EHDS – utilisation secondaire des données de santé électroniques (chapitre IV)

• Le chapitre IV règle la réutilisation de données de santé électroniques à six finalités limitatives, via des organismes nationaux responsables de l'accès aux données de santé^[1].
• Les prestataires de soins qui traitent des données en tant que responsable du traitement sont détenteurs de données ; les personnes physiques et les micro-entreprises en sont exemptées^[1][2].
• Les détenteurs de données décrivent leurs jeux de données, vérifient cette description chaque année et fournissent les données demandées dans un délai de trois mois (prolongeable de trois mois)^[1].
• L'accès se fait par défaut sous forme anonymisée et via un environnement de traitement sécurisé ; la décision sur une autorisation suit dans un délai de trois mois^[1].
• Chacun bénéficie d'un droit d'opt-out réversible ; une exception nationale est facultative^[1].
• Le chapitre IV s'applique à partir du 26 mars 2029 ; à partir du 26 mars 2031 pour les déterminants de la santé, les données génomiques et autres données omiques, les essais cliniques et les cohortes de recherche^[1].
• Les amendes pour les détenteurs de données vont jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel ; l'État membre décide si les institutions publiques peuvent être sanctionnées^[1].

Cette page traite du chapitre IV de l'EHDS (Espace européen des données de santé). L'utilisation secondaire est le traitement de données de santé électroniques aux fins du chapitre IV, autres que les finalités initiales pour lesquelles elles ont été collectées^[1]. L'EHDS laisse intacts le RGPD, le Data Governance Act et le règlement sur les données^[1]. Selon la Commission, la principale différence avec le Data Governance Act est que l'EHDS oblige les détenteurs de données à mettre à disposition les catégories de l'art. 51^[2]. L'infrastructure transfrontalière figure sur DonnéesDeSanté@UE, les actes d'exécution sur Actes d'exécution de l'EHDS (état des lieux), la mise en œuvre belge sur L'EHDS en Belgique (mise en œuvre) et Agence des données de santé (Health Data Agency, HDA/GDA) ; l'utilisation primaire figure sur Utilisation primaire des données de santé électroniques (EHDS) – chapitre II.

L'art. 51(1) énumère dix-sept catégories minimales^[1], à commencer par les données issues des DME (a)^[1]. D'autres catégories sont notamment les données administratives liées aux soins (e)^[1], les données générées automatiquement par des dispositifs médicaux (h) et les données issues de registres médicaux et de registres de mortalité (l)^[1]. À partir du 26 mars 2031 suivent les déterminants de la santé (b)^[1], les données génétiques, génomiques et autres données omiques (f, g)^[1], les données issues d'essais cliniques et d'études (m)^[1] et les cohortes de recherche et enquêtes (p)^[1]. Facultatif pour l'État membre : désigner des catégories supplémentaires^[1] et prévoir des garanties plus strictes pour les données génétiques, les données omiques, celles des applications de bien-être et celles des biobanques^[1].

L'accès n'est permis que pour six finalités, dont la recherche scientifique (avec l'entraînement, les tests et l'évaluation d'algorithmes) et l'amélioration de la prestation de soins^[1]. La santé publique, l'élaboration des politiques et la statistique officielle sont réservées aux organismes publics et aux institutions de l'UE^[1]. L'art. 54 interdit notamment les décisions préjudiciables à l'égard de personnes, les décisions sur des conditions d'assurance ou de crédit et la publicité^[1]. Selon la FAQ de la Commission, le règlement ne fait pas de distinction selon qui mène la recherche^[2]. TEHDAS2 (non contraignant) lit l'art. 53 comme exhaustif, de sorte que toute autre utilisation est interdite (interprétation)^[3], et ne voit pas l'entraînement de l'IA comme une finalité autonome mais uniquement comme une composante de la recherche scientifique (interprétation)^[3].

Qui ? Un détenteur de données est notamment toute personne physique ou morale, ou tout organisme public, qui, dans le secteur des soins ou du bien-être, traite des données de santé en qualité de responsable du traitement^[1]. Si un fournisseur de DPI agit comme sous-traitant, c'est le prestataire de soins qui est le détenteur de données, et non le fournisseur^[2] ; en cas de responsabilité conjointe du traitement, les parties règlent entre elles qui communique avec l'organisme responsable de l'accès aux données de santé^[2].

Exceptions. Les personnes physiques et les micro-entreprises sont exemptées^[1] ; selon la Commission, un prestataire de soins qui perd ce statut relève bien de l'obligation^[2]. Facultatif : un État membre peut étendre les obligations à ces groupes^[1] et faire exécuter les tâches de certains détenteurs de données par des intermédiaires de données de santé, à notifier pour le 26 mars 2029^[1].

Obligations. - Mettre à disposition les données pertinentes de l'art. 51 sur la base d'une autorisation ou d'une demande approuvée ^[1], au plus tard trois mois après la demande, prolongeable de trois mois^[1]. Selon la Commission, cela vaut aussi pour les données électroniques existantes, quelle que soit la date de collecte^[2]. - Décrire les jeux de données pour le catalogue national et contrôler la description au moins une fois par an^[1] ; les métadonnées minimales suivent HealthDCAT-AP conformément au règlement d'exécution (UE) 2026/2098, applicable à partir du 26 mars 2029^[4]. Voir HealthDCAT-AP. - Signaler quelles données sont protégées par des droits de propriété intellectuelle ou des secrets d'affaires^[1]. - Les détenteurs de données non personnelles les mettent à disposition via des bases de données ouvertes fiables^[1]. - En cas de constatation significative concernant la santé d'une personne, le détenteur de données informe, dans les conditions nationales, la personne ou son soignant^[1]. - Selon la Commission, la mise à disposition repose sur une obligation légale (art. 6(1)(c) du RGPD)^[2] ; le détenteur de données en est le responsable du traitement^[1].

Label de qualité et d'utilité. Les jeux de données collectés avec un financement public doivent porter un label ^[1] ; selon la Commission, le label est facultatif pour un hôpital qui ne reçoit un financement public que pour les traitements^[2]. Le label exige une documentation telle que des métadonnées, un dictionnaire de données et un modèle de données, sans prescrire un modèle comme OMOP^[1]. Celui qui joint un label fournit à l'organisme responsable de l'accès aux données de santé la documentation permettant de le contrôler^[1].

Redevance. La redevance de l'organisme responsable de l'accès aux données de santé peut comprendre une compensation des coûts du détenteur de données, compensation qui est versée au détenteur de données^[1]. Selon TEHDAS2 (non contraignant), les limitations tarifaires du Data Governance Act ne s'y appliquent pas^[5].

Sanctions. En cas de rétention de données ou de non-respect des délais, l'organisme responsable de l'accès aux données de santé peut imposer une astreinte journalière et, en cas de récidive, une exclusion des demandes d'accès pouvant aller jusqu'à cinq ans^[1]. L'amende administrative s'élève au maximum à 10 millions d'euros ou à 2 % du chiffre d'affaires annuel mondial^[1]. Facultatif : l'État membre détermine si les organismes publics et les institutions publiques peuvent être sanctionnés par une amende^[1]. Selon TEHDAS2, le rôle obligatoire d'un détenteur de données ordinaire se limite pour l'essentiel à l'extraction et à la fourniture des données^[5].

Selon la Commission, le détenteur de données et l'organisme responsable de l'accès aux données de santé peuvent tous deux pseudonymiser, la responsabilité finale incombant à l'organisme responsable de l'accès aux données de santé ; les hôpitaux peuvent joindre des identifiants de patients hachés en vue d'un couplage ^[2]. La clé reste chez l'organisme responsable de l'accès aux données de santé ou chez un tiers de confiance selon le droit national ^[1] ; voir Pseudonymisation et anonymisation (plate-forme eHealth). Les redevances doivent être proportionnées aux coûts ; les États membres peuvent instaurer des tarifs réduits (facultatif)^[1]. À défaut d'accord dans le mois, l'organisme responsable de l'accès aux données de santé peut fixer la redevance^[1]. TEHDAS2 recommande une facture unique et des paiements échelonnés (non contraignant) ^[6]. La réidentification est interdite^[1] ; pour les utilisateurs, des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel s'appliquent^[1].

Chacun obtient un droit d'opt-out, à tout moment, sans motivation et réversible^[1]. Après un opt-out, les données ne sont plus utilisées pour les autorisations ou demandes approuvées ultérieurement, mais les autorisations antérieures restent intactes^[1]. Facultatif : une exception nationale pour des missions publiques en santé publique ou de la recherche d'intérêt général majeur^[1], sous conditions cumulatives^[1], à notifier sans délai à la Commission^[1]. Un détenteur de données n'est pas tenu de conserver des informations d'identification supplémentaires uniquement pour l'opt-out^[1]. Selon la Commission, l'opt-out ne s'applique pas à un détenteur de données qui ne peut pas identifier la personne^[2], il laisse intactes les obligations de déclaration telles que celles des maladies à déclaration obligatoire^[2] et il est indépendant de l'opt-out pour l'utilisation primaire^[2]. TEHDAS2 lit que les États membres peuvent aussi instaurer des opt-out plus fins (interprétation)^[7]. La surveillance relève des autorités de contrôle du RGPD, en Belgique l'APD^[1].

Facultatif : les États membres peuvent désigner comme « trusted health data holder » des détenteurs de données disposant d'un environnement de traitement sécurisé conforme^[1]. Celui-ci évalue la demande et transmet une proposition dans les deux mois ; l'organisme responsable de l'accès aux données de santé décide dans les deux mois et n'est pas lié par cette proposition^[1]. Selon la Commission, un État membre peut par exemple désigner comme intermédiaire agissant au nom des hôpitaux un organisme public qui gère un dossier patient centralisé, mais un tel intermédiaire ne peut pas être un trusted data holder^[2]. Les intermédiaires EHDS diffèrent des services d'intermédiation de données du Data Governance Act^[2]. En Belgique, des trusted data holders et des réseaux de données hospitaliers comme intermédiaires sont en préparation^[8][9] ; voir L'EHDS en Belgique (mise en œuvre).

Les États membres désignent un ou plusieurs organismes responsables de l'accès aux données de santé, avec un coordonnateur unique en cas de pluralité^[1], et les notifient au plus tard le 26 mars 2027^[1]. Selon la Commission, leur nombre est illimité et les tâches peuvent être réparties territorialement, par fonction ou par catégorie^[2]. Les conflits d'intérêts entre l'évaluation des demandes, la préparation des jeux de données et l'environnement de traitement doivent être évités^[1]. Les organismes responsables de l'accès aux données de santé tiennent un catalogue public des jeux de données^[1] et publient tous les deux ans un rapport d'activité comprenant notamment le délai de traitement moyen^[1]. L'organisme responsable de l'accès aux données de santé est responsable du traitement pour ses propres tâches et sous-traitant pour l'utilisateur^[1].

Le point de contact national pour l'utilisation secondaire est notifié pour le 26 mars 2027^[1] et se raccorde à DonnéesDeSanté@UE^[1]. La Commission gère la plate-forme centrale en qualité de sous-traitant et peut proposer son propre environnement de traitement sécurisé^[1]. Le comité de l'EEDS compte, par État membre, un représentant pour l'utilisation primaire et un pour l'utilisation secondaire^[1].

Rapport avec d'autres règles. Les organismes responsables de l'accès aux données de santé coopèrent notamment avec les autorités compétentes au titre du règlement sur les données, du MDR/IVDR et du règlement sur l'IA^[1] ; le label de qualité tient compte des exigences de qualité des données pour l'IA à haut risque^[1]. Proposition (pas encore adoptée) : la proposition Digital Omnibus abrogerait le Data Governance Act, de sorte que les références de l'EHDS à celui-ci devraient peut-être être adaptées^[2].

La Commission soutient l'utilisation secondaire notamment via le projet pilote EHDS2, l'action conjointe TEHDAS2 et des subventions pour les organismes responsables de l'accès aux données de santé^[14]. La ligne directrice TEHDAS2 D6.1 pour les détenteurs de données n'est pas contraignante et distingue les obligations des pratiques recommandées^[5]. D'autres lignes directrices portent sur les redevances^[6], les finalités^[3] et l'opt-out^[7]. La dernière consultation sur sept projets de lignes directrices a eu lieu du 5 mai au 29 juin 2026 ; les textes définitifs sont prévus pour l'automne 2026^[15]. Une actualité TEHDAS2 du 30 septembre 2026 à propos d'un atelier du 29 mai 2026 (non contraignante) qualifie d'essentiels l'expérience pratique, le soutien aux implémenteurs et une coopération européenne durable^[16]. Lors du dialogue de mise en œuvre du 10 juin 2026, des prestataires de soins ont signalé des moyens limités et un manque d'urgence ^[17] et des participants ont demandé une mise en œuvre harmonisée^[17].

S'applique aux hôpitaux, laboratoires, cabinets de médecine générale, pharmacies et autres détenteurs de données qui ne sont pas des micro-entreprises^[1][2].

Recommandation : inventoriez quels jeux de données relèvent de l'art. 51 et qui en est le responsable du traitement, préparez des métadonnées conformes à HealthDCAT-AP et suivez sur L'EHDS en Belgique (mise en œuvre) si la Belgique désigne des trusted data holders et des réseaux de données hospitaliers comme intermédiaires, parce que cela détermine quelles tâches restent chez le prestataire de soins individuel.

• 2031 ne s'applique pas aux images du chapitre IV : dans le chapitre IV, 2031 ne s'applique qu'à l'art. 51(1)(b), (f), (g), (m) et (p)^[1] ; les images médicales relèvent des données de DME visées à l'art. 51(1)(a) et sont donc soumises aux règles à partir de 2029 (interprétation)^[1]. La date de 2031 pour l'imagerie concerne l'utilisation primaire^[1] ; voir Utilisation primaire des données de santé électroniques (EHDS) – chapitre II. Un résumé de la Commission mentionne, dans une même phrase, les images pour 2031 (utilisation primaire) et « les autres catégories » (utilisation secondaire)^[23].
• Label : acte d'exécution ou acte délégué ? L'art. 78(6) prévoit que les spécifications du label de qualité sont fixées par des actes d'exécution^[1], et l'initiative 18853 est un acte d'exécution^[13]. La même question de la FAQ sur le label (question 42) indique toutefois que les détails, y compris les niveaux, figureront dans « a delegated act »^[2]. L'art. 78(5) ne prévoit des actes délégués que pour modifier les éléments du label ; le règlement et l'initiative en cours sont donc déterminants sur ce point (interprétation)^[1].
• Digital Omnibus est une proposition ; les conséquences pour les références au Data Governance Act sont incertaines^[2].
• Indications belges : l'Agence des données de santé a indiqué que sa désignation comme organisme responsable de l'accès aux données de santé désigné comme coordonnateur et point de contact devait encore faire l'objet d'une approbation politique^[8] ; aucune désignation formelle n'a été trouvée.
• Les termes traduits de cette page sont des traductions de travail, sauf là où ils ont été confrontés à la version linguistique authentique du règlement : cela a été fait le 29 octobre 2026 pour la terminologie française, pas encore pour la néerlandaise.