EHDS : quel impact pour les DPO en santé [Avis de DPO]
L’Espace Européen des Données de Santé (EHDS) complète le RGPD en harmonisant à l’échelle de l’UE l’accès, l’échange et la réutilisation des données de santé, afin d’améliorer les soins et de stimuler l’innovation. Pour les DPO, cela entraîne un rôle renforcé en matière de gouvernance, sécurité, conformité et éthique, avec de nouvelles obligations pratiques (audits, AIPD, documentation, coopération avec les autorités).
L'Espace Européen des Données de Santé (EHDS) redéfinit les règles du jeu en matière de traitement des données de santé. Pour les DPO, cela signifie de nouvelles responsabilités, notamment autour de la gouvernance, de la sécurité, de l'usage secondaire des données et des droits des patients.
Avis de DPO : En synthèse, beaucoup de travail et de complexité en plus pour le DPO !
Points clés à retenir :
- L'EHDS complète le RGPD pour structurer l'échange des données de santé à l'échelle européenne
- Le rôle du DPO s'élargit à la gouvernance, à la sécurité et à la conformité des traitements EHDS
- Des actions concrètes sont à initier dès maintenant : audit, AIPD, formation, documentation
- Une vigilance éthique renforcée est requise pour les traitements concernant les mineurs et les personnes vulnérables
- La collaboration avec les plateformes nationales et les autorités devient incontournable
A noter qu’Adequacy intègre un module Santé capable de proposer les différents référentiels santé, y compris les différentes MR.
Comprendre l'EHDS : origines, objectifs et périmètre
L'Espace Européen des Données de Santé (EHDS) représente une avancée majeure dans la gouvernance des données de santé à l'échelle européenne. Porté par la Commission européenne, ce dispositif est formalisé par le Règlement (UE) 2025/327 publié au Journal officiel de l'UE le 5 mars 2025, qui vise à encadrer de manière harmonisée l'accès, l'échange et la réutilisation des données de santé dans les États membres.
Origines réglementaires et ambitions stratégiques
L'EHDS s'inscrit dans la continuité de plusieurs initiatives européennes, dont le RGPD (Règlement Général sur la Protection des Données) et les directives eHealth. L'ambition est double : favoriser un accès sécurisé aux données de santé pour améliorer les soins (usage primaire) et stimuler l'innovation à travers leur réutilisation (usage secondaire). Avec l’ouverture d’un accès direct du public à certaines catégories de données de santé, le dispositif franchit un nouveau cap en matière de transparence et de démocratisation de l’information. À travers ce cadre, la Commission souhaite créer une véritable infrastructure de données interopérable et souveraine à l'échelle de l'UE.
Le règlement EHDS est entré en vigueur le 26 mars 2025, marquant le début d'une période de transition progressive. Il prévoit notamment :
- La création d'un cadre technique et juridique commun
- La définition de standards européens d'interopérabilité
- L'établissement d'un organisme européen de gouvernance des données
Pour les DPO, cela implique une anticipation forte des transformations internes à opérer.
Quels types de données sont concernés ?
Le règlement EHDS concerne exclusivement les données de santé électroniques, incluant notamment :
Ces données sont considérées comme des données sensibles au sens de l'article 9 du RGPD. Par conséquent, leur traitement suppose un encadrement renforcé, comme expliqué ici.
Distinction entre usage primaire et usage secondaire
Le règlement distingue clairement deux types d'usages :
EHDS et souveraineté numérique
L'EHDS introduit la notion de plateformes nationales d'accès aux données, reliées à une infrastructure européenne centralisée. Cette gouvernance décentralisée, mais coordonnée, vise à garantir l'indépendance technologique et la souveraineté des États membres.
Pour les établissements de santé et les DPO, cela signifie :
- L'obligation d'enregistrer certains traitements auprès de leur plateforme nationale
- La mise en place de canaux sécurisés de transmission de données
- La participation éventuelle à des audits ou contrôles européens
RGPD vs EHDS
Rôle et responsabilités du DPO dans le cadre de l'EHDS
La mise en œuvre de l'EHDS impose une évolution significative du rôle du DPO au sein des établissements de santé. Si le RGPD conférait déjà une mission de conformité transversale, l'arrivée de ce nouveau règlement sectoriel place le DPO au cœur des dispositifs de gouvernance des données de santé.
De la conformité RGPD à l'articulation EHDS
Le RGPD établit des principes généraux (minimisation, finalité, sécurité…) que le DPO est chargé de faire respecter. Avec l'EHDS, ces principes doivent être appliqués dans un cadre plus contraint et harmonisé au niveau européen. Le DPO devient l'interlocuteur-clé entre l'établissement, les plateformes nationales EHDS et les autorités de contrôle compétentes.
Cette montée en complexité nécessite une compréhension fine du périmètre d'application, notamment pour :
- Les traitements intégrés dans les systèmes de DME
- Les données transmises à des fins de recherche ou de politique de santé publique
- La supervision de la pseudonymisation préalable à tout usage secondaire
Analyse d'impact (AIPD) : une obligation renforcée
Dans le contexte de l'EHDS, les AIPD prennent une importance stratégique. Tout traitement entrant dans le champ de l'usage secondaire devra faire l'objet d'une évaluation rigoureuse, intégrant notamment :
- L'identification des risques de réidentification
- Les flux transfrontaliers au sein de l'UE
- La compatibilité des finalités secondaires avec le cadre initial
Le DPO doit s'assurer que ces analyses ne soient pas perçues comme de simples formalités documentaires mais comme des outils décisionnels dans la validation des projets impliquant les données de santé.
Registre des traitements : évolutions avec l'EHDS
Le registre des traitements prévu par l'article 30 du RGPD doit être enrichi pour intégrer les spécificités EHDS :
Nouvelles obligations spécifiques EHDS à suivre par le DPO
Coopération avec les instances européennes et nationales
Le DPO doit renforcer ses interactions avec plusieurs entités :
- CNIL : pour les formalités liées aux entrepôts (déclarations ou autorisations spécifiques)
- Comité Européen de l'EHDS : qui centralisera certaines décisions d'interopérabilité et d'accès
- Responsables conjoints de traitement : notamment dans les GHT ou projets inter établissements
- Comités éthiques : garants de la légitimité des usages secondaires
Gouvernance, sécurité et interopérabilité : les défis pour les DPO
Sécurité des données : des exigences renforcées
Le traitement de données sensibles dans un contexte de partage transfrontalier implique des mesures de sécurité renforcées. Le règlement EHDS impose :
Gouvernance des accès et droits des patients
La logique d'un espace européen de données implique une gestion fine des droits d'accès. Les patients doivent pouvoir exercer leurs droits RGPD, même dans le cadre d'un traitement transfrontalier. Le rôle du DPO inclut :
- La supervision des mécanismes d'information des patients
- La vérification de la granularité des accès par rôle
- Le contrôle de la traçabilité des accès et consultations
- La revue régulière des politiques de conservation
Modèle de gouvernance EHDS local
Anticiper la mise en œuvre de l'EHDS : bonnes pratiques
Audit interne des données de santé : par où commencer ?
Le premier réflexe du DPO doit être de réaliser une cartographie des traitements potentiellement concernés. Étapes de l'audit :
1. Identifier les traitements liés au dossier médical, au PMSI, à la recherche, à l'enseignement
2. Distinguer usage primaire (soins) et usage secondaire (études, innovation)
3. Vérifier les échanges transfrontaliers existants (projets européens, partenariats)
4. Documenter via un tableau synthétique par traitement
Adapter les politiques de confidentialité
Les politiques d'information doivent évoluer pour intégrer :
- Les finalités secondaires prévues par l'EHDS
- Les plateformes nationales d'accès
- Les droits d'opposition spécifiques
- La durée de conservation selon les usages
Actions concrètes à mettre en œuvre
EHDS et données sensibles : vigilance éthique renforcée
Traitements à haut risque des mineurs et personnes vulnérables
Les données relatives à la santé des mineurs ou des personnes vulnérables nécessitent une vigilance particulière dans le cadre EHDS. Le DPO doit s'assurer que :
- La base légale invoquée est strictement conforme
- Les risques spécifiques sont identifiés dans l'AIPD
- Des mesures de pseudonymisation renforcées sont en place
Précautions pour les traitements EHDS de données sensibles
FAQ – EHDS et DPO
- L'EHDS remplace-t-il le RGPD dans le secteur santé ?
Non. L'EHDS vient compléter le RGPD avec des règles spécifiques au domaine de la santé, notamment pour l'usage secondaire des données.
- Les DPO devront-ils être certifiés ou formés spécifiquement ?
Non, aucune certification obligatoire n'est prévue. Mais une formation spécifique sur les obligations EHDS est fortement recommandée.
- Faut-il revoir toutes les AIPD existantes ?
Oui. Les traitements entrant dans le champ de l'EHDS nécessitent une réévaluation de l'analyse d'impact existante.
- Quelles sanctions en cas de non-conformité EHDS ?
Les sanctions suivent le régime du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
- Qui est responsable en cas de partage transfrontalier non sécurisé ?
Le responsable de traitement reste responsable, en coordination avec la plateforme nationale EHDS et les sous-traitants impliqués.
Sources et références
- Règlement (UE) 2025/327 du Parlement européen et du Conseil du 11 février 2025 relatif à l'espace européen des données de santé. Journal officiel de l'Union européenne, 5 mars 2025.
- Commission européenne (2025). European Health Data Space Regulation (EHDS). Disponible sur : https://health.ec.europa.eu/ehealth-digital-health-and-care/european-health-data-space-regulation-ehds_en
- Health Data Hub (2025). Publication du règlement sur l'Espace Européen des Données de Santé (EHDS) au Journal officiel de l'UE. Mars 2025.
- Ministère du Travail, de la Santé, des Solidarités et des Familles (2025). L'espace européen des données de santé. Juillet 2025.
- McDermott Will & Emery (2025). European Health Data Space Regulation enters into force. Mai 2025.
- Arnold & Porter (2025). European Health Data Space Regulation Published in the EU Official Journal. Mars 2025.
