Le compte du remplaçant est-il encore actif ? Le compte rendu envoyé hier est-il resté sur un téléphone personnel ? Le technicien qui intervient à distance peut-il ouvrir tous les dossiers ? Ces questions sont parfois plus difficiles à résoudre que celle du lieu d’hébergement du logiciel.

La protection des données patients dans un laboratoire au Maroc concerne tout le parcours de l’information : l’accueil, le SIL, les documents imprimés, la remise des résultats et les interventions des prestataires. Pour l’examiner, il faut regarder ce que l’équipe fait réellement des dossiers, jusque dans les outils utilisés en dehors du logiciel.

Voici une méthode de travail pour le directeur de laboratoire et son équipe. Les points juridiques s’appuient sur les publications de la CNDP ; les exemples et listes de contrôle sont des propositions d’organisation à adapter au traitement réel.

CNDP et laboratoires : partir du traitement réellement effectué

La CNDP inclut les données relatives à la santé parmi les données sensibles pour lesquelles une demande d’autorisation préalable est exigée. Un laboratoire ne doit donc pas présumer qu’une déclaration générale de son activité couvre tous ses traitements de données patients. Le périmètre, la procédure applicable et les pièces à fournir sont à vérifier auprès de la Commission en fonction de la situation.

Le sujet concerne explicitement la biologie médicale : dans son communiqué du 15 juillet 2024, la CNDP annonçait un accompagnement des laboratoires privés avec les représentants des biologistes. Ce communiqué ne constitue pas une autorisation individuelle et ne démontre pas la conformité d’un logiciel.

Rassemblez les documents déjà obtenus, les finalités décrites, les catégories de données, les destinataires et les prestataires mentionnés. Comparez-les au fonctionnement actuel : ajout d’un site, nouvel outil d’envoi, nouveau prestataire ou nouvel usage des données. Un écart doit être examiné avant de considérer le dossier administratif comme à jour.

Repère juridique : cet article aide à préparer les vérifications ; il ne remplace ni l’examen de votre dossier ni les instructions de la CNDP. Les démarches et formulaires en vigueur doivent être confirmés au moment du projet.

Cartographier les copies, pas seulement le SIL

Prenez un dossier fictif et suivez-le de l’accueil jusqu’à la restitution. Pour chaque étape, notez où une information est créée, consultée, copiée ou envoyée. L’exercice gagne à être réalisé avec une personne de l’accueil, une personne de la paillasse et le responsable informatique ou son prestataire.

Votre inventaire peut tenir dans une fiche par circuit :

Usage : gérer une demande, produire un résultat, facturer ou répondre à une demande du patient.
Support : SIL, document papier, dossier partagé, export ou outil de transmission.
Accès : personnes du laboratoire et intervenants extérieurs concernés.
Destination : patient, destinataire habilité ou prestataire identifié.
Conservation : emplacement, durée définie et responsable de la suppression ou de l’archivage.
Justification : nécessité de cette copie et document qui encadre son usage.

Un export créé pour régler un incident peut rester plusieurs mois sur un bureau. Une capture d’écran adressée au support peut montrer le nom du patient alors que seul un message d’erreur était utile. Ce sont des situations à rechercher, sans supposer qu’elles existent dans tous les laboratoires.

La CNDP rappelle dans ses conditions de mise en œuvre des traitements les principes de finalité, de proportionnalité, de conservation limitée et de sécurité. Il n’existe pas, dans cette fiche, une durée unique applicable à tous les documents d’un laboratoire. Faites établir les durées par catégorie, en tenant compte des textes sectoriels et obligations applicables ; ne remplacez pas cette analyse par un nombre d’années choisi au hasard.

Informer le patient et organiser ses demandes

Vérifiez ce que le patient apprend au moment de la collecte : qui traite ses données, dans quel but, à quels destinataires elles peuvent être communiquées et comment exercer ses droits. La CNDP détaille les justificatifs d’information à joindre à une demande d’autorisation. Une notice compréhensible et un interlocuteur identifié sont plus utiles qu’un texte que personne ne sait expliquer.

Préparez aussi le circuit d’une demande d’accès ou de rectification : réception, vérification de l’identité, examen par la personne compétente et réponse. Une correction administrative ne doit pas devenir une modification silencieuse d’un résultat médical. L’équipe doit savoir à qui transmettre chaque demande et conserver la trace de son traitement.

Donner à chaque rôle les accès dont il a besoin

Un compte partagé « accueil » laisse une trace moins exploitable qu’un compte nominatif. Il complique aussi le retrait d’accès lorsque quelqu’un quitte le laboratoire. Commencez par une liste des utilisateurs, de leur rôle, des droits accordés et de la personne qui les a validés.

Pour chaque profil, demandez séparément s’il peut consulter, modifier, valider, imprimer et exporter. Ces actions n’ont pas les mêmes conséquences. Le besoin de suivre un paiement ne justifie pas automatiquement l’accès à l’ensemble des résultats biologiques.

Les recommandations techniques de la CNIL sur les habilitations proposent de limiter les droits aux missions exercées et de les retirer lorsqu’ils ne sont plus justifiés. Elles servent ici de bonnes pratiques de sécurité, pas de réglementation marocaine.

Un test simple consiste à préparer trois événements : arrivée d’un salarié, remplacement temporaire et départ. Pour chacun, identifiez qui ouvre l’accès, qui vérifie les droits et qui les retire. Pour un remplacement, notez une date de fin et contrôlez effectivement la fermeture. Vérifiez aussi le verrouillage des postes laissés sans surveillance et les protections disponibles pour les accès distants.

Remettre un résultat au bon destinataire

L’envoi d’un compte rendu mérite sa propre procédure. Une adresse saisie correctement peut appartenir à la mauvaise personne ; un numéro utilisé autrefois peut ne plus être celui du patient. L’identité du destinataire et son droit à recevoir le document doivent être vérifiés selon les règles du laboratoire.

Exemple fictif : une personne appelle pour obtenir les résultats de son conjoint. Elle connaît son nom et sa date de naissance. L’accueil ne doit pas traiter cette connaissance comme une preuve suffisante d’habilitation. La procédure doit indiquer quelle vérification effectuer et à qui transmettre la demande en cas de doute.

Pour les envois numériques, évaluez la protection du document, le contrôle du destinataire, les copies conservées et la possibilité de limiter l’accès dans le temps. La fiche de la CNIL sur les échanges extérieurs recommande notamment le chiffrement des pièces sensibles et, lorsqu’un secret est utilisé, sa transmission par un canal distinct. Cela ne dispense jamais de vérifier le destinataire.

Évitez de laisser chaque salarié choisir son compte personnel ou son application habituelle. Si une messagerie est envisagée, faites examiner l’ensemble du circuit : appareils, comptes, sauvegardes, transferts et accès. Le seul fait qu’un outil annonce du chiffrement ne répond pas à toutes ces questions.

La remise papier demande également un cadre : accès à l’imprimante, documents en attente sur le comptoir, vérification à la remise et traitement des impressions inutilisées.

Encadrer le fournisseur du SIL et ses interventions

Les articles 23 et 24 de la loi 09-08, présentés par la CNDP, portent notamment sur la sécurité des traitements et les garanties attendues des sous-traitants. L’article 23 prévoit un encadrement contractuel de la sous-traitance. Acheter un logiciel ne transfère donc pas automatiquement toutes les responsabilités au fournisseur.

Avant une intervention de maintenance, votre équipe devrait pouvoir répondre à ces questions : qui intervient, pour quel problème, avec quel accès et jusqu’à quand ? Demandez aussi comment l’intervention sera retracée et qui vérifiera sa clôture.

Lors de l’étude commerciale, faites préciser par écrit :

Les lieux d’hébergement du service et des sauvegardes.
Les prestataires qui peuvent accéder aux données et leur rôle.
Les modalités d’assistance et les restrictions des accès techniques.
Les mesures prévues en cas d’incident et les contacts d’escalade.
La restitution des données en fin de contrat et le sort des copies restantes.

Si des données sont hébergées ou transmises à l’étranger, les formalités de transfert applicables doivent être vérifiées et accomplies avant leur mise en œuvre, en plus de celles concernant le traitement lui-même. Consultez les procédures de notification de la CNDP et faites qualifier les flux réels, y compris ceux de l’assistance et des sauvegardes. Une affirmation commerciale « conforme » ne remplace pas cette vérification.

Pour comparer les responsabilités d’exploitation selon l’architecture, notre article SIL cloud ou sur site au Maroc fournit une grille complémentaire.

Vérifier ce que le journal permet vraiment de retrouver

Demandez une démonstration sur un dossier fictif : une correction est réalisée, puis on recherche qui l’a effectuée et quand. Examinez ensuite un export ou une intervention technique. Tous les journaux ne couvrent pas les mêmes événements.

La CNIL recommande de tracer les opérations utiles à l’analyse d’un incident et de protéger ces traces. Pour votre laboratoire, faites préciser les événements enregistrés, les personnes pouvant les consulter, la durée de conservation retenue et les possibilités d’extraction. Évitez de recopier inutilement le contenu médical dans les journaux.

Le jour d’un incident, l’équipe doit savoir où retrouver ces traces et comment les exploiter. Désignez l’interlocuteur capable de le lire et faites un essai avant d’en avoir besoin.

Une revue de trente minutes pour lancer le travail

Cette durée est un format de réunion proposé, pas un délai de mise en conformité. Choisissez trois vérifications concrètes :

Reprendre la liste des comptes et repérer les accès dont la justification n’est plus claire.
Suivre un envoi de résultat fictif jusqu’à son destinataire et repérer les copies produites.
Comparer le dossier CNDP et le contrat du prestataire aux outils actuellement utilisés.

Pour chaque écart, notez un responsable, une preuve attendue et une échéance réaliste. La réunion suivante pourra ainsi commencer par les corrections réalisées et les points encore ouverts.

BestMindLab présente des fonctions de rôles et de traçabilité sur son site produit. Leur périmètre exact, les journaux disponibles et l’organisation de l’hébergement sont à confirmer pour votre projet. Aucune fonction isolée ne vaut attestation de conformité CNDP.

Vous pouvez demander une démonstration à partir de vos profils d’utilisateurs et d’un circuit fictif de remise des résultats. Apportez vos questions d’accès et de traçabilité ; les données réelles des patients ne sont pas nécessaires à cet échange.

Sources consultées le 16 octobre 2026. Les références CNDP concernent le cadre marocain ; les fiches CNIL sont citées uniquement pour leurs recommandations techniques.

Données patients : les vérifications CNDP pour un laboratoire au Maroc