La protection des données de santé impose à un hôpital ou une clinique d’Afrique de l’Ouest de collecter seulement les informations nécessaires, d’en limiter l’accès aux personnes habilitées, de les sécuriser et de respecter les droits des patients, dans le cadre de la loi nationale sur les données personnelles. Au Bénin, ce cadre est fixé par la Loi n° 2017-20 portant Code du numérique en République du Bénin, sous le contrôle de l’APDP. Cet article donne des repères généraux et ne constitue pas un avis juridique.
L’essentiel en bref
- Les données de santé sont en général rangées parmi les données sensibles, soumises à des conditions renforcées.
- Chaque pays a son texte et son autorité de contrôle : au Bénin, le Code du numérique et l’APDP.
- Les obligations reposent sur quelques principes : finalité, minimisation, sécurité, confidentialité et droits des patients.
- Les risques les plus courants sont organisationnels : comptes partagés, dossiers visibles, sauvegardes absentes.
- Faites valider votre démarche par un juriste ou par l’autorité compétente.
Le cadre juridique de la protection des données de santé
Plusieurs pays de la sous-région disposent d’une loi sur les données à caractère personnel et d’une autorité chargée de la faire appliquer. Le tableau ci-dessous cite les références principales pour quelques pays francophones.
| Pays | Texte de référence | Autorité de contrôle |
|---|---|---|
| Bénin | Loi n° 2017-20 portant Code du numérique en République du Bénin | APDP (Autorité de protection des données à caractère personnel) |
| Côte d’Ivoire | Loi n° 2013-450 relative à la protection des données à caractère personnel | ARTCI |
| Sénégal | Loi n° 2008-12 sur la protection des données à caractère personnel | CDP (Commission de protection des données personnelles) |
Le Togo s’est également doté d’une loi dédiée, la Loi n° 2019-014 relative à la protection des données à caractère personnel. Au niveau régional, la CEDEAO a adopté en 2010 un Acte additionnel relatif à la protection des données à caractère personnel, et l’Union africaine a adopté en 2014 la Convention sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo.
Ces textes évoluent. Pour le Burkina Faso, le Niger, le Mali ou la Guinée, vérifiez le texte en vigueur et l’autorité compétente auprès d’un juriste local. S’y ajoutent le secret professionnel des soignants et les règles de déontologie, que l’établissement a intérêt à rappeler à tout le personnel, y compris administratif, par son règlement intérieur ou les contrats de travail.
Exemple : une clinique de Cotonou qui ouvre une antenne à Lomé doit tenir compte de la loi togolaise pour les données collectées sur place, en plus de ses pratiques habituelles.
Les obligations communes, traduites en pratique
Les textes diffèrent dans le détail, mais ils reposent sur des principes proches. Le tableau suivant les traduit en gestes concrets pour un établissement de santé.
| Principe | Traduction concrète dans l’établissement |
|---|---|
| Finalité | Les données servent aux soins, à la gestion administrative et à la facturation, pas à des usages non annoncés au patient |
| Minimisation | La fiche d’accueil ne demande que les informations réellement utiles |
| Confidentialité et sécurité | Comptes personnels, accès limités selon le rôle, sauvegardes, locaux et armoires fermés |
| Durée de conservation | Une durée écrite pour chaque type de dossier, conforme aux règles nationales |
| Droits des patients | Information du patient, accès à ses données et rectification selon les modalités prévues par la loi |
| Formalités préalables | Déclaration ou demande d’autorisation auprès de l’autorité, lorsque la loi l’exige |
| Prestataires | Contrat écrit avec tout prestataire qui accède aux données : maintenance informatique, hébergement, laboratoire extérieur |
Exemple : une clinique de Porto-Novo qui confie la maintenance de son système informatique à un prestataire précise par contrat ce que ce prestataire peut voir, ce qu’il peut faire des données et ses obligations de confidentialité. Le choix du mode d’hébergement compte aussi : notre article cloud ou serveur local pour un logiciel hospitalier compare les deux options.
Les risques les plus fréquents dans les cliniques
Le risque vient souvent moins d’une attaque sophistiquée que de pratiques quotidiennes :
- un compte informatique unique partagé par toute l’équipe d’accueil ;
- des mots de passe notés sur un papier collé à l’écran ;
- des dossiers ou des résultats laissés visibles au comptoir ;
- des résultats envoyés depuis un téléphone personnel ;
- des informations médicales évoquées à voix haute dans la salle d’attente ;
- des comptes d’anciens employés toujours actifs ;
- aucune sauvegarde testée.
Exemple : dans un centre de santé de Parakou, une aide-soignante quitte l’établissement mais son compte reste actif plusieurs mois. Personne ne l’a peut-être utilisé, mais personne ne peut le prouver. Pour les mesures techniques, consultez notre article sur la sécurité informatique en clinique.
Mettre votre établissement en conformité : plan d’action en 7 étapes
- Désigner un référent. Un membre de la direction pilote la démarche et sert d’interlocuteur à l’autorité.
- Recenser les traitements. Dossier patient, facturation, assurances, ressources humaines, vidéosurveillance : listez-les dans un registre.
- Vérifier les formalités. Renseignez-vous auprès de l’autorité nationale, l’APDP au Bénin, sur les démarches applicables.
- Revoir les documents d’accueil. Informez le patient de l’usage de ses données et supprimez les questions inutiles.
- Définir les accès par rôle. Supprimez les comptes partagés et désactivez les comptes des personnes parties.
- Organiser sauvegardes et incidents. Prévoyez qui fait quoi en cas de perte, de vol ou d’accès non autorisé.
- Former et réviser. Formez chaque nouvel arrivant et revoyez la démarche chaque année.
La formation est souvent le maillon faible : notre guide pour former le personnel à un nouveau logiciel hospitalier propose une méthode applicable aussi à ces règles.
Rappel : cet article ne constitue pas un avis juridique. Pour votre situation précise, consultez un juriste ou l’autorité de protection des données de votre pays.
La protection des données et MediFlow
Aujourd’hui, MediFlow couvre la gestion des gardes médicales (planning, présences, retards, relèves, contrôles opérationnels) et le magasin de stock (catalogue, mouvements, inventaires, lots, péremptions, alertes de seuil, prévisions de rupture) : il ne contient pas encore de dossier patient. Les modalités d’accès, d’hébergement et de sauvegarde des données vous sont présentées en détail lors de la démonstration.
Un logiciel ne rend pas à lui seul un établissement conforme. Les formalités auprès de l’autorité, les contrats avec les prestataires, l’information des patients et la formation du personnel restent de la responsabilité de l’établissement.
Questions fréquentes
Une clinique privée doit-elle accomplir des formalités auprès de l’autorité de protection des données ?
C’est souvent le cas : les lois de la sous-région prévoient en général des formalités préalables, déclaration ou autorisation, pour les traitements de données de santé. Au Bénin, renseignez-vous auprès de l’APDP ; dans les autres pays, auprès de l’autorité nationale ou d’un juriste.
Peut-on transmettre les données d’un patient à son assureur ?
En pratique, l’établissement transmet à l’assureur ou à la mutuelle les informations nécessaires à la prise en charge, comme l’identité, les actes et les montants. Limitez-vous à ce qui est demandé pour le remboursement et, en cas de demande inhabituelle, consultez votre juriste avant d’envoyer des informations médicales.
Combien de temps faut-il conserver les dossiers des patients ?
La durée dépend des règles nationales applicables aux dossiers médicaux et aux pièces comptables. Fixez-la par écrit avec votre juriste, appliquez-la aux dossiers papier comme informatisés, puis organisez l’archivage sécurisé et la destruction en fin de durée.
Vous souhaitez voir comment MediFlow s’adapte à votre établissement ? Demandez une démonstration gratuite.