Données de Santé au Maroc : les Obligations CNDP des Établissements de Soins

Pourquoi la santé est un cas à part#

La loi 09-08 classe les données de santé, y compris les données génétiques, parmi les données sensibles. Trois conséquences en découlent :

• Une formalité renforcée auprès de la CNDP. Le principe est l'autorisation préalable (articles 12 et 21). L'article 22 ouvre une exception : une simple déclaration suffit lorsque le traitement sert à la médecine préventive, au diagnostic, à l'administration de soins ou à la gestion des services de santé, et qu'il est mis en œuvre par un professionnel de santé soumis au secret. Un traitement qui sort de ce cadre, par exemple une plateforme qui réutilise les données, revient au régime de l'autorisation. La collecte du numéro de carte nationale d'identité relève, elle aussi, de l'autorisation (article 12).
• Le consentement exprès du patient est la règle pour traiter ses données, sauf dans les cas prévus par la loi.
• Les sanctions sont les plus lourdes du barème : un traitement de données sensibles sans consentement exprès est puni de trois mois à un an d'emprisonnement et/ou de 50 000 à 300 000 DH d'amende, montant doublé pour une personne morale.

Qui est concerné#

• les cabinets médicaux et dentaires ;
• les cliniques et les centres de soins ;
• les laboratoires d'analyses et les centres d'imagerie ;
• les pharmacies qui tiennent des fichiers patients ;
• les plateformes de prise de rendez-vous et de téléconsultation ;
• les assureurs et les organismes qui traitent des informations médicales.

Les traitements à identifier en priorité#

Le cas des transferts médicaux#

L'article 44 de la loi 09-08 permet un transfert vers un pays non inscrit sur la liste de la CNDP lorsqu'il est nécessaire au diagnostic, à la prévention ou au traitement médical, par exemple l'envoi d'un dossier pour une prise en charge à l'étranger. Cette exception ne couvre pas l'hébergement courant d'un logiciel de gestion à l'étranger, qui doit être régularisé selon les règles générales des transferts.

Un secteur suivi de près#

La CNDP a engagé une démarche commune avec des organisations représentatives du secteur médical pour suivre la conformité des acteurs de santé à la loi 09-08. Le 28 novembre 2025, elle a aussi publié la délibération D-941-2025, qui fixe un modèle de demande d'autorisation type pour les traitements de suivi des patients, et la délibération D-942-2025, relative aux demandes d'autorisation de vidéosurveillance dans les établissements de santé. Pour un établissement de soins, la conformité est aussi un enjeu de confiance : un patient qui doute de la confidentialité de son dossier hésitera à partager des informations utiles à sa prise en charge.

Checklist pratique#

• Formalité CNDP adaptée (déclaration ou autorisation) accomplie pour chaque traitement de données de santé.
• Information des patients à l'accueil et sur les formulaires.
• Accès aux dossiers limité par profil et journalisé.
• Contrat écrit avec chaque prestataire (logiciel, hébergement, rendez-vous en ligne).
• Transferts à l'étranger identifiés et régularisés.
• Règles écrites pour les échanges avec les patients par messagerie.

Pour concevoir un parcours patient pensé pour la loi 09-08 dès le départ, voir les portails que nous construisons pour les professions de santé.