Antécédents médicaux, radiographies, plans de traitement, numéro de CIN, immatriculation CNSS ou CNOPS : un cabinet dentaire manipule chaque jour des données que la loi place parmi les plus protégées. Au cabinet dentaire, la loi 09-08 s’applique dès le premier dossier, papier ou informatique. Beaucoup de praticiens savent qu’il « faut passer par la CNDP » sans savoir quelle formalité choisir, quoi faire signer au patient ni comment répondre à une demande d’accès au dossier. Ce guide traduit le texte de la loi publié par la CNDP en décisions concrètes, jusqu’à une check-list de conformité en 10 points.
En bref
- La loi 09-08 impose au cabinet dentaire une formalité auprès de la CNDP avant de traiter les données des patients, l’information de ces patients, le respect de leurs droits et la sécurité des dossiers.
- Les données de santé sont des « données sensibles » (article 1) : consentement exprès du patient et, en principe, autorisation préalable de la CNDP, sur un modèle type (délibération D-941-2025).
- Logiciel, hébergeur, messagerie, outil d’IA : chaque prestataire est encadré par un contrat, et tout transfert hors du Maroc passe par la CNDP.
Loi 09-08 : ce qu’elle impose à un cabinet dentaire
La loi 09-08 couvre les fichiers informatisés et les fichiers manuels (article 2) : le classeur de fiches patients est concerné comme le logiciel. Le titulaire est le responsable du traitement et répond des obligations, même quand le travail est délégué.
L’article 3 fixe les principes : collecte loyale, finalité déterminée, données limitées au nécessaire, exactes, conservées pas plus longtemps que nécessaire. Ce guide porte sur le fichier patients ; personnel et vidéosurveillance ont leurs propres formalités.
Données de santé : déclaration ou autorisation auprès de la CNDP ?
On parle souvent de « déclaration CNDP » pour le dentiste. Or la loi 09-08 contient deux règles :
- l’article 12 soumet à autorisation préalable les données sensibles, dont la santé, ainsi que les traitements qui comportent le numéro de la CIN ;
- l’article 22 prévoit une simple déclaration quand la seule finalité est le diagnostic, les soins ou la gestion des services de santé, par un praticien soumis au secret professionnel.
En pratique, la CNDP classe les données de santé parmi les traitements soumis à autorisation préalable, et un dossier dentaire contient presque toujours la CIN. Le 28 novembre 2025, elle a adopté la délibération D-941-2025, un modèle de demande d’autorisation type pour le suivi des patients, à solliciter via ses formulaires ou la plateforme CNDP-FORMS.
| Délibération D-941-2025 | Ce qu’elle prévoit |
|---|---|
| Finalités | rendez-vous, suivi de santé, diagnostic et traitements, résultats, parcours de soins, télémédecine |
| Données | identité (dont CIN et n° d’immatriculation sociale), données bancaires, données de santé |
| Conservation | durée strictement nécessaire, sauf disposition légale contraire |
| Transfert à l’étranger | autorisation préalable de la CNDP |
| Hors champ | recherche indépendante des soins, données génétiques |
Déposer la demande en 4 étapes
- Inventorier les données, les accès, les prestataires (logiciel, messagerie, laboratoire) et le lieu d’hébergement.
- Préparer les rubriques de l’article 15 : finalités, données, destinataires, transferts, conservation, contact pour les droits, sécurité.
- Déposer sur le formulaire en vigueur (à vérifier sur cndp.ma), avec le justificatif d’information des patients.
- Reporter la référence sur la mention d’information (article 5).
Informer les patients : la mention à afficher et à faire signer
L’article 5 impose d’informer le patient avant la collecte, sur les documents de collecte eux-mêmes : fiche d’admission, questionnaire, formulaire en ligne. Pour les données de santé, recueillez aussi son consentement exprès : c’est l’une des bases de l’autorisation de la CNDP (article 21), et son absence est punie par l’article 57. Modèle inspiré des mentions types de la CNDP :
Vos données personnelles. Le cabinet du Dr [Nom], [adresse], collecte vos données pour vos rendez-vous, vos soins, vos factures et vos remboursements (CNSS, CNOPS, assurance). Les champs marqués d’un astérisque sont obligatoires. Destinataires : l’équipe du cabinet selon ses fonctions et, si nécessaire, votre organisme d’assurance maladie, le laboratoire de prothèse et nos prestataires informatiques et de messagerie, tenus à la confidentialité. [Si hébergement à l’étranger : pays et n° d’autorisation.] Conservation : [durée]. Droits d’accès, de rectification et d’opposition : [contact]. Référence CNDP : [n°].
- Je consens au traitement de mes données de santé pour ma prise en charge au cabinet.
- J’accepte de recevoir mes rappels de rendez-vous par WhatsApp ou SMS.
Dans smilesIA, le formulaire d’admission en ligne et le consentement signé en ligne intègrent cette mention et en conservent la preuve au dossier.
Le consentement aux rappels se recueille à part. Le service d’envoi (WhatsApp, SMS) est un prestataire dont les serveurs peuvent être hors du Maroc : inscrivez-le dans l’inventaire et, si besoin, dans la demande de transfert. Voir notre guide WhatsApp Business au cabinet dentaire.
Droits des patients : accès, rectification, opposition
| Droit | Ce que le patient obtient | Conditions |
|---|---|---|
| Accès (art. 7) | confirmation du traitement, finalités, destinataires, copie intelligible de ses données, logique d’un traitement automatisé | sur justification d’identité, gratuitement, sans délai |
| Rectification (art. 8) | mise à jour, rectification, effacement ou verrouillage des données inexactes ou non conformes | sans frais, sous 10 jours francs ; à défaut, saisine de la CNDP |
| Opposition (art. 9) | refus du traitement pour motifs légitimes, refus sans frais de toute prospection | sauf traitement imposé par une obligation légale |
Refuser ces droits est puni de 20 000 à 200 000 DH d’amende par infraction (article 53). Un dossier patient dentaire bien tenu simplifie la réponse : vérifier l’identité, dater la demande, faire valider par le praticien, remettre une copie et noter la remise.
Script pour l’accueil : « Vous pouvez tout à fait obtenir une copie de votre dossier. J’enregistre votre demande aujourd’hui, le docteur la valide et nous vous la remettons le [date]. Pouvez-vous me présenter votre carte d’identité ? »
Sécuriser les dossiers : accès par rôle et traçabilité
Pour les données de santé, l’article 24 impose des contrôles précis :
| Contrôle (art. 24) | Au cabinet |
|---|---|
| Locaux et supports | armoire à dossiers fermée à clé, clés USB chiffrées, aucune radio sur un téléphone personnel |
| Accès aux données | un identifiant par personne, droits selon le rôle, session verrouillée en quittant le poste |
| Introduction | chaque saisie rattachée à un utilisateur et datée |
| Transmission et transport | canal sécurisé, destinataire vérifié, dossiers papier sous enveloppe fermée |
Dans smilesIA, la gestion d’équipe attribue des droits par rôle et le journal d’activité garde la trace des actions de chaque utilisateur.
L’article 26 soumet au secret professionnel toute personne qui accède aux données, même après son départ : ajoutez une clause de confidentialité aux contrats de travail. Pour les durées de conservation, voir l’archivage des dossiers patients.
Perte, vol ou fuite. La loi ne prévoit pas de notification dédiée des incidents, mais l’article 61 punit, même en cas de négligence, la communication de données à des tiers non habilités. Bloquez les accès, évaluez les données touchées, documentez, prévenez les patients exposés, interrogez la CNDP et corrigez la cause.
Logiciel, hébergeur, laboratoire : encadrer les sous-traitants
L’article 23 impose un contrat écrit : le prestataire (éditeur du logiciel, hébergeur, maintenance, messagerie) n’agit que sur instruction du cabinet et respecte les mêmes obligations de sécurité. Le laboratoire de prothèse et le centre de radiologie ne reçoivent que les informations utiles à leur travail.
Cinq questions à poser à votre éditeur de logiciel :
- Dans quel pays, et chez quel prestataire, les données sont-elles hébergées ?
- Le contrat précise-t-il qu’il n’agit que sur vos instructions ?
- Quelles mesures de sécurité : chiffrement, sauvegardes, journalisation ?
- Les données servent-elles à autre chose, par exemple à entraîner une IA ?
- Comment récupérer toutes les données en fin de contrat ?
Outils d’IA et hébergement à l’étranger : la question du transfert
Transfert de données à l’étranger : ce qu’exige la CNDP
L’article 43 n’autorise le transfert que vers un État au niveau de protection suffisant. La liste de la CNDP (délibération 236-2015) comprend les pays de l’Union européenne, le Royaume-Uni, la Suisse, la Norvège, l’Islande, le Liechtenstein et le Canada, mais pas les États-Unis. Ailleurs, l’article 44 exige le consentement exprès du patient, un cas de nécessité prévu par la loi ou une autorisation de la CNDP.
Le modèle de suivi des patients va plus loin : tout transfert à l’étranger demande une autorisation préalable de la CNDP (formulaire F118). Logiciel hébergé en Europe, sauvegarde dans un cloud étranger, messagerie ou assistant d’IA aux serveurs hors du Maroc : ce sont des transferts. Un transfert illicite est sanctionné pénalement (article 60).
CNDP et intelligence artificielle : 3 règles au cabinet
La loi 09-08 s’applique déjà aux outils d’IA :
- Assistant grand public : jamais de nom, de CIN, de photo, de radio nominative ni de détail qui permet de reconnaître le patient. Voir ChatGPT pour le dentiste et les données à ne jamais y saisir.
- Outil métier intégré (dictée, aide au plan de traitement) : contrat, hébergement connu, aucune réutilisation des données.
- L’IA propose, le praticien décide : c’est sa décision validée qui figure au dossier.
Check-list de conformité en 10 points
- Fichiers du cabinet inventoriés, prestataires compris.
- Formalité CNDP déposée sur le modèle de suivi des patients, référence conservée.
- Mention d’information sur la fiche d’admission et en salle d’attente.
- Consentement exprès archivé ; consentement séparé pour les rappels.
- Procédure écrite pour les demandes d’accès, de rectification et d’opposition.
- Un identifiant par personne, droits par rôle, journal d’activité.
- Clause de confidentialité dans les contrats de travail.
- Contrat avec clause de sécurité pour chaque sous-traitant, messagerie comprise.
- Hébergement connu, demande F118 si transfert, aucune donnée identifiante dans une IA grand public.
- Durées de conservation fixées, sauvegardes testées, procédure d’incident écrite.
Exemple : un cabinet remplit tous les points sauf le 2. Ce seul manque l’expose à 10 000 à 100 000 DH d’amende (article 52), doublée pour une personne morale (article 64).
Erreurs fréquentes
- Croire que les fiches papier échappent à la loi : elle couvre aussi les fichiers manuels.
- Copier une mention qui cite le RGPD : au Maroc, la référence est la loi 09-08 et la CNDP.
- Partager un identifiant entre l’accueil et l’assistante : impossible ensuite de savoir qui a fait quoi.- Envoyer des promotions au fichier patients : autre finalité, prospection encadrée par l’article 10 et problème déontologique.
Questions fréquentes
Un cabinet dentaire doit-il se déclarer à la CNDP ?
Oui. Les données de santé sont sensibles au sens de la loi 09-08, et leur traitement exige une formalité auprès de la CNDP avant de commencer. Pour le suivi des patients, la CNDP a adopté en novembre 2025 un modèle de demande d’autorisation type (délibération D-941-2025).
Quelles sanctions prévoit la loi 09-08 ?
Traiter sans la formalité requise : 10 000 à 100 000 DH d’amende (article 52). Traiter des données de santé sans consentement exprès : trois mois à un an d’emprisonnement et 50 000 à 300 000 DH d’amende (article 57). Défaut de sécurité (article 58), transfert illicite (article 60) et communication à des tiers non habilités, même par négligence (article 61) : trois mois à un an d’emprisonnement et 20 000 à 200 000 DH d’amende. Le tribunal peut ne prononcer qu’une des deux peines, et les amendes sont doublées pour une personne morale (article 64).
Peut-on envoyer des rappels WhatsApp aux patients sans enfreindre la loi 09-08 ?
Oui, si le patient a accepté ce canal et si le message reste minimal : date, heure et nom du cabinet, sans détail sur l’acte. Le service d’envoi (WhatsApp, SMS) est un prestataire dont les serveurs peuvent être hors du Maroc : inscrivez-le dans l’inventaire et, si besoin, dans la demande de transfert F118. Un message promotionnel relève de la prospection (article 10) et pose un problème déontologique.
Les données de santé peuvent-elles être hébergées hors du Maroc ?
Ce n’est pas interdit, mais c’est un transfert à l’étranger encadré par les articles 43 et 44. Pour le suivi des patients, la CNDP exige une autorisation préalable (formulaire F118) : demandez d’abord à votre éditeur où sont hébergées les données.
Le patient peut-il demander la suppression de son dossier ?
Il peut obtenir l’effacement des données inexactes ou traitées en violation de la loi (article 8) et s’opposer au traitement pour des motifs légitimes (article 9). Le dossier médical peut toutefois devoir être conservé pour la continuité des soins et la défense du praticien : répondez par écrit, de façon motivée.
Conclusion
La protection des données patients au Maroc tient en trois preuves : savoir quelles données le cabinet détient, avoir accompli la formalité CNDP et informé les patients, montrer que l’accès est limité et tracé. Commencez par l’inventaire et la formalité, puis un point de la check-list par semaine. Les autres responsabilités du titulaire sont dans notre guide de la gestion d’un cabinet dentaire au Maroc.
Information générale fondée sur la loi 09-08 et les publications de la CNDP ; elle ne remplace pas l’avis de la CNDP pour un cas précis.
Droits par rôle, journal d’activité, consentement signé en ligne : découvrez les modules de smilesIA.
Questions fréquentes
Un cabinet dentaire doit-il se déclarer à la CNDP ?
Oui. Les données de santé sont sensibles au sens de la loi 09-08, et leur traitement exige une formalité auprès de la CNDP avant de commencer. Pour le suivi des patients, la CNDP a adopté en novembre 2025 un modèle de demande d'autorisation type (délibération D-941-2025).
Quelles sanctions prévoit la loi 09-08 ?
Traiter sans la formalité requise : 10 000 à 100 000 DH d'amende (article 52). Traiter des données de santé sans consentement exprès : trois mois à un an d'emprisonnement et 50 000 à 300 000 DH d'amende (article 57). Défaut de sécurité (article 58), transfert illicite (article 60) et communication à des tiers non habilités, même par négligence (article 61) : trois mois à un an d'emprisonnement et 20 000 à 200 000 DH d'amende. Le tribunal peut ne prononcer qu'une des deux peines, et les amendes sont doublées pour une personne morale (article 64).
Peut-on envoyer des rappels WhatsApp aux patients sans enfreindre la loi 09-08 ?
Oui, si le patient a accepté ce canal et si le message reste minimal : date, heure et nom du cabinet, sans détail sur l'acte. Le service d'envoi (WhatsApp, SMS) est un prestataire dont les serveurs peuvent être hors du Maroc : inscrivez-le dans l'inventaire et, si besoin, dans la demande de transfert F118. Un message promotionnel relève de la prospection (article 10) et pose un problème déontologique.
Les données de santé peuvent-elles être hébergées hors du Maroc ?
Ce n'est pas interdit, mais c'est un transfert à l'étranger encadré par les articles 43 et 44. Pour le suivi des patients, la CNDP exige une autorisation préalable (formulaire F118) : demandez d'abord à votre éditeur où sont hébergées les données.
Le patient peut-il demander la suppression de son dossier ?
Il peut obtenir l'effacement des données inexactes ou traitées en violation de la loi (article 8) et s'opposer au traitement pour des motifs légitimes (article 9). Le dossier médical peut toutefois devoir être conservé pour la continuité des soins et la défense du praticien : répondez par écrit, de façon motivée.