.avif)
Conformité CNDP du cabinet médical au Maroc : guide loi 09-08
Un cabinet médical, dentaire ou une officine qui conserve des dossiers patients est, au sens de la loi marocaine, un « responsable de traitement » de données sensibles. Il doit donc être en règle avec la loi 09-08 et avec la CNDP, quelle que soit sa taille. Ce n’est pas une formalité réservée aux cliniques : c’est une obligation personnelle du praticien, assortie de sanctions pénales.
Qu’est-ce que la loi 09-08 et la CNDP ?
La loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel a été promulguée par le dahir n° 1-09-15 du 18 février 2009 et publiée au Bulletin officiel n° 5714 du 5 mars 2009. Elle est contrôlée par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), autorité indépendante dotée de pouvoirs d’enquête et de sanction.
La loi classe expressément parmi les « données sensibles » les données « relatives à la santé » d’une personne, y compris ses données génétiques. Les traitements d’un professionnel de santé relèvent donc d’un régime plus strict que ceux d’un commerce ordinaire.
Mon cabinet est-il concerné ?
Oui, dès que vous collectez et conservez des informations sur vos patients : logiciel de gestion, agenda en ligne, fichier Excel, fichier papier structuré ou échanges par messagerie. Un généraliste seul est concerné au même titre qu’un centre pluridisciplinaire.
Un cabinet type met en œuvre au moins quatre traitements :
- le dossier médical et le suivi des patients ;
- la prise de rendez-vous (secrétariat, plateforme en ligne) ;
- la facturation et les feuilles de soins AMO ;
- la gestion du personnel (paie, CNSS) et, le cas échéant, la vidéosurveillance.
Déclaration ou autorisation : quelle procédure pour un médecin ?
Tout traitement fait l’objet d’une déclaration préalable auprès de la CNDP. Les traitements de données sensibles, dont les données de santé, relèvent d’une autorisation préalable. Le formulaire de déclaration de la CNDP indique un récépissé délivré « dans un délai de 24h » ; une demande d’autorisation, elle, est instruite par la Commission.
Pour le secteur de la santé, la CNDP a ouvert une plateforme dédiée, sante.cndp.ma. Le mode opératoire diffusé auprès des pharmaciens et des médecins est le suivant :
- Installer l’application « Mon Identité Numérique » sur son smartphone.
- Se connecter à sante.cndp.ma et cliquer sur « M’authentifier ».
- S’identifier avec le code CAN à 6 chiffres figurant au recto de la CIN.
- Remplir le formulaire de conformité, puis le valider.
- Signer et cacheter le PDF reçu par e-mail, puis l’envoyer à conf-secteur-sante@cndp.ma.
Selon le portail professionnel entremedecins.ma, les médecins devaient se conformer à cette procédure depuis le 15 février 2025. Si ce n’est pas fait, c’est la priorité.
Ce que vous risquez en cas de non-conformité
La loi 09-08 prévoit des sanctions pénales. Voici les principales infractions applicables à un cabinet, d’après le texte de la loi et la liste publiée par la CNDP.
Au-delà de l’amende, le vrai risque est réputationnel : une fuite de dossiers médicaux détruit la confiance des patients.
Les 7 bonnes pratiques à mettre en place dès l’ouverture
- Informer les patients : affichez en salle d’attente et sur votre site la finalité du traitement, le responsable, les droits d’accès, de rectification et d’opposition, et le numéro de récépissé ou d’autorisation CNDP.
- Recueillir un consentement exprès pour tout usage qui dépasse le soin : rappels SMS marketing, partage avec un confrère, photos avant/après.
- Minimiser : ne collectez que ce qui sert au soin et à la facturation.
- Sécuriser : sessions nominatives, mots de passe robustes, sauvegardes chiffrées, verrouillage des postes, armoires fermées pour le papier.
- Encadrer vos prestataires : éditeur de logiciel et hébergeur doivent s’engager par contrat sur la confidentialité et la sécurité.
- Vérifier l’hébergement : un transfert de données vers l’étranger (cloud hors du Maroc) doit être notifié à la CNDP, qui rend son avis sous 2 mois, prorogeable une fois.[5][10] Évitez les Google Drive ou WhatsApp personnels pour les dossiers et résultats.
- Former l’équipe : la secrétaire et l’assistante sont soumises au secret professionnel (pas de dossier communiqué par téléphone à un tiers, pas de capture d’écran sur WhatsApp).
Conformité CNDP et téléconsultation : un lien direct
Si vous envisagez la télémédecine, la conformité CNDP devient un prérequis. Le décret n° 2-20-675 modifiant le décret de 2018 sur la télémédecine a ajouté au dossier de demande d’autorisation la copie de l’autorisation de traitement des données délivrée par la CNDP.
FAQ
Un médecin seul dans son cabinet doit-il vraiment passer par la CNDP ?
Oui. La loi 09-08 s’applique à tout responsable de traitement, quelle que soit sa taille. Les données de santé relèvent du régime de l’autorisation préalable.
Comment se mettre en conformité le plus rapidement ?
Via la plateforme sante.cndp.ma, avec l’application « Mon Identité Numérique » et votre CIN. Le formulaire signé est envoyé à conf-secteur-sante@cndp.ma.
Quelle est l’amende maximale pour un traitement de données de santé sans consentement ?
De 50 000 à 300 000 DH, et/ou 3 mois à 1 an d’emprisonnement, selon la loi 09-08.
Puis-je héberger mon logiciel médical à l’étranger ?
Seulement après notification du transfert à la CNDP et avec un prestataire offrant des garanties suffisantes.
La conformité CNDP est-elle nécessaire pour la téléconsultation ?
Oui. Depuis le décret 2-20-675, l’autorisation CNDP fait partie du dossier de demande d’autorisation de télémédecine.
Passez à l’action
La conformité se prépare au moment où l’on choisit son logiciel, son site et son organisation. Avec Facility management et pré-ouverture, Espace Santé sélectionne avec vous un logiciel médical adapté et met en place vos tableaux de bord. Le Lancement digital livre un site intégrant les mentions d’information requises. Lancez notre Audit de visibilité digitale gratuit, puis échangez avec un expert.
.avif)
