La transformation numérique du système de santé marocain était attendue. Elle est même difficilement évitable.
Un pays qui généralise la protection sociale, réforme son offre de soins et cherche à mieux suivre les parcours médicaux ne peut durablement fonctionner avec des dossiers éclatés, des informations dispersées entre cabinets, cliniques, hôpitaux et organismes gestionnaires, ni avec des échanges encore largement fragmentés.
C’est précisément à cette faiblesse structurelle que veut répondre le projet de loi n° 052.26 relatif à la « plateforme informationnelle sanitaire nationale intégrée ».
Le texte dessine une véritable infrastructure numérique de santé : plateforme centrale de données, dossier médical partagé, identifiant sanitaire national, interopérabilité entre les différents systèmes informatiques, traçabilité des accès et création d’une agence nationale chargée de piloter l’ensemble.
Sur le papier, la logique se tient. Mais le projet contient également un chapitre pénal particulièrement musclé. Et c’est là que le consensus autour de la numérisation se fissure.
Les syndicats de médecins et les représentants des cliniques privées dénoncent désormais un dispositif qui, selon eux, risque de transformer un projet de modernisation en menace permanente pesant sur les professionnels.
La question n’est donc plus de savoir s’il faut numériser la santé.
Elle est de savoir jusqu’où un médecin peut juridiquement être rendu responsable d’un système numérique qu’il utilise mais qu’il ne maîtrise pas entièrement
Le projet dépasse très largement la création d’un dossier médical électronique.
Il définit une plateforme nationale intégrée regroupant plusieurs composantes : une plateforme centrale de données de santé, le dossier médical partagé, un identifiant sanitaire national unique, un système informatique hospitalier public unifié et les futurs composants jugés nécessaires à l’évolution du dispositif.
L’ambition est claire : créer une circulation cohérente de l’information médicale.
Chaque patient disposerait ainsi d’un dossier médical partagé regroupant notamment son identité, ses données administratives, son état de santé ainsi que son parcours préventif, thérapeutique et de réadaptation.
Le projet assigne à ce dossier plusieurs objectifs : centraliser les informations, faciliter le travail des professionnels, coordonner la prise en charge, assurer son suivi et contribuer à réduire les coûts des soins.
Sur ce point, difficile de contester le principe.
Un patient suivi par plusieurs médecins, hospitalisé dans différentes structures ou victime d’une urgence bénéficie évidemment d’une meilleure continuité des soins si les informations essentielles peuvent circuler rapidement et de manière sécurisée.
Le texte reconnaît d’ailleurs au patient des droits importants : accès électronique à son dossier, possibilité de demander la correction ou la mise à jour de certaines données, consultation de l’historique des accès et même possibilité, sous certaines conditions, de masquer certaines informations.
C’est donc bien une réforme qui renforce aussi les droits numériques du patient.
Le privé entre dans une nouvelle ère d’obligations
La rupture la plus importante se trouve probablement à l’article 14.
Le projet impose aux professionnels et établissements de santé, publics comme privés, d’alimenter le dossier médical partagé lorsqu’ils réalisent un acte ou une consultation médicale.
Les structures privées devront en outre connecter leurs systèmes informatiques à la plateforme nationale conformément à un cahier des charges technique.
Cela signifie concrètement qu’un cabinet médical ou une clinique ne pourra plus considérer son système informatique comme une affaire strictement interne.
Logiciels, authentification des utilisateurs, sécurité des accès, qualité des données et interopérabilité deviennent des obligations réglementées.
Le texte prévoit néanmoins une période de transition : les professionnels et établissements concernés disposeront de 24 mois à compter de la publication du décret définissant les modalités techniques pour réaliser cette interconnexion.
La réforme n’est donc pas supposée tomber du jour au lendemain.
Mais le coût de cette adaptation inquiète déjà les professionnels.
Le Collectif syndical estime qu’elle nécessitera des investissements en équipements, ressources humaines et formation. Il affirme parallèlement que la numérisation permettrait à la CNSS d’économiser près de 400 millions de dirhams par an.
Ce dernier chiffre apparaît dans le communiqué syndical, mais pas dans le projet de loi lui-même. Il doit donc être présenté comme une estimation avancée par les organisations professionnelles, et non comme une donnée législative établie.
Article 42 : jusqu’à un an de prison pour l’accès illicite aux données
C’est à partir du chapitre V que le ton change radicalement.
L’article 42 prévoit une peine allant de six mois à un an d’emprisonnement, assortie d’une amende comprise entre 50.000 et 200.000 dirhams, ou de l’une de ces deux sanctions, lorsque des données personnelles de santé sont consultées, utilisées ou échangées en violation des règles prévues par le texte.
Sur le principe, une sanction sévère peut se défendre.
Les données médicales figurent parmi les informations les plus sensibles concernant une personne. La consultation injustifiée du dossier d’un patient, sa transmission ou son utilisation abusive doivent évidemment être réprimées.
Le débat commence toutefois lorsqu’il faut distinguer l’accès délibérément frauduleux d’une erreur de manipulation, d’un problème de paramétrage ou d’une mauvaise configuration des droits d’accès.
Article 43 : traitement irrégulier et accès non autorisé
L’article suivant prévoit une peine de trois mois à un an de prison et une amende pouvant atteindre 200.000 dirhams pour certaines formes de collecte ou de traitement irrégulier de données personnelles de santé, ainsi que pour l’accès au dossier médical partagé en dehors des finalités prévues par la loi.
L’objectif est là encore compréhensible : empêcher que le futur immense patrimoine numérique sanitaire du Maroc ne devienne une base de données ouverte à tous les usages.
Mais le niveau de responsabilité juridique imposé aux utilisateurs devient considérable.
Dans un système comptant potentiellement des dizaines de milliers de professionnels et des millions de dossiers, chaque accès devra être techniquement identifiable, juridiquement justifiable et parfaitement traçable.
Article 44 : jusqu’à 300.000 DH pour défaut d’alimentation ou d’interconnexion
L’article 44 change de registre. Il ne vise plus nécessairement un détournement volontaire de données.
Il prévoit une amende de 50.000 à 300.000 dirhams contre le professionnel de santé ou le responsable d’un établissement qui ne respecterait pas l’obligation d’alimenter le dossier médical partagé ou qui ne connecterait pas son système informatique dans le délai réglementaire.
C’est probablement l’une des dispositions qui explique le mieux l’inquiétude du secteur privé.
Un petit cabinet médical n’a évidemment ni les moyens financiers ni les équipes informatiques d’une grande clinique. La même obligation juridique s’appliquera pourtant à des structures de tailles extrêmement différentes.
D’où une interrogation essentielle : l’État accompagnera-t-il réellement les professionnels dans leur mise à niveau numérique ou se contentera-t-il de leur imposer une obligation assortie d’une sanction ?
C’est précisément à cette faiblesse structurelle que veut répondre le projet de loi n° 052.26 relatif à la « plateforme informationnelle sanitaire nationale intégrée ».
Le texte dessine une véritable infrastructure numérique de santé : plateforme centrale de données, dossier médical partagé, identifiant sanitaire national, interopérabilité entre les différents systèmes informatiques, traçabilité des accès et création d’une agence nationale chargée de piloter l’ensemble.
Sur le papier, la logique se tient. Mais le projet contient également un chapitre pénal particulièrement musclé. Et c’est là que le consensus autour de la numérisation se fissure.
Les syndicats de médecins et les représentants des cliniques privées dénoncent désormais un dispositif qui, selon eux, risque de transformer un projet de modernisation en menace permanente pesant sur les professionnels.
La question n’est donc plus de savoir s’il faut numériser la santé.
Elle est de savoir jusqu’où un médecin peut juridiquement être rendu responsable d’un système numérique qu’il utilise mais qu’il ne maîtrise pas entièrement
Le projet dépasse très largement la création d’un dossier médical électronique.
Il définit une plateforme nationale intégrée regroupant plusieurs composantes : une plateforme centrale de données de santé, le dossier médical partagé, un identifiant sanitaire national unique, un système informatique hospitalier public unifié et les futurs composants jugés nécessaires à l’évolution du dispositif.
L’ambition est claire : créer une circulation cohérente de l’information médicale.
Chaque patient disposerait ainsi d’un dossier médical partagé regroupant notamment son identité, ses données administratives, son état de santé ainsi que son parcours préventif, thérapeutique et de réadaptation.
Le projet assigne à ce dossier plusieurs objectifs : centraliser les informations, faciliter le travail des professionnels, coordonner la prise en charge, assurer son suivi et contribuer à réduire les coûts des soins.
Sur ce point, difficile de contester le principe.
Un patient suivi par plusieurs médecins, hospitalisé dans différentes structures ou victime d’une urgence bénéficie évidemment d’une meilleure continuité des soins si les informations essentielles peuvent circuler rapidement et de manière sécurisée.
Le texte reconnaît d’ailleurs au patient des droits importants : accès électronique à son dossier, possibilité de demander la correction ou la mise à jour de certaines données, consultation de l’historique des accès et même possibilité, sous certaines conditions, de masquer certaines informations.
C’est donc bien une réforme qui renforce aussi les droits numériques du patient.
Le privé entre dans une nouvelle ère d’obligations
La rupture la plus importante se trouve probablement à l’article 14.
Le projet impose aux professionnels et établissements de santé, publics comme privés, d’alimenter le dossier médical partagé lorsqu’ils réalisent un acte ou une consultation médicale.
Les structures privées devront en outre connecter leurs systèmes informatiques à la plateforme nationale conformément à un cahier des charges technique.
Cela signifie concrètement qu’un cabinet médical ou une clinique ne pourra plus considérer son système informatique comme une affaire strictement interne.
Logiciels, authentification des utilisateurs, sécurité des accès, qualité des données et interopérabilité deviennent des obligations réglementées.
Le texte prévoit néanmoins une période de transition : les professionnels et établissements concernés disposeront de 24 mois à compter de la publication du décret définissant les modalités techniques pour réaliser cette interconnexion.
La réforme n’est donc pas supposée tomber du jour au lendemain.
Mais le coût de cette adaptation inquiète déjà les professionnels.
Le Collectif syndical estime qu’elle nécessitera des investissements en équipements, ressources humaines et formation. Il affirme parallèlement que la numérisation permettrait à la CNSS d’économiser près de 400 millions de dirhams par an.
Ce dernier chiffre apparaît dans le communiqué syndical, mais pas dans le projet de loi lui-même. Il doit donc être présenté comme une estimation avancée par les organisations professionnelles, et non comme une donnée législative établie.
Article 42 : jusqu’à un an de prison pour l’accès illicite aux données
C’est à partir du chapitre V que le ton change radicalement.
L’article 42 prévoit une peine allant de six mois à un an d’emprisonnement, assortie d’une amende comprise entre 50.000 et 200.000 dirhams, ou de l’une de ces deux sanctions, lorsque des données personnelles de santé sont consultées, utilisées ou échangées en violation des règles prévues par le texte.
Sur le principe, une sanction sévère peut se défendre.
Les données médicales figurent parmi les informations les plus sensibles concernant une personne. La consultation injustifiée du dossier d’un patient, sa transmission ou son utilisation abusive doivent évidemment être réprimées.
Le débat commence toutefois lorsqu’il faut distinguer l’accès délibérément frauduleux d’une erreur de manipulation, d’un problème de paramétrage ou d’une mauvaise configuration des droits d’accès.
Article 43 : traitement irrégulier et accès non autorisé
L’article suivant prévoit une peine de trois mois à un an de prison et une amende pouvant atteindre 200.000 dirhams pour certaines formes de collecte ou de traitement irrégulier de données personnelles de santé, ainsi que pour l’accès au dossier médical partagé en dehors des finalités prévues par la loi.
L’objectif est là encore compréhensible : empêcher que le futur immense patrimoine numérique sanitaire du Maroc ne devienne une base de données ouverte à tous les usages.
Mais le niveau de responsabilité juridique imposé aux utilisateurs devient considérable.
Dans un système comptant potentiellement des dizaines de milliers de professionnels et des millions de dossiers, chaque accès devra être techniquement identifiable, juridiquement justifiable et parfaitement traçable.
Article 44 : jusqu’à 300.000 DH pour défaut d’alimentation ou d’interconnexion
L’article 44 change de registre. Il ne vise plus nécessairement un détournement volontaire de données.
Il prévoit une amende de 50.000 à 300.000 dirhams contre le professionnel de santé ou le responsable d’un établissement qui ne respecterait pas l’obligation d’alimenter le dossier médical partagé ou qui ne connecterait pas son système informatique dans le délai réglementaire.
C’est probablement l’une des dispositions qui explique le mieux l’inquiétude du secteur privé.
Un petit cabinet médical n’a évidemment ni les moyens financiers ni les équipes informatiques d’une grande clinique. La même obligation juridique s’appliquera pourtant à des structures de tailles extrêmement différentes.
D’où une interrogation essentielle : l’État accompagnera-t-il réellement les professionnels dans leur mise à niveau numérique ou se contentera-t-il de leur imposer une obligation assortie d’une sanction ?
Article 45 : le véritable point de friction : Le cœur de la controverse se situe toutefois dans l’articulation entre les articles 38 et 45.
L’article 38 oblige les professionnels et établissements utilisant le système à respecter la législation relative à la cybersécurité et à la protection des données, à utiliser des moyens fiables d’identification des utilisateurs et à garantir notamment la confidentialité, l’intégrité, la disponibilité et la fiabilité des données.
L’article 45 prévoit ensuite une peine de trois mois à un an de prison et une amende comprise entre 10.000 et 100.000 dirhams, ou l’une des deux sanctions, en cas de manquement à plusieurs de ces obligations.
C’est ici que les médecins posent une question qui mérite d’être prise au sérieux : jusqu’où s’étend l’obligation de « garantir » la sécurité d’un système numérique ?
Un médecin peut contrôler son mot de passe, son ordinateur, certaines procédures internes. Mais peut-il garantir l’absence de faille dans un logiciel fourni par un prestataire ?Peut-il répondre d’une vulnérabilité inconnue ?
D’une cyberattaque sophistiquée ?
D’un piratage d’un hébergeur ?
D’une défaillance d’une plateforme centrale gérée par une autre institution ?
Le communiqué syndical cite précisément les fuites de données ayant touché la CNSS pour rappeler qu’aucune infrastructure informatique n’est invulnérable.
L’argument n’est pas absurde.
Le texte ne met pourtant pas toute la responsabilité sur le médecin, il serait faux de prétendre que l’État se désengage entièrement de la sécurité du système.
La future Agence nationale de digitalisation du système de santé devra précisément assurer la confidentialité, l’intégrité, la disponibilité, la qualité et la fiabilité des données, garantir la sécurité de la plateforme, définir les normes de cybersécurité et procéder à des évaluations régulières.
Elle devra également accompagner les établissements dans leurs projets d’interconnexion, mettre en place une veille numérique et contribuer à la formation des ressources humaines.
Le projet prévoit même une situation de panne : lorsque l’accès au dossier médical est impossible en raison d’un incident technique avéré ou d’une cause indépendante de la volonté du professionnel, la prise en charge du patient doit continuer et une interface minimale doit être mise à disposition.
Autrement dit, le texte reconnaît lui-même qu’un système informatique peut tomber en panne sans que le médecin en soit responsable.
C’est précisément cette logique qui devrait probablement être précisée dans le chapitre pénal.
« Criminalisation » : un mot excessif, mais une inquiétude réelle
Le Collectif syndical parle d’un projet construit dans une logique de menace financière et pénale. Il estime qu’il pourrait détourner les jeunes de la profession, accélérer les départs à la retraite, favoriser l’émigration médicale et réduire l’attractivité du Maroc pour les médecins étrangers.
Ces conséquences restent, à ce stade, des anticipations des organisations professionnelles.
Le projet de loi ne permet évidemment pas de démontrer qu’il provoquera effectivement une nouvelle vague d’émigration médicale.
De même, affirmer qu’un médecin sera automatiquement emprisonné parce qu’un système aura été piraté serait une lecture excessive.
Le texte sanctionne des manquements à des obligations précises ; il ne dit pas qu’une cyberattaque externe suffit à établir automatiquement une responsabilité pénale.
Mais l’inquiétude des praticiens révèle une faiblesse plus profonde : la frontière de responsabilité n’est pas suffisamment intuitive dans un écosystème numérique qui comptera une multitude d’acteurs techniques.
La question centrale : qui répond de quoi ?
Demain, autour d’un dossier médical numérique, il pourra y avoir le médecin, la clinique, l’éditeur du logiciel, l’intégrateur informatique, l’hébergeur, la plateforme nationale et l’Agence.
Or la cybersécurité repose précisément sur une chaîne. Si un seul maillon cède, la donnée peut être compromise.
Une bonne législation devrait donc distinguer explicitement plusieurs situations : violation volontaire des données, faute lourde, négligence caractérisée, simple erreur humaine, panne technique indépendante de l’utilisateur et attaque informatique extérieure.
Ce n’est pas une faveur faite aux médecins. C’est une condition de sécurité juridique. Car une loi trop faible n’incitera personne à protéger sérieusement les données.
Mais une loi perçue comme excessivement punitive peut produire l’effet inverse : comportements défensifs, peur de l’erreur, sous-déclaration des incidents et rejet de l’outil.
L’article 45 prévoit ensuite une peine de trois mois à un an de prison et une amende comprise entre 10.000 et 100.000 dirhams, ou l’une des deux sanctions, en cas de manquement à plusieurs de ces obligations.
C’est ici que les médecins posent une question qui mérite d’être prise au sérieux : jusqu’où s’étend l’obligation de « garantir » la sécurité d’un système numérique ?
Un médecin peut contrôler son mot de passe, son ordinateur, certaines procédures internes. Mais peut-il garantir l’absence de faille dans un logiciel fourni par un prestataire ?Peut-il répondre d’une vulnérabilité inconnue ?
D’une cyberattaque sophistiquée ?
D’un piratage d’un hébergeur ?
D’une défaillance d’une plateforme centrale gérée par une autre institution ?
Le communiqué syndical cite précisément les fuites de données ayant touché la CNSS pour rappeler qu’aucune infrastructure informatique n’est invulnérable.
L’argument n’est pas absurde.
Le texte ne met pourtant pas toute la responsabilité sur le médecin, il serait faux de prétendre que l’État se désengage entièrement de la sécurité du système.
La future Agence nationale de digitalisation du système de santé devra précisément assurer la confidentialité, l’intégrité, la disponibilité, la qualité et la fiabilité des données, garantir la sécurité de la plateforme, définir les normes de cybersécurité et procéder à des évaluations régulières.
Elle devra également accompagner les établissements dans leurs projets d’interconnexion, mettre en place une veille numérique et contribuer à la formation des ressources humaines.
Le projet prévoit même une situation de panne : lorsque l’accès au dossier médical est impossible en raison d’un incident technique avéré ou d’une cause indépendante de la volonté du professionnel, la prise en charge du patient doit continuer et une interface minimale doit être mise à disposition.
Autrement dit, le texte reconnaît lui-même qu’un système informatique peut tomber en panne sans que le médecin en soit responsable.
C’est précisément cette logique qui devrait probablement être précisée dans le chapitre pénal.
« Criminalisation » : un mot excessif, mais une inquiétude réelle
Le Collectif syndical parle d’un projet construit dans une logique de menace financière et pénale. Il estime qu’il pourrait détourner les jeunes de la profession, accélérer les départs à la retraite, favoriser l’émigration médicale et réduire l’attractivité du Maroc pour les médecins étrangers.
Ces conséquences restent, à ce stade, des anticipations des organisations professionnelles.
Le projet de loi ne permet évidemment pas de démontrer qu’il provoquera effectivement une nouvelle vague d’émigration médicale.
De même, affirmer qu’un médecin sera automatiquement emprisonné parce qu’un système aura été piraté serait une lecture excessive.
Le texte sanctionne des manquements à des obligations précises ; il ne dit pas qu’une cyberattaque externe suffit à établir automatiquement une responsabilité pénale.
Mais l’inquiétude des praticiens révèle une faiblesse plus profonde : la frontière de responsabilité n’est pas suffisamment intuitive dans un écosystème numérique qui comptera une multitude d’acteurs techniques.
La question centrale : qui répond de quoi ?
Demain, autour d’un dossier médical numérique, il pourra y avoir le médecin, la clinique, l’éditeur du logiciel, l’intégrateur informatique, l’hébergeur, la plateforme nationale et l’Agence.
Or la cybersécurité repose précisément sur une chaîne. Si un seul maillon cède, la donnée peut être compromise.
Une bonne législation devrait donc distinguer explicitement plusieurs situations : violation volontaire des données, faute lourde, négligence caractérisée, simple erreur humaine, panne technique indépendante de l’utilisateur et attaque informatique extérieure.
Ce n’est pas une faveur faite aux médecins. C’est une condition de sécurité juridique. Car une loi trop faible n’incitera personne à protéger sérieusement les données.
Mais une loi perçue comme excessivement punitive peut produire l’effet inverse : comportements défensifs, peur de l’erreur, sous-déclaration des incidents et rejet de l’outil.
Numériser oui, terroriser non
Le Maroc a besoin de son dossier médical partagé. Il a également besoin que ce dossier soit fiable, protégé et alimenté correctement. Il serait donc irresponsable d’opposer caricaturalement les médecins à la digitalisation.
Les syndicats ne demandent d’ailleurs pas nécessairement le retour au papier ; ils demandent que la transformation s’effectue dans un climat de confiance et avec une véritable concertation. Leur communiqué affirme que l’absence d’approche participative fragilise la paix sociale et réclame une révision du dispositif.
C’est peut-être là que se situe la voie de sortie.
Le gouvernement peut conserver l’architecture générale du projet et son exigence de protection des données tout en affinant le régime de responsabilité. Car la réforme numérique de la santé n’a aucune chance de réussir contre les médecins.
Elle ne réussira qu’avec eux. Le véritable enjeu n’est donc pas de choisir entre sécurité des patients et sécurité juridique des professionnels. Il est de parvenir à garantir les deux.
Et sur ce point, avant l’adoption définitive du texte, une clarification serait probablement moins coûteuse qu’un conflit durable entre ceux qui construisent le système et ceux qui devront l’utiliser chaque jour.
Les syndicats ne demandent d’ailleurs pas nécessairement le retour au papier ; ils demandent que la transformation s’effectue dans un climat de confiance et avec une véritable concertation. Leur communiqué affirme que l’absence d’approche participative fragilise la paix sociale et réclame une révision du dispositif.
C’est peut-être là que se situe la voie de sortie.
Le gouvernement peut conserver l’architecture générale du projet et son exigence de protection des données tout en affinant le régime de responsabilité. Car la réforme numérique de la santé n’a aucune chance de réussir contre les médecins.
Elle ne réussira qu’avec eux. Le véritable enjeu n’est donc pas de choisir entre sécurité des patients et sécurité juridique des professionnels. Il est de parvenir à garantir les deux.
Et sur ce point, avant l’adoption définitive du texte, une clarification serait probablement moins coûteuse qu’un conflit durable entre ceux qui construisent le système et ceux qui devront l’utiliser chaque jour.