Utilisation secondaire des données de santé : l'EHDS entre dans sa phase opérationnelle avec un acte d’exécution et un projet de loi français

Deux textes récents marquent néanmoins, d’ores et déjà, l'entrée de ce cadre dans sa phase opérationnelle. D'une part, la Commission a adopté le 18 septembre 2026 le règlement d'exécution (UE) 2026/2098 fixant les éléments minimaux de métadonnées que doivent fournir les détenteurs de données de santé pour la description de leurs ensembles de données[2], c’est à dire relatif aux catalogues d'ensembles de données. D'autre part, en France, le ministère chargé de la santé a soumis à consultation, dans sa version du 5 octobre 2026, un « Cadre de mise en œuvre du règlement EHDS en France »[3], qui centralise les orientations nationales retenues pour les usages primaire et secondaire des données de santé.

Après avoir rappelé les objectifs de l'EHDS en matière d'utilisation secondaire (1), seront détaillés les acteurs, leurs obligations et le calendrier applicable (2), avant de présenter le premier acte d'exécution relatif à l’utilisation secondaire aux métadonnées à fournir par les détenteurs (3) puis le cadre français construit en concertation avec l'écosystème et en articulation avec les travaux européens (4).

1. Les objectifs de l'EEDS en matière d'utilisation secondaire : un changement de paradigme

L'utilisation secondaire s'entend du traitement de données de santé électroniques pour des fins autres que les finalités initiales pour lesquelles ces données ont été collectées ou produites. Le règlement ambitionne de lever les obstacles qui limitent aujourd'hui la capacité des chercheurs, innovateurs, décideurs publics, régulateurs et médecins à réutiliser les données de santé pour la recherche, l'innovation, l'élaboration des politiques, la sécurité des patients ou la médecine personnalisée.

a. Une mise à disposition devenue obligatoire

Le règlement opère un véritable changement de paradigme : là où le partage reposait jusqu'ici sur une démarche volontaire entre détenteur et utilisateur, le texte impose aux détenteurs de mettre leurs données à la disposition des organismes responsables de l'accès aux données de santé (ORAD), à la demande de ces derniers, à la suite d'une autorisation de traitement délivrée ou d'une demande de données approuvée. La réutilisation encadrée devient ainsi le principe, et non plus l'exception négociée au cas par cas.

La notion de détenteur est entendue largement : elle vise notamment les prestataires de soins, les entités menant des recherches dans les secteurs de la santé ou des soins, celles qui développent des produits ou services destinés à ces secteurs ou des applications de bien-être, qu'elles soient publiques, à but non lucratif ou privées. L'article 51.1 énumère dix-sept catégories minimales de données (données issues des dossiers médicaux électroniques, données administratives et de remboursement, données génétiques et autres données « omiques », données des dispositifs médicaux et des applications de bien-être, registres, essais cliniques, cohortes, biobanques, etc.), socle que les États membres peuvent élargir mais non restreindre.

b. Des finalités limitativement énumérées et des usages interdits

L'accès n'est octroyé que si le traitement est nécessaire à l'une des finalités limitativement énumérées par le texte : (a) l'intérêt public dans le domaine de la santé publique ou de la santé au travail ; (b) l'élaboration de politiques et les activités réglementaires ; (c) les statistiques ; (d) l'éducation ou l'enseignement dans les secteurs de la santé ou des soins ; (e) la recherche scientifique ayant trait à ces secteurs, y compris les activités de développement et d'innovation de produits ou services et l'entraînement, les essais et l'évaluation d'algorithmes, notamment de systèmes d'IA ; (f) l'amélioration de la fourniture de soins et l'optimisation des traitements. Les finalités (a) à (c) sont réservées aux organismes du secteur public et aux institutions, organes et organismes de l'Union.

En miroir, sont interdites notamment les finalités couvrant la prise de décisions préjudiciables à une personne ou à un groupe de personnes, les décisions relatives à l'emploi, à l'assurance ou au crédit, la publicité et le marketing, le développement de produits nocifs (tabac, alcool, armes, produits addictifs) et les activités contraires aux dispositions éthiques du droit national.

c. Des garanties renforcées et des droits nouveaux

Le règlement fournit une base juridique à l'utilisation secondaire des données de santé à caractère personnel, y compris les garanties requises au titre de l'article 9.2, points g) à j), du RGPD ; les États membres ne peuvent dès lors plus maintenir ou introduire d'autres conditions, notamment d'exigence de consentement, sous réserve de mesures plus strictes visant à préserver le caractère sensible et la valeur de certaines données.

Le principe de minimisation se traduit par une hiérarchie des formes : les données sont fournies sous forme anonymisée lorsque la finalité peut être atteinte ainsi, et sous forme pseudonymisée uniquement lorsque l'utilisateur a suffisamment démontré que tel n'est pas le cas. L'accès aux données s'effectue au moyen d'un environnement de traitement sécurisé, dont seules des données à caractère non personnel peuvent être téléchargées. Les utilisateurs ne peuvent réidentifier ou tenter de réidentifier les personnes, doivent publier les résultats de l'utilisation secondaire dans un délai de 18 mois et ne peuvent donner accès aux données à des tiers non mentionnés dans l'autorisation.

En contrepartie de cette ouverture, toute personne le droit de refuser, à tout moment, sans motif et de manière réversible, le traitement de ses données à des fins d'utilisation secondaire. Enfin, le règlement poursuit des objectifs de découvrabilité des données (catalogues nationaux et européen), d'harmonisation des procédures d'accès et de coopération européenne via l'infrastructure DonnéesDeSanté@UE.

2. Le premier acte d'exécution en matière d’utilisation secondaire : un socle commun de métadonnées décrivant les ensemble de données

Le règlement d'exécution (UE) 2026/2098 est pris en application du règlement EHDS. Il donne corps à deux obligations articulées : (i) celle des ORAD de mettre à la disposition du public des catalogues normalisés et lisibles par machine décrivant, sous forme de métadonnées, les ensembles de données disponibles, et (ii) celle des détenteurs de communiquer à ces organismes la description des ensembles de données qu'ils détiennent, qu'ils contiennent ou non des données à caractère personnel, et d'en vérifier au moins une fois par an l'exactitude.

a. HealthDCAT-AP, cadre de métadonnées de référence

Afin de garantir l'interopérabilité sémantique et technique entre États membres, et la mise en relation des catalogues nationaux au sein du catalogue de l'UE, le texte impose l'utilisation du profil d'application HealthDCAT-AP. Fondé sur le profil général DCAT-AP, ce dernier est une spécification technique élaborée et gérée par la Commission, spécialement conçue pour la description des ensembles de données de santé mis à disposition aux fins de l'utilisation secondaire. Les détenteurs doivent exprimer les éléments minimaux en utilisant les définitions, la structure, les cardinalités et les vocabulaires contrôlés de ce profil.

b. Des éléments minimaux de métadonnées

L'annexe (partie B) dresse la liste des éléments minimaux à fournir. Outre des informations descriptives classiques (intitulé, description, identifiant unique et permanent, mots-clés, langue, éditeur, conservateur, point de contact, couvertures géographique et temporelle, type, provenance, mode de création), le texte retient des éléments directement utiles à l'instruction des demandes d'accès : les droits d'accès (public, restreint ou non public), la législation applicable, l'ORAD compétent, la catégorie de données de santé, les systèmes de codage et vocabulaires utilisés (ICD-10-CM, SNOMED-CT, etc.), le caractère structuré ou non de l'ensemble, une description structurée des variables, ainsi que le nombre d'enregistrements.

Doivent également figurer une indication de ce que l'ensemble « dispose de données à caractère personnel » au sens de l'article 4.1 du RGPD, et l'estimation du « nombre d'individus uniques » représentés. Ces métadonnées supposent, en amont, une qualification rigoureuse par chaque détenteur du caractère personnel ou anonyme de ses ensembles de données.

c. Champ et calendrier

Entré en vigueur le vingtième jour suivant sa publication intervenue le 18 septembre 2026, le règlement sera applicable à compter du 26 mars 2029, en cohérence avec l'entrée en application des dispositions relatives à l’utilisation secondaire de l’EHDS.

Ce premier acte en appelle d'autres : la Commission doit adopter, au plus tard le 26 mars 2027, les modèles harmonisés de demande d'accès, d'autorisation de traitement et de demande de données, ainsi que les exigences applicables aux environnements de traitement sécurisés ; un acte relatif aux principes communs en matière de redevances est également attendu.

3. Le cadre français : une mise en œuvre concertée, adossée aux acquis nationaux

Une démarche de co-construction

Le document du 5 octobre 2026 se présente comme un cadre de référence évolutif, appelé à être actualisé au fil de la publication des actes d'exécution. Chaque thématique y est traitée selon une grille homogène distinguant ce que dit le règlement et les actes d'exécution, sa mise en œuvre en France, et ce qui reste à préciser au niveau européen ou national. Il prolonge une concertation engagée fin 2024 : comité citoyen ayant formulé 52 recommandations, concertation de l'écosystème autour de 15 thématiques d'arbitrage, groupes de travail du Conseil du numérique en santé depuis juin 2025, puis programme EEDS lancé au printemps 2026.

La France ne construit pas un modèle ex nihilo : elle s'appuie sur un écosystème déjà structuré (base principale du SNDS, entrepôts de données de santé, cohortes, registres, stratégie nationale « intelligence artificielle et données de santé »). Conformément au principe de non-surtransposition, le projet de loi DDADUE se limite aux mesures indispensables pour respecter l'échéance de mars 2027. Les droits des personnes, le régime propre au SNDS et les sanctions complémentaires relèveront d'un second véhicule législatif.

a. Une gouvernance tripartite et un guichet unique

Le projet de loi DDADUE organise une répartition coordonnée des missions d'ORAD entre trois acteurs : la Plateforme des données de santé (PDS), guichet unique pour les demandes d'accès, chargée de l'instruction, de la délivrance des autorisations, de la mise à disposition et des services communs ; la CNIL, qui conserve son rôle de garante de la protection des données, rend un avis conforme sur le volet relatif aux données personnelles et sanctionne les usages interdits, les extractions hors environnement sécurisé et les tentatives de réidentification ; et le ministère chargé de la santé, ORAD coordonnateur et interlocuteur des instances européennes. L'évaluation scientifique et éthique demeure confiée au CESREES, une demande ayant reçu l'avis favorable d'un comité scientifique et éthique local pouvant en être dispensée.

b. Le maintien des référentiels simplifiés comme voie prioritaire

Point saillant du dispositif, la procédure simplifiée reste la norme : lorsque le traitement est conforme à un référentiel, l'utilisateur adresse à la PDS une déclaration de conformité, sans autorisation individuelle. L'autorisation de traitement prévue par le règlement devient l'exception, réservée aux projets hors référentiels. S'y ajoutent la demande de données dans un format statistique anonymisé, la procédure accélérée pour les organismes publics (dont la liste sera fixée par décret en Conseil d'État) et le maintien des accès permanents au SNDS. Lorsqu'un détenteur de données de confiance est concerné, celui-ci pré-instruit la demande et transmet une proposition de décision à la PDS, son avis valant décision à défaut de réponse de la PDS dans un délai de deux mois.

c. Des choix structurants en matière de droits, de souveraineté et de sanctions

Le droit de refus des personnes concernées sera, en France, un droit général absolu, c’est à dire qui ne se déclinera pas selon les finalités ou les catégories de données ; la France entend toutefois recourir à la faculté de dérogation pour certains traitements d'intérêt public nécessitant l'exhaustivité des données. En matière de souveraineté, les données personnelles traitées par les ORAD, les détenteurs de données de confiance ou les environnements sécurisés ont vocation à rester hébergées et manipulées dans l'Union, la France renonçant à la faculté ouverte par le règlement d’autoriser leur conservation et leur traitement dans un pays tiers bénéficiant d’une décision d’adéquation. Le catalogue national prendra la forme du Répertoire des ensembles de données (RED), géré par la PDS et conforme au modèle HealthDCAT-AP, ce qui place les détenteurs en première ligne pour la mise en œuvre de l'acte d'exécution précité.

Enfin, les compétences de contrôle et de sanction sont réparties entre la PDS (collège des sanctions, astreinte plafonnée à 10 000 euros par jour) et la CNIL, un mécanisme d'information mutuelle prévenant le cumul de poursuites. La médiation en matière de redevances sera assurée par la PDS, l'Arcep étant l'autorité de recours.

Le cadre français dessine ainsi une mise en œuvre pragmatique, qui capitalise sur les acquis nationaux tout en s'inscrivant dans l'harmonisation européenne. De nombreux points restent toutefois à préciser - modalités d'exercice du droit de refus, alimentation du RED, articulation entre CESREES et comités locaux, redevances - et la consultation en cours constitue une occasion précieuse pour l'ensemble des acteurs de faire valoir leurs attentes. Ces échéances invitent dès à présent les détenteurs à anticiper : qualifier leur statut et leurs ensembles de données, cartographier et documenter leurs bases en vue de leur référencement, et sécuriser leurs contrats et les accès !