EHDS et usage secondaire des données de santé : les obligations des détenteurs de données

À partir du 26 mars 2029, une healthtech, un éditeur ou un fabricant d'application qui détient des données de santé ne pourra plus refuser de les partager pour la recherche ou l'innovation. Le règlement (UE) 2025/327 sur l'espace européen des données de santé (EHDS) l'oblige à les mettre à disposition d'un organisme public sur demande, dans un délai de trois mois, sous peine d'astreinte et d'amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Le panorama de l'EHDS et de ses obligations présente le règlement dans son ensemble. Ici, un seul sujet : l'usage secondaire des données de santé vu du détenteur. Qui est visé, quelles données, quelle procédure, quelle compensation, ce que le secret des affaires protège encore, et comment s'y préparer.

Êtes-vous détenteur de données de santé au sens de l'EHDS ?

Tout part de la définition du « détenteur de données de santé » de l'article 2, paragraphe 2, point t), du règlement. Elle combine deux conditions : appartenir à un secteur visé, et disposer d'un pouvoir sur les données.

Le secteur : bien au-delà des établissements de soins

Sont visés les acteurs des soins et du remboursement, mais aussi toute personne qui développe des produits ou des services destinés aux secteurs de la santé ou des soins, qui développe ou produit des applications de bien-être, ou qui mène des travaux de recherche dans ces secteurs. Le considérant 59 cite expressément les maisons de repos, les entreprises de services de soins, les activités technologiques liées aux soins et les développeurs d'applications de bien-être. Un éditeur de logiciel médical, un fabricant de dispositif connecté ou une application de suivi du sommeil entrent dans le premier cercle.

Le pouvoir sur les données : responsable de traitement ou maître de la conception

Le texte retient deux branches. La première vise celui qui a le droit ou l'obligation de traiter des données de santé à caractère personnel en qualité de responsable ou de responsable conjoint du traitement, pour des finalités de soins, de remboursement, de recherche, d'innovation, de statistiques ou de sécurité des patients. La seconde vise celui qui peut mettre à disposition des données de santé à caractère non personnel parce qu'il contrôle la conception technique d'un produit et des services liés.

Pour un éditeur de logiciel ou de SaaS, la conséquence est nette. Un éditeur qui héberge et traite les dossiers patients pour le compte d'un centre de santé, comme simple sous-traitant, n'est pas à mon sens le détenteur de ces données : c'est le centre. Mais la qualification bascule dès que l'éditeur réutilise ces données pour ses propres fins, qu'il s'agisse d'améliorer son produit, d'entraîner un modèle ou de produire des statistiques. Il en devient responsable de traitement, l'innovation figure parmi les finalités listées, et il devient détenteur pour cet ensemble de données.

Les exemptions : personnes physiques et microentreprises

L'article 50 exempte les personnes physiques, chercheurs individuels compris, et les microentreprises au sens de la recommandation 2003/361/CE : moins de 10 personnes et un chiffre d'affaires annuel ou un total de bilan qui n'excède pas 2 millions d'euros. Le calcul intègre les entreprises liées et partenaires : une start-up de huit salariés filiale d'un groupe n'est pas une microentreprise. Chaque État peut étendre les obligations aux exemptés ou confier les obligations de certains détenteurs à des entités d'intermédiation, et doit notifier ces choix à la Commission au plus tard le 26 mars 2029. La France n'a pas encore tranché.

• Éditeur de logiciel de cabinet, sous-traitant pur : pas détenteur pour les dossiers de ses clients.
• Le même éditeur, avec un entrepôt de données pour son IA : détenteur pour cet entrepôt.
• Application de bien-être de 25 salariés : détenteur, le considérant 59 le dit expressément.
• Start-up autonome de 6 salariés, 800 000 euros de chiffre d'affaires : exemptée, sauf extension par le droit français.

Les données de santé à mettre à disposition : 17 catégories minimales

L'article 51 liste les catégories que les détenteurs doivent mettre à disposition pour l'usage secondaire. La liste est large et pensée pour couvrir l'essentiel de ce qu'une healthtech produit.

• Données de soins : données issues de dossiers médicaux électroniques, données administratives liées aux soins (dispensations, demandes de remboursement, remboursements), données sur les professionnels intervenant dans le traitement d'un patient.
• Données produites par des produits : données générées automatiquement par des dispositifs médicaux, autres données de dispositifs médicaux, données d'applications de bien-être, registres de médicaments et de dispositifs médicaux.
• Données de recherche : essais cliniques, investigations cliniques et études de performance, cohortes, questionnaires et enquêtes après la première publication des résultats, biobanques, données génétiques, génomiques et autres données omiques.
• Données de santé publique : déterminants socio-économiques, environnementaux et comportementaux, données agrégées sur les besoins, les ressources et les dépenses de santé, pathogènes, registres de population, registres médicaux et de mortalité.

Le calendrier est échelonné. Les déterminants de santé, les données génétiques et omiques, les données d'essais cliniques et les cohortes ne sont exigibles qu'à partir du 26 mars 2031. Toutes les autres catégories le sont dès le 26 mars 2029. Les États peuvent ajouter des catégories et prévoir des garanties renforcées pour les données génétiques, omiques, de biobanques et d'applications de bien-être. Les détenteurs de données non personnelles, eux, y donnent accès par des bases de données ouvertes (article 60, paragraphe 5).

L'argument « nos données ne sont pas médicales » ne tient pas pour une application de bien-être : la catégorie i) la vise précisément. À ne pas confondre avec les obligations des éditeurs de dossiers médicaux électroniques, qui relèvent de l'usage primaire et sont détaillées dans l'article consacré aux exigences EHDS pour les éditeurs de systèmes DME.

L'organisme d'accès aux données de santé et la procédure de mise à disposition

Qui sera l'organisme français ?

Chaque État désigne un ou plusieurs organismes responsables de l'accès aux données de santé et en notifie l'identité à la Commission au plus tard le 26 mars 2027 (article 55). Au 5 octobre 2026, je n'ai trouvé aucun texte publié au Journal officiel qui désigne l'organisme français. Le candidat naturel est la Plateforme des données de santé, le Health Data Hub, groupement d'intérêt public créé par l'article L. 1462-1 du Code de la santé publique, qui met déjà à disposition le système national des données de santé et assure le secrétariat unique des demandes d'autorisation. Le choix reste à acter par le législateur.

Le circuit d'une demande, étape par étape

1. Un demandeur dépose une demande d'accès auprès de l'organisme (article 67).
2. L'organisme statue dans les trois mois suivant la réception d'une demande complète, délai prolongeable de trois mois (article 68, paragraphe 4).
3. Dès l'autorisation délivrée, il demande immédiatement les données au détenteur (article 68, paragraphe 7).
4. Le détenteur les met à disposition de l'organisme dans un délai raisonnable, au plus tard trois mois après la demande. L'organisme peut prolonger ce délai de trois mois au maximum dans des cas justifiés (article 60, paragraphe 2).
5. L'organisme prépare les données, les pseudonymise ou les anonymise, puis ouvre l'accès à l'utilisateur dans un environnement de traitement sécurisé, dans les deux mois de leur réception (articles 57, 68 et 73).

Trois enseignements pour le détenteur. Il ne choisit pas l'utilisateur et n'apprécie pas la finalité : c'est le rôle de l'organisme. Il livre ses données à l'organisme, jamais directement à un concurrent. Et les données sortent anonymisées par défaut, pseudonymisées seulement si le demandeur a justifié ce besoin, la clé de réidentification restant entre les mains de l'organisme ou d'un tiers de confiance (article 66).

Responsabilité de traitement et base légale

Le détenteur est réputé responsable du traitement pour la mise à disposition des données à l'organisme (article 74, paragraphe 1). Le considérant 52 précise que le règlement crée l'obligation légale, au sens de l'article 6, paragraphe 1, point c), du RGPD, conformément à l'article 9, paragraphe 2, points i) et j). La base du traitement initial, par exemple les soins fondés sur l'article 9, paragraphe 2, point h), n'est pas affectée. Aucun consentement n'est donc à recueillir, mais le registre des traitements, l'analyse d'impact et l'information des personnes doivent intégrer ce nouveau flux.

Le détenteur de confiance : instruire soi-même les demandes

L'article 72 permet aux États de créer un statut de détenteur de données de santé de confiance, ouvert au détenteur qui dispose d'un environnement de traitement sécurisé conforme, de l'expertise nécessaire pour évaluer les demandes et des garanties suffisantes. Il instruit alors les demandes qui portent sur ses seules données et soumet une proposition de décision dans les deux mois. L'organisme décide dans les deux mois suivants, sans être lié. Pour un grand entrepôt de données ou un éditeur à forte volumétrie, ce statut évite de transférer ses données. Il suppose un texte français qui n'existe pas encore.

Catalogue, qualité des données et droit d'opposition : le travail en amont

Le détenteur décrit à l'organisme les ensembles de données qu'il détient et vérifie au moins une fois par an que sa description dans le catalogue national est exacte et à jour (article 60, paragraphe 3). Les éléments minimaux de cette description seront fixés par un acte d'exécution attendu au plus tard le 26 mars 2027 (article 77, paragraphe 4).

Le label de qualité et d'utilité des données de l'article 78 est facultatif, sauf pour les ensembles collectés avec un financement public national ou européen, pour lesquels il devient obligatoire. Il couvre la documentation (métadonnées, dictionnaire de données, normes), la qualité technique (exhaustivité, unicité, exactitude, validité, actualité, cohérence), les processus de gestion de la qualité, y compris l'examen des biais, la couverture de la population et les délais de fourniture. Le détenteur qui appose un label fournit à l'organisme de quoi le vérifier, et l'organisme peut le révoquer.

Reste le droit d'opposition. Toute personne peut refuser, à tout moment et sans motif, l'usage secondaire de ses données (article 71). Ses données ne sont plus mises à disposition dès lors qu'elles sont identifiables dans l'ensemble. Le détenteur n'a pas à collecter d'informations supplémentaires pour identifier quelqu'un à cette seule fin (article 71, paragraphe 8). La CNIL contrôle ce droit et peut prononcer les amendes du RGPD (article 65). Le mécanisme d'opposition sera organisé au niveau national : la chaîne d'extraction devra pouvoir l'appliquer.

Point de vigilance. Le catalogue est le chantier le plus long, et il conditionne tous les autres : délais, compensation, secret des affaires. Un détenteur qui ne sait pas décrire ses ensembles de données en 2027 ne tiendra pas un délai de trois mois en 2029.

Compensation et redevances : ce que le détenteur peut facturer

Les redevances sont perçues par l'organisme d'accès, ou par le détenteur de confiance (article 62). Elles sont proportionnées au coût de la mise à disposition, ne doivent pas restreindre la concurrence et doivent être transparentes et non discriminatoires. Elles peuvent inclure une compensation des coûts exposés par le détenteur pour compiler et préparer les données. Le détenteur en fournit une estimation à l'organisme, et la part correspondante lui est reversée.

Si le détenteur et l'utilisateur ne s'accordent pas sur le montant dans le mois qui suit l'autorisation, l'organisme fixe la redevance. Le désaccord peut ensuite être porté devant les organes de règlement des litiges de l'article 10 du règlement sur les données (Data Act). Les États peuvent prévoir des redevances réduites pour les organismes publics, les chercheurs universitaires ou les microentreprises, et la Commission doit fixer par acte d'exécution des principes communs.

La logique est le remboursement d'un coût, pas la valorisation d'un actif. Prenons une extraction qui mobilise 15 jours d'un ingénieur de données facturé 700 euros par jour : le détenteur peut documenter 10 500 euros de coûts de préparation. Il ne peut pas réclamer une licence calculée sur la valeur commerciale de sa base. D'où l'intérêt de tenir dès maintenant un modèle de coûts par type d'extraction.

Secrets d'affaires et propriété intellectuelle : ce qui reste protégé

Premier constat, qui surprend souvent : les données protégées par un droit de propriété intellectuelle, un secret des affaires ou la protection réglementaire des données de médicaments sont mises à disposition (article 52, paragraphe 1). Il n'y a pas d'exemption, il y a des mesures de protection.

Le détenteur doit signaler les parties des ensembles concernées et justifier la nécessité d'une protection spécifique. Il le fait lorsqu'il transmet la description de ses ensembles de données ou, au plus tard, à la réception d'une demande. L'organisme prend alors les mesures juridiques, organisationnelles et techniques qu'il juge nécessaires. Il peut subordonner l'accès à un accord contractuel entre détenteur et utilisateur, sur la base de clauses types non contraignantes que la Commission doit élaborer. Si le risque de violation est grave et qu'aucune mesure n'y remédie, l'organisme refuse l'accès et motive son refus. Le détenteur dispose d'un droit de réclamation (article 81).

En pratique, ce qui mérite d'être protégé n'est pas la donnée brute mais ce que l'entreprise y a ajouté : annotations, enrichissements, scores calculés, nomenclatures propriétaires. L'article 51, paragraphe 3, laisse d'ailleurs aux États le soin d'encadrer le traitement des données enrichies. Un modèle d'IA n'entre dans aucune des 17 catégories. L'ensemble d'entraînement, s'il contient des données des catégories listées, peut en revanche y entrer : la jurisprudence n'a pas encore fixé la frontière.

Conseil d'avocat. La justification se prépare avant la demande, pas après. Une description des actifs protégés, datée et rattachée à chaque ensemble du catalogue, pèsera bien plus qu'une invocation générale du secret des affaires le jour où l'organisme réclame les données.

Sanctions : astreinte, exclusion et amendes jusqu'à 10 millions d'euros

L'organisme d'accès peut exiger du détenteur toute information utile au contrôle. Il notifie le manquement constaté et laisse au détenteur un délai de quatre semaines au plus pour s'expliquer (article 63, paragraphe 2). Si le manquement touche au RGPD, il saisit la CNIL.

Trois niveaux de sanction visent le détenteur :

• Une astreinte par jour de retard, lorsque le détenteur retient les données dans l'intention manifeste d'en entraver l'utilisation ou dépasse le délai de trois mois. Son montant est fixé selon le droit national (article 63, paragraphe 4).
• Une exclusion de la possibilité de présenter des demandes d'accès pendant cinq ans au plus, en cas de manquements répétés, l'obligation de fournir les données subsistant pendant l'exclusion.
• Une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu, pour la violation de l'article 60 (article 64, paragraphe 4). Le non-respect d'une mesure d'exécution, comme une astreinte, monte à 20 millions d'euros ou 4 % (article 64, paragraphe 5).

Pour une healthtech qui réalise 30 millions d'euros de chiffre d'affaires, 2 % représentent 600 000 euros : le plafond applicable reste donc 10 millions. Pour un groupe à 800 millions, il passe à 16 millions. S'y ajoutent les sanctions nationales prévues par l'article 99 et les amendes CNIL liées au droit d'opposition. L'exclusion est la sanction la plus stratégique : un éditeur qui veut entraîner ses modèles sur des données européennes se prive lui-même de l'accès.

Côté demandeur : obtenir une autorisation de traitement de données

La même entreprise est souvent détentrice et demandeuse. L'accès passe par une autorisation de traitement de données, souvent appelée « permis de données ». Les finalités admises sont fixées par l'article 53 : santé publique, élaboration des politiques et statistiques (réservées au secteur public), enseignement, recherche scientifique incluant le développement et l'innovation de produits ou de services, ainsi que l'entraînement, le test et l'évaluation d'algorithmes, de dispositifs médicaux et de systèmes d'IA, et amélioration des soins. L'article 54 interdit les décisions préjudiciables aux personnes, les décisions d'emploi, d'assurance ou de crédit, la publicité et le marketing.

Le dossier décrit la finalité, les données, le choix entre format anonymisé et pseudonymisé, les garanties contre la réidentification, la durée et les outils nécessaires (article 67). L'autorisation dure dix ans au plus, renouvelable une fois, et les données sont effacées de l'environnement sécurisé dans les six mois de son expiration (article 68, paragraphe 12). Les résultats sont publiés, sous forme anonymisée, dans les 18 mois (article 61, paragraphe 4). Extraire des données personnelles de l'environnement sécurisé ou tenter une réidentification expose à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Jusqu'en 2029, la voie française reste celle des autorisations CNIL et des méthodologies de référence MR-004 et MR-001.

Calendrier de l'usage secondaire et feuille de route du détenteur

• 25 mars 2025 : entrée en vigueur du règlement.
• 26 mars 2027 : notification des organismes d'accès et des points de contact nationaux. Actes d'exécution attendus sur les modèles de demande, l'environnement sécurisé, le catalogue et le label, applicables en 2029.
• 26 novembre 2027 : en France, nouvelle obligation de mise à disposition issue de la loi du 26 mai 2026 de simplification de la vie économique (voir ci-dessous).
• 26 mars 2029 : application du chapitre IV, obligations des détenteurs comprises.
• 26 mars 2031 : déterminants de santé, données génétiques et omiques, essais cliniques et cohortes.
• 26 mars 2035 : ouverture de l'infrastructure européenne aux pays tiers.

Ce que le droit français fait déjà

Le système national des données de santé rassemble les données de l'assurance maladie, des hôpitaux et des causes de décès (article L. 1461-1 du Code de la santé publique). Il interdit déjà deux usages que l'EHDS reprend : la promotion de produits de santé auprès des professionnels et l'exclusion de garanties d'assurance. Surtout, la loi n° 2026-403 du 26 mai 2026 a ajouté un VI à l'article 66 de la loi Informatique et Libertés. À compter du 26 novembre 2027, le responsable qui dispose de données doit les mettre à disposition de celui qui a obtenu une autorisation de la CNIL ou s'est engagé à respecter un référentiel, dans un délai de trois mois renouvelable une fois. Le réflexe des trois mois arrive en France seize mois avant l'EHDS.

La feuille de route

1. Qualifier votre statut : détenteur ou non, microentreprise ou non, responsable ou sous-traitant pour chaque ensemble.
2. Cartographier vos ensembles de données au regard des 17 catégories et de leurs dates.
3. Construire le catalogue et la documentation de qualité.
4. Identifier les parties protégées et rédiger leur justification.
5. Établir un modèle de coûts pour la compensation.
6. Outiller une chaîne d'extraction qui applique les oppositions et tient trois mois.
7. Revoir vos contrats clients : qui répond à l'organisme quand vous êtes sous-traitant, et qui supporte le coût.

C'est le travail que je mène avec les éditeurs et les healthtech dans le cadre de mon accompagnement juridique en e-santé : une qualification écrite, un plan d'action daté, des contrats alignés. Si vous détenez des données de santé et voulez savoir ce que l'EHDS exigera de vous, échangeons sur votre statut de détenteur.