Loi 09-08 : checklist de conformité pour un logiciel médical au Maroc

La loi 09-08 marocaine régit la protection des données personnelles au Maroc, avec des dispositions renforcées pour les données de santé classées données sensibles (Art. 6). Chaque cabinet médical qui utilise un logiciel de gestion patient est légalement responsable — même quand le logiciel est fourni par un tiers. Ce guide donne la checklist concrète pour vérifier qu'un logiciel est réellement conforme, pas juste marketing.

Pourquoi la loi 09-08 concerne tous les cabinets médicaux

L'article 3 de la loi 09-08 s'applique dès qu'un « traitement automatisé de données à caractère personnel » a lieu — ce qui couvre toute base patients numérique, y compris Excel, Google Sheets, ou n'importe quel logiciel médical. Les données de santé sont explicitement classées comme sensibles (Art. 6) et nécessitent :

• Un consentement exprès du patient pour le traitement.
• Des mesures de sécurité renforcées (Art. 23).
• Une déclaration préalable ou autorisation de la CNDP selon les cas.
• Une notification en cas de violation de données.

Les sanctions vont de 10 000 à 300 000 MAD selon la gravité (Art. 52-55), avec la possibilité de sanctions pénales dans certains cas.

Checklist en 12 points

1. Chiffrement des données patient au repos

Le logiciel doit chiffrer les données patient dans la base de données, pas seulement pendant leur transit sur le réseau. Le standard est AES-256-GCM avec des clés stockées séparément.

Comment vérifier : demandez au fournisseur la documentation technique. Un logiciel conforme doit pouvoir vous dire quels champs sont chiffrés (typiquement : téléphone, email, notes médicales, ordonnances, résultats).

2. Chiffrement en transit (TLS 1.2+)

Toutes les connexions entre votre navigateur et le serveur doivent être en HTTPS avec TLS 1.2 minimum. TLS 1.0 et 1.1 sont considérés obsolètes.

Comment vérifier : rendez-vous sur le site du logiciel. L'URL doit commencer par https://. Vérifiez le certificat en cliquant sur le cadenas — il doit être valide et pas auto-signé.

3. Journal d'audit exhaustif

Chaque action sur une donnée patient doit être tracée : qui, quand, quoi. Cela inclut la consultation d'un dossier, la modification, la création, la suppression, l'export.

Comment vérifier : demandez à voir un exemple d'entrée de journal d'audit. Vérifiez qu'elle contient l'identité de l'utilisateur, l'horodatage, l'action, l'entité touchée et si possible l'adresse IP.

4. Contrôle d'accès par rôle

Les secrétaires doivent pouvoir gérer les rendez-vous sans accéder aux notes médicales, diagnostics ou ordonnances. Les médecins voient leurs propres patients. L'admin gère les utilisateurs.

Comment vérifier : demandez la matrice des rôles et permissions. Un logiciel bien conçu a au minimum trois rôles : médecin, secrétaire, administrateur.

5. Droit à l'effacement (« droit à l'oubli »)

Un patient peut demander la suppression complète de ses données. Le logiciel doit permettre de supprimer non seulement le dossier patient mais aussi les logs d'audit qui référencent son identité (sinon on garde une trace de son identité indirecte).

Comment vérifier : demandez une démonstration de la suppression complète d'un patient. Vérifiez que les logs d'audit associés sont également nettoyés.

6. Consentement explicite du patient

Le consentement du patient doit être recueilli explicitement (Art. 4). Un consentement implicite (« vous continuez à utiliser le service, donc vous acceptez ») n'est pas valide pour les données de santé.

Comment vérifier : le logiciel doit avoir un champ « consentement donné » avec une date et si possible la version du texte de consentement signé. Le formulaire de prise de rendez-vous en ligne doit inclure une case à cocher explicite.

7. Isolation multi-cabinet (pour les SaaS cloud)

Si le logiciel est un SaaS cloud multi-tenant (plusieurs cabinets partagent la même infrastructure), les données d'un cabinet doivent être strictement isolées de celles des autres. Une fuite entre cabinets serait catastrophique.

Comment vérifier : demandez si le fournisseur a des tests automatisés qui vérifient l'isolation multi-tenant, et s'ils font des audits de sécurité indépendants.

8. Sauvegardes régulières et chiffrées

Le logiciel doit sauvegarder les données quotidiennement, dans un lieu séparé, avec chiffrement au repos. En cas de sinistre (incendie, ransomware, panne serveur), vous devez pouvoir restaurer.

Comment vérifier : demandez la politique de sauvegarde : fréquence, rétention, chiffrement, procédure de restauration testée.

9. Localisation des données

Idéalement, les données patient marocaines devraient être stockées sur un serveur au Maroc, ou dans un pays offrant un niveau de protection équivalent. La CNDP peut demander la localisation pour les données sensibles.

Comment vérifier : demandez où se trouvent physiquement les serveurs. Certains fournisseurs comme GestiaDoc proposent une option auto-hébergée où les données restent sur votre propre serveur au Maroc.

10. Procédure de notification en cas de violation

En cas de fuite de données, le fournisseur doit vous notifier rapidement (72h idéalement, comme le RGPD) pour que vous puissiez à votre tour informer les patients et la CNDP.

Comment vérifier : lisez les CGU. La politique de notification doit être explicite avec un délai chiffré.

11. Politique de confidentialité et CGU claires

Le logiciel doit publier une politique de confidentialité expliquant quelles données sont collectées, comment elles sont utilisées, avec qui elles sont partagées (spoiler : elles ne devraient être partagées avec personne d'autre que vous en tant que responsable de traitement).

Comment vérifier : lisez la politique de confidentialité et les CGU. Recherchez les mots « partenaire », « publicité », « analyse » — si des données patient sont partagées avec des tiers commerciaux, c'est disqualifiant.

12. Suppression contractuelle à la fin de la relation

Si vous arrêtez d'utiliser le logiciel, le fournisseur doit supprimer vos données dans un délai raisonnable (typiquement 30 à 90 jours après un export pour vous). Aucune conservation « au cas où ».

Comment vérifier : vérifiez la clause de fin de contrat dans les CGU. Elle doit indiquer clairement le délai de suppression et la procédure d'export préalable.

Comment GestiaDoc coche les 12 points

GestiaDoc a été conçu pour la loi 09-08 dès l'origine. Résumé technique :

Critère	Implémentation
Chiffrement au repos	AES-256-GCM sur téléphone, email, insurance, notes, ordonnances, transcriptions
Chiffrement en transit	HTTPS TLS 1.3 obligatoire
Journal d'audit	Retry automatique en cas d'échec, journalisation exhaustive
Contrôle d'accès	3 rôles (DOCTOR, RECEPTIONIST, ADMIN) + PLATFORM_ADMIN interne
Droit à l'effacement	Suppression complète + nettoyage des logs d'audit associés
Consentement	Champ dédié + date + version du texte
Isolation multi-tenant	Tests automatisés cross-router + row-level scoping
Sauvegardes	Cloud avec redondance ; option auto-hébergée pour contrôle total
Localisation	Cloud Maroc ou auto-hébergé sur votre serveur
Notification violation	Politique documentée dans les CGU
Politique de confidentialité	Politique et CGU transparentes
Suppression finale	Export CSV libre + suppression sous 30 jours

Sanctions concrètes en cas de non-conformité

• Utilisation sans déclaration à la CNDP : 10 000 à 100 000 MAD (Art. 52)
• Traitement non conforme des données sensibles : jusqu'à 300 000 MAD (Art. 53)
• Défaut de mesures de sécurité : 10 000 à 200 000 MAD (Art. 54)
• Non-respect du droit d'accès du patient : 20 000 à 100 000 MAD
• Sanction pénale possible : 3 mois à 1 an d'emprisonnement dans les cas graves

Ces sanctions peuvent être cumulées et s'appliquent au responsable de traitement — c'est-à-dire vous, le médecin ou le directeur de clinique — pas seulement au fournisseur du logiciel.

En résumé

Un logiciel médical vraiment conforme loi 09-08 doit répondre publiquement aux 12 points ci-dessus, avec de la documentation technique à l'appui. Si le fournisseur reste vague, considérez que ce n'est pas conforme. Un contrôle CNDP examine ces éléments précis.

Créez un compte GestiaDoc gratuit et vérifiez par vous-même les mécanismes de conformité — sans carte bancaire, sans engagement.