Par Andrea Le Nigen, étudiant en droit public à Paris Saclay
Malgré les avancées de la santé numérique en Europe, les données de santé demeurent fragmentées, cloisonnées entre États membres et parfois difficilement exploitables par les professionnels, les patients ou les chercheurs. Cette fragmentation génère une perte d’efficacité et un frein à l’innovation médicale et pharmaceutique.
C’est pour répondre à cet ensemble de limites que l’Union européenne a adopté en février 2025 le règlement instituant l’Espace européen des données de santé (EEDS), première déclinaison sectorielle de la stratégie européenne des données, entré en vigueur le 26 mars dernier.
Le règlement sur l’espace européen des données de santé s’applique s’applique dans le cadre de l’utilisation primaire comme secondaire des données :
- D’une part, l’utilisation primaire des données de santé s’applique aux données personnelles. Ces données relèvent de deux catégories définies par le règlement général sur la protection des données (RGPD) : (i) les données concernant la santé (santé physique ou mentale d’une personne physique) (ii) les données génétiques (relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne physique qui communiquent des informations sur sa physiologie ou sur son état de santé).
- D’autre part, l’utilisation secondaire des données de santé relève d’un partage à des fins d’intérêt général (recherche scientifique, innovation, développement technologique), tout en excluant certaines utilisations (activités de publicité ou de marketing). Ce régime couvre un large spectre de données : données à caractère personnel et non-personnel, données protégées par le secret des affaires…
Le règlement EEDS poursuit les objectifs de garantie aux citoyens un accès transfrontalier effectif à leurs données de santé électroniques et d’harmonisation au niveau européen les règles de partage des données de santé. Ce règlement nécessitera en France un certain nombre d’adaptations législatives et règlementaires, dans la mesure où il laisse des marges de manœuvre aux États membres de l’Union européenne, tout en prévoyant certaines obligations, nécessitant des ajustements avant le printemps 2027.
La mise en œuvre intégrale du règlement s’effectuera en plusieurs étapes, jusqu’en mars 2034 :
- Mars 2025 : entrée en vigueur et début de la période de transition
- Mars 2027 : la Commission doit avoir adopté plusieurs actes d’exécution clés fixant des règles détaillées pour la mise en œuvre opérationnelle du règlement
- Mars 2029 : des parties importantes du règlement EDHS entrent en application, y compris, pour une utilisation primaire, l’échange du premier groupe de catégories prioritaires de données de santé au sein des États membres de l’UE (dossiers de patients, ordonnances électroniques…)
- Mars 2031 : pour une utilisation primaire, l’échange du deuxième groupe de catégories prioritaires de données de santé sera normalement opérationnel au sein des États membres de l’UE (images médicales, résultats de laboratoire, rapports de sortie d’hôpital). Les règles relatives à l’utilisation secondaire s’appliqueront à d’autres catégories de données (données génomiques)
- Mars 2034 : les pays tiers et les organisations internationales pourront demander à participer à HealthData@EU pour une utilisation secondaire.
L’édification d’un espace européen des données de santé est l’aboutissement d’une volonté affichée par l’Union européenne depuis l’adoption le 19 février 2020 d’une stratégie européenne sur les données visant à faire de l’Union la première puissance mondiale dans l’exploitation des données à caractère personnel et non-personnel générées par les secteurs économiques et sociaux européens. Les buts d’une telle initiative sont doubles :
- D’une part, renforcer l’économie européenne en favorisant l’innovation et la création de valeur fondée sur le partage de données.
- D’autre part, développer l’IA pour favoriser l’autonomie numérique de l’Union européenne.
Cependant, la mise en œuvre soulève des enjeux de gouvernance, de financement et de confiance citoyenne. En outre, ce règlement nécessitera en France et dans les autres États membres un certain nombre d’adaptations législatives et règlementaires, dans la mesure où il laisse des marges de manœuvre, tout en prévoyant certaines obligations, nécessitant de réaliser des ajustements avant le printemps 2027.
Dès lors sur quels fondements peut-on affirmer que l’établissement d’un espace européen des données de santé est bénéfique à l’Union européenne et pour ses acteurs (patients, entreprises, chercheurs) ?
Si l’espace européen repose sur des objectifs d’efficience et d’harmonisation du système de santé (I), son déploiement nécessite une adaptation à l’échelon national (II).
I. DES OBJECTIFS D’EFFICIENCE ET D’HARMONISATION DU SYSTÈME DE SANTÉ
L’EEDS génère des bénéfices dans les systèmes de santé à la fois au service du médecin européen et du patient européen (A), mais aussi grâce à un cadre réglementaire incitatif et sécurisé qui soutient l’innovation (B).
A) UNE POLITIQUE NUMÉRIQUE FAVORISANT À LA FOIS L’EFFICACITÉ DES MÉDECINS ET L’AUTONOMIE DES PATIENTS
L’espace européen des données de santé, tel que défini par le règlement européen adopté en 2025, vise à « transformer les soins de santé grâce aux données ». Il aura également pour effet de permettre un usage secondaire des données à plusieurs fins : recherche, innovation, politique publique.
La Commission estime qu’il permettra une économie d’environ 11 milliards d’euros en dix ans, grâce à l’accès et à l’échange accrus de données médicales. Ces économies se répartissent en deux volets : 5,5 milliards via l’amélioration de la consultation et de la transmission des données de soins, et 5,4 milliards grâce à la valorisation des données pour la recherche et l’innovation. Les hôpitaux devraient notamment réaliser d’importantes économies en évitant des examens redondants et en optimisant les parcours de soins. À titre d’exemple, la Commission souligne qu’avec l’EEDS la réduction des examens doublons « allègera la charge des patients et réduira les coûts des soins » et que l’efficacité des services de santé s’en trouvera améliorée.
Pour ce qui relève des professionnels de santé et des patients, les médecins disposeront d’un accès plus rapide et plus facile aux dossiers médicaux de leurs patients, y compris transfrontaliers, réduisant ainsi « considérablement la charge administrative ». Par exemple, un ressortissant d’un État membre de l’Union européenne qui tomberait malade sera habilité à consulter en temps réel son dossier médical (vaccinations, ordonnances, antécédents) via l’infrastructure MaSanté@UE (MyHealth@EU). En France, l’Agence du Numérique en Santé a déjà déployé le service Sesali.fr qui permet aux professionnels d’accéder à la synthèse médicale européenne d’un patient (via les points de contact nationaux).
Ces mesures accroissent la continuité des soins et évitent aux médecins de requérir des examens ou anamnèses répétitifs. Les patients eux-mêmes gagnent en autonomie : ils auront un accès gratuit et direct à leurs données électroniques, avec la possibilité d’ajouter des informations, de restreindre ou de suivre l’accès à certaines données, et même de s’opposer à l’utilisation secondaire de leurs données.
B) UNE POLITIQUE NUMÉRIQUE ENCOURAGEANT LA RECHERCHE ET D’INNOVATION MÉDICALE
L’accès à de grands volumes de données harmonisées bénéficiera aux chercheurs et aux industries pharmaceutiques/biotech. Un registre européen centralisé (« HealthData@EU ») sera mis en place pour les données pseudonymisées et anonymisées, facilité par un catalogue européen unifié. Les chercheurs disposeront ainsi d’un accès « plus économique » à des données de haute qualité pour des études multicentriques.
Le projet pilote HealthData@EU (cofinancé par EU4Health et coordonné par le Health Data Hub) a d’ores et déjà testé trois cas d’usage internationaux :
- Résistance antimicrobienne par le Centre européen de prévention et de contrôle des maladies (ECDC)
- Signatures génomiques des cancers par ELIXIR
- IA pour les maladies métaboliques par les universités d’Helsinki et Bordeaux, etc.
Ces expérimentations confirment que l’accès harmonisé aux données accélérera la recherche. Le Health Data Hub note d’ailleurs une dynamique de +60% du nombre de projets aidés en 2024, incluant hôpitaux, laboratoires universitaires et industriels, grâce à la simplification des démarches d’accès. La France est pionnière en la matière avec son système national des données de santé (SNDS), créé en 2016 avec la loi de modernisation de notre système de santé, qui visait à permettre de chaîner :
- Données de l’assurance maladie (données déjà disponibles)
- Données des hôpitaux (données déjà disponibles)
- Causes médicales de décès (données en cours d’alimentation)
- Données relatives au handicap (commencent à être reçues par la Caisse nationale d’assurance maladie)
- Échantillon de données en provenance des organismes d’assurance maladie complémentaire
De plus, l’espace européen des données de santé impose aux éditeurs de dossiers médicaux électroniques et aux fabricants de dispositifs médicaux connectés d’obtenir un marquage CE, marquage sur lequel le fabricant engage sa responsabilité sur la conformité aux exigences essentielles du produit et peut le faire commercialiser, fondé sur des critères stricts d’interopérabilité et de traçabilité. Cette certification harmonisée offre aux entreprises un « accès à de nouveaux marchés » au sein d’une Europe à standards unifiés.
Les industriels de technnologie en santé (MedTech), ainsi que les portails numériques, pourront concevoir leurs produits sur des bases de données paneuropéennes anonymisées, accélérant R&D et validation clinique. Par exemple, cet ensemble de mesures permettrait une croissance de 20 à 30%. En France, l’essor des plateformes de téléconsultation, dont le marché est estimé à 7,5 milliards de dollars d’ici 2025, dépendra désormais du respect des normes EEDS (interopérabilité, cybersécurité).
L’espace européen des données de santé crée ainsi simultanément une obligation de conformité accrue pour les entreprises (modules DMP « dossier médical partagé », génériques bien-être labellisés, ORAD « organismes responsables de l’accès aux données de santé » contrôlant les accès) et des opportunités de marché nouvelles (données cliniques à grande échelle, expansion européenne)
Plusieurs initiatives illustrent déjà ces effets. Outre HealthData@EU, la France pilote MaSanté@UE par le service Sesali. Le Health Data Hub, dans le cadre de l’appel à projets, fait participer à des projets d’IA appliquée en santé (projet Partages) mobilisant des données massives pour l’analyse prédictive plusieurs partenaires nationaux, comme l’Institut Curie, qui met en œuvre des outils d’IA afin de répondre aux enjeux de la recherche et plus spécifiquement en oncologie.
De même, le système national de données de santé (SNDS) a élargi son catalogue avec 12 nouvelles bases en 2024, améliorant les possibilités d’analyse intégrée. Au niveau européen, les dispositions interopérables de l’EEDS faciliteront le partage sécurisé des données de soins (dossier patient, ordonnance, imagerie) entre 27 pays. Au total, l’EEDS optimise l’utilisation directe des données pour la prise en charge des patients et la planification des soins, tout en créant des gains mesurables d’efficacité pour les systèmes de santé.
II. LES OBLIGATIONS TECHNIQUES ET JURIDIQUES IMPOSÉES AUX ÉTATS MEMBRES
A) DES MODIFICATIONS IMPOSÉES (SERVICES NATIONAUX D’ACCÈS AUX DONNÉES DE SANTÉ ET RENFORCEMENT DE LA PROTECTION DES DONNÉES) ET DES MARGES DE MANŒUVRE LAISSÉES AUX ÉTATS (ORGANISATION INTERNE ET MODALITÉS D’APPLICATION)
Le règlement sur l’espace européen des données de santé impose aux États membres un ensemble d’obligations techniques et juridiques nouvelles. Il est directement applicable, mais introduit des dispositions novatrices nécessitant des adaptations du droit et des systèmes nationaux. Il convient à cet égard de rappeler la distinction classique en droit de l’Union européenne entre les règlements, directement applicables dans les États membres après leur entrée en vigueur et ayant donc force immédiate, et les directives, qui doivent d’abord faire l’objet d’une transposition en droit national avant de devenir applicable au sein des États membres.
En France, cela implique d’entreprendre un certain nombre de modifications dans le droit interne, notamment législatives (Code de la santé publique, RGPD, bioéthique, etc.) et les infrastructures numériques existantes (par exemple « Mon Espace Santé »/DMP) pour les aligner sur les normes européennes.
L’espace européen des données de santé impose l’adoption de formats normalisés communs (techniques et sémantiques) pour les dossiers médicaux électroniques (DME) et autres données de santé, afin d’assurer un échange sécurisé et harmonisé entre États. Les éditeurs de logiciels de santé devront notamment obtenir un marquage CE spécifique et se soumettre à des procédures d’auto-certification pour garantir l’interopérabilité et la traçabilité des accès.
Chaque État doit mettre en place un service national d’accès aux données de santé électroniques (article 4 EHDS). En France, ce service existe partiellement sous le nom « Mon Espace Santé », qu’il faut faire évoluer pour répondre aux exigences de l’EHDS. Par exemple, la participation de la France à l’infrastructure européenne MaSanté@UE (MyHealth@EU) deviendra obligatoire pour l’échange transfrontalier des données prioritaires (synthèses médicales, prescriptions, etc.) via les points de contact nationaux.
De plus, avec ce règlement la gouvernance numérique apparaît comme renforcée. Ainsi, Chaque État doit désigner une Autorité nationale de santé numérique et une Autorité de surveillance du marché pour garantir l’application du règlement. Ces organismes seront chargés de contrôler la conformité des systèmes d’information de santé (interopérabilité des DME, sécurité des données) et d’organiser la certification CE des logiciels et dispositifs médicaux interconnectés.
Par ailleurs, le cadre européen harmonise la réutilisation des données de santé à des fins de recherche. Il impose aux détenteurs de données (hôpitaux, laboratoires, etc.) de mettre à disposition certaines données anonymisées ou pseudonymisées dans un environnement sécurisé. Les États doivent aussi instituer un ou plusieurs Organismes Responsables de l’Accès aux Données (ORAD, ou Health Data Access Body) pour instruire les demandes (« data permits ») et autoriser les accès.
Le règlement renforce les droits des citoyens sur leurs données de santé (accès, portabilité, contrôle, etc.), au-delà des dispositions du RGPD. Les États doivent garantir l’exercice de ces droits (possibilités d’opt-out, accès d’urgence « break the glass », informations sur l’utilisation des données) et prévoir les sanctions en cas de non-respect, en cohérence avec le nouveau cadre européen.
S’il est vrai que le règlement EEDS insiste lourdement sur l’interopérabilité et sur la sécurité, il insiste moins sur l’éthique du recours secondaire aux données.
Des inquiétudes relatives à l’éthique médicale émanent des citoyens mais également des médecins des États membres de l’Union européenne : le 9 novembre 2022, le Comité permanent des médecins européens, représentant de toutes les associations médicales des États membres, a donné son avis sur la proposition de la Commission européenne relative à l’EEDS, en soulignant l’importance de l’éthique médicale et de la compétence nationale.
Le Comité permanent des médecins européens (CPME), tout en se félicitant que les citoyens européens aient désormais un meilleur contrôle sur leurs données de santé, a donc appelé la Commission à laisser une marge de manœuvre nationale aux structures existantes dans les États-membres en ce qui concerne les garanties éthiques : exigences quant à l’utilisation « secondaire » des données de santé, obligation d’obtention du consentement des patients avant utilisation des données, appel systématique à ces comités d’éthique.
Le règlement relatif à l’espace européen des données de santé comporte néanmoins des options laissées aux États membres pour ce qui relève de sa mise en œuvre concrète. Autrement dit, si le socle européen fixe des principes contraignants, chaque pays conserve des choix sur l’organisation interne, l’étendue des obligations et les modalités d’application.
Chaque État décide librement de la structure de ses organismes d’accès aux données de santé. Le règlement autorise la désignation de plusieurs ORAD (guichets uniques nationaux) si nécessaire, avec l’obligation de nommer un ORAD « coordinateur » lorsque plusieurs entités sont créées. La France doit encore arbitrer la question (CNIL, Plateforme de données de santé ou nouvelle entité), mais ce choix relève du niveau national.
Le texte fixe des catégories minimales de détenteurs et de données concernées, mais les États peuvent étendre leur champ. Par exemple, l’espace européen des données de santé ne rend pas obligatoires les obligations de partage pour les individus et microentreprises, mais un pays peut décider d’inclure ces acteurs dans le dispositif. De même, chaque État a la liberté d’ouvrir la liste des catégories de données éligibles à la réutilisation au-delà du socle défini. En France, la concertation prévoit pour l’instant de rester sur la liste de base, mais la marge existe.
En effet, l’article 99 du règlement laisse aux États membres le soin de définir les sanctions et procédures en cas de non-conformité. En pratique, la France pourra fixer, par son droit interne, les peines (ex. montants) et l’autorité compétente (CNIL, Agence du numérique en santé…) pour sanctionner les manquements au règlement, dans les limites du cadre européen. De même, le texte précise simplement que la CNIL et l’ORAD (organisme responsable de l’accès aux données) coopéreront : leur coordination opérationnelle reste à organiser au niveau national.
B) QUELQUES PISTES D’AMÉLIORATION DU RÈGLEMENT EEDS
Un enjeu pourtant extrêmement important, n’a pas été abordé par le règlement prévoyant la création de l’EEDS. En effet, il s’agit de la souveraineté des serveurs d’hébergement des données, partagés à des fins d’utilisation secondaire (recherche, innovation, santé publique).
La France impose d’obtenir, y compris pour les acteurs du marché étranger désireux de proposer leurs services d’hébergement (exemple des acteurs Cloud américains comme Microsoft Corporation qui héberge la plateforme de données de santé Health Data Hub et Amazon), pour une période de 3 ans renouvelable, une certification HDS (hébergeur de données de santé), afin de renforcer la protection des données de santé et d’accentuer la confiance autour de l’E-Santé et des modalités du suivi des patients.
La Commission européenne classifie certains pays comme ayant un niveau de protection « adéquat », c’est-à-dire avec un niveau de protection équivalent au RGPD. Le 10 juillet 2023, la Commission a classifié les États-Unis comme faisant partie des pays adéquats, malgré un fort risque d’ingérence. Il est reproché aux hébergeurs Cloud américains de permettre aux autorités de leur pays d’accéder et de capter les données de santé des citoyens européens (lois américaines FISA et Cloud ACT). Cette décision pose donc la question de la préservation de la souveraineté dans un contexte où les citoyens se sentent de plus en plus concernés par la défense de leurs données de santé et par leur droit à la protection.
Ce constat doit appeler une position plus vigilante de la part de la Commission. Pourrait être envisagée une proposition allant dans le sens des préoccupations des populations sur l’usage fait de leurs données à caractère personnel. Cette proposition à l’encontre des prestataires extra-européens qui se rendraient coupables d’ingérences alors même qu’elles bénéficieraient en France d’une certification HDS (ou équivalent dans les autres États membres) pourrait être formulée en tant qu’extension du règlement EEDS en conseil de l’Union européenne en vertu de l’article 114 du TFUE, afin d’harmoniser les législations des États membres et permettre le bon fonctionnement du marché intérieur.
À l’échelle européenne, la CNIL a souligné, dans un article du 19 juillet 2024, les risques d’une certification européenne permettant l’accès des autorités étrangères aux données sensibles. Elle ne permettrait plus aux fournisseurs de démontrer qu’ils protègent les données stockées contre tout accès par une puissance étrangère, contrairement à la qualification SecNumCloud en France.
La CNIL estime qu’une protection renforcée s’impose pour le traitement des données les plus sensibles (données de santé) pour lesquels les données de l’Union européenne ne devraient pas être soumises à un risque d’accès non autorisée, et s’inquiète que la possibilité de s’assurer que l’hébergeur des données n’est pas soumis à une législation extra-européenne ne figure plus dans le projet de certification européenne de cybersécurité du cloud EUCS piloté par l’Agence de l’Union européenne pour la cybersécurité (ENISA), même dans les niveaux de certification les plus élevés, et même à titre optionnel. Face à cette absence de cadre visant à protéger les droits et libertés fondamentaux, la CNIL recommande de recourir à un prestataire fiable uniquement soumis au droit européen.
Il serait pertinent de prendre comme base sa proposition pour suggérer une extension du règlement EEDS : inclusion optionnelle de critères d’immunité aux lois extra européennes au sein du schéma de certification européen EUCS dans le but de garantir la plus haute protection possible des traitements de données personnelles les plus sensibles pour les acteurs industriels européens.


