Loi 18-07 : votre cabinet est-il en conformité ?

Comprendre la loi 18-07 relative à la protection des données personnelles

Adoptée en 2018, la loi 18-07 constitue le socle juridique de la protection des données à caractère personnel en Algérie. Elle s'inspire largement du cadre européen (RGPD) tout en l'adaptant au contexte national. Pour les professionnels de santé — médecins, dentistes, pharmaciens, cliniques et laboratoires d'analyses — cette loi impose des obligations précises qu'il serait dangereux d'ignorer.

Les données de santé figurent parmi les catégories les plus sensibles visées par ce texte. Leur nature intime, leur potentiel de discrimination et leur caractère confidentiel en font des informations qui requièrent une protection renforcée. Toute structure traitant des informations médicales sur ses patients est directement concernée.

Qui est concerné dans le secteur de la santé ?

La loi s'applique à tout responsable de traitement, c'est-à-dire toute personne physique ou morale qui détermine les finalités et les moyens du traitement des données. Dans le domaine médical, cela inclut :

• Les cabinets médicaux et paramédicaux (généralistes, spécialistes, kinésithérapeutes, etc.)
• Les cliniques privées et établissements de soins
• Les pharmacies et officines
• Les laboratoires d'analyses médicales et de radiologie
• Les éditeurs de logiciels médicaux sous-traitants

Même un cabinet médical de petite taille tenant des dossiers patients sur support informatique est pleinement soumis aux exigences de la loi 18-07.

Les principales obligations à respecter

1. Déclarer ou demander une autorisation à l'ANDP

L'Autorité Nationale de Protection des Données Personnelles (ANDP) est l'organe de contrôle institué par la loi. Avant tout traitement de données de santé, le responsable est tenu d'effectuer une déclaration ou, pour les traitements sensibles, de solliciter une autorisation préalable. Omettre cette étape expose le cabinet à des sanctions administratives et pénales.

2. Informer les patients de leurs droits

Chaque patient doit être informé, au moment de la collecte de ses données, de plusieurs éléments essentiels : l'identité du responsable de traitement, la finalité pour laquelle ses données sont collectées, les destinataires éventuels, ainsi que ses droits d'accès, de rectification et d'opposition. Cette information peut être fournie via un document d'accueil, un panneau d'affichage ou une mention sur les formulaires d'inscription.

3. Garantir la sécurité des données

La loi impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre toute perte, accès non autorisé, divulgation ou destruction. En pratique, cela se traduit par :

• La mise en place de mots de passe robustes sur les postes informatiques
• Le chiffrement des dossiers patients stockés numériquement
• La sauvegarde régulière des données sur des supports sécurisés
• La restriction des accès aux seuls personnels habilités
• La mise à jour régulière des antivirus et logiciels

4. Encadrer les transferts de données

Si votre cabinet recourt à un prestataire externe — logiciel de gestion médicale hébergé en cloud, secrétariat téléphonique externalisé, laboratoire partenaire — un contrat de sous-traitance conforme à la loi doit être établi. Tout transfert de données vers un pays étranger est en principe soumis à autorisation de l'ANDP, sauf exceptions prévues par la loi.

5. Respecter les durées de conservation

Les données ne doivent pas être conservées indéfiniment. Elles doivent l'être uniquement pour la durée nécessaire à la finalité du traitement. En matière médicale, les réglementations sectorielles (code de déontologie, textes sur le dossier médical) précisent souvent des durées minimales à respecter. Au-delà, les données doivent être supprimées ou anonymisées.

Les risques en cas de non-conformité

La loi 18-07 prévoit un arsenal de sanctions à l'encontre des contrevenants. Les manquements peuvent entraîner :

• Des sanctions administratives prononcées par l'ANDP, allant de l'avertissement à la mise en demeure
• Des sanctions pénales pouvant aller jusqu'à l'emprisonnement et de lourdes amendes
• Une atteinte à la réputation du cabinet en cas de divulgation publique d'une violation de données
• La responsabilité civile engagée vis-à-vis des patients lésés

« La confiance des patients est le fondement de toute relation thérapeutique. Protéger leurs données, c'est aussi protéger cette confiance. »

Comment mettre votre cabinet en conformité : les étapes clés

1. Réaliser un audit de vos traitements actuels : Recensez l'ensemble des données patients collectées, les outils utilisés, les accès accordés et les prestataires impliqués.
2. Effectuer les formalités auprès de l'ANDP : Identifiez si votre traitement nécessite une simple déclaration ou une autorisation, puis effectuez les démarches nécessaires.
3. Mettre à jour vos documents : Rédigez ou actualisez vos mentions d'information, vos formulaires de consentement et vos contrats avec les sous-traitants.
4. Former votre personnel : Sensibilisez l'ensemble de votre équipe aux bonnes pratiques en matière de confidentialité et de sécurité des données.
5. Sécuriser vos infrastructures numériques : Faites appel à un professionnel informatique si nécessaire pour évaluer et renforcer la sécurité de vos systèmes.
6. Mettre en place une procédure en cas de violation : Sachez comment réagir si une fuite de données survient, notamment les délais de notification à l'ANDP.

La conformité, un avantage concurrentiel et éthique

Se mettre en conformité avec la loi 18-07 n'est pas seulement une obligation légale : c'est également un signal fort envoyé à vos patients. Dans un contexte où les cyberattaques contre les établissements de santé se multiplient à l'échelle mondiale, démontrer que vous prenez la protection des données au sérieux renforce la confiance et fidélise votre patientèle.

Les cabinets qui anticipent ces enjeux, plutôt que d'attendre d'éventuels contrôles, se positionnent comme des acteurs responsables et modernes du système de santé. La mise en conformité est un investissement, certes, mais dont les bénéfices — juridiques, réputationnels et relationnels — dépassent largement les coûts.

Conclusion

La loi 18-07 impose des responsabilités claires et exigeantes aux professionnels de santé algériens en matière de protection des données personnelles de leurs patients. Déclaration auprès de l'ANDP, information des patients, sécurisation des systèmes, encadrement des sous-traitants : chaque obligation a son importance. Si vous n'avez pas encore entrepris de démarche de mise en conformité, il est temps d'agir. N'hésitez pas à vous faire accompagner par un juriste spécialisé ou un consultant en protection des données pour sécuriser votre pratique et préserver la confiance de vos patients.