CNDP et cabinet médical : déclaration ou autorisation ?

« Faut-il déclarer mon cabinet à la CNDP ? » La question revient souvent chez les médecins installés au Maroc, en particulier au moment de passer au dossier patient informatisé ou de proposer la prise de rendez-vous en ligne. La réponse courte : oui, et pour les données de santé il s'agit en principe d'une autorisation préalable, pas d'une simple déclaration. Voici comment s'y retrouver, sur la base des documents publiés par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

Ces informations sont générales et ne constituent pas un conseil juridique. Les formulaires et procédures évoluent : vérifiez toujours la version en vigueur sur le site de la CNDP avant tout dépôt.

Déclaration et autorisation : deux régimes distincts

La loi n° 09-08 prévoit deux grandes formalités préalables :

• La déclaration : régime de droit commun pour les traitements qui ne présentent pas de risque particulier. La CNDP propose une déclaration normale et une déclaration simplifiée pour certains traitements courants.
• L'autorisation préalable : régime renforcé, prévu notamment par l'article 12 de la loi, qui s'applique en particulier aux données sensibles. Les pages officielles de la CNDP consacrées à la notification indiquent que les données relatives à la santé entrent dans cette catégorie.

Pour un cabinet ou une clinique, le traitement central (le suivi des patients) relève donc de l'autorisation. D'autres traitements annexes, comme la gestion administrative du personnel, peuvent relever d'un régime différent : chaque traitement s'analyse séparément.

Recenser ses traitements avant de remplir un formulaire

La démarche commence par un inventaire. Dans un cabinet type, on retrouve souvent :

Pour chaque ligne, il faut pouvoir décrire la finalité, les catégories de données, les destinataires, la durée de conservation, les mesures de sécurité et, le cas échéant, les transferts hors du Maroc.

Formulaires et pièces justificatives

La procédure de notification publiée par la CNDP (version datée de juillet 2025) identifie un formulaire d'autorisation préalable (F-112) pour les traitements soumis à autorisation, ainsi que des formulaires de déclaration normale et simplifiée. Lorsqu'une délibération de la CNDP encadre déjà un type de traitement, un formulaire dédié permet de s'y référer.

Parmi les pièces demandées figurent notamment :

• la preuve de l'information des personnes concernées (note d'information, mentions sur les formulaires, affichage) ;
• le cas échéant, les éléments relatifs au recueil du consentement ;
• un document habilitant le signataire à engager le responsable du traitement.

La CNDP précise que tout dossier incomplet est rejeté. Il est donc utile de préparer l'ensemble des pièces avant le dépôt.

Les modèles « santé » publiés fin 2025

Le 28 novembre 2025, la CNDP a adopté plusieurs délibérations ciblant le secteur de la santé, dont :

• la délibération D-941-2025, relative au modèle de demande d'autorisation type pour les traitements de suivi des patients ;
• la délibération D-942-2025, relative au modèle type de demande d'autorisation pour la vidéosurveillance dans les établissements de santé.

Ces modèles fixent un cadre de référence (finalités, données, destinataires, sécurité) auquel le responsable peut se conformer. Si votre traitement s'en écarte, par exemple pour un usage de recherche ou un hébergement à l'étranger, une demande d'autorisation spécifique reste nécessaire.

Après le dépôt : rester conforme

L'autorisation n'est pas une fin en soi. Toute modification substantielle (nouveau logiciel, nouveau prestataire, nouvelle finalité, hébergement dans un autre pays) peut nécessiter une mise à jour auprès de la CNDP. Pour les transferts de données hors du Maroc, une demande spécifique existe également.

Le cadre est en outre susceptible d'évoluer : une réforme de la loi 09-08 est évoquée publiquement depuis plusieurs années, sans texte adopté à la date de rédaction (octobre 2026).

En pratique

• Listez chaque traitement de votre structure et identifiez ceux qui touchent à des données de santé.
• Téléchargez la procédure de notification et les formulaires à jour sur le site de la CNDP.
• Vérifiez si les modèles D-941-2025 (suivi des patients) ou D-942-2025 (vidéosurveillance) correspondent à vos traitements.
• Préparez les pièces justificatives avant le dépôt pour éviter un rejet.
• Mettez à jour votre dossier à chaque changement de logiciel, de prestataire ou d'hébergement.

Questions fréquentes

Un cabinet médical doit-il obtenir une autorisation de la CNDP ?

Pour le traitement des dossiers patients, oui en principe : les données de santé sont des données sensibles et relèvent, selon la procédure de la CNDP, de l'autorisation préalable.

Qu'apporte la délibération D-941-2025 ?

Adoptée le 28 novembre 2025, elle fixe un modèle de demande d'autorisation type pour les traitements de suivi des patients, ce qui facilite la démarche des structures de soins.

Un dossier incomplet peut-il être régularisé ?

La procédure de la CNDP indique que tout dossier incomplet est rejeté ; il faut alors redéposer une demande complète.

Sources

1. CNDP — Procédure de notification des traitements de données (juillet 2025)
2. CNDP — Notifier une demande d'autorisation préalable
3. CNDP — Délibération D-941-2025 : suivi des patients
4. CNDP — Délibération D-942-2025 : vidéosurveillance dans les établissements de santé
5. CNDP — La CNDP publie de nouvelles délibérations

Dictez vos comptes rendus, sans que rien ne quitte votre ordinateur

Nabady Whisper transcrit votre voix hors ligne, en français, en arabe ou en anglais, avec des modèles de comptes rendus par spécialité.

Essayer gratuitement → Voir la démo

Article d'information générale, vérifié à la date de publication ; il ne remplace ni un avis médical ni un conseil juridique.