Les contrats de technologie de santé au Koweït se situent au croisement de la réglementation médicale, de la protection des données et du droit commercial. Le texte central est la loi n° 70 de 2020 sur l'exercice de la médecine et des professions auxiliaires, les droits des patients et les établissements de santé, qui régit l'agrément des praticiens et des établissements privés et autorise, à l'article 24, les services médicaux à distance, les soins à domicile et l'intelligence artificielle selon les conditions du ministère de la Santé. Autour d'elle gravitent le règlement sur la protection de la vie privée des données de la CITRA, adopté par la décision n° 26 de 2024 pour les prestataires licenciés par la CITRA, son cadre réglementaire du cloud computing, le régime de cybersécurité du décret n° 37 de 2022 et la loi n° 20 de 2014 sur les transactions électroniques. Qu'il s'agisse d'une plateforme de dossiers patients, d'un service de télémédecine ou d'un outil d'aide à la décision clinique, la revue part de ce que les textes de santé autorisent, de ce que les règles sur les données exigent et de qui porte chaque obligation en cas de défaillance. Cet article présente le cadre que nous appliquons aux contrats healthtech au Koweït.
La carte réglementaire : droit de la santé, règles sur les données et contrat
Un déploiement healthtech au Koweït suit deux voies à la fois. Sur la voie sanitaire, la loi n° 70 de 2020 régit qui peut exercer la médecine, comment les établissements privés sont agréés, quels droits les patients détiennent et comment la responsabilité médicale est appréciée. Sur la voie des données, l'Autorité de régulation des communications et des technologies de l'information, dite CITRA, régit le traitement des données personnelles par ses prestataires licenciés au moyen de son règlement sur la protection de la vie privée des données, adopté par la décision n° 26 de 2024 émise le 7 février 2024, en remplacement du règlement antérieur adopté par la décision n° 42 de 2021.
Le contrat est le point de jonction des deux voies. Un éditeur hébergeant des dossiers patients, une plateforme acheminant des téléconsultations ou un outil lisant des données cliniques touche à la fois une activité médicale réglementée et des données personnelles réglementées. La revue rattache chaque obligation au régime qui la sanctionne : licences au ministère de la Santé, données au cadre CITRA, questions professionnelles au comité de responsabilité médicale et aux tribunaux. Une clause élégante échoue si elle attribue une obligation à une partie que la réglementation n'autorise pas à l'exécuter.
Qui peut fournir les soins : licences professionnelles et d'établissement
Au Koweït, les services de santé ne peuvent être fournis que par des professionnels agréés au sein d'établissements agréés. L'article 1 de la loi n° 70 de 2020 définit l'établissement de santé comme tout lieu aménagé pour fournir services médicaux ou soins à des fins de diagnostic, traitement, prévention, amélioration de la santé ou réadaptation, et son propriétaire comme la personne physique ou morale autorisée à le créer, l'exploiter et le gérer. L'article 55 interdit de créer, exploiter ou gérer un établissement privé, ou d'ouvrir une succursale, sans licence du Département des licences sanitaires, et oblige à une assurance couvrant les risques des bâtiments, appareils et équipements médicaux, incluant patients, accompagnants, personnels et visiteurs.
L'article 58 ajoute des conditions de propriété : la licence d'une clinique exige un médecin koweïtien agréé, limité à une seule clinique sans succursale, et celle d'un hôpital ou centre de santé exige un praticien koweïtien agréé ou une personne morale dont un propriétaire ou associé en est un. Une société de technologie ne peut traiter la couche médicale comme un simple achat de services ; l'architecture des licences décide qui détient et dirige l'entité clinique.
Télémédecine et intelligence artificielle au titre de l'article 24
L'article 24 de la loi n° 70 de 2020 est la porte légale de la healthtech. Il permet la fourniture de services médicaux, de soins à domicile et de soins à distance, et il permet le recours à l'intelligence artificielle, aux technologies avancées, aux communications modernes, aux moyens numériques et aux médias électroniques, sous réserve des conditions et règles fixées par le ministère de la Santé. La téléconsultation, la télésurveillance, le triage assisté par IA et les thérapies numériques entrent tous dans cette autorisation, mais l'autorisation est conditionnelle : les conditions et règles du ministère déterminent la manière dont ces services peuvent effectivement être délivrés.
Pour le contrat, l'article 24 a deux conséquences. D'abord, les parties doivent vérifier avant la signature quelles conditions du ministère de la Santé s'appliquent au modèle de service concret, car la loi délègue les règles de détail au ministère et les exigences détaillées peuvent évoluer à mesure que le ministère édicte de nouvelles règles. Ensuite, le contrat doit répartir la responsabilité de détenir les licences professionnelles et la licence d'établissement que le service exige, car une plateforme ne peut pas exercer elle-même la médecine. Le fournisseur apporte la technologie ; un établissement agréé et des praticiens agréés apportent les soins. Les contrats qui brouillent cette frontière créent une exposition réglementaire pour les deux parties.
Droits des patients et dossier médical
Le chapitre quatre de la loi n° 70 de 2020 énonce des droits des patients qu'un contrat healthtech doit respecter plutôt que renégocier. L'article 26 donne au patient le droit à des services médicaux et à des soins complets selon les principes médicaux établis, couvrant la prévention, le diagnostic, le traitement, la réadaptation et l'orientation. L'article 27 donne au patient le droit d'être informé honnêtement et précisément de tout ce qui concerne son état de santé. L'article 28 exige que chaque patient ait un dossier propre auprès de l'établissement de santé qui lui a fourni traitement, consultation ou soins, consignant toutes les informations et données relatives au patient et à son état de santé, y compris les actes, examens, résultats, diagnostics, traitements, suivis et dispositifs implantés ou utilisés.
L'article 28 donne aussi au patient, ou à son représentant légal, le droit de demander un rapport médical détaillé ou sommaire au médecin traitant ou au désigné de l'établissement. Un contrat de plateforme de dossiers traite donc l'accès du patient comme une fonctionnalité légale, non comme une option : le système doit produire le dossier et les rapports du patient, et les clauses de sortie garantissent que l'établissement satisfera encore l'article 28 après la fin de la relation. L'article 22 ajoute des obligations de documentation pour ordonnances, rapports et certificats, clairs, exacts, signés, datés et conservés au dossier médical.
Le règlement de la CITRA sur la protection des données
La CITRA a adopté son règlement actuel sur la protection de la vie privée des données par la décision n° 26 de 2024, émise le 7 février 2024 et approuvée par le conseil de l'Autorité lors de sa réunion n° 14 de 2023 tenue le 5 décembre 2023. La décision a abrogé le règlement antérieur sur la vie privée adopté par la décision n° 42 de 2021 et ses modifications, et elle est entrée en vigueur dès sa publication au Journal officiel et sur le site de l'Autorité. Selon son article 1, le règlement s'applique aux prestataires de services licenciés par la CITRA qui collectent, traitent ou conservent des données personnelles, que le traitement ait lieu à l'intérieur ou à l'extérieur du Koweït, et il exige une base légale pour le traitement, la transparence envers la personne concernée et des garanties adaptées à la sensibilité des données.
Les données de santé occupent le sommet de l'échelle de sensibilité. Le thème du consentement traverse le cadre koweïtien : le traitement des données personnelles requiert une base juridique, et les données sensibles exigent le plus haut niveau de protection. Dans un contrat healthtech, l'annexe de traitement des données doit lister les catégories de données collectées, les finalités, la base licite de chaque finalité, les personnes pouvant accéder aux données, les durées de conservation et les mécanismes de suppression. Les usages marketing, l'entraînement de modèles et l'analytique produit doivent être séparés de la finalité de soins, car le consentement recueilli pour les soins ne s'étend pas automatiquement à la réutilisation commerciale des mêmes données.
Classification des données et hébergement cloud des dossiers de santé
La politique de classification des données de la CITRA, émise par la décision n° 95 de 2021, divisait les données en quatre niveaux, et le niveau trois couvrait les données privées sensibles, dont les dossiers médicaux. La CITRA a abrogé cette politique en février 2024 par la décision n° 34 de 2024, de sorte que le dispositif par niveaux n'impose plus d'obligations contraignantes de classification ou de stockage, mais il reste une référence utile lorsqu'un établissement conçoit ses contrôles. Un fournisseur healthtech qui propose d'héberger des données de patients doit néanmoins pouvoir indiquer le degré de sensibilité de chaque ensemble de données et la manière dont son architecture le protège.
Le cadre réglementaire du cloud computing ajoute des règles d'hébergement. Son article 4.1.4 traite les données de santé, génétiques et vitales comme des catégories spéciales de données personnelles, et oblige les fournisseurs de services cloud et leurs souscripteurs, dans les secteurs public et privé, à s'abstenir d'utiliser des données personnelles pour déduire l'identité des souscripteurs sans autorisation écrite claire et expresse. Lorsqu'un établissement koweïtien envisage de transférer des dossiers vers une région cloud hors du Koweït, la revue vérifie les exigences du cadre, les règles de consentement de la loi n° 20 de 2014 et tout guide sectoriel avant l'approbation du plan de migration. Le contrat doit consigner les lieux d'hébergement approuvés et exiger un préavis et une approbation préalables avant que le fournisseur n'ajoute une région.
Obligations de cybersécurité et Centre national de cybersécurité
Le décret n° 37 de 2022 a créé le Centre national de cybersécurité, sous la supervision d'un ministre désigné par le Conseil des ministres, couvrant les établissements civils, militaires, de sécurité et privés au Koweït. Le décret vise à bâtir un système national protégeant informations, communications et opérations électroniques ; les établissements de santé et applications de télésanté entrent dans son champ. Un contrat healthtech traite donc la cybersécurité comme une obligation de conformité envers un régulateur nommé, non comme un argument marketing.
Concrètement, l'annexe sécurité couvre le contrôle d'accès, le chiffrement, la journalisation, la gestion des vulnérabilités, la détection des incidents, les délais de notification et la coopération avec le Centre national de cybersécurité. Le fournisseur notifie l'établissement dans un délai défini après confirmation d'une violation touchant des données de patients, et l'établissement garde le droit d'informer patients et régulateurs. L'article 51 de la loi n° 70 de 2020 renforce cette culture en obligeant responsables et membres des comités au secret, même après la fin de leurs fonctions.
Transactions électroniques, registres et signatures
La loi n° 20 de 2014 sur les transactions électroniques fournit le cadre général des registres et opérations électroniques au Koweït et a donné à la Banque centrale la supervision du paiement électronique des fonds, ce qui compte lorsqu'une plateforme encaisse consultations ou abonnements. La loi protège les données personnelles des systèmes de traitement électronique : les informations relatives à l'état de santé restent privées, les employés ne peuvent les consulter, divulguer ou publier illicitement, et leur divulgation exige le consentement de la personne ou une décision de justice.
Pour le contrat, cela ancre deux points de rédaction. D'abord, les parties doivent préciser que les registres, consentements et signatures électroniques générés par la plateforme sont destinés à produire des effets juridiques selon la loi n° 20 de 2014, et la conception du système doit préserver l'intégrité et l'attribution de chaque registre. Ensuite, l'accès du personnel aux données de santé au sein des équipes de support et d'exploitation du fournisseur doit être limité, journalisé et encadré par contrat, car la consultation illicite par un employé est précisément le comportement que vise la loi.
Responsabilité, assurance et la frontière clinique-commercial
La loi n° 70 de 2020 consacre un chapitre à la responsabilité médicale, et l'article 23 illustre le standard : le praticien qui pratique une chirurgie ou des interventions médicales doit obtenir le consentement éclairé écrit du patient, appuyé par les documents pertinents, et l'obligation du praticien est d'exercer les soins d'un professionnel diligent. Les jugements cliniques rendus par une plateforme demeurent la responsabilité des professionnels agréés et de l'établissement agréé, et aucune clause d'indemnisation ne peut transférer cette responsabilité professionnelle à un éditeur de logiciel.
Ce que le contrat peut et doit répartir, c'est le risque commercial : niveaux de service, disponibilité, délais de réponse du support, correction des défauts, plafonds de responsabilité pour les pertes commerciales et assurance. L'article 55 de la loi n° 70 de 2020 oblige les établissements de santé privés à maintenir une assurance auprès d'un assureur agréé contre les risques liés aux bâtiments, appareils et équipements médicaux, couvrant les patients, les accompagnants, le personnel et les visiteurs. L'assurance responsabilité professionnelle et cyber du fournisseur doit être justifiée dans le dossier contractuel. Lorsque les résultats de la plateforme appuient des décisions cliniques, le contrat doit préciser que les cliniciens conservent le devoir de les revoir et peuvent s'en écarter, et le fournisseur doit s'engager à documenter les changements de modèle et les erreurs connues.
Sous-traitants ultérieurs, flux transfrontaliers et continuité de service
Les architectures healthtech reposent rarement sur un seul fournisseur. Les hébergeurs, passerelles de messagerie, outils d'analyse, prestataires de paiement et fournisseurs de modèles d'IA peuvent tous toucher des données de patients. Le contrat doit obliger le fournisseur à lister ses sous-traitants ultérieurs, à indiquer lesquels peuvent accéder aux données personnelles, à notifier à l'avance tout nouveau sous-traitant ou changement de lieu d'hébergement, et à accepter une voie de revue avec solution de repli si l'établissement refuse son approbation. Les sauvegardes et les accès techniques à distance doivent être cartographiés avec le même soin que le stockage principal, car un accès de support depuis l'extérieur du Koweït est en soi un flux transfrontalier.
La continuité est ici une question de sécurité des patients. Si le personnel clinique perd l'accès aux dossiers pendant une vacation, l'établissement a besoin d'une réponse testée : qui fournit une copie exploitable, en quel délai, qui informe l'équipe. Le plan de service fixe des objectifs de temps et de point de reprise, exige des tests réguliers de restauration et décrit le fonctionnement dégradé. Ces clauses se testent avant le lancement, pas pendant le premier incident.
Sortie, restitution des dossiers et liste de contrôle
La planification de la sortie protège les obligations légales de l'établissement. Parce que l'article 28 de la loi n° 70 de 2020 oblige à tenir le dossier de chaque patient et à produire des rapports sur demande, le contrat garantit l'export complet des données, historiques, pièces jointes et pistes d'audit compris, dans un format exploitable, dans un délai défini et à un coût convenu. La suppression par le fournisseur est attestée par écrit, et l'accès survit assez longtemps pour une transition contestée ou une demande d'un régulateur.
Un dossier contractuel healthtech koweïtien contient donc : les licences des parties et celle de l'établissement ; l'annexe de traitement des données avec finalités, bases, catégories, conservation et suppression ; les lieux d'hébergement approuvés et les sous-traitants ultérieurs ; l'annexe sécurité ; les niveaux de service avec tests de continuité ; les flux de consentement éclairé et d'accès patient conformes aux articles 23 et 28 ; les attestations d'assurance au titre de l'article 55 ; et le plan de sortie avec un export test. Chaque élément porte un responsable nommé et une date de vérification.
Lorsque nous révisons un contrat healthtech au Koweït
Lorsque nous examinons un contrat healthtech pour un déploiement au Koweït, nous partons des licences : la licence de l'établissement au titre de l'article 55 de la loi n° 70 de 2020, les licences des praticiens, et la question de savoir si le service entre dans l'autorisation de l'article 24 pour les services à distance et l'intelligence artificielle. Nous cartographions ensuite les données : ce qui est collecté, la base de chaque finalité, le lieu d'hébergement, et la manière dont le règlement de la CITRA, par la décision n° 26 de 2024, façonne les obligations de traitement lorsqu'un titulaire de licence de la CITRA figure dans la chaîne. Nous testons la sécurité et la continuité au regard du décret n° 37 de 2022, et nous lisons les clauses de sortie au regard de l'obligation permanente de l'établissement de conserver et de produire les dossiers des patients selon l'article 28. Le résultat est un rapport écrit identifiant les clauses à modifier avant la signature.
Voir aussi : notre guide télécoms et IT au Koweït et notre guide de la protection des données au Koweït, ainsi que notre pratique en droit commercial et des sociétés.
Questions fréquentes
La télémédecine est-elle légale au Koweït ?
Oui. L'article 24 de la loi n° 70 de 2020 autorise les services médicaux, les soins à domicile et à distance, ainsi que le recours à l'intelligence artificielle et aux moyens numériques, selon les conditions et règles du ministère de la Santé. Le service doit toujours passer par des praticiens et des structures agréés.
Une société de technologie peut-elle posséder une clinique au Koweït ?
Pas directement. L'article 58 de la loi n° 70 de 2020 réserve la licence de clinique à un médecin koweïtien agréé, et celle d'un hôpital à un praticien koweïtien agréé ou à une personne morale dont un propriétaire ou associé en est un. Les sociétés de technologie contractent donc avec des entités agréées.
Quel régulateur traite des données de santé au Koweït ?
La CITRA, via son règlement sur la protection de la vie privée, résolution n° 26 de 2024. Le ministère de la Santé régit le versant médical, et le Centre national de cybersécurité supervise la cybersécurité au titre du décret n° 37 de 2022.
Les données des patients sont-elles sensibles ?
Oui. Le cadre réglementaire du cloud computing range les données de santé et génétiques parmi les catégories spéciales de données personnelles à l'article 4.1.4. La politique de classification des données de la CITRA, qui avait placé les dossiers médicaux au niveau trois, données privées sensibles, a été abrogée par la décision n° 34 de 2024, de sorte que le dispositif par niveaux sert désormais de guide et non de règle contraignante.
Les dossiers patients peuvent-ils être hébergés dans le cloud ?
L'hébergement cloud est possible, mais le cadre réglementaire du cloud computing, le règlement de la CITRA sur la vie privée lorsqu'un titulaire de licence figure dans la chaîne, et les règles de consentement de la loi n° 20 de 2014 déterminent où et comment il peut être hébergé. Le contrat doit consigner les lieux approuvés et exiger un consentement avant l'ajout de nouvelles régions ou de nouveaux sous-traitants ultérieurs.
Qui est responsable lorsqu'un diagnostic assisté par plateforme tourne mal ?
La responsabilité clinique demeure au praticien et à l'établissement agréés selon le chapitre de la responsabilité médicale de la loi n° 70 de 2020. Le fournisseur porte les obligations commerciales acceptées : niveaux de service, correction des défauts et indemnisations.
Que deviennent les dossiers patients à la fin du contrat ?
L'établissement reste tenu de les conserver au titre de l'article 28 de la loi n° 70 de 2020 ; le contrat garantit donc un export complet testé, une période de transition et une attestation écrite de suppression par le fournisseur.
Comment lancer la revue d'un contrat healthtech pour le Koweït ?
Rassemblez le projet de contrat, la description du système, la cartographie des données, la liste des sous-traitants et les licences, puis contactez notre bureau au Koweït via la page de contact. Nous confirmerons périmètre, calendrier et documents nécessaires.