Numerique
Votre solution touche à des données de santé, et chaque client vous réclame une preuve de conformité avant de signer. Je qualifie votre produit, puis je sécurise sa mise en production.
Contexte
Un éditeur de logiciel de gestion vit sous un régime, le RGPD. Une solution de santé numérique en cumule quatre. Les données concernant la santé relèvent des catégories particulières de l'article 9 du RGPD : leur traitement est interdit par principe et ne devient possible qu'au titre d'une exception, le plus souvent le consentement explicite ou la prise en charge sanitaire, elle-même conditionnée au secret professionnel. Vient ensuite le code de la santé publique, puis, si le logiciel poursuit une finalité médicale, le règlement européen sur les dispositifs médicaux. Et selon ce que fait l'algorithme, l'AI Act s'ajoute par-dessus.
L'article L1111-8 du code de la santé publique, dans sa rédaction en vigueur depuis le 1er juillet 2025, impose à tout hébergeur de données de santé sur support numérique un certificat de conformité, encadre la prestation par un contrat écrit et exige un stockage dans l'Espace économique européen. Il interdit désormais toute cession à titre onéreux de données de santé identifiantes, y compris avec l'accord de la personne, sous les peines de l'article 226-21 du code pénal. Le référentiel de certification a été refondu par l'arrêté du 26 avril 2024, et les hébergeurs déjà certifiés devaient basculer vers cette version au plus tard le 16 mai 2026. Le détail figure dans l'article certification HDS : qui est concerné et comment l'obtenir.
Deux textes européens redessinent le calendrier. Le règlement (UE) 2025/327 du 11 février 2025 sur l'espace européen des données de santé soumet les systèmes de dossiers médicaux électroniques à un régime de conformité et à un marquage, applicable par paliers à partir de mars 2027. L'AI Act, lui, a été amendé par le règlement (UE) 2026/1744 du 8 juillet 2026 : les obligations des systèmes à haut risque intégrés dans des produits déjà réglementés, dont les dispositifs médicaux, sont repoussées au 2 août 2028. Ce report allonge le délai sans réduire le travail, et il ne touche ni aux pratiques interdites ni aux obligations de transparence.
Problematique
La faute la plus chère du secteur tient en une phrase : découvrir après le développement que le produit est un dispositif médical. La règle 11 de l'annexe VIII du règlement (UE) 2017/745 classe au minimum en classe IIa tout logiciel destiné à fournir des informations utilisées pour prendre des décisions à des fins diagnostiques ou thérapeutiques, et monte en IIb ou en III selon la gravité des conséquences possibles. Passer de la classe I à la classe IIa fait entrer un organisme notifié dans le projet, avec une évaluation clinique, un système de gestion de la qualité et une documentation technique. Le retard se compte en mois, au moment précis où la trésorerie repose sur les premières ventes.
Le second risque est celui des données. Par sa délibération SAN-2022-009 du 15 avril 2022, la CNIL a prononcé une amende de 1 500 000 euros contre un éditeur de logiciels pour laboratoires d'analyses médicales, agissant comme sous-traitant, pour manquements aux articles 28, paragraphe 3, 29 et 32 du RGPD, après une fuite touchant près de 500 000 personnes. Le 5 septembre 2024, une société de solutions pour médecins a été sanctionnée à hauteur de 800 000 euros pour avoir traité des données de santé non anonymisées sans autorisation. Le plafond de l'article 83 du RGPD est ici de 20 millions d'euros ou 4 % du chiffre d'affaires mondial, et il ne s'assouplit pas au motif que la société est jeune.
Le troisième risque ne prend jamais la forme d'une sanction. Il prend la forme d'un contrat qui ne se signe pas. Le service achats d'un centre hospitalier réclame le certificat de l'hébergeur, l'analyse d'impact, le registre, l'accord de sous-traitance de l'article 28 et, s'il y a marquage, la preuve de la conformité du dispositif. Pour les données de santé traitées par les établissements de santé, la délibération n° 2018-327 du 11 octobre 2018 rend l'analyse d'impact obligatoire : l'établissement la réclamera donc à son fournisseur. Une réponse improvisée en trois jours coûte le marché, ou impose des engagements que personne dans l'entreprise ne pourra tenir.
Solutions
Je commence toujours par la qualification, parce qu'elle commande tout le reste. Je pars de la destination d'usage réelle du produit et des revendications que porte votre communication, pas de la description technique. J'en tire trois réponses écrites : votre solution est-elle un dispositif médical et dans quelle classe, êtes-vous responsable de traitement ou sous-traitant pour chaque flux, et quelles données de votre base constituent juridiquement des données de santé. Beaucoup de sociétés découvrent à ce stade que la moitié de leur exposition venait d'une phrase de plaquette commerciale.
Je structure ensuite la conformité. Base légale au titre de l'article 9, analyse d'impact, registre, durées de conservation, information des patients et des professionnels, hébergement et périmètre exact du certificat de votre prestataire. Quand l'entreprise part de loin, le diagnostic passe par un audit RGPD qui hiérarchise les écarts par criticité avant d'engager la moindre dépense de remédiation.
Je verrouille enfin les contrats, qui sont le vrai actif de conformité d'un éditeur : accord de sous-traitance, sécurité, niveaux de service, responsabilité et ses exceptions, réversibilité, usage des données à des fins statistiques ou d'entraînement de modèles. L'article contrat SaaS santé : les clauses à verrouiller donne le détail de ce travail, que je mène pour les éditeurs de logiciels et SaaS comme pour les établissements qui les achètent.
Je reste ensuite en appui sur les mises en production, les questionnaires des acheteurs publics et les incidents. Mon double profil d'avocat et de développeur certifié me permet de lire vos schémas de flux et vos contrats de cloud sans intermédiaire, ce qui raccourcit les échanges avec vos équipes techniques. Pour cadrer un projet ou faire relire un dossier avant un dépôt, écrivez-moi et nous fixons un premier échange.
J'analyse la destination d'usage, les revendications commerciales et les flux de données pour trancher trois questions : dispositif médical ou non et sous quelle classe au titre de la règle 11, responsable de traitement ou sous-traitant pour chaque traitement, et périmètre exact des données de santé au sens de l'article 9 du RGPD. Cette étape produit une note de qualification qui sert de référence à l'équipe produit et évite de rouvrir le débat à chaque nouvelle fonctionnalité.
Je construis la base légale, l'analyse d'impact, le registre, les durées de conservation et l'information des personnes, puis je vérifie la chaîne d'hébergement : périmètre du certificat du prestataire au regard des activités exercées, localisation du stockage dans l'Espace économique européen, exposition aux demandes d'autorités étrangères, restitution des données en fin de contrat. Le livrable est un plan d'action daté, qui sépare ce qui bloque une mise sur le marché de ce qui peut attendre.
Je rédige ou je renégocie l'accord de sous-traitance, les conditions de service, les niveaux de disponibilité, les clauses de sécurité et de notification d'incident, les plafonds de responsabilité et leurs exceptions, la réversibilité et l'usage des données pour l'entraînement de modèles. La sanction de 2022 contre un éditeur de logiciels médicaux reposait d'abord sur des contrats sans aucune des mentions exigées par l'article 28 du RGPD.
Je prépare le dossier que réclament les acheteurs hospitaliers et les grands comptes : preuves de certification, analyse d'impact, registre, politique de sécurité, plan de réversibilité, réponses aux questionnaires de conformité. Je relis les pièces du marché avant remise de l'offre, parce que les engagements de sécurité et de responsabilité qui s'y cachent dépassent largement ce que vous auriez proposé. J'interviens ensuite sur les avenants, les incidents et les renouvellements.
FAQ
La réponse ne dépend pas de la technologie employée mais de la destination d'usage que vous revendiquez. Un logiciel destiné à fournir des informations utilisées pour prendre des décisions à des fins diagnostiques ou thérapeutiques relève de la règle 11 de l'annexe VIII du règlement (UE) 2017/745, qui le place au minimum en classe IIa, et en IIb ou III lorsque les conséquences possibles sont graves. Un outil qui se borne à stocker, transmettre ou afficher une donnée sans l'interpréter reste hors du champ. Vos supports commerciaux font partie du dossier : une promesse d'aide au diagnostic sur une page de vente suffit à faire basculer la qualification. L'article IA en santé : AI Act, RGPD et dispositif médical détaille les cas limites.
L'obligation de l'article L1111-8 du code de la santé publique pèse sur celui qui héberge les données de santé pour le compte d'un tiers. Si vous confiez cet hébergement à un prestataire certifié pour les activités concernées et que vous n'exploitez pas vous-même l'infrastructure, vous n'avez pas à détenir le certificat. Vous entrez en revanche dans le champ dès que vous assurez l'infogérance, l'administration ou la sauvegarde des données de vos clients. Le point à vérifier est le périmètre du certificat de votre fournisseur, activité par activité, et sa bascule vers le référentiel issu de l'arrêté du 26 avril 2024, due au plus tard le 16 mai 2026. Un certificat qui ne couvre pas l'activité exercée ne protège personne.
Le traitement de données de santé est interdit par principe au titre de l'article 9 du RGPD. Sans exception applicable, l'exposition relève du plafond le plus élevé de l'article 83, soit 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Pour les traitements de recherche, d'étude ou d'évaluation, l'article 66 de la loi du 6 janvier 1978 impose, dans sa rédaction en vigueur depuis le 28 mai 2026, une déclaration de conformité à un référentiel de la CNIL, l'autorisation restant la voie applicable aux projets qui s'en écartent. Le 5 septembre 2024, une société éditant des solutions pour médecins a été sanctionnée de 800 000 euros pour avoir traité des données de santé non anonymisées sans autorisation. Le contentieux naît presque toujours des usages statistiques, jamais du soin lui-même.
L'amende administrative frappe l'entreprise, mais le code pénal vise des personnes. L'article L1110-4 du code de la santé publique punit d'un an d'emprisonnement et de 15 000 euros d'amende le fait d'obtenir ou de tenter d'obtenir des informations couvertes par le secret en violation de ce texte. Le détournement de finalité relève de l'article 226-21 du code pénal, soit cinq ans d'emprisonnement et 300 000 euros d'amende, et l'article L1111-8 y renvoie pour toute cession à titre onéreux de données de santé identifiantes. S'y ajoute le terrain civil : un dirigeant qui laisse sans réponse des alertes documentées sur une faille s'expose à une action en faute de gestion. La preuve de la diligence se construit avant l'incident.
La note de qualification prend deux à quatre semaines lorsque la documentation existe : spécifications, schéma des flux, contrats d'hébergement, supports commerciaux. C'est la partie rapide. Ce qui suit dépend du résultat. Une mise en conformité RGPD avec analyse d'impact et reprise des contrats se déroule sur deux à quatre mois. Une qualification en dispositif médical de classe IIa ou supérieure ouvre un chantier bien plus long, puisqu'il faut un système de gestion de la qualité, une évaluation clinique et l'intervention d'un organisme notifié : la marche se compte en mois. C'est pourquoi la qualification se fait avant le développement, et non à la veille de la première démonstration client.
Je travaille par étapes fermées, avec un devis avant chacune d'elles. La première est toujours la qualification, dont le livrable est une note écrite. Vous décidez ensuite de la suite en connaissant l'exposition réelle, plutôt qu'en achetant un programme de conformité dimensionné à l'aveugle. Les phases de mise en conformité et de rédaction contractuelle se traitent au forfait, chantier par chantier. L'appui courant, les questionnaires d'acheteurs, les incidents et les relectures d'avenants s'organisent au temps passé ou sous forme d'abonnement mensuel quand le flux le justifie. Vous savez avant de commencer ce que produit chaque étape et à quelle date elle se termine.
Les deux métiers ne couvrent pas le même terrain et se complètent. Un consultant en affaires réglementaires construit le dossier technique, le système qualité et la relation avec l'organisme notifié. L'avocat tranche la qualification juridique, rédige et négocie les contrats, engage sa responsabilité sur l'analyse rendue et vous représente en cas de contrôle ou de sanction. S'y ajoute le secret professionnel, qui protège les échanges pendant lesquels vous exposez vos écarts de conformité, ce qu'aucun contrat de prestation ne garantit. En pratique, je travaille avec vos consultants qualité : ils tiennent le dossier technique, je tiens le risque juridique.
Le dossier attendu est toujours le même et il se prépare en amont : certificat d'hébergeur avec son périmètre d'activités, accord de sous-traitance conforme à l'article 28 du RGPD, analyse d'impact, registre, politique de sécurité, procédure de notification d'incident, plan de réversibilité et, si votre solution est un dispositif médical, la preuve de sa conformité. S'y ajoutent les exigences d'interopérabilité et de référencement du Ségur du numérique en santé, et bientôt celles issues de l'espace européen des données de santé. Les pièces du marché portent en outre des engagements de responsabilité plus lourds que vos conditions générales : elles se relisent avant la remise de l'offre.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
