاثة أشهر إلى أربع سنوات، بحسب دليل Chambers. ويحدد دليل CNDP ووزارة التربية الوطنية الصادر عام 2023 عقوبة المادة 54 الخاصة بالانحراف بالغاية تحديدًا: الحبس من ثلاثة أشهر إلى سنة وغرامة من 20,000 إلى 200,000 درهم، أو إحدى هاتين العقوبتين فقط. ولاحظ أن المصادر ليست متطابقة بشأن مسار الجزاء: فصفحة مهام CNDP تذكر أن مراقبتها قد تفضي إلى عقوبات إدارية أو مالية أو جنائية، بينما يصف التحليل القانوني الصادر في دجنبر 2025 الإطار بأنه يفتقر إلى الغرامات الإدارية.

قراءة صادقة: أسباب أخرى تجعل 2025 يبدو على هذه الصورة

المنعطف الزجري ليس مجرد نضج جهة منظِّمة، وعلى المدرسة التي تخطط في ضوئه أن تعرف القوى الأخرى الفاعلة. فالمغرب يضع نفسه مرجعًا قاريًا في حوكمة البيانات وهو ما يزال يسعى إلى قرار كفاية أوروبي لم يحصل عليه بعد (Chambers). كما أن حماية البيانات خيط واحد ضمن دفعة رقمية حكومية شاملة: استراتيجية «المغرب الرقمي 2030»، وقانون الأمن السيبراني الذي دخل حيز التنفيذ في يوليوز 2020، ومشروع قانون لإحداث وكالة وطنية لحوكمة الذكاء الاصطناعي (Digital Policy Alert). وأيٌّ من هذه العوامل قد يغيّر وتيرة الحملة القطاعية. غير أن أيًّا منها لا يُلغي واجب الإيداع الملقى على المدرسة، لأن هذا الواجب أسبق منها جميعًا.

ما ينبغي فعله قبل تجديد العقد المقبل

1. ضع النقاط الست في طلب العروض، لا في المفاوضات. عمليًا، يعني ذلك ملحقًا من صفحة واحدة يُرفق بكل طلب عروض ترسله، يضم الأسئلة الست أعلاه، ويشترط جوابًا كتابيًا عن كل سؤال، وقاعدة تقضي بإقصاء المزوّد إذا ترك صفًا دون جواب، ويُفعَّل تلقائيًا كلما أُضيفت أداة تواصل أو جُدّد عقدها.

2. احصل على جواب الاستضافة كتابيًا قبل وضع القائمة المختصرة. عمليًا، يعني ذلك رسالة إلكترونية واحدة تُرسَل عند أول اتصال، تسأل عن بلد التخزين الأساسي، وبلد النسخ الاحتياطية، والبلد الذي يستطيع منه موظفو الدعم قراءة بيانات المدرسة، مع مهلة رد قدرها 5 أيام عمل، لأن الرأي بشأن الإذن يمتد إلى شهرين وقابل للتمديد مرة واحدة.

وفي الرسالة نفسها، اطلب الحقول التي ستطلبها منك CNDP في طلب النقل: اسم الناقل وعنوانه، واسم المستقبِل وعنوانه، وفئات البيانات، والأشخاص المعنيين، وغاية النقل وطريقته ووتيرته. فالمزوّد القادر على إرجاع هذه المعطيات خلال أسبوع يمكن إيداع ملفه، والعاجز عنها سيكلّفك عدّاد الشهرين مرتين.

3. سمِّ المسؤول عن المعالجة داخليًا. عمليًا، يعني ذلك كتابة اسم مدير المدرسة في ملف التصريح، وجلسة تسليم مدتها 20 دقيقة في بداية كل سنة دراسية تغطي ما صُرِّح به، ولأي غاية، ومن يحتفظ بوصل التصريح.

4. اجعل المزوّد ينشئ واجب الإخطار الذي لا ينشئه القانون. عمليًا، يعني ذلك بندًا تعاقديًا واحدًا يفرض إخطارًا كتابيًا للمدرسة خلال 48 ساعة من تأكيد أي حادث، مع عدد السجلات المتأثرة وخطوات المعالجة، ويُراجَع مرة في السنة عند التجديد.

المطلوب ضيّق ووثائقي في جوهره: على المدرسة المغربية أن تكون قادرة، عند الطلب، على إظهار ما صرّحت به، وما يضمنه مناوِلها، وأين تستقر البيانات ماديًا. لذلك فما تحتاجه من أي منصة هو استضافة تستطيع تسميتها على استمارة، وشروط مناولة خاصة بكل مؤسسة تستطيع استخراج بنود منها، وجمع بيانات محصور في الغاية التي صرّحت بها. وبي نت مسار تنفيذ واحد من مسارات عدة، والاختبار الصحيح هو ما إذا كان المزوّد قادرًا على ملء صفوفك الستة كتابيًا. وتذكر صفحة الأمان لدينا منطقة الاستضافة — الاتحاد الأوروبي، المدرج في لائحة CNDP المعتمدة، وإن كان الإدراج، كما سبق، لا يعفي من طلب الإذن — وما تغطيه شروط المناولة؛ كما يستعرض عرض توضيحي مدته 15 دقيقة الصفوف الستة صفًا صفًا.

قالت CNDP في ماي 2025 إن التعليم هو القطاع التالي. والسؤال الوحيد هو: هل سيكون ملفك جاهزًا حين تصل الرسالة، أم مكتوبًا على عجل بعد وصولها؟

المراجع

للاطلاع على المراجع والمصادر، راجع النسخة الإنجليزية من هذا المقال.