L’Espace européen des données de santé : la révolution de l'accès aux données

Qu’est-ce que l’Espace européen des données de santé ?

Une initiative clé de l’Union européenne pour le secteur de la santé 

L’Espace européen des données de santé (EHDS – European Health Data Space) constitue une avancée majeure pour la recherche et l’innovation en santé. Créé par un règlement européen de mars 2025, l’EHDS vise à créer un cadre harmonisé pour  l’accès, l’échange et la réutilisation des données de santé électroniques dans l’ensemble des États membres.

Il s’agit du premier espace de données sectoriel à l’échelle européenne, pierre angulaire de la stratégie européenne pour les données et de la décennie numérique. 

Une ambition : faciliter l’accès, l’échange et la réutilisation des données de santé

L’EHDS repose sur une conviction forte : mieux exploiter les données de santé, c’est soigner mieux, innover plus vite et mieux piloter les politiques publiques. 

Il s’agit de mettre fin aux bases de données parcellaires et aux restrictions d’accès imposées par ceux qui les détiennent qui sont préjudiciables aux patients, professionnels de santé, aux politiques publiques et, évidemment, aux acteurs de la recherche et de l’innovation.  

Cette ambition se déploie en deux temps :

• Disponibilité des données : il contribue à structurer à l’échelle européenne des bases de données de santé électroniques susceptibles d’être utiles et utilisées ;  
• Accessibilité des données : il facilite l’accès à ces données en établissant des règles claires et unifiées au sein de l’Union européenne. 

Un encadrement de toutes les usages des données de santé 

L’EHDS intervient sur l’ensemble du cycle de vie des données de vie en régulant : 

• L’utilisation primaire, c’est-à-dire pour prodiguer des soins et des services connexes (sociaux, administratifs, remboursement) ; 
• L’utilisation secondaire, c’est-à-dire la réutilisation de données collectées ou produites à d’autres fins, et en particulier la recherche scientifique, le développement et l'évaluation de produits mobilisant des données de santé (DM, DM-DIV, SIA, applications de santé numériques…) et l’élaboration de politiques publiques. 

De nouvelles opportunités et de nouvelles obligations

• Les patients se voient accorder de nouveaux droits sur leurs données, dans la continuité de ceux institués par le RGPD. Ils devraient bénéficier d’un accès facilité à leurs données numérisées et être en mesure de décider pourquoi et avec qui ils souhaitent les partager. 
• Les professionnels de santé et prestataires de soins de santé devraient être en mesure d’accéder à davantage concernant leurs patients, y compris lorsqu’elles sont hors frontières ou collectées par des outils tiers. Une meilleure prise en charge, y compris en évitant la répétition des examens, est attendue. Ils auront également de nouvelles obligations en matière de numérisation. 
• Les logiciels qualifiés de “systèmes de dossier médical électroniques” et ceux qui les commercialisent seront soumis à de nouvelles exigences techniques, notamment en termes d'interopérabilité et de journalisation, de documentation et de déclaration ou de marquage de conformité, selon une logique similaire à celle des règlements applicables au DM, DMDIV et systèmes d’intelligence artificielle. 
• Les régulateurs et décideurs politiques devraient accéder plus facilement aux informations nécessaires pour élaborer des politiques publiques fondées sur des données probantes ou pour gérer des crises en matière de santé publique. 
• Les structures de recherche qui auront plus facilement accès à un large éventail de données de qualité et pourront mieux préparer les études cliniques et développer d’autres méthodologies de recherches, 
• Les medtechs, biotechs et techbios qui pourront plus facilement disposer des données nécessaires pour développer de nouveaux produits ou services en santé; 
• Les détenteurs de données de santé qui auront l’obligation de donner accès aux données dont ils disposent à ceux qui souhaitent en faire un autre usage.  

Une révolution pour la recherche et l’innovation en santé 

Un cadre réglementaire harmonisé pour la réutilisation de données

Les données de santé sont utiles pour de nombreuses applications au delà du soin : 

• études rétrospectives et développement des nouvelles méthodologies de recherche clinique (données synthétiques, jumeaux numériques…), 
• développement et évaluation de nouveaux outils numériques (dispositif médicaux numériques et les systèmes d’intelligence artificielle), 
• élaboration et évaluation des politiques de santé publique, 
• vigilance sanitaire (pharmacovigilance...). 

Il existe pourtant une véritable frilosité au partage de données de santé qui rend l’accès long et compliqué et ce pour plusieurs raisons  : 

• La crainte de ne pas respecter le cadre réglementaire (RGPD et Loi Informatique et libertés) qui ne prévoit pas explicitement cette hypothèse et nécessite une articulation fine des textes et des rôles des différents intervenants,
• La volonté de valoriser les données par le biais d’un prix, de droits sur les résultats ou encore des parts de la société utilisatrice, pour compenser les coûts de collecte, de partage et, dans certains cas, le manque de ressources en général. 

L’apport majeur de l’EHDS c’est un cadre réglementaire unifié concernant les modalités d’accès aux données de santé. 

Une nouvelle voie d’accès aux données

L’EHDS crée une nouvelle procédure d’accès aux données de santé orchestrée par l’organisme responsable de l’accès aux données ou ORAD (ou HDAB pour Health Data Access Body), institué au sein de chaque Etat membre. En France, ce rôle devrait être confié à la Plateforme des données de santé (HDH ou Health Data Hub) sous réserve d’ajustement de ses missions. 

Les acteurs intéressés pourront adresser leur demande d’accès aux données à l’ORAD. Ce dernier vérifiera notamment que la demande a pour objet l’une des finalités prévues par le règlement. Le règlement distingue en effet : 

• Des finalités autorisées : recherche scientifique, y compris développement et innovation, essai et évaluation d’algorithmes, amélioration des soins, statistiques, enseignement, politiques publiques… 
• Des finalités interdites : prise de décision préjudiciable ou discriminatoire à l’encontre d’une personne, publicité, marketing, développement de produits préjudiciables, activités contraires à l’éthique définie au niveau national…

Si la demande est autorisée, l’ORAD la relaiera aux organismes qui détiennent les données concernées.  

Il sera toujours possible de s’adresser directement aux détenteurs de données, comme cela se fait actuellement, sans passer par l’ORAD. 

Par ailleurs, certains détenteurs dits “de confiance” se verront confier une partie des missions de l’ORAD. Cette casquette devrait concerner les acteurs qui ont déjà structuré une activité de mise à disposition de données, en particulier pour la France les entrepôts de données de santé. 

Une obligation de donner accès aux données 

L’EHDS crée une obligation de donner accès, assortie de sanctions financières, à un très large éventail de données en lien avec la santé telles que : 

• les données de santé électroniques provenant d’un dossier médical électronique, d’un dispositif médical ou d’une application bien-être, 
• les données administratives liées aux soins de santé 
• les données génétiques, épigénomiques et génomiques humaines et les autres donnés moléculaires humaines (protéomiques, transcriptomiques, métabolomiques, lipidomiques et d’autres données omiques)
• Les données des registres médicaux, de mortalité, de santé publique, de médicaments et de dispositifs médicaux, 
• Les données provenant d’essais, études et investigations cliniques, des études de performance, de cohortes de recherche, questionnaires et enquêtes, 
• Les données des biobanques et bases de données associées. 

Cette obligation concerne tous ceux qui détiennent des données listées ci-dessus, c’est-à-dire toutes les catégories d’acteurs de la santé : établissements de santé, fabricants de produits de santé, structures de recherche…

Ils auront également l’obligation de communiquer annuellement à l’ORAD une description de l’ensemble des données qu’ils détiennent pour que l’ORAD puisse disposer d’un catalogue exhaustif.  

Sont exonérées de ces obligations, les personnes physiques et les entreprises de moins de 10 personnes dont le chiffre d'affaires annuel ou le total du bilan annuel n'excède pas 2 millions d'euros, dites “microentreprises”. 

Conditions de valorisation des données

Les détenteurs pourront percevoir des redevances en contrepartie de la mise à disposition des données. Celles-ci devront être proportionnelles aux coûts de mise à disposition et des tarifs réduits voire la gratuité pourrait être prévue pour certaines catégories d’acteurs. 

Les redevances devraient pouvoir couvrir les coûts liés aux activités liés à une demande d’accès : consolidation, préparation, pseudonymisation, anonymisation et fourniture des données. 

En revanche, devraient être exclus de l’assiette des redevances, les coûts liés aux activités suivantes : collecte des données, en particulier dans le cadre du soin, création, mise à jour et maintenance des données, communication annuelle à l’ORAD de son catalogue de données, études de faisabilité préalables, information des personnes concernées par les données, en particulier en cas de découvertes significatives.

Une partie des redevances est destinée à l’ORAD pour couvrir les coûts d’instruction des demandes. 

Articulation avec la propriété intellectuelle et le secret des affaires 

L’EHDS a prévu un aménagement à l’obligation de partage des données en présence de : 

• droits de propriété intellectuelle, 
• secret des affaires,
• protections réglementaires propres à certaines données liées aux médicaments

Dans une telle situation, le détenteur des données est tenu d’en informer l’ORAD, en précisant les jeux de données concernés et en justifiant la nécessité d’une protection spécifique de ces données. Cette information doit en principe être adressée à l’ORAD en même temps que la description des données. 

L’ORAD évalue la possibilité de mettre les données à disposition tout en préservant ces droits et protection, le cas échéant en proposant des mesures techniques ou contractuelles spécifiques. 

L’ORAD refuse l’accès uniquement en cas de risque grave de violation de ces droits et protections. 

Les droits des personnes dans le cadre de l’utilisation secondaire

Les personnes disposent de deux droits spécifiques à l’utilisation secondaire, en plus dont ils disposent déjà au titre du RGPD : 

• Un droit de refuser (opt-out) que ses données fassent l’objet d’une utilisation secondaire. Ce droit peut s’exercer à tout moment, de façon réversible, selon un mécanisme qui devra être accessible et facilement compréhensible. Pour l’instant, le caractère global ou sélectif de ce refus n’est pas connu. 
• Un droit d’être informé d’une constatation significative concernant sa santé résultant de l’utilisation secondaire, assorti d’un droit de refuser d’en être informé. Cette information sera remontée par l’utilisateur au détenteur des données lequel informera la personne concernée, sous réserve du refus de cette dernière. 

Le calendrier de mise en œuvre 

Une entrée en application progressive 

Le règlement a été publié au Journal officiel de l’Union européenne le 5 mars 2025 avec une entrée en vigueur depuis le 26 mars 2025. 

Il sera applicable à compter du 26 mars 2027, sauf exceptions et en particulier : 

• La plupart des dispositions concernant l’utilisation secondaire seront applicables à compter du 26 mars 2029
• Celle concernant les systèmes de DMP et les applications de bien-être seront applicables à compter du 26 mars 2031. 

Des actes d’exécution viendront préciser les modalités concrètes, comme par exemple les spécifications techniques attendues pour les systèmes de DME, les modalités de fixation des redevances, etc.  

Les travaux en cours concernant la mise en oeuvre 

Outre les actes d’exécution précités, la mise en œuvre du règlement va nécessiter une adaptation du cadre législatif français. Un projet de loi est attendu pour le début de l'année 2026. 

Par ailleurs, plusieurs aspects suscitent des interrogations et font l’objet de travaux à la fois en France, pilotés par la Délégation au numérique en santé (DNS), et au niveau européen, dans le cadre du projet TEHDAS 2 (Second Joint Action Towards the European Health Data Space) pour ce qui concerne l’utilisation secondaire. 

Certains de ces travaux sont publics : 

• La concertation lancée par la DNE au printemps 2025 : https://participez.esante.gouv.fr/project/reglement-relatif-a-lespace-europeen-des-donnees-de-sante-eeds/presentation/presentation
• Les ateliers de travail de la DNS du 30 septembre 2025 : https://participez.esante.gouv.fr/project/reglement-relatif-a-lespace-europeen-des-donnees-de-sante-eeds/presentation/presentation
• Les projets de lignes directrices issues du projet TEHDAS 2 ouverts à consultation (passées et futures) : https://tehdas.eu/public-consultations/ 

Se préparer à l’EHDS dès aujourd’hui 

Pour les détenteurs de données 

L’impact du règlement va être majeur pour tous ceux qui détiennent des données de santé : établissements de santé, fabricants de produits de santé, structures de recherche…

Il est vivement recommandé de commencer à s’y préparer dès à présent pour avoir le temps d’être conforme lors de l’entrée en application dans trois ans et ainsi éviter les sanctions pécuniaires pouvant aller jusqu’à 20 millions ou 4% du CA annuel mondial. 

A ce stade, cela implique les activités suivantes : 

• Cartographier les données concernées par l’EHDS
• Recenser ses coûts de collecte et de mise à disposition des données et les modalités actuelles de valorisation de ces dernières pour évaluer l’impact économique du règlement sur ses activités
• Identifier les droits de propriété intellectuelle, secrets des affaires et protections applicables à ses données et, le cas échéant, les renforcer et préparer les justifications à apporter à l’ORAD
• Prévoir ou revoir le processus de contact des personnes concernées pour permettre l’exercice de leurs droits
• Mettre en place une veille pour se tenir informé des évolutions à intervenir, contribuer lorsque c’est possible et s’y préparer utilement
• Adapter ses contrats pour tenir compte de ses nouvelles obligations

Pour les fabricants et distributeurs de logiciels en santé  

• Identifier si celui-ci est susceptible d’être qualifié de “système de dossier médical électronique” (sachant que la définition est très large et pourrait inclure un large éventail d’outils) ou d’“application de bien-être”
• Dans l’affirmative, intégrer les nouvelles exigences techniques et formalités dans sa roadmap règlementaire
• Mettre en place une veille pour se tenir informé des évolutions à intervenir, contribuer lorsque c’est possible et s’y préparer utilement
• Adapter ses contrats pour tenir compte de ses nouvelles obligations 

Je suis à votre disposition pour vous accompagner.