[CultureLaw]#21

#CultureLaw, c’est un Post d’information juridique pratique proposé par les avocats d’Ooslo I Law For Business et qui s’assimile en moins de 2 min

📢 Données de santé : hébergeurs, souveraineté et espace européen… Les évolutions à anticiper !

Renforcement des exigences concernant les hébergeurs de données de santé (HDS), nouveau décret sur la souveraineté numérique, et entrée en vigueur de l’espace européen des données de santé (EHDS)... Le cadre applicable aux données de santé connaît une évolution majeure.

Décryptage, avec Ooslo I Law For Business 👇

❓ Données de santé : de quoi parle-t-on ?

Donnée à caractère personnel de santé : donnée relative à la santé physique ou mentale, passée, présente ou future, d'une personne physique qui révèle des informations sur l'état de santé de cette personne.

Ce que ça inclut : Données de santé par nature (antécédents, traitements, diagnostics...), données de santé par croisement (ex : combiner poids et activité physique pour déduire un risque), données de santé par destination (i.e. utilisées dans un contexte médical sans être intrinsèquement médicales).

🏥 Les données de santé figurent parmi les données personnelles les plus sensibles au sens du Règlement général sur la protection des données (RGPD). Leur hébergement et leur utilisation sont soumis à un cadre particulièrement strict, à la croisée du droit de la santé, du numérique et de la conformité.

• 🏛️ Rappel sur le cadre HDS : certification et souveraineté

La certification des hébergeurs de données de santé (HDS) constitue un pilier de la sécurité des systèmes d’information en santé.

À ce jour, 284 acteurs sont certifiés par des organismes accrédités par le Comité français d'accréditation (Cofrac).

Des évolutions substantielles du cadre HDS sont intervenues depuis 2024, avec pour objectif de renforcer progressivement la souveraineté des données de santé.

👉 A retenir de l’arrêté du 26 avril 2024 modifiant l’arrêté du 11 juin 2018 (Arrêté du 11 juin 2018 portant approbation du référentiel d'accréditation des organismes de certification et du référentiel de certification pour l'hébergement de données de santé à caractère personnel) :

➜ Révision du référentiel HDS intégrant les évolutions de la norme ISO 27001 

Le référentiel de certification HDS a été mis à jour pour s'aligner sur la dernière version de la norme internationale ISO 27001, afin de garantir un niveau de protection toujours plus robuste des données de santé. Au 16 mai 2026, tous les certificats HDS devront avoir transité sur cette nouvelle version.

➜ Renforcement des exigences contractuelles.

Les contrats conclus avec les hébergeurs de données de santé devront désormais contenir des clauses plus précises et plus contraignantes, notamment pour encadrer les responsabilités de chaque partie en matière de sécurité et de traitement des données.

• 🏛️ Décret du 24 mars 2026 : un tournant en matière de souveraineté

Le Décret n° 2026-209 du 24 mars 2026 (Décret n° 2026-209 du 24 mars 2026 portant modification de certaines dispositions du code de la santé publique relatives à l'hébergement de données de santé à caractère personnel, pris en application de la loi SREN) marque une évolution structurante concernant l'hébergement de données de santé.

Les apports :

➜ Localisation obligatoire : stockage exclusivement dans l’UE/EEE à compter du 27 septembre 2026

➜ Accès depuis des pays tiers : soumis aux exigences du chapitre V du RGPD

➜ Transparence contractuelle renforcée : mention des législations étrangères, garanties et risques

➜ Cartographie publique : obligation de documenter les transferts et risques d’accès non autorisés

• 🏛️ EHDS : l’espace européen des données de santé est en marche

Le Règlement (UE) 2025/327 du 11 février 2025 crée un cadre européen unifié pour les données de santé.

🎯 Objectif : améliorer l’accès, la portabilité et le contrôle des données par les patients.

Deux piliers structurants :

➜ 🩺 Usage primaire : Interopérabilité des dossiers médicaux au niveau européen (e-prescriptions, imagerie, résultats…)

➜ 🔬 Usage secondaire : Accès encadré aux données pour la recherche, l’innovation et les politiques publiques, via des environnements sécurisés

🚫 Interdiction stricte : publicité, marketing ou décisions défavorables (assurance, emploi, crédit)

🗓️ Calendrier EHDS : anticiper dès aujourd’hui

➜ 2027 : adoption des actes d’exécution

➜ 2029 : première phase d’application (usage primaire et secondaire)

➜ 2031 : extension à de nouvelles catégories de données (dont données génomiques)

➜ 2034 : ouverture aux pays tiers via HealthData@EU

L'ensemble des ces évolutions traduisent un changement de paradigme : Renforcement de la souveraineté numérique européenne, encadrement accru des flux internationaux de données, et transformation des usages de la donnée en santé (innovation, IA, recherche).

🚀 À anticiper dès maintenant :

➜ Audit des prestataires HDS et de la localisation des données

➜ Revue des contrats (transferts, accès, obligations de transparence)

➜ Cartographie des flux de données de santé

➜ Anticipation des impacts EHDS (interopérabilité, gouvernance des données)

👉 Pour aller plus loin, nos équipes vous accompagnent dans la mise en conformité de vos traitements de données de santé et l’anticipation des évolutions européennes.

🤝L'équipe Ooslo | Data & Compliance @Delphine Girard est à vos côtés pour sécuriser vos projets impliquant des données de santé.

Suivez la page LinkedIn #Ooslo pour ne rien manquer des évolutions législatives, réglementaires et jurisprudentielles utiles à la vie des affaires 🔗