Protection des données en santé numérique au Cameroun

La santé numérique promet des soins plus rapides et plus sûrs. Elle concentre aussi certaines des informations les plus sensibles d'une personne dans des systèmes qui peuvent être piratés, détournés ou simplement mal gérés. Le Cameroun dispose désormais d'une loi dédiée à la protection des données personnelles, qui s'ajoute à ses lois plus anciennes sur la cybersécurité et les communications électroniques.

Cet article présente, pour les patients comme pour les structures de santé, le cadre juridique, ce que signifient les bonnes pratiques au quotidien, et la manière dont OpesCare est conçu pour les soutenir.

Important : il s'agit d'une information générale, et non d'un conseil juridique. Les lois et leurs textes d'application évoluent. Vérifiez toujours le texte officiel publié au Cameroun et consultez un juriste qualifié avant toute décision de conformité.

Le cadre juridique en bref

La loi n° 2024/017 relative à la protection des données à caractère personnel

Adoptée le 23 décembre 2024, la loi n° 2024/017 est présentée par DLA Piper et d'autres commentateurs comme la première loi camerounaise entièrement consacrée à la protection des données personnelles. D'après les commentaires publiés, elle :

• fixe les règles de collecte et de traitement des données personnelles ;
• reconnaît aux personnes des droits sur les données qui les concernent ;
• restreint les transferts de données personnelles hors du Cameroun, sauf si le pays de destination assure un niveau de protection adéquat (les commentateurs citent l'article 32) ;
• prévoit une autorité indépendante de protection des données personnelles (article 53, selon les commentateurs) ;
• accorde aux organisations une période transitoire de 18 mois, présentée comme s'achevant en juin 2026 (article 73, selon les commentateurs).

Les commentateurs signalaient aussi que la mise en place de l'autorité dépendait de textes d'application non encore publiés au moment de leur analyse. Les résumés publiés divergent sur le montant des sanctions ; nous ne les citons donc pas.

La loi n° 2010/012 relative à la cybersécurité et à la cybercriminalité

Adoptée le 21 décembre 2010, cette loi fixe le cadre de sécurité des réseaux de communications électroniques et des systèmes d'information et définit les infractions liées aux TIC — dont l'accès illégal aux systèmes, l'interception et l'atteinte aux données. Elle comporte aussi des dispositions visant à protéger la vie privée. Pour les systèmes de santé, un accès non autorisé à un dossier peut donc relever du pénal, et pas seulement du disciplinaire.

La loi n° 2010/013 régissant les communications électroniques

Adoptée le même jour et modifiée par la loi n° 2015/006 du 20 avril 2015, elle encadre les réseaux et services de communications électroniques et a institué le régulateur (ART). Codes de vérification par SMS, mobile money et trafic des applications dépendent tous de ces réseaux régulés.

Le volet politique

Le Plan stratégique national de santé numérique 2020-2024 publié par le MINSANTE place la législation et la conformité parmi ses axes stratégiques, aux côtés des normes et de l'interopérabilité. La protection des données fait partie intégrante de l'agenda national de santé numérique.

Pourquoi les données de santé exigent un soin particulier

Les données de santé peuvent révéler un diagnostic, une grossesse, un statut sérologique, un trouble de santé mentale. Leur détournement peut entraîner stigmatisation, discrimination au travail ou dans la famille, ou fraude. De nombreux cadres de protection des données dans le monde les classent parmi les données sensibles ; les structures doivent partir du principe que le plus haut niveau de vigilance s'applique.

Ce que les patients doivent savoir

Vos droits en pratique

Posez ces questions à toute structure ou application qui détient vos données de santé :

• Que collectez-vous, et pourquoi ?
• Qui peut les voir ?
• Puis-je les consulter et les faire corriger ?
• Où sont-elles stockées ?
• Comment retirer mon consentement ou déposer une réclamation ?

Un service digne de confiance y répond en langage clair.

Sur OpesCare en particulier

• Vous pouvez consulter votre dossier à tout moment.
• Un clinicien a besoin d'une relation de soins ou de votre consentement pour l'ouvrir.
• Vous pouvez accepter, refuser ou révoquer les demandes de consentement.
• Chaque accès apparaît dans votre journal des accès.
• Personne ne peut vous rechercher par votre nom.
• L'accès d'urgence n'ouvre qu'un profil limité, exige un motif, vous alerte et fait l'objet d'un contrôle.

Lisez le guide du consentement pour les patients et notre politique de confidentialité.

Précautions au quotidien

• Ne communiquez à personne les codes de connexion reçus par SMS, pas même à quelqu'un qui se présente comme membre du personnel.
• Gardez votre carte QR pour vous.
• Méfiez-vous des messages qui vous demandent de « confirmer » des informations de santé via des liens inconnus.

Ce que les structures de santé doivent faire

Quel que soit le logiciel utilisé, quelques pratiques font une grande différence.

1. L'accès au strict nécessaire

Chaque membre du personnel ne doit voir que ce que son rôle exige. Un agent d'accueil n'a pas besoin des résultats d'analyses ; un pharmacien a besoin de l'ordonnance, pas de tout l'historique.

2. Permissions par rôle et comptes personnels

Chaque membre du personnel doit disposer de son propre compte avec un rôle défini. Les identifiants partagés empêchent de savoir qui a fait quoi. Désactivez rapidement les comptes des personnes qui partent.

3. La traçabilité

Enregistrez qui a consulté quel dossier, quand et pourquoi — et relisez ces traces. Un journal que personne ne lit ne protège personne.

4. La transparence envers les patients

Dites aux patients ce que vous enregistrez et qui le voit. Les systèmes qui laissent le patient consulter son propre journal des accès renforcent la confiance et dissuadent les abus.

5. Pas de suppression silencieuse

Un dossier clinique se corrige ou s'annule avec une trace ; il ne se supprime pas. Cela protège à la fois le patient et le clinicien.

6. Savoir où vont les données

Avant d'utiliser un service qui stocke ou transfère des données de patients, demandez où elles sont hébergées et si des transferts à l'étranger sont en jeu, au regard des restrictions de la loi sur les transferts transfrontaliers.

7. Se préparer aux incidents

Sachez qui appeler, quoi contenir et comment informer les personnes concernées en cas de problème.

Une courte liste de contrôle pour les responsables de structure

Ces questions aident à faire le point. Ce n'est pas un test de conformité juridique, mais un point de départ concret.

1. Savons-nous quelles données personnelles nous collectons, sur papier et sous forme électronique, et pourquoi ?
2. Chaque membre du personnel a-t-il un compte personnel, et les rôles limitent-ils ce que chacun voit ?
3. Pouvons-nous dire qui a ouvert le dossier d'un patient la semaine dernière ?
4. Expliquons-nous aux patients, en langage clair, comment leurs données sont utilisées et qui les voit ?
5. Savons-nous où nos systèmes sont hébergés et si des données quittent le Cameroun ?
6. Nos fournisseurs et éditeurs de logiciels ont-ils pris des engagements écrits sur la sécurité des données ?
7. Avons-nous une procédure en cas d'incident — ordinateur perdu, téléphone volé, soupçon de fuite ?
8. Détruisons-nous les dossiers papier de façon sûre lorsqu'ils ne sont plus nécessaires, conformément aux règles de conservation ?
9. Avons-nous lu le texte officiel de la loi n° 2024/017 et pris conseil en cas de doute ?

Idées reçues

« Protéger les données, c'est ne plus rien partager. » Non. Le partage pour les soins, sur une base claire et avec des garanties appropriées, est le fonctionnement normal d'un système de santé. Il s'agit de partager les bonnes données, avec les bonnes personnes, pour la bonne raison — et de pouvoir le démontrer.

« Notre éditeur de logiciel s'occupe de la conformité. » Un logiciel peut faciliter les bonnes pratiques, mais la structure reste responsable de l'usage qu'elle fait des données des patients.

« Les dossiers papier ne sont pas concernés. » La protection des données vise les données personnelles, quel que soit leur support. Un registre laissé ouvert sur un bureau est aussi un risque.

« Seuls les grands hôpitaux sont concernés. » Les petites cliniques et les pharmacies détiennent elles aussi des données sensibles, et les patients attendent le même soin.

Comment OpesCare est conçu pour y contribuer

OpesCare est un réseau privé d'identifiants santé centré sur le patient. Ses choix de conception visent à faire des bonnes pratiques la règle par défaut :

• Consentement avant accès — chaque lecture par un clinicien est vérifiée au regard d'une relation de soins ou d'une autorisation approuvée par le patient.
• Journal des accès visible par le patient — chaque accès est enregistré et montré au patient.
• Pas de recherche par nom — le personnel ne retrouve un patient que par Health ID exact ou QR.
• Cloisonnement des structures — l'identité de la structure provient de la session connectée, et l'accès d'une structure à l'autre est refusé.
• Capacités par rôle — chaque rôle ne voit que les écrans et actions dont il a besoin.
• Saisies cliniques immuables — corrigées ou annulées avec une trace, jamais supprimées.
• Authentification multifacteur pour les administrateurs de la plateforme.
• Documents générés à la demande — les PDF patients sont produits au téléchargement plutôt que stockés, et portent un QR de vérification.
• Uniquement des agrégats pour les rapports nationaux — lorsqu'une structure prépare ses rapports DHIS2, seuls des décomptes sont envoyés, après validation par un administrateur.
• Sécurité web renforcée — une politique de sécurité du contenu stricte et des webhooks qui refusent les adresses réseau internes.

Rien de cela ne remplace les obligations légales propres à chaque structure. Ce sont des outils qui les rendent plus faciles à respecter.

Conclusion

Le cadre camerounais de protection des données est désormais inscrit dans la loi : la loi n° 2024/017 rejoint les lois de 2010 sur la cybersécurité et les communications électroniques, certaines modalités d'application étant encore signalées comme en attente. Les patients peuvent poser des questions claires sur leurs données ; les structures peuvent adopter des pratiques simples et efficaces. OpesCare est conçu pour que le consentement, la transparence et l'accès au strict nécessaire soient le fonctionnement normal du système.

Lisez notre politique de confidentialité, obtenez votre Health ID gratuit ou, pour les structures, demandez à rejoindre le réseau. Une question sur notre gestion des données ? Contactez-nous.

À lire aussi : données de santé, droit et innovation au Cameroun.