Données de santé et CNDP : l’autorisation préalable, pas la déclaration

Les données de santé sont la catégorie la plus protégée de la loi 09-08. Pour une clinique, un laboratoire, un cabinet ou un organisme de couverture maladie, cela signifie un régime d’autorisation préalable de la CNDP — pas une simple déclaration. La différence n’est pas administrative : elle décide de la date à laquelle votre plateforme peut entrer en production.

Autorisation, et ce que cela implique dans le temps

• Instruction en deux mois, prorogeable une fois : prévoyez jusqu’à quatre mois.
• Aucun démarrage avant la décision. Un dossier déposé n’autorise rien.
• Le formulaire est le F115 (demande d’autorisation), pas le F211.

Conséquence sur un projet logiciel : le dossier se prépare pendant le cadrage, pas pendant la recette. Une plateforme de santé qui découvre l’autorisation trois semaines avant la livraison a un problème de calendrier que personne ne peut résoudre.

Ce que « donnée de santé » couvre réellement

Plus large que le dossier médical : tout ce qui révèle un état de santé, même indirectement. Un motif de rendez-vous, un acte facturé, une prise en charge, un arrêt de travail, un résultat d’analyse, une ordonnance — et parfois une simple appartenance à un service de soins.

C’est pourquoi une plateforme de mutuelle est concernée autant qu’un logiciel de clinique : un remboursement d’acte est une donnée de santé. Voir assurance et mutuelles.

Ce que le logiciel doit savoir faire

• Cloisonner par rôle. Praticien, secrétariat, gestionnaire et facturation n’ont pas besoin des mêmes champs. « Tout le monde voit tout » est le défaut le plus fréquent et le plus difficile à défendre lors d’un contrôle.
• Journaliser les consultations, pas seulement les modifications. Sur un dossier de santé, savoir qui a lu quoi est le cœur de la traçabilité.
• Appliquer une durée de conservation par catégorie — un résultat d’analyse, une pièce comptable et une donnée de prospection ne vivent pas le même temps.
• Répondre à une demande d’accès ou de suppression sans reconstruction manuelle.
• Chiffrer au repos et en transit, et savoir où les données sont hébergées.

Le point que les dirigeants découvrent tard

Sur les données sensibles, la loi prévoit des sanctions financières et une responsabilité qui peut atteindre le dirigeant personnellement. Ce n’est pas un sujet qu’on délègue à un prestataire après coup, et un rapport de conformité posé sur un système incapable de journaliser les accès ne protège personne.

Et l’hébergement à l’étranger ?

Héberger des données de santé chez un fournisseur hors du Maroc constitue un transfert, soumis à son propre régime, et doit figurer dans le dossier. Ce n’est pas interdit ; c’est à déclarer et à justifier. Le découvrir après le dépôt oblige à une modification — formulaire F112.

Guides liés : la déclaration CNDP, le consentement. Notre offre : plateformes santé et conformité CNDP.