Console d’administration

Loi 09-08 et données de santé : ce que dit le texte, les questions à poser

10 min de lecture · pour : directeur de clinique ou d’hôpital, directeur de laboratoire, directeur médical, responsable informatique, DPO

Ce que couvre ce guide

Ce guide s’adresse aux établissements de santé et aux laboratoires qui choisissent ou utilisent un logiciel. Il cite le texte officiel, article par article, avec ses dates. Il ne dit pas qu’un établissement, ni 1001care, respecte la loi : il transforme chaque obligation en question à poser à votre conseil, à votre éditeur et, le cas échéant, à la CNDP. Données synthétiques.

Les textes officiels

Texte	Références	Où le lire
Loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel	Dahir n° 1-09-15 du 22 safar 1430 (18 février 2009) ; Bulletin officiel n° 5714 du 5 mars 2009 (édition française) ; n° 5711 du 23 février 2009 (édition arabe)	Texte français, site de la CNDP
Décret n° 2-09-165 pris pour l’application de la loi 09-08	25 joumada I 1430 (21 mai 2009) ; Bulletin officiel n° 5744 du 18 juin 2009	Texte, site de la DGSSI
Délibération CNDP n° D-941-2025 relative au modèle de demande d’autorisation type pour les traitements de suivi des patients	28 novembre 2025	Site de la CNDP
Procédures de déclaration et d’autorisation	Page de la CNDP	Procédures de notification

Source : textes cités, consultés le 20 oct. 2026.

Ce que dit le texte, et la question qu’il vous pose

Article	Ce que dit la loi (extrait)	La question pour votre établissement
Art. 1	Sont « données sensibles » celles « relatives à sa santé y compris ses données génétiques ». Le responsable du traitement « détermine les finalités et les moyens » ; le sous-traitant traite « pour le compte du responsable du traitement »	Pour chaque usage (dossier, rendez-vous, facturation, messages, statistiques), qui est responsable du traitement, et qui est sous-traitant ?
Art. 3	Données traitées « loyalement et licitement », pour des finalités « déterminées explicites et légitimes », « adéquates, pertinentes et non excessives », conservées pas plus longtemps que nécessaire	Quelles finalités avez-vous écrites, et quelle durée de conservation pour chacune ?
Art. 4	Consentement « indubitable » de la personne, sauf exceptions prévues (obligation légale, contrat, intérêts vitaux, mission d’intérêt public, intérêt légitime)	Sur quelle base repose chaque traitement ? Quand faut-il un consentement exprès ?
Art. 5	Information préalable « expresse, précise et non équivoque » : responsable, finalités, destinataires, droits, références du récépissé ou de l’autorisation de la CNDP	Vos formulaires, votre application et vos messages donnent-ils ces informations ?
Art. 7 à 9	Droit d’accès, droit de rectification « dans un délai franc de dix jours », droit d’opposition	Qui répond à une demande d’accès, en combien de temps, avec quelle trace ?
Art. 10	Prospection directe par voie électronique interdite sans consentement préalable, sauf exceptions	Vos rappels de rendez-vous et vos messages promotionnels sont-ils séparés ?
Art. 12, 21	Autorisation préalable pour les données sensibles ; le traitement des données sensibles est autorisé par la CNDP au vu du consentement exprès ou s’il est indispensable aux fonctions légales ou statutaires du responsable	Votre traitement relève-t-il de l’autorisation ?
Art. 22	Dérogation : simple déclaration pour les données de santé quand la seule finalité est la médecine préventive, les diagnostics, l’administration de soins ou « la gestion des services de santé », par un praticien tenu au secret	Votre traitement entre-t-il dans cette dérogation ? Voir l’encadré ci-dessous
Art. 23	Mesures techniques et organisationnelles « appropriées » ; sous-traitant offrant des « garanties suffisantes », contrat écrit, action « sous la seule instruction du responsable du traitement »	Le contrat avec votre éditeur précise-t-il ses instructions, sa sécurité et ses sous-traitants ?
Art. 24	Pour les données de santé : contrôle de l’entrée dans les installations, des supports, de l’insertion, de l’utilisation, de l’accès, de la transmission, de l’introduction des données (« quand elles l’ont été et pour qui »), du transport	Pouvez-vous dire qui a ouvert ou modifié un dossier, quand, et pourquoi ?
Art. 25-26	Traitement sur instruction du responsable ; secret professionnel, « même après avoir cessé d’exercer leurs fonctions »	Vos prestataires et leurs équipes de support sont-ils tenus au secret par contrat ?
Art. 43-44	Transfert vers un État étranger seulement s’il assure un « niveau de protection suffisant », sauf dérogations (dont consentement exprès, ou autorisation de la CNDP)	Où sont hébergées vos données, et où travaille le support de votre éditeur ?

Source : loi n° 09-08, articles cités, BO n° 5714 du 5 mars 2009 — cndp.ma, consulté le 20 oct. 2026.

Autorisation ou déclaration ? Un point à éclaircir avec la CNDP. L’article 22 prévoit une simple déclaration pour certains traitements de santé. La CNDP a pourtant publié, le 28 novembre 2025, un modèle de demande d’autorisation pour les traitements de suivi des patients (rendez-vous, suivi, résultats d’analyses, télémédecine). Le texte ne dit pas comment les deux s’articulent : posez la question à votre conseil ou à la CNDP. La version publiée de la délibération contient en outre un délai laissé vide : ne vous fiez à aucun délai qu’on vous annoncerait sur cette base.

Source : loi n° 09-08, art. 22 ; délibération CNDP n° D-941-2025 du 28 novembre 2025, § 3 et § 10 — cndp.ma, consultés le 20 oct. 2026.

Les sanctions prévues

La loi prévoit des amendes et, pour plusieurs infractions, de l’emprisonnement (chapitre VII, articles 51 à 66). Par exemple, l’article 57 vise le traitement de données sensibles, dont celles relatives à la santé, sans consentement exprès ; l’article 58 vise l’absence des mesures de sécurité des articles 23 et 24 ; l’article 60 vise les transferts à l’étranger hors des articles 43 et 44. Pour une personne morale, les amendes sont portées au double (article 64). Lisez les montants dans le texte : ils dépendent de l’infraction.

Source : loi n° 09-08, chapitre VII, articles 51 à 66 — cndp.ma, consulté le 20 oct. 2026.

Ce que montrent les écrans de 1001care

Les écrans ne rendent personne « en règle ». Ils montrent des mécanismes que vous pouvez comparer aux questions ci-dessus, avec des données synthétiques :

Rôles et matrice d’accès : chaque rôle ne voit que ce que sa fonction demande ; un changement de droit exige un motif et crée une nouvelle version (Conçu). → questions des articles 23 et 24.
Journal d’accès : qui a ouvert quoi, quand, y compris par API, noms masqués par défaut ; le patient voit dans l’application qui a ouvert son dossier, par rôle (Conçu). → article 24, « introduction » et « accès ».
Revue des accès d’urgence : chaque accès d’urgence est revu, la décision s’ajoute au journal (Conçu).
Consentements séparés pour les soins, les messages de service et le marketing (Conçu, module Marketing) → articles 4 et 10.
Niveaux de confidentialité et Journal des agents : ce qui peut sortir de l’établissement, pour quel usage, vers quel modèle ; le niveau des données identifiantes reste fermé dans l’exemple (Conçu).
Conservation et effacement, Hébergement et sauvegardes : affichent « À décider » et « — ans ». Rien n’est décidé dans 1001care ; ce sont vos choix, avec votre conseil.

Le rôle de 1001care vis-à-vis de vos données (sous-traitant ou autre) n’est pas établi : il dépend des usages réels et d’un contrat, et sera fixé avec un conseil.

Qui fait quoi

Étape	Qui décide ou agit	Ce que fait le logiciel
Fixer les finalités, les durées, les destinataires	L’établissement, responsable du traitement	Affiche les réglages saisis
Déclarer ou demander l’autorisation à la CNDP	L’établissement, avec son conseil	Rien : la démarche est la vôtre
Définir les rôles et les accès	La direction, avec le directeur médical	Applique les rôles, exige un motif, garde les versions
Revoir les accès d’urgence	Le directeur médical	Liste les accès, consigne la décision
Répondre à une demande d’accès d’un patient	L’établissement	Montre au patient qui a ouvert son dossier (dans 1001care)
Choisir l’hébergement et les transferts	L’établissement, avec son conseil	Affiche « À décider »

L’établissement reste responsable de ses traitements et garde ses rôles cliniques. 1001care fournit le logiciel ; il ne prend aucune décision médicale et ne déclare pas vos traitements à votre place.

Les questions à poser, en une liste

À votre conseil :

Pour chaque usage, qui est responsable du traitement, qui est sous-traitant ?
Déclaration (article 22) ou autorisation (articles 12 et 21, délibération D-941-2025) : quel régime pour chacun de nos traitements ?
Quelles durées de conservation, par finalité ?
Un hébergement ou un support hors du Maroc est-il possible, et à quelles conditions (articles 43 et 44) ?

À votre éditeur, quel qu’il soit : 5. Montrez-moi le journal des accès et des modifications d’un dossier. 6. Où sont les données, les sauvegardes et le support ? Qui, chez vous, peut les lire ? 7. Que contient votre contrat de sous-traitance : instructions, sécurité, secret, sous-traitants ultérieurs ? 8. Si un assistant logiciel traite des données, lesquelles quittent l’établissement, et vers qui ?

Pour les laboratoires : la CNDP a annoncé le 15 juillet 2024 un guide de conformité propre à la biologie médicale privée, préparé avec la profession. Nous ne l’avons pas trouvé publié à ce jour.

Source : communiqué de la CNDP du 15 juillet 2024 — cndp.ma, consulté le 20 oct. 2026.

En vidéo

Clip prévu

Clip H5 · prévu

Questions fréquentes

Qu’est-ce que la loi 09-08 ?

C’est la loi marocaine relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 18 février 2009. Elle fixe les principes de traitement, les droits des personnes, les formalités auprès de la CNDP et les sanctions.

Source : loi n° 09-08, BO n° 5714 du 5 mars 2009 — cndp.ma, consulté le 20 oct. 2026.

Les données de santé sont-elles des données sensibles ?

Oui. L’article 1 range parmi les données sensibles celles relatives à la santé, y compris les données génétiques. Leur traitement relève de l’autorisation de la CNDP (articles 12 et 21), sauf la dérogation de l’article 22 pour certains traitements médicaux.

Source : loi n° 09-08, art. 1, 12, 21 et 22 — cndp.ma, consulté le 20 oct. 2026.

Une clinique doit-elle déclarer son logiciel à la CNDP ?

La loi vise des traitements, pas des logiciels : c’est le responsable du traitement, l’établissement, qui déclare ou demande une autorisation pour chaque finalité. Le régime applicable (déclaration ou autorisation) est à confirmer avec votre conseil ou la CNDP, notamment depuis la délibération D-941-2025.

Source : loi n° 09-08, art. 12 et 22 ; délibération CNDP D-941-2025 du 28 novembre 2025 — cndp.ma, consultés le 20 oct. 2026.

Peut-on héberger des données de santé hors du Maroc ?

La loi 09-08 ne pose pas de règle d’hébergement exclusivement national. Elle encadre les transferts : vers un État assurant un niveau de protection suffisant, ou par dérogation, dont l’autorisation de la CNDP. D’autres textes peuvent s’appliquer selon votre statut : question pour votre conseil.

Source : loi n° 09-08, art. 43 et 44 — cndp.ma, consulté le 20 oct. 2026.

Quelles sanctions prévoit la loi 09-08 ?

Le chapitre VII prévoit des amendes et, pour plusieurs infractions, des peines d’emprisonnement : traitement sans formalité, données sensibles sans consentement exprès, absence de mesures de sécurité, transfert irrégulier. Les amendes sont doublées pour une personne morale et en cas de récidive.

Source : loi n° 09-08, art. 51 à 66 — cndp.ma, consulté le 20 oct. 2026.

Un logiciel suffit-il à respecter la loi 09-08 ?

Non. Un logiciel peut tenir un journal des accès, séparer les rôles et les consentements, mais les finalités, les formalités, les durées et les contrats restent les décisions de l’établissement. Les écrans de 1001care montrent ces mécanismes ; ils ne valent pas avis juridique.

Source : loi n° 09-08, art. 3, 12 et 23 ; écrans « Journal d’accès » et « Rôles et matrice d’accès » de 1001care (maquettes, données synthétiques).

Voir la démonstration

Console d’administration : rôles, journal d’accès, accès d’urgence, conservation, hébergement.
Dossier clinique : ce que chaque rôle voit.
Application patient : qui a ouvert mon dossier.
Marketing et consentements : consentements séparés.
Guides : Contrôler qui voit quoi dans le dossier patient · Accès d’urgence au dossier patient · GBEA au Maroc
Termes : loi 09-08 · CNDP · journal d’accès · consentement

Savez-vous dire qui a ouvert un dossier hier, et pourquoi ?

Montrons le journal d’accès et les rôles sur un cas fictif, et listons ensemble les questions pour votre conseil.

20 à 30 minutes
En visio ou sur place
Avec l’équipe 1001care

Réserver une démo Nous écrire