Un patient installé à Béni Mellal ressent des palpitations. Plutôt que d'attendre plusieurs semaines un rendez-vous, il consulte un cardiologue casablancais au moyen d'une application. Vingt minutes plus tard, il reçoit une ordonnance électronique. Problème : son pharmacien ne parvient pas à en vérifier l'origine, tandis que l'application ne permet plus de télécharger le compte rendu. Deux jours après, son état s'aggrave. Qui doit répondre d'un diagnostic éventuellement incomplet : le médecin, la plateforme ou l'établissement qui héberge les données ?
Cette situation est fictive, mais parfaitement réaliste. Elle résume les questions soulevées par la santé numérique au Maroc : consentement à distance, identification du praticien, confidentialité, valeur de l'ordonnance électronique, conservation des traces et responsabilité en cas d'erreur.
Le sujet accompagne deux transformations majeures : la généralisation de l'Assurance maladie obligatoire, ou AMO, et la refonte du système national de santé engagée notamment par la loi-cadre n°06-22. La pandémie de Covid-19 a accéléré les usages à distance, mais elle n'a pas créé à elle seule le droit applicable. Contrairement à une idée répandue, la télémédecine n'évolue pas dans un vide juridique total : la loi n°131-13 relative à l'exercice de la médecine lui consacre déjà plusieurs dispositions, complétées par le décret n°2-18-378, modifié en 2021.
En revanche, il n'existe pas encore, sous un intitulé unique et autonome, une « loi sur la santé numérique » réglant de manière exhaustive le dossier médical électronique, l'identifiant sanitaire, l'intelligence artificielle, les plateformes, la cybersécurité et les droits du patient. Plusieurs chantiers institutionnels ont été annoncés ou débattus. Leur état exact doit toujours être vérifié au Bulletin officiel. Une présentation ministérielle ou un article de presse ne produit pas les effets juridiques d'une loi promulguée.
Le droit applicable aujourd'hui à la santé numérique au Maroc
La loi n°09-08 protège les données médicales
Le premier socle est la loi n°09-08 relative à la protection des données personnelles, promulguée par le dahir n°1-09-15 du 18 février 2009. Son article premier qualifie notamment les informations relatives à la santé de données sensibles. Un diagnostic, un résultat d'analyse, une radiographie ou un traitement sont concernés. Il en va également ainsi d'une information qui révèle indirectement un état de santé, par exemple la prise régulière d'un médicament déterminé.
Article 4 de la loi n°09-08 : le traitement de données à caractère personnel ne peut, en principe, être effectué que si la personne concernée a exprimé son consentement de façon indubitable, sous réserve des exceptions prévues par la loi.
Le consentement n'est toutefois pas l'unique fondement possible. La prise en charge médicale, la sauvegarde des intérêts vitaux du patient ou certaines obligations légales peuvent justifier un traitement sans recueillir un accord séparé pour chaque opération. Cela ne donne pas carte blanche à l'hôpital. Les principes de finalité, de proportionnalité, d'exactitude, de sécurité et de durée de conservation continuent à s'appliquer.
L'article 12 de la loi n°09-08 soumet les traitements portant sur des données sensibles à une autorisation préalable de la Commission nationale de contrôle de la protection des données à caractère personnel, la CNDP, sauf régime dérogatoire légalement applicable. Une clinique qui ouvre une application patient, un laboratoire qui met des résultats en ligne ou une société qui constitue une base médicale doit donc analyser ses formalités avant le lancement du service.
Attention également aux serveurs étrangers. Les articles 43 et 44 de la loi n°09-08 encadrent le transfert de données vers un État étranger. Le fait qu'un hébergeur soit établi en France, aux États-Unis ou ailleurs ne dispense pas le responsable marocain de ses obligations. Il faut vérifier le niveau de protection du pays destinataire, la base juridique du transfert et, selon le cas, les formalités à accomplir auprès de la CNDP.
La télémédecine est déjà reconnue par la loi n°131-13
La loi n°131-13 relative à l'exercice de la médecine définit l'activité médicale et réserve son exercice aux personnes remplissant les conditions légales, notamment celles relatives au diplôme, à l'autorisation et à l'inscription ordinale. Ses articles 99 à 102 encadrent la télémédecine. Le décret n°2-18-378 du 25 juillet 2018 relatif à la télémédecine en précise l'organisation ; il a été modifié par le décret n°2-20-675 du 22 janvier 2021.
En clair, une consultation par écran reste un acte médical. Elle ne devient pas un simple service informatique parce qu'elle passe par une application. Le médecin demeure tenu par les règles de compétence, d'indépendance professionnelle, de secret, de prudence et de continuité des soins. Le dispositif réglementaire traite aussi de l'autorisation des projets ou activités de télémédecine et de l'identification des professionnels impliqués.
Le vrai problème se situe dans l'écart entre ce cadre et certains usages commerciaux. Une application peut se présenter comme un simple intermédiaire alors qu'elle sélectionne les praticiens, encaisse le prix, conserve le dossier, propose un outil de triage et transmet l'ordonnance. Plus elle intervient dans le parcours médical, plus il devient difficile de soutenir qu'elle n'est qu'un hébergeur passif.
Le secret médical ne disparaît pas derrière l'écran
L'article 446 du Code pénal sanctionne la révélation d'un secret par les médecins, chirurgiens, officiers de santé, pharmaciens, sages-femmes et autres personnes qui en sont dépositaires par état ou profession, hors les cas où la loi impose ou autorise la révélation. Le secret médical couvre le diagnostic, mais aussi l'identité du patient, la prise d'un rendez-vous, le contenu d'un échange vidéo et les métadonnées susceptibles de révéler une spécialité consultée.
Article 446 du Code pénal : la divulgation, hors les cas légalement prévus, d'un secret confié à un professionnel qui en est dépositaire peut constituer une infraction pénale.
Une téléconsultation tenue depuis un café, un bureau partagé ou une messagerie personnelle mal sécurisée peut donc poser un problème déontologique et juridique. Le patient doit lui aussi être averti des risques propres à son environnement : présence d'un tiers, appareil professionnel, réseau Wi-Fi public ou conservation automatique de la vidéo.
Ce qu'un cadre intégré de santé numérique devrait changer
L'identifiant santé unique comme pivot du parcours de soins
L'identifiant santé unique au Maroc est présenté comme un outil permettant de rattacher les actes, prescriptions et résultats à la bonne personne, indépendamment de l'établissement consulté. Son intérêt est évident. Il réduirait les doublons, les erreurs d'identité et la répétition d'examens coûteux. Un urgentiste à Oujda pourrait, si les conditions d'accès sont réunies, connaître une allergie documentée à Rabat.
Mais un identifiant unique n'est pas une garantie de sécurité. C'est une clé. S'il est utilisé partout sans cloisonnement, il peut faciliter le rapprochement de bases qui n'avaient pas vocation à communiquer. La future architecture devrait donc prévoir une authentification forte, une journalisation des accès, une segmentation des données et une procédure permettant au patient de savoir qui a consulté son dossier, à quelle date et pour quelle finalité.
Le numéro ne devrait pas devenir un identifiant universel utilisable par un employeur, un assureur ou une société de crédit. Le principe de finalité posé par la loi n°09-08 s'y oppose : une donnée recueillie pour soigner ne peut pas être recyclée librement pour sélectionner un salarié ou calculer une prime.
Le dossier médical électronique : accès, rectification et traçabilité
Un dossier médical électronique au Maroc peut réunir les antécédents, allergies, prescriptions, comptes rendus opératoires, résultats biologiques et images médicales. Il améliore la continuité des soins, à condition que le patient ne perde pas la maîtrise de ses informations.
L'article 7 de la loi n°09-08 consacre un droit d'accès permettant à la personne concernée d'obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées, ainsi que la communication des informations prévues par la loi. L'article 8 organise le droit de rectification, d'effacement ou de verrouillage lorsque les données sont notamment inexactes, incomplètes, équivoques ou périmées, sous réserve des règles propres à la conservation des dossiers médicaux.
Le droit de rectification ne permet pas de réécrire un diagnostic parce qu'il déplaît. Une appréciation médicale doit rester traçable. En revanche, une identité erronée, un groupe sanguin mal saisi ou un traitement attribué au mauvais patient doivent pouvoir être corrigés rapidement, avec conservation d'une piste d'audit.
La loi n°09-08 ne doit pas être résumée à un délai universel de trente jours applicable à toutes les demandes médicales. Les modalités et délais dépendent de la nature du droit exercé, des textes réglementaires et du contexte. Pour éviter toute contestation, le patient a intérêt à envoyer une demande datée par lettre recommandée avec accusé de réception, ou par un canal électronique fournissant une preuve, en joignant une copie de sa pièce d'identité après occultation des mentions inutiles.
L'hébergement des données de santé
La question de l'hébergement des données de santé au Maroc est centrale. Un hébergeur ne se contente pas de louer un espace de stockage. Il doit assurer la disponibilité, l'intégrité, la sauvegarde, le chiffrement, la restauration et la traçabilité des informations. Une panne peut retarder un soin ; une altération peut conduire à une mauvaise prescription.
La France a mis en place une certification spécifique des hébergeurs de données de santé, dite HDS. Le Maroc peut s'inspirer de cette logique sans la copier mécaniquement. Le futur dispositif devrait définir des normes d'audit, des exigences de localisation ou de transfert, une procédure de notification des incidents et une responsabilité clairement répartie entre établissement, éditeur, plateforme et sous-traitant.
Une application ne devrait jamais se contenter d'affirmer que les données sont « sécurisées ». Il faut savoir où elles sont stockées, combien de temps, selon quel protocole, par quels sous-traitants et avec quelle procédure de suppression. C'est là que se joue concrètement la protection des données médicales au Maroc.
Les droits fondamentaux du patient connecté
Un consentement éclairé, pas une case précochée
Le consentement éclairé en téléconsultation au Maroc ne se réduit pas à accepter des conditions générales de trente pages. Le patient doit comprendre l'identité et la qualité du praticien, le fonctionnement du service, les limites de l'examen à distance, les alternatives disponibles et les circonstances imposant une consultation physique ou un passage aux urgences.
Le consentement à l'acte de soins doit être distingué du consentement au traitement commercial des données. Une personne peut accepter une téléconsultation sans accepter que ses symptômes soient exploités pour de la publicité, de la prospection ou l'entraînement non encadré d'un algorithme. Regrouper toutes ces finalités derrière un bouton « J'accepte » fragilise la validité du consentement.
Le médecin doit également apprécier si la distance est adaptée. Une douleur thoracique, une détresse respiratoire ou un déficit neurologique brutal ne se prêtent pas à une consultation ordinaire par vidéo. Poursuivre l'échange sans orienter le patient vers une structure d'urgence pourrait caractériser une faute si le risque était identifiable.
Qui peut consulter le dossier médical ?
Le principe est simple : seules les personnes habilitées et ayant besoin de l'information pour une finalité légitime doivent y accéder. Un médecin traitant n'a pas nécessairement besoin des mêmes données qu'un agent chargé de la facturation. Le personnel administratif peut traiter les éléments indispensables à la prise en charge, sans accéder librement aux notes cliniques.
La CNSS, une mutuelle ou un organisme gestionnaire de l'AMO peut recevoir les données nécessaires au remboursement et au contrôle conformément aux textes applicables. Cela ne signifie pas qu'il dispose d'un accès général au dossier. Le médecin-conseil, tenu au secret professionnel, ne doit pas être confondu avec un gestionnaire administratif ou avec l'employeur.
Une compagnie d'assurance privée ne peut obtenir l'intégralité du dossier au seul motif qu'elle finance une prestation. Une communication doit reposer sur une base légale ou un consentement valable, spécifique et éclairé. Même lorsque l'assuré signe un questionnaire, la collecte doit rester proportionnée.
L'employeur, lui, n'a pas accès au dossier médical électronique du salarié. Le médecin du travail peut connaître les éléments nécessaires à l'évaluation de l'aptitude, mais il ne transmet normalement à l'entreprise ni diagnostic ni dossier clinique. Une clause imposant un accès général serait incompatible avec le secret médical, la finalité du traitement et les principes de la loi n°09-08.
Le droit à une solution non numérique
La numérisation ne doit pas fermer la porte du cabinet. Les personnes âgées, les patients en situation de handicap, ceux qui ne maîtrisent pas la lecture ou qui vivent dans une zone faiblement couverte doivent pouvoir bénéficier d'une assistance et, lorsque la situation l'exige, d'une solution physique.
La fracture numérique est aussi territoriale. Les réalités de Casablanca ne sont pas celles d'un douar de l'Atlas ou d'une commune éloignée de Tata. Une réforme qui rendrait certains soins accessibles uniquement par application créerait un droit à deux vitesses, difficilement conciliable avec l'objectif d'égalité d'accès aux soins porté par la réforme sanitaire.
Responsabilité du médecin, de la plateforme et de l'hébergeur
La responsabilité médicale en téléconsultation
Les articles 77 et 78 du Dahir formant Code des obligations et contrats, ou DOC, constituent les fondements classiques de la responsabilité délictuelle. L'article 77 oblige celui qui, par sa faute, cause directement un dommage matériel ou moral à le réparer. L'article 78 vise notamment la responsabilité résultant de l'imprudence, de la négligence ou de l'inobservation des règles professionnelles.
Articles 77 et 78 du DOC : le patient doit, en principe, établir une faute, un dommage certain et un lien de causalité entre les deux.
Le médecin n'est pas automatiquement responsable parce que le traitement a échoué. Son obligation est généralement analysée comme une obligation de moyens : il doit fournir des soins consciencieux, attentifs et conformes aux données acquises de la science. À distance, cela implique aussi de reconnaître les limites de l'outil et de demander un examen présentiel lorsqu'il est nécessaire.
Une mauvaise qualité vidéo n'excuse pas systématiquement le praticien. Si elle empêche d'observer un symptôme essentiel, il doit interrompre ou requalifier la consultation. Continuer comme si l'examen était fiable peut engager la responsabilité du médecin numérique au Maroc.
La plateforme n'est pas toujours un intermédiaire neutre
La loi n°53-05 relative à l'échange électronique de données juridiques encadre notamment l'écrit et la signature électroniques. Elle ne constitue pas, à elle seule, un régime général de responsabilité des plateformes de télémédecine. Pour une panne, une perte de données ou une information commerciale trompeuse, il faut mobiliser selon les faits le DOC, la loi n°09-08, les règles de protection du consommateur, les engagements contractuels et, le cas échéant, le droit pénal.
La plateforme peut être fautive si elle présente comme médecin une personne non habilitée, altère une ordonnance, ne transmet pas une alerte, perd le compte rendu ou utilise un système insuffisamment sécurisé. L'hébergeur peut également être mis en cause si une défaillance qui lui est imputable a causé le dommage. La responsabilité peut donc être partagée.
La juridiction compétente ne se détermine pas seulement d'après le statut commercial de la plateforme. Un patient consommateur n'est pas automatiquement obligé de saisir le tribunal de commerce. Selon les parties, la nature du contrat et la demande, le litige peut relever du tribunal de première instance, du tribunal de commerce ou du tribunal administratif lorsqu'une personne publique est en cause.
Ordonnance électronique falsifiée et preuve
Une ordonnance électronique sérieuse doit permettre d'identifier son auteur et de vérifier son intégrité. La loi n°53-05 reconnaît une valeur juridique à l'écrit électronique lorsqu'il permet d'identifier la personne dont il émane et qu'il est établi et conservé dans des conditions garantissant son intégrité. Toutes les images PDF portant un nom de médecin ne satisfont pas automatiquement à ces exigences.
Si une ordonnance est falsifiée, plusieurs fautes sont envisageables : compromission du compte du médecin, défaut d'authentification de la plateforme, négligence de l'utilisateur ou intervention frauduleuse d'un tiers. Une expertise informatique peut être indispensable pour reconstituer les journaux de connexion, l'adresse IP, l'horodatage et les modifications du document.
CNDP et données personnelles de santé
Les pouvoirs de la CNDP
La CNDP reçoit les déclarations et demandes d'autorisation, instruit des plaintes et procède à des contrôles dans les conditions prévues par la loi n°09-08. Elle peut demander des explications, constater des manquements et transmettre les infractions aux autorités compétentes. Les sanctions pénales prévues aux articles 51 et suivants de la loi sont prononcées par les juridictions répressives ; il serait donc inexact de présenter la CNDP comme une autorité infligeant librement toutes les amendes à la manière de certaines autorités européennes.
Les montants varient selon l'infraction. Certaines peines peuvent être doublées en cas de récidive, et la personne morale peut également être exposée aux mesures prévues par la loi. Il faut vérifier l'article correspondant au manquement : collecte déloyale, traitement sans formalité, conservation excessive, entrave au contrôle ou transfert international irrégulier.
En pratique, les délais d'instruction sont variables. Les dossiers techniques, les échanges contradictoires et les ressources institutionnelles peuvent allonger la procédure. Beaucoup d'affaires se terminent par une mise en conformité ou une recommandation plutôt que par une condamnation spectaculaire. Cela ne rend pas la plainte inutile : elle crée une trace officielle et peut fournir des éléments pour une action judiciaire.
Comment exercer son droit d'accès ?
Identifiez le responsable du traitement : directeur de l'hôpital, clinique, laboratoire, plateforme ou professionnel libéral.
Envoyez une demande précise indiquant les données recherchées, la période et le mode de communication souhaité. Utilisez une lettre recommandée avec accusé de réception ou un canal traçable.
Conservez la demande, la preuve d'envoi et toute réponse. Ne transmettez pas plus de documents d'identité que nécessaire.
En cas de refus injustifié ou d'absence persistante de réponse, déposez une plainte auprès de la CNDP au moyen des coordonnées et formulaires publiés sur cndp.ma.
Pour un hôpital public, la loi n°31-13 relative au droit d'accès à l'information peut compléter l'analyse lorsqu'il s'agit de documents administratifs. Elle ne permet toutefois pas de contourner la confidentialité des données de tiers ni les règles spéciales du dossier médical.
Recours du patient victime d'un préjudice numérique
Première urgence : conserver les preuves
Dans ma pratique, le premier réflexe de nombreux clients victimes d'une erreur en téléconsultation est d'attendre. Or, les traces numériques peuvent disparaître rapidement. Le conseil est simple : capturez et sauvegardez tout, immédiatement.
Conservez les courriels de confirmation, factures, reçus et conditions générales applicables le jour de la consultation.
Téléchargez le compte rendu, l'ordonnance, les messages et les résultats transmis.
Notez l'heure de connexion, les interruptions et l'identité affichée du professionnel.
Demandez par écrit la conservation des journaux techniques, sans tenter d'accéder frauduleusement au système.
Faites constater les éléments sensibles par un commissaire de justice lorsque le risque de suppression est élevé.
Les captures d'écran ne constituent pas toujours une preuve suffisante à elles seules, puisqu'elles peuvent être contestées. Elles restent néanmoins précieuses pour orienter une expertise et demander judiciairement la production des données.
Recours ordinal et réclamation amiable
Si le comportement d'un médecin paraît contraire à ses obligations professionnelles, le patient peut saisir le conseil régional compétent de l'Ordre des médecins. La plainte doit être factuelle, datée et accompagnée de copies lisibles. La procédure ordinale traite la discipline ; elle n'accorde pas nécessairement des dommages-intérêts.
Une réclamation écrite peut parallèlement être adressée à la clinique ou à la plateforme. Elle doit exposer le problème sans accusation excessive et demander la conservation des preuves, la communication du dossier ainsi que l'identité des intervenants. Méfiez-vous d'une transaction comportant une renonciation générale aux recours avant d'avoir mesuré le dommage.
Plainte auprès de la CNDP
Une utilisation illicite du dossier, un accès par un salarié non habilité, une transmission à un assureur ou un refus d'exercer les droits prévus par la loi n°09-08 peuvent justifier une plainte auprès de la CNDP. Pour les affaires complexes, un avocat spécialisé en protection des données personnelles peut qualifier chaque traitement, identifier les sous-traitants et vérifier les transferts internationaux.
La plainte CNDP et l'action en responsabilité répondent à des objectifs différents. La première vise principalement le respect du droit des données. La seconde tend à obtenir réparation d'un préjudice. Elles peuvent être menées parallèlement lorsque les conditions sont réunies.
Quelle juridiction saisir ?
Une action contre un médecin libéral ou une clinique privée relève généralement des juridictions judiciaires, souvent du tribunal de première instance selon la qualité des parties et la nature de la demande. Une action mettant en cause le fonctionnement d'un hôpital public peut relever du tribunal administratif sur le fondement de l'article 8 de la loi n°41-90, qui attribue aux tribunaux administratifs la compétence pour connaître des actions en réparation des dommages causés par les activités des personnes publiques.
Attention : l'article 8 de la loi n°41-90 est une règle de compétence, pas un délai général de prescription de quatre ans. Le délai applicable à une personne publique exige une analyse du fondement de la créance, de la qualité des parties et des textes financiers ou spéciaux pertinents.
Pour une faute délictuelle relevant du DOC, l'article 106 prévoit une prescription de cinq ans à compter du moment où la partie lésée a eu connaissance du dommage et de celui qui en est responsable, avec une limite de vingt ans à compter du fait dommageable. Une action contractuelle peut obéir à un autre régime. En matière pénale, l'article 5 du Code de procédure pénale fixe, sous réserve des lois spéciales et des causes d'interruption ou de suspension, la prescription de l'action publique à quinze ans pour les crimes, quatre ans pour les délits et un an pour les contraventions.
Les honoraires d'avocat ne sont pas réglementés par un barème unique obligatoire. Pour une expertise médicale et informatique, un dossier peut représenter plusieurs milliers ou dizaines de milliers de dirhams selon sa complexité. À titre purement indicatif, certains cabinets proposent des honoraires compris entre 8 000 et 25 000 DH, hors expertise, traduction, commissaire de justice et frais judiciaires. Une convention d'honoraires écrite évite les malentendus. Selon la ville et le dossier, le patient peut consulter un avocat spécialisé en droit médical à Casablanca, un avocat en droit médical à Rabat ou un avocat en droit de la santé à Marrakech.
Les angles morts de la réglementation
L'intelligence artificielle médicale
Les outils capables de lire une radiographie, de hiérarchiser des urgences ou de suggérer un diagnostic soulèvent une question délicate : qui répond d'une recommandation erronée ? Le médecin ne peut pas s'abriter automatiquement derrière l'algorithme. S'il valide une décision clinique, son devoir de prudence subsiste. Mais l'éditeur peut être responsable d'un défaut de conception, d'une base d'apprentissage inadéquate ou d'une présentation trompeuse du taux de fiabilité.
Un futur texte devrait imposer une évaluation clinique, une documentation des versions, une surveillance après déploiement et une information claire lorsque l'IA influence la décision. Il devrait aussi interdire que le patient fasse l'objet d'une décision médicale grave entièrement automatisée sans contrôle humain approprié.
La téléconsultation transfrontalière
Un médecin établi à l'étranger qui consulte régulièrement des patients situés au Maroc soulève des questions d'autorisation d'exercice, de droit applicable, d'assurance professionnelle, de fiscalité et de compétence judiciaire. La loi n°131-13 réserve en principe l'exercice de la médecine aux professionnels remplissant les conditions prévues au Maroc. La distance ne neutralise pas nécessairement cette règle.
En cas de dommage, poursuivre un praticien non inscrit au tableau marocain et sans assureur local peut devenir très difficile. Avant une téléconsultation transfrontalière, le patient devrait vérifier le pays d'inscription du médecin, son numéro ordinal, son assurance et la juridiction prévue par le contrat. Une clause étrangère ne sera pas forcément opposable au consommateur marocain, mais elle peut compliquer considérablement le litige.
Les montres connectées et les applications de bien-être
Une application qui compte les pas paraît anodine. Pourtant, lorsqu'elle enregistre le rythme cardiaque, le sommeil, les cycles menstruels ou la glycémie, ses données peuvent révéler l'état de santé. L'étiquette commerciale « bien-être » ne suffit pas à les faire sortir de la loi n°09-08.
Le risque augmente lorsque ces informations sont transmises à un assureur, un employeur ou un réseau publicitaire. Le consentement doit être spécifique, et le refus ne devrait pas entraîner une pénalisation disproportionnée. La frontière entre coaching et acte médical doit aussi être clarifiée : une application qui recommande un traitement ne joue plus simplement le rôle d'un carnet de sport.
Les cinq réflexes à retenir
Vérifiez l'identité du praticien, son inscription ordinale et les coordonnées de l'opérateur avant de payer.
Demandez où vos données sont hébergées, qui y accède et combien de temps elles sont conservées.
Exigez un consentement compréhensible, distinct des autorisations publicitaires ou commerciales.
Conservez chaque trace de la téléconsultation, notamment l'ordonnance, le compte rendu et la preuve de paiement.
Agissez rapidement auprès du professionnel, de l'Ordre, de la CNDP ou de la juridiction compétente lorsqu'un dommage apparaît.
La santé numérique peut améliorer l'accès aux spécialistes, la coordination et le suivi des maladies chroniques. Elle ne doit pas transformer le patient en simple fournisseur de données. Les garanties essentielles existent déjà : secret médical, consentement, accès, sécurité et responsabilité. Elles doivent maintenant être rendues plus cohérentes, plus lisibles et surtout applicables aux nouveaux intermédiaires techniques.
Reste une vigilance majeure. Une loi ambitieuse ne suffit pas si ses décrets, arrêtés, référentiels de sécurité et mécanismes d'audit tardent à paraître. Le cadre de la télémédecine a lui-même nécessité des textes réglementaires et des adaptations après la loi n°131-13. Il faudra donc suivre non seulement le vote d'un éventuel texte consacré à la santé numérique, mais aussi sa promulgation et ses mesures d'application au Bulletin officiel.
Pour un litige mêlant faute médicale, plateforme, fuite de données et hébergement étranger, l'intervention coordonnée d'un médecin expert et d'un avocat en droit du numérique au Maroc est souvent nécessaire. Plus le patient agit tôt, plus il a de chances de préserver la preuve et d'identifier la chaîne réelle de responsabilité.
