Transfert de données de santé à l'étranger depuis le Maroc
Envoyer des données patient hors du Maroc : articles 43 et 44 de la loi 09-08, pays adéquats, dérogations, demande à la CNDP et sanctions encourues.
Rédaction Nabady··4 min de lecture
Demander un second avis à un confrère à Paris, utiliser un logiciel hébergé en Europe, faire relire des images par un téléradiologue installé à l'étranger, recourir à un assistant d'IA dont les serveurs sont hors du pays : autant de situations où des données de patients quittent le Maroc. Juridiquement, il s'agit d'un transfert de données à caractère personnel vers un État étranger, encadré par les articles 43 et 44 de la loi n° 09-08.
Cet article est une information générale qui ne constitue pas un conseil juridique. Avant tout transfert, vérifiez auprès de la CNDP la procédure et la liste des pays applicables à la date de votre projet.
Le principe : un niveau de protection suffisant
L'article 43 de la loi 09-08 pose la règle de base : le responsable d'un traitement ne peut transférer des données personnelles vers un État étranger que si cet État assure un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes.
Le caractère suffisant de la protection est apprécié par la CNDP, en tenant compte notamment :
- du cadre juridique en vigueur dans l'État concerné ;
- des mesures de sécurité qui y sont appliquées ;
- de la finalité et de la durée du traitement ;
- de la nature des données transférées.
La CNDP a établi une liste d'États considérés comme offrant une protection suffisante, par une délibération de 2013 modifiée en 2015 selon les praticiens du droit. Cette liste doit être consultée dans sa version à jour sur le site de la Commission avant tout projet.
Les exceptions de l'article 44
Lorsque le pays de destination n'offre pas une protection jugée suffisante, l'article 44 permet tout de même le transfert dans des cas limités, notamment :
- lorsque la personne concernée a donné son consentement exprès ;
- lorsque le transfert est nécessaire à la sauvegarde de la vie de la personne ;
- lorsqu'il est nécessaire à la sauvegarde de l'intérêt public ou à la constatation, l'exercice ou la défense d'un droit en justice ;
- lorsqu'il est nécessaire à l'exécution d'un contrat entre le responsable et la personne concernée.
En dehors de ces cas, le transfert vers un pays ne figurant pas sur la liste suppose une autorisation préalable de la CNDP, qui examine les garanties présentées par le responsable. Ces exceptions s'interprètent strictement : une dérogation pensée pour un cas ponctuel ne couvre pas, en général, un hébergement permanent de l'ensemble des dossiers d'un cabinet chez un prestataire étranger.
La démarche auprès de la CNDP
La CNDP met à disposition un formulaire de demande de transfert de données à l'étranger. Quelques points d'attention :
- le transfert est l'accessoire d'un traitement principal : celui-ci doit lui-même avoir été régulièrement déclaré ou autorisé ;
- le dossier décrit les données transférées, le destinataire, le pays, la finalité et les garanties mises en place ;
- un dossier incomplet est rejeté, selon la procédure de notification publiée par la Commission.
Situations courantes en santé
| Situation | Transfert ? | Piste à examiner |
|---|---|---|
| Logiciel de cabinet hébergé hors du Maroc | Oui, permanent | Pays adéquat ou autorisation CNDP, contrat avec l'éditeur |
| Second avis ponctuel d'un spécialiste à l'étranger | Oui, ponctuel | Consentement exprès du patient, données limitées au nécessaire |
| Téléradiologie avec un prestataire étranger | Oui, régulier | Autorisation, contrat, sécurité des échanges |
| Assistant d'IA en ligne avec serveurs à l'étranger | Oui, si données identifiantes | Anonymisation préalable ou cadre autorisé |
| Urgence vitale lors d'une évacuation sanitaire | Oui | Sauvegarde de la vie de la personne |
Les sanctions
La liste officielle des infractions publiée par la CNDP prévoit que quiconque effectue un transfert de données à caractère personnel vers un État étranger en violation des articles 43 et 44 encourt trois mois à un an d'emprisonnement et une amende de 20 000 à 200 000 dirhams. S'y ajoutent les risques liés au secret médical et à la responsabilité disciplinaire.
Réduire les transferts à la source
La façon la plus simple de sécuriser un transfert est souvent de l'éviter ou d'en réduire la portée :
- ne transmettre que les données strictement nécessaires (un extrait de dossier plutôt que le dossier complet) ;
- retirer les éléments identifiants lorsque l'identité du patient n'est pas utile au destinataire ;
- privilégier un hébergement au Maroc ou des outils qui fonctionnent localement pour les tâches qui le permettent.
En pratique
- Cartographiez les flux de données patient qui quittent le Maroc, y compris ceux de vos logiciels et sauvegardes.
- Vérifiez pour chaque pays de destination sa situation au regard de la liste de la CNDP.
- Pour un transfert ponctuel, appuyez-vous sur une exception de l'article 44 et documentez-la (consentement exprès signé, par exemple).
- Pour un transfert régulier, déposez une demande d'autorisation auprès de la CNDP avec des garanties contractuelles.
- Minimisez et, lorsque c'est possible, anonymisez les données avant tout envoi.
Questions fréquentes
Un patient peut-il consentir au transfert de son dossier à l'étranger ?
Oui, le consentement exprès de la personne figure parmi les exceptions de l'article 44 de la loi 09-08. Il doit être spécifique et pouvoir être prouvé.
Faut-il une autorisation CNDP pour un logiciel hébergé en Europe ?
Il s'agit d'un transfert. Il faut vérifier la situation du pays au regard de la liste de la CNDP et, à défaut, obtenir une autorisation de la Commission.
Quelles sanctions en cas de transfert irrégulier ?
Selon la CNDP, trois mois à un an d'emprisonnement et une amende de 20 000 à 200 000 dirhams en cas de violation des articles 43 et 44.
Sources
Nabady Whisper transcrit votre voix hors ligne, en français, en arabe ou en anglais, avec des modèles de comptes rendus par spécialité.
Article d'information générale, vérifié à la date de publication ; il ne remplace ni un avis médical ni un conseil juridique.