Les données personnelles ne sont plus un sous-produit du web. Elles sont une ressource structurante, comme l’énergie hier : elles orientent la publicité, le crédit, l’assurance, la sécurité, la politique et désormais l’intelligence artificielle. Le problème n’est pas seulement la collecte, mais la capacité à relier des traces dispersées pour fabriquer un profil exploitable. Ce qui se vend aujourd’hui, ce n’est pas “ton nom”, mais ton comportement : tes habitudes, tes fragilités, tes intentions, ta capacité à acheter, à voter, à te déplacer, à accepter une offre plutôt qu’une autre.
L’Union européenne a tenté de casser cette logique par la norme et la sanction. Le GDPR a introduit un cadre lourd, avec des droits individuels et des obligations pour les entreprises, puis une mécanique de contrôle par des autorités nationales. Les chiffres donnent une idée de l’échelle : depuis 2018, le cumul des amendes GDPR dépasse les 5,8 milliards d’euros selon les bases de suivi de l’application. L’exemple emblématique reste l’Irlande, où Meta a écopé d’une amende record de 1,2 milliard d’euros en 2023, dans une affaire de transferts de données entre l’Union européenne et les États-Unis. Cette logique européenne ne s’arrête plus au “privacy” classique : en avril 2025, la Commission européenne a aussi sanctionné Meta à 200 millions d’euros au titre du Digital Markets Act, en visant le cœur du modèle publicitaire, c’est-à-dire la combinaison des données entre services. Autrement dit, la bataille n’est plus seulement morale (“respect de la vie privée”), elle est économique (“qui a le droit de combiner quoi, et pour créer quelle domination”).
Mais la régulation européenne a une limite : la vie numérique de l’utilisateur est transfrontalière. On peut contrôler ce qui se passe dans l’Union, plus difficilement ce qui se passe dès qu’une infrastructure, un cloud, un outil marketing ou un support technique sort du périmètre. C’est là que la question devient géopolitique : les données ne sont pas seulement un enjeu de droits, elles sont un enjeu de souveraineté. Ce n’est pas un hasard si la Chine a installé une loi nationale structurante, la Personal Information Protection Law, entrée en vigueur le 1er novembre 2021. La logique chinoise est claire : encadrer la collecte, contrôler les transferts, et intégrer la donnée dans une doctrine de sécurité nationale. Pour les entreprises, cela signifie une conformité complexe ; pour l’État, une maîtrise des flux ; pour le citoyen, une protection qui coexiste avec une capacité publique élevée de contrôle.
Entre les deux modèles, les États-Unis incarnent une autre réalité : l’absence d’une loi fédérale unique comparable au GDPR. À la place, le pays avance par fragments, avec la Californie en locomotive. Le California Consumer Privacy Act est entré en vigueur en 2020, renforcé ensuite par le CPRA effectif en 2023. Mais l’Amérique ressemble de plus en plus à une mosaïque : l’IAPP suit une multiplication de lois “comprehensive” au niveau des États, et plusieurs analyses juridiques estiment qu’à l’entrée de 2026, environ vingt lois de protection des consommateurs seront en vigueur selon les États. Pour le citoyen américain, cela signifie des droits variables selon l’adresse. Pour les entreprises, un labyrinthe de conformité. Pour les plateformes, un avantage paradoxal : dans l’absence d’un standard fédéral, les architectures dominantes restent difficiles à déraciner.
L’Inde, elle, s’est engagée dans une voie qui mérite attention, parce qu’elle représente une puissance numérique de masse. Le Digital Personal Data Protection Act a été adopté le 11 août 2023, et l’État indien a franchi une étape supplémentaire en novembre 2025 avec la notification de règles associées et la mise en place de l’organe de gouvernance prévu. Ce calendrier indique une chose : même les pays qui ont tardé à légiférer accélèrent désormais, car sans cadre data, il n’y a ni confiance dans les services numériques, ni capacité à industrialiser l’IA à grande échelle.
Et le Maroc dans tout ça ? Le pays dispose d’un socle juridique avec la loi 09-08 (18 février 2009) et une autorité de contrôle, la CNDP. C’est un point souvent sous-estimé : dans une économie où les services numériques et l’externalisation montent, la crédibilité “data” devient un actif. Mais l’enjeu marocain n’est pas seulement de posséder une loi : il est de l’appliquer à l’écosystème réel, à la publicité en ligne, à la prospection commerciale, aux bases clients, aux traceurs, aux transferts et à l’hébergement. Autrement dit : transformer la protection des données d’un texte juridique en réflexe opérationnel dans l’économie.
Au fond, la question “les données échappent-elles aux citoyens ?” appelle une réponse nuancée. Dans le discours, les droits progressent : consentement, accès, suppression, limitation, correction. Dans la réalité, l’économie de la donnée reste asymétrique : l’utilisateur signe vite, comprend peu, et l’extraction se fait en continu. Le vrai déplacement se joue ailleurs : dans la capacité des régulateurs à réduire l’incitation économique à collecter “par défaut”, et dans la capacité des citoyens à choisir sans être pénalisés. Tant que refuser signifie perdre un service, payer plus cher, ou être moins visible, la liberté reste théorique.
La bataille qui vient n’est donc pas seulement celle de la “privacy”. C’est celle du pouvoir de marché. Les données personnelles ne valent pas seulement parce qu’elles existent, mais parce qu’elles s’agrègent. Et dans un monde dominé par quelques plateformes et par l’IA, celui qui contrôle l’agrégation contrôle une partie de la réalité économique.