قضيت الأشهر الأخيرة في تفحص ملفات اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP)، والحديث مع مسؤولي حماية البيانات في الدار البيضاء، ومراقبة كيف تحوّل بعض الشركات ملف عملائها إلى مصدر دخل حقيقي، دون تجاوز الخط القانوني. نعم، يمكن تحقيق الربح من قاعدة بيانات العملاء في المغرب. لكن الفارق بين “استراتيجية بيانات ذكية” و”مخالفة جنائية” أدق مما يتصوره كثيرون.
ما يلفت الانتباه عند النظر إلى السوق المغربية في 2026 هو الفجوة بين شهية الشركات للبيانات وفهمها الفعلي للإطار القانوني. لا يزال كثير من المدراء يعتقدون أن ملف Excel يضم أسماء العملاء المحتملين ملك خالص لهم، تماماً كما لو كان مخزوناً من البضائع. الأمر ليس كذلك إطلاقاً. تبقى المعطية الشخصية مرتبطة بالشخص الذي تصفه، وأي عملية ربح تتجاهل هذا المبدأ تعرّض الشركة لعقوبات حقيقية.
تجارة البيانات في المغرب سوق لا يزال غامضاً
لم ينتظر المغرب صدور القانون الأوروبي العام لحماية البيانات (RGPD) ليضع إطاراً خاصاً به: فـالقانون رقم 09-08، الساري منذ 2009، ينظم بالفعل كل معالجة للمعطيات ذات الطابع الشخصي تتم فوق التراب المغربي، أو من طرف مسؤول معالجة مقيم فيه. وضع هذا النص الأسس، لكنه بدأ يظهر عليه التقادم أمام الانفجار الذي يعرفه الذكاء الاصطناعي وممارسات سمسرة البيانات.
هناك مشروع لإصلاح هذا الإطار القانوني قيد النقاش منذ عدة سنوات، بهدف تقريب النص من القانون الأوروبي، خصوصاً فيما يتعلق بالأسس القانونية ومستويات العقوبات. لم يُعتمد بعد أي نص نهائي. وفي انتظار ذلك، يبقى القانون 09-08 هو النص الساري المفعول، وتطبّقه CNDP بصرامة متزايدة.
ما ألاحظه ميدانياً هو تسارع واضح في نشاط CNDP خلال العامين الأخيرين: اتفاقيات قطاعية مع كبرى المقاولات، مراقبة معززة لتسريبات المعطيات على الويب المظلم، شراكات مع الاتحاد العام لمقاولات المغرب لتحسيس الشركات. لم تعد المؤسسة رمزية، بل أصبحت فاعلاً يكتسب قوة متزايدة.
ماذا يقول القانون عن استغلال قاعدة بيانات العملاء
قبل الحديث عن الربح، لا بد من فهم مبدأ بسيط: قاعدة بيانات العملاء ليست أبداً أصلاً تملكه بالمعنى المادي المعتاد. أنت مسؤول عن المعالجة، ولست مالكاً للمعطيات بالمعنى الذي نملك به سلعة. يقوم القانون 09-08 على ثلاث ركائز.
أولاً، المشروعية والغاية المحددة: لا يمكنك جمع واستغلال المعطيات إلا لهدف دقيق ومُعلن سلفاً. لا يمكن لملف أُنشئ لأغراض الفوترة أن يتحول فجأة إلى أساس لحملة إشهارية تُباع لطرف ثالث دون إخبار الأشخاص المعنيين.
ثانياً، التصريح المسبق لدى CNDP إلزامي قبل أي معالجة، باستثناءات محددة ينص عليها القانون. أما بالنسبة للمعالجات الحساسة — كربط الملفات فيما بينها، أو النقل الدولي للمعطيات، أو المعطيات الصحية — فيُشترط الحصول على ترخيص مسبق، وهي خطوة إدارية أثقل بكثير.
أخيراً، تبقى الموافقة حجر الزاوية في المنظومة، مع استثناءات محدودة: الالتزام القانوني، تنفيذ عقد، المصلحة المشروعة، أو حماية مصالح حيوية. وعلى مفهوم المصلحة المشروعة بالذات تُبنى اليوم جزء كبير من استراتيجيات الربح من البيانات.
CNDP، الجهة الرقابية التي يجب معرفتها قبل بيع أي شيء
يستهين كثير من المقاولين بـ CNDP لأنها لا تظهر كثيراً في الإعلام العام. وهذا خطأ استراتيجي جسيم. تتمتع المؤسسة بصلاحيات تحقيق واسعة، سواء على مستوى الوثائق أو المعاينة الميدانية، ويمكنها توجيه إنذارات، والتوصية بإجراءات تصحيحية، وفي الحالات الأخطر، إحالة الملف على القضاء.
نظام العقوبات المنصوص عليه في الباب السابع من القانون بعيد كل البعد عن الرمزية. فعدم القيام بالتصريح أو الحصول على الترخيص يمكن أن يترتب عنه غرامة تتراوح بين 10.000 و100.000 درهم، وترتفع المبالغ بشكل ملحوظ في المخالفات الأخطر، لتصل العقوبات إلى 300.000 درهم وسجن قد يصل إلى سنتين. وعندما تُرتكب المخالفة من طرف شخص معنوي، تُضاعف الغرامات، ويمكن للمحكمة أن تأمر بمصادرة المعدات المستعملة في المخالفة أو الإغلاق المؤقت للمؤسسة.
رأيت مدراء يكتشفون هذه الأرقام متأخرين جداً، غالباً بعد تحقيق أثارته شكوى عميل غير راضٍ عن تلقيه عروضاً تجارية لم يطلبها. الرسالة واضحة: لم يعد الامتثال خياراً تجميلياً، بل شرطاً لاستمرارية نموذج العمل ذاته.
الروافع القانونية لتحقيق الربح من قاعدة بيانات العملاء
بمجرد فهم الإطار القانوني، هناك خبر جيد: توجد روافع حقيقية لتحويل قاعدة بيانات العملاء إلى مصدر قيمة، دون بيع ملفات خام لأطراف ثالثة غير مرخّص لها.
- الإشهار الموجّه داخلياً: عرض على العلامات التجارية الشريكة الوصول إلى جمهورك عبر قنواتك الخاصة (البريد الإلكتروني، الرسائل النصية، الإشعارات)، دون تسليمها المعطيات نفسها
- الإثراء التحليلي المُجمّع: بيع رؤى إحصائية مجهولة المصدر حول سلوك الشراء، وليس الهويات الفردية
- برامج التسويق المشترك بموافقة صريحة: طلب موافقة محددة وصريحة لمشاركة معطيات معينة مع شريك واحد محدد، ضمن إطار تعاقدي واضح
- التقسيم كخدمة: فوترة الوصول إلى قدرتك على الاستهداف، بدل بيع المعطية نفسها
- معطيات الطرف الأول لتدريب النماذج الداخلية: استغلال قاعدتك الخاصة لتحسين خوارزميات التوصية لديك، وهو ما يبقى ضمن الغاية الأصلية إذا كانت صياغتها دقيقة
- الربح عبر إشهار التجزئة (retail media): دمج مساحات إشهارية ممولة داخل منظومتك الرقمية الخاصة، اعتماداً على معرفتك بالعميل دون التنازل عنها
القاسم المشترك بين كل هذه المقاربات هو أنها تحافظ على السيطرة على المعطية الخام بيد مسؤول المعالجة الأصلي. هذا الانتقال — من بيع الملفات إلى بيع الوصول والرؤى — هو ما يُشكّل تجارة البيانات الحديثة، في المغرب كما في باقي العالم.
الموافقة، العملة الحقيقية في تجارة البيانات
لو كان عليّ تلخيص ثمانية عشر شهراً من مراقبة هذا السوق في جملة واحدة، لقلت: أصبحت الموافقة الأصل الأندر والأثمن، قبل المعطية نفسها بكثير. يمكن لأي فاعل شراء معطيات عامة. لكن القلة من يستطيع إثبات أنه يستغلها بموافقة صريحة وقابلة للتتبع من الأشخاص المعنيين.
الشركات المغربية التي تتقدم بخطوة هي تلك التي تستثمر في آليات موافقة دقيقة ومتدرجة — حيث يختار المستخدم بالضبط ما يوافق عليه، وتُسجَّل هذه الموافقة بتاريخ وتُؤرشف. هذا ليس مجرد حماية قانونية، بل أصبح حجة تجارية بحد ذاتها. العميل الذي يعرف بالضبط كيف تُستخدم معطياته يثق أكثر بالعلامة التجارية، مما يرفع آلياً معدلات التحويل في الحملات المبنية على تلك القاعدة.
ما يبقى ممنوعاً بشكل كامل
لا تزال بعض الممارسات، الشائعة جداً في السوق المغربية، تقع تحت طائلة القانون. إعادة بيع ملف العملاء مباشرة لطرف ثالث، دون تصريح مسبق أو موافقة مكيّفة مع الغاية الجديدة، مخالفة واضحة. أما سمسرة المعطيات الحساسة — الصحية، الآراء الدينية، المعطيات البيومترية — دون ترخيص صريح من CNDP، فتُعرّض صاحبها لأشد العقوبات في النص.
كذلك يبقى النقل الدولي لقواعد بيانات العملاء إلى خوادم موجودة في دول لا تضمن مستوى حماية كافياً نقطة يقظة أساسية، خصوصاً بالنسبة للشركات التي تعتمد على أدوات SaaS مستضافة في الخارج دون التحقق من الضمانات التعاقدية الملائمة.
رأيي الشخصي انطلاقاً من الميدان المغربي
ما ألاحظه لدى الشركات التي تنجح فعلاً في تحويل البيانات إلى أصل مُدرّ للدخل، هو أنها تتعامل مع امتثال CNDP باعتباره استثماراً في المنتج، لا مجرد التزام قانوني يُترك للقسم القانوني. تُدرج هذه الشركات التصريح بالمعالجات منذ تصميم أنظمة إدارة علاقة العملاء (CRM)، وتُكوّن فرقها التجارية على حدود الموافقة المُجمّعة، وتوثّق كل غاية استخدام.
في المقابل، رأيت شركات واعدة تتوقف فجأة عن النمو بعد مجرد مراقبة روتينية، لأن ملف عملائها — رغم كونه أثمن أصولها — لم يُصرَّح به قط. المفارقة المغربية لسنة 2026 هي أن الإطار التنظيمي، الموروث من مرحلة ما قبل القانون الأوروبي، يبدو أحياناً أخف وطأة على الورق من نظيره الأوروبي، لكن تطبيق CNDP له يزداد صرامة بشكل واضح، مدفوعاً بطموح معلن لجعل المغرب مرجعاً إفريقياً في حكامة البيانات.
الأسئلة الشائعة
هل يمكن بيع قاعدة بيانات العملاء في المغرب؟
لا، ليس كما هي. لا يمكن نقل قاعدة بيانات العملاء إلى طرف ثالث إلا إذا أعطى الأشخاص المعنيون موافقة محددة لهذه الغاية الجديدة، أو إذا انطبق استثناء قانوني، مع مراعاة الإجراءات الشكلية لدى CNDP.
هل يجب التصريح بقاعدة بيانات العملاء لدى CNDP حتى دون نية بيعها؟
نعم. أي شركة تعالج معطيات شخصية في المغرب — CRM، ملفات الموارد البشرية، لوائح العملاء المحتملين — ملزمة مبدئياً بالتصريح المسبق لدى CNDP، بغض النظر عن أي مشروع للربح.
ما هي مخاطر عدم الامتثال؟
تتراوح العقوبات بين غرامات من 10.000 إلى 300.000 درهم وسجن قد يصل إلى سنتين، مع مضاعفة المبالغ وإجراءات إدارية إضافية عندما تُرتكب المخالفة من طرف شركة.
هل سيتغير القانون 09-08 قريباً؟
هناك إصلاح قيد النقاش منذ عدة سنوات يهدف إلى تقريب النص من القانون الأوروبي، لكن لم يُعتمد بعد أي نص نهائي. يبقى القانون 09-08 سارياً بكامل مفعوله.
