Conformités
Règlement EHDS : Espace européen des données de santé
Depuis de nombreuses années, le Conseil Européen appelle les États membres à renforcer la mise en œuvre de leurs stratégies en matière de santé numérique. Dans ce contexte, la Commission européenne a présenté, le 3 mai 2022, une proposition de règlement pour établir l’Espace européen des données de santé (EHDS).
Le projet de règlement a été adopté par les États membres le 22 mars 2024, puis par le Parlement européen le 24 avril 2024. La publication du texte au journal officiel est attendue pour l'automne 2024, et son entrée en application est variable selon les dispositions concernées (entre 2 ans et 10 ans).
Le règlement EHDS a la particularité de s’appliquer uniquement au secteur de la santé, cependant, le règlement interagit avec les autres textes européens plus généraux, et les complète. Ainsi, les principes fondamentaux du Data Gouvernance Act (30 mai 2022) et du Data Act (27 novembre 2023) se retrouvent dans l’EHDS, mais sont adaptés pour répondre aux exigences spécifiques de l’utilisation des données de santé.
De plus, l’IA Act étant un texte transversal, sa mise en oeuvre devra respecter les exigences de l’EHDS. La stratégie européenne en matière de données doit permettre à l’Union européenne de devenir un acteur de premier plan dans une société axée sur les données. La création d’un marché unique des données permettra la libre circulation de ces dernières au sein de l’UE et entre les secteurs, dans l'intérêt des entreprises, des chercheurs et des administrations publiques.
L’innovation fondée sur les données peut apporter des avantages majeurs et concrets, tels que: la médecine personnalisée, l’amélioration de la mobilité, l’amélioration de l’élaboration des politiques, ou encore la modernisation des services publics. Le règlement crée de nouveaux droits et obligations reposant sur deux piliers principaux : l’utilisation primaire des données de santé et l’utilisation secondaire des données de santé.
L’utilisation primaire des données de santé : réguler et faciliter l’accès aux données de santé en Europe
L’objectif du règlement est clair : assurer aux personnes physiques un meilleur accès à leurs données de santé. La Commission souhaite que chaque citoyen européen puisse accéder gratuitement et immédiatement à ses données de santé, recevoir une copie de celles-ci dans un format européen.
Cependant, pour que cet objectif soit atteint, il faut que les dossiers médicaux électroniques soient interopérables à l'échelle de l'Union européenne, alors qu'à ce jour, les formats utilisés dans l'Union sont incompatibles. En outre, ces dossiers médicaux électroniques doivent être accessibles aux personnes concernées, elles doivent pouvoir insérer ou rectifier des données, tout en ayant la possibilité de restreindre l'accès à certains professionnels. Ainsi, une règlementation concernant l’utilisation primaire des données de santé est essentielle.
Pour que l’utilisation primaire des données de santé soit efficace, la Commission insiste sur deux principes fondamentaux : la traçabilité et l’interopérabilité.
1 – Les nouvelles exigences relatives à la traçabilité et à l’interopérabilité
Le règlement prévoit la mise en place d’un dispositif d’auto-certification sur les modules traçabilité et interopérabilité des dossiers patients électroniques. La traçabilité des données de santé désigne la capacité d’enregistrer et retracer l'historique des données de santé d'une personne tout au long de sa vie.
Cela inclut la collecte, le stockage, le partage, l'accès et la modification des données. La traçabilité permet de s'assurer que les données de santé sont gérées de manière transparente, sécurisée et conforme aux réglementations en vigueur, telles que le RGPD. Elle joue un rôle crucial dans la protection de la confidentialité des patients, la prévention des abus et la garantie que les données sont utilisées de manière appropriée et responsable.
Ensuite, l’interopérabilité permet de faciliter l’utilisation des données de santé, cela correspond à la capacité des systèmes d’information à se connecter et à communiquer facilement entre eux, même s’ils ont été développés par des fabricants différents.
Le règlement exige que les professionnels garantissent l’interopérabilité avec le format d’échange de données européen, et l’obtention d’un marquage CE.
L'objectif est d'offrir aux professionnels de santé un accès complet aux dossiers médicaux de leurs patients, quel que soit l'État membre dont ils dépendent.
L'accès rapide et complet des professionnels de santé aux dossiers médicaux des patients est fondamental pour assurer la continuité des soins, éviter les doublons, les erreurs et réduire les coûts.
L’absence d'interopérabilité des dossiers informatisés de santé entraîne une fragmentation et une baisse de la qualité des soins transfrontaliers. L’utilisation primaire des données doit être effectuée dans le respect des droits des personnes concernées.
🔎 Il convient de souligner que le droit national repose sur des fondements solides en matière de mise en œuvre effective des droits individuels. En effet, les personnes physiques ont la possibilité d'accéder à leurs données de santé personnelles sous format électronique, de solliciter des informations relatives à l'accès à ces données, d'ajouter des informations à leur dossier médical électronique, ainsi que de demander aisément la rectification ou la portabilité de leurs données à caractère personnel.
Les personnes physiques ont également la possibilité de limiter l'accès à l'intégralité ou à une partie de leurs données de santé électroniques personnelles pour les professionnels de santé et les prestataires de soins. De plus, elles ont le droit d'obtenir des informations concernant l'accès à ces données. Le règlement EHDS fait écho aux règles déjà consacrées par le droit français.
2 – Établissement d'une infrastructure transfrontalière pour garantir l'interopérabilité et la traçabilité des données de santé : enjeux et implications
Afin de mettre en place les exigences en termes d’interopérabilité et de traçabilité des données de santé, le règlement met en place une infrastructure transfrontalière centralisée: MyHealth@EU, elle assurera la continuité des soins.
Une telle infrastructure est indispensable pour la transmission de données de santé électroniques personnelles au-delà des frontières, notamment lorsque des citoyens utilisent les services d’un prestataire de soins de santé situé dans un autre État membre.
L'accès sécurisé et le partage des dossiers médicaux à travers les frontières de l'Union simplifient la vie des citoyens dans des situations transfrontalières, comme les travailleurs en déplacement ou les retraités résidant dans un autre pays.
Chaque année, plus de deux millions de cas sont recensés où des citoyens résidant dans un État membre sollicitent des soins dans un autre.
La possibilité pour les citoyens et les prestataires de soins de santé d'accéder et de partager, en toute sécurité, des dossiers médicaux électroniques à l'intérieur et à l'extérieur des frontières apporte plusieurs avantages.
En effet, cela améliore la qualité des soins pour les citoyens, réduit les coûts de soins de santé pour les ménages, et cela soutient la modernisation des systèmes de santé de l'Union européenne.
Par exemple, le partage numérique des résultats d'analyses sanguines entre les équipes cliniques permet d'éviter la répétition d'analyses invasives et coûteuses. Mais cette infrastructure sera-t-elle attentatoire aux libertés individuelles des personnes physiques ?
Une gouvernance est instaurée par le règlement afin d’assurer le respect des dispositions relatives à l’utilisation primaire des données de santé.
Tout d’abord, les Autorités de santé numérique désignées par les États Membres contribuent au développement du format européen pour l'échange des dossiers médicaux électroniques, et élaborent des spécifications communes afin de résoudre les questions d'interopérabilité.
Elles devront également participer, au niveau national, au développement de solutions techniques pour garantir l'application des droits spécifiques accordés aux individus par le règlement EHDS. Ensuite, les points de contacts nationaux, désignés par les États Membres, permettent l'échange au format européen des données électroniques de santé à caractère personnel. Enfin, les Autorités de contrôle de la protection des données assurent la protection des droits de la personne concernée.
L’utilisation secondaire des données de santé : une volonté de faciliter et de développer la réutilisation des données de santé en Europe
1 – L'infrastructure dédiée à la réutilisation des données de santé et la classification des données concernées par la réutilisation secondaire
Le développement de la réutilisation des données de santé en Europe, favorisé par la mise en place d’un espace commun, permettra d’améliorer la recherche scientifique, et médicale en Europe.
Afin de mettre en place les exigences en termes de réutilisation des données de santé, le règlement met en place une infrastructure transfrontalière centralisée: HealthData@EU. Cette infrastructure permettra de créer et de déployer un réseau reliant les pays participants via leurs points de contrôle nationaux (HDAB).
HealthData@EU devrait accélérer l’utilisation secondaire des données de santé électroniques tout en augmentant la sécurité juridique, en respectant la vie privée des personnes physiques et en étant interopérable.
Les données soumises à la réutilisation secondaire comprennent les données de santé à caractère personnel, qui englobent les informations relatives à la santé physique et mentale d'un individu, ainsi que celles concernant la prestation de soins.
Il existe également des catégories prioritaires de données, qui comprennent des données de santé électroniques telles que le dossier médical du patient, les prescriptions et délivrances électroniques, ainsi que les résultats et rapports de laboratoire.
Enfin, les données de santé à caractère non personnel présentent également une grande utilité, comprenant celles qui ont été anonymisées afin qu'elles ne puissent plus être liées à une personne physique identifiée ou identifiable, ainsi que celles qui n'ont jamais été associées à un individu.
La réutilisation des données de santé est strictement encadrée car elle offre un potentiel considérable, notamment pour la recherche et le développement. Elle pourrait ainsi contribuer au bien-être de la société en facilitant la création de nouveaux médicaments, dispositifs médicaux, produits et services de soins de santé à des prix abordables et équitables pour les citoyens de l’Union.
Cependant, il est interdit de réutiliser des données de santé à des fins de publicité ou de marketing auprès des professionnels de santé.
Cette interdiction présente une certaine complexité, dans la mesure où la publicité joue un rôle essentiel, notamment pour permettre la valorisation des résultats de recherche.De plus, il est interdit de réutiliser les données de santé pour prendre des décisions préjudiciables à une personne physique ou pour développer des produits ou des services susceptibles de nuire aux individus, ou à la santé publique.
2 – Acteurs clés et cadre de la gouvernance dans la réutilisation des données de santé
Ainsi, la personne qui détient des données de santé doit mettre les données à la disposition de l’utilisateur.
L’appréciation du terme « détenteur de données » est large, cela englobe les prestataires de soins de santé ou de soins, mais aussi les maisons de retraite, les centres de soins de jour, les entités fournissant des services aux personnes handicapées, les activités commerciales et technologiques liées aux soins telles que l’orthopédie et les entreprises fournissant des services de soins, les personnes morales qui développent des applications de bien-être, ou bien les institutions de l’Union qui traitent les catégories de données de santé et de soins de santé et les registres de mortalité.
Cependant, les détenteurs ont la possibilité d'invoquer le secret des affaires lorsque leurs données peuvent bénéficier de protections au titre des droits de propriété intellectuelle, mais ils doivent en informer l'organisme des données de santé.
Lorsque l’utilisateur fait une demande d’accès afin d’obtenir un jeu de données, une compensation pourra lui être demandée afin d’englober les coûts liés à la conduite de la procédure de la demande d’accès, à la consolidation, à la préparation, à l'anonymisation, à la pseudonymisation et à la mise à disposition des données électroniques de santé.
Elle est évaluée par le détenteur de données, ce dernier informe le Health Data Access Body (HDAB). Le HDAB communique à l'utilisateur les informations relatives à la compensation que ce dernier devra payer même s’il retire sa demande. La compensation est effectuée à deux niveaux, l'une étant perçue par le HDAB et l'autre par le détenteur de données.
Une gouvernance est instaurée par le règlement afin d’assurer le respect des dispositions relatives à la réutilisation des données de santé.
Chaque Etat membre doit désigner un organisme responsable de l’accès aux données (Health Data Access Body).
Plusieurs missions sont confiées à cet organisme. Par exemple, il devra gérer les demandes d’accès aux données ainsi que les demandes de permis pour une utilisation secondaire, contrôler et superviser la conformité des détenteurs et utilisateurs de données aux exigences du EHDS, et sanctionner les infractions.
Enfin, les autorités de contrôle chargées de surveiller et de faire respecter l'application du règlement (UE) 2016/679, sont chargées de surveiller et de faire respecter le droit de s'opposer au traitement des données de santé électroniques à caractère personnel en vue d'une utilisation secondaire.
3 – Focus sur la stratégie des données de santé française
Le 30 septembre 2024, le Gouvernement a dévoilé sa « Stratégie interministérielle pour construire notre patrimoine des données de santé ». La version proposée résulte de ces travaux collaboratifs et est actuellement mise en consultation publique. Les résultats de cette consultation seront dévoilés le 3 décembre, accompagnés des modalités de mise en œuvre et de suivi.
La stratégie française en matière de données de santé poursuit un double objectif : d'une part, élaborer conjointement une trajectoire commune, cohérente et ambitieuse pour le développement des bases de données et l'exploitation secondaire des données de santé, et d'autre part, accompagner les parties prenantes, en particulier les détenteurs et utilisateurs de ces données, dans leur préparation à l'entrée en vigueur du règlement européen sur les données de santé.
La stratégie présentée repose sur quatre axes pour atteindre ses objectifs. Tout d'abord, le Gouvernement entend favoriser la transparence et la confiance des citoyens en établissant une gouvernance nationale claire et représentative, en refondant le Comité stratégique des données de santé, et en simplifiant l'exercice des droits tout en améliorant l'information des citoyens.
Ensuite, il vise à constituer des bases de données réutilisables en enrichissant le patrimoine de données et en veillant à leur disponibilité dès la phase de conception.
Par ailleurs, afin de créer les conditions propices au partage et à la réutilisation des données de santé, la stratégie propose d'élaborer un modèle équilibré de partage de données et de mettre en place un répertoire national des bases de données françaises.
Enfin, le Gouvernement souhaite faciliter et simplifier l'utilisation des données en encourageant des procédures de mise à disposition allégées, en réduisant le recours aux procédures d'autorisation de la CNIL et du CESREES, ainsi qu'en explorant la possibilité d'utiliser des données synthétiques pour alléger les démarches administratives.
En outre, l'accessibilité des données sera améliorée grâce à l'instauration de principes harmonisés pour leur mise à disposition dans les entrepôts, ainsi qu'à l'optimisation de l'accès aux données de la base principale du SNDS.
Après la création de l’espace européen des données de santé, sommes-nous en marche vers la création d'un « espace européen dédié à l’intelligence artificielle en santé » ?
Un appel à projets européen visant à favoriser le développement de solutions d'IA dans les dispositifs médicaux (DM) a été remporté par le Health Data Hub.
Ce projet, intitulé Shaiped, aspire à préserver la position de leader de l’Europe dans le domaine de l’intelligence artificielle en santé, face à une concurrence internationale de plus en plus vive. Lancé en 2025, Shaiped s’appuiera sur 3 cas d’usage pour démontrer le potentiel de l'IA dans le but d’améliorer la prise en charge des patients et renforcer l'efficacité des systèmes de santé européens.
Le premier cas se concentrera sur l'insuffisance rénale chronique en analysant l'adaptabilité des modèles d'intelligence artificielle aux données provenant de plusieurs pays européens, grâce à la collaboration de l'hôpital universitaire d'Aarhus. Un second cas se focalisera sur l'évaluation d'un logiciel d'IA destiné aux pacemakers, en partenariat avec l'entreprise française Implicity. Enfin, le troisième cas, en collaboration avec le centre de lutte contre le cancer Léon-Bérard à Lyon, examinera l'efficacité d'une technologie de détection des métastases pulmonaires et des mammographies.
Ce projet est-il réellement adéquat pour justifier l'émergence d'un espace européen dédié à l'intelligence artificielle en santé ? Construisons-nous véritablement un « espace européen de l’intelligence artificielle en santé », ou cette ambition reste-t-elle, à l'heure actuelle, hors de portée ?
Autres articles qui peuvent vous intéresser
Contrats
6/1/2025
13 min de lecture
Logiciel & révision unilatérale du prix : entre liberté contractuelle et encadrement juridique
À travers cet article, nous souhaitons vous faire part de plusieurs retours d’expérience susceptibles de vous aider à prévenir l’émergence de litiges et, par conséquent, à sécuriser vos relations commerciales.
Nous n’évoquerons pas les relations entre commerçants, régies par le Code de Commerce. Nous nous concentrerons sur une situation particulière, bien que relativement courante, à savoir les relations commerciales entre un éditeur de logiciel et un client professionnel.
Innovations
13/1/2025
10 min de lecture
IA ACT : Protection des droits et intelligence artificielle
Depuis plusieurs années, l’Union Européenne cherche à encadrer les développements de l’intelligence artificielle pour concilier innovation et protection des droits fondamentaux. Dans ce contexte, le Règlement UE 2024/1689 (IA Act) a été adopté par le Parlement européen et le Conseil le 13 juin 2024, avant sa publication au Journal officiel de l’Union européenne le 12 juillet 2024.
Ce texte instaure une réglementation basée sur une approche par les risques, interdisant certaines pratiques et imposant des exigences strictes, notamment pour les systèmes d’IA à haut risque. L’application de ce règlement est particulièrement marquante dans le domaine de la santé, où l’IA promet des avancées majeures tout en exigeant le respect de nombreuses législations européennes, telles que le RGPD et le règlement MDR.
Conformités
12/2/2025
8 min de lecture
RGPD vs IA : Les défis de la protection des données personnelles dans la mise en place des SIA
À l'heure où les premières dispositions du règlement sur l'intelligence artificielle entrent en vigueur, la mise en conformité des systèmes d’IA s’impose comme un enjeu incontournable.
L'intelligence artificielle (IA) est définie par le Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 comme suit : « Un système conçu pour fonctionner avec des éléments d'autonomie et capable, pour un ensemble donné d'objectifs définis par l'homme, de générer des résultats tels que du contenu, des prédictions, des recommandations ou des décisions influençant les environnements avec lesquels il interagit. » Le règlement distingue entre les systèmes d'intelligence artificielle (SIA) et les modèles d'IA à usage général.
Les SIA sont des applications d'IA conçues pour des tâches ou des domaines spécifiques, comme les systèmes d’aide au diagnostic médical. En revanche, les modèles d'IA à usage général sont des systèmes polyvalents, capables d'être utilisés dans une variété de contextes et pour diverses applications. Par exemple, un modèle de traitement du langage naturel peut être adapté pour réaliser de la traduction automatique.
L'intelligence artificielle soulève des questions complexes, en particulier dans le domaine de la protection des données personnelles. En effet, les systèmes d'intelligence artificielle fonctionnent en utilisant une quantité importante voire massives de données, justifiant l'instauration d'un cadre rigoureux encadrant leur utilisation et leur traitement, en veillant au respect des droits fondamentaux des individus, dont le respect de la vie privée.
Les enjeux sont multiples : comment garantir que les algorithmes ne compromettent pas la confidentialité des individus ? Comment s’assurer que l’analyse de données exercée par les systèmes d’IA reste éthique et conforme aux principes de transparence, d’équité et de responsabilité ?
Pour faire face à ces enjeux, qui ne sont pas les mêmes en phase de conception et en phase de déploiement, les autorités de protection des données, telles que la CNIL en France et le CEPD au niveau européen, doivent constamment réévaluer et ajuster leurs doctrines pour éclairer les acteurs de terrain sur les démarches de conformité à réaliser en intégrant les évolutions technologiques. Nous faisons ici un tour d’horizon des récentes évolutions dece cadre doctrinale et/ou réglementaire relatif à l’IA et au RGPD.
