Smals

• Quoi : Smals est une asbl de droit privé qui, selon sa propre description, travaille exclusivement et au prix coûtant pour ses membres, comme service TIC interne pour la sécurité sociale et les soins de santé^[1][2], sur la base de l'article 17bis de la loi BCSS^[3].

• Qui le gère : les membres sont répartis en trois catégories avec droit de vote pondéré (A 67, B 28, C 5 pour cent)^[4], et la catégorie A présente 12 des 25 administrateurs au maximum^[4].

• Rôle en e-santé : Smals construit ou héberge notamment les services de base de la Plate-forme eHealth^[3], Recip-e^[5], la banque de données SAM^[3] et Vitalink FHIR^[3].

• Taille : en 2024, le chiffre d'affaires s'élevait selon la Cour des comptes à 573,6 millions d'euros^[6].

• Cour des comptes : elle accepte que des membres fassent appel à Smals sans marché public^[6] et qualifie le détachement de souvent moins cher que la consultance externe^[7], mais constate que la part des consultants informatiques externes dans le chiffre d'affaires passe de 17,8 à 36 pour cent (2014-2024), en partie en raison d'un plus grand nombre d'utilisateurs des accords-cadres^[7].

• Hôpital : selon le rapport d'activités 2025, un logiciel qui intègre des solutions de l'INAMI, du SPF Santé publique ou de la plate-forme eHealth a besoin, depuis fin 2024, d'une validation de l'équipe Healthcare Registration de Smals pour sa certification^[3].

• Plus grande incertitude : la fiche HavanaH mentionne encore SAMv2 comme système hébergé^[8], alors que SAM a migré en 2025 vers le cloud public^[3].

Smals est une association sans but lucratif (asbl) ; selon Smals, ses membres sont principalement les institutions publiques de sécurité sociale, la Banque Carrefour de la Sécurité Sociale (BCSS), les services publics fédéraux de la sécurité sociale et l'association Egov^[2] ; en nombre, les membres des catégories B et C sont toutefois bien plus nombreux (voir « Membres »)^[9]. Le but statutaire est de soutenir les membres de manière désintéressée en matière de gestion de l'information, de sécurité de l'information et de matières connexes^[4]. Smals est soumise au droit privé et n'est pas elle-même une institution publique ; les collaborateurs ont un contrat de travail avec Smals^[2]. Selon Smals, elle fournit des services exclusivement à ses membres, au prix coûtant, comme service TIC « in-house » ; les membres restent libres de pourvoir eux-mêmes ou via le secteur privé à leurs besoins TIC^[1]. La Cour des comptes nuance : Smals conclut des accords-cadres pour des experts informatiques externes au profit de ses membres et, dans de rares cas, de tiers^[6], et les organisations fédérales qui ne sont pas membres ne peuvent pas recourir au détachement, mais peuvent faire appel à des experts informatiques via un marché public conclu par Smals si les documents du marché le prévoient^[6]. Depuis 2008, Smals se concentre sur deux groupes cibles : le secteur social et les soins de santé^[10].

Smals situe son origine dans le cadre légal de la BCSS : le législateur énumère les instances qui peuvent s'associer dans une asbl de partage des coûts (loi du 15 janvier 1990, surtout l'article 17bis)^[3]. Selon l'exposé des motifs d'un projet de loi d'avril 2026, Smals est actuellement la seule association fondée sur cet article^[11]. La BCE enregistre Smals comme asbl depuis le 10 février 1940^[12] ; le numéro d'entreprise 0406.798.006 remplace depuis le 5 mars 2013 le numéro 0410.128.866^[12][2].

Historique

Smals a été créée pour permettre aux caisses d'allocations familiales d'utiliser les systèmes mécanographiques alors modernes^[13]. Après la Seconde Guerre mondiale, l'ONSS d'abord, puis l'INAMI, sont devenus membres ; le focus s'est ainsi déplacé des allocations familiales vers l'ensemble de la sécurité sociale (interprétation des jalons 1945 et 1949)^[10].

Smals gère des plates-formes de services distinctes (webservices) pour la sécurité sociale et pour les soins de santé^[3]. Pour les soins de santé, elle regroupe des applications web via les sites portails eHealth.fgov.be et MijnGezondheid.be^[3]. Smals dispose de deux grands centres de données, complétés par un troisième centre de données de secours chez l'un de ses membres^[18].

Services de base de la plate-forme eHealth

Sur la fiche de projet des services de base eHealth, Smals décrit que la Plate-forme eHealth ne gère elle-même aucune banque de données de contenu ni aucune infrastructure de réseau, mais propose des services de base que les acteurs et leurs prestataires de services TIC peuvent utiliser gratuitement^[22]. La plate-forme eHealth désigne elle-même Smals comme l'un de ses principaux sous-traitants de données à caractère personnel^[23]. Pour les services très critiques, comme les services de base de la plate-forme eHealth, Smals a opté pour une infrastructure High Availability entièrement autonome^[3]. À la demande de la plate-forme eHealth, Smals a mis en place un site web de statut, indépendant de sa propre infrastructure, pour les incidents et les interventions planifiées^[3]. Lors de la panne du 11 août 2026, ce site web de statut mentionnait Smals comme lead ; IAM, eHealthBox, Metahub, TherLink, Recip-e et Vitalink FHIR, entre autres, étaient touchés^[24]. Selon Smals, la plate-forme eHealth assure plus de 19 milliards de transactions électroniques par an^[3].

Smals Research, selon Smals une équipe d'une dizaine de chercheurs^[18], a élaboré les services génériques de pseudonymisation, qui constituent la pierre angulaire d'un service de base de la plate-forme eHealth pour le secteur médical^[3] ; voir Pseudonymisation et anonymisation (plate-forme eHealth). Smals affirme avoir introduit la pseudonymisation comme couche de protection supplémentaire et contribuer à maintenir en permanence la disponibilité de l'infrastructure G-Cloud sous-jacente^[25].

Pour l'eHealthBox, Smals indique que le nombre de messages a décuplé entre 2013 et 2020 pour dépasser 600.000 par jour, après quoi une nouvelle architecture, eHealthBox HC, est entrée en production^[19]. Cette solution est découpée en microservices, les pièces jointes volumineuses étant stockées séparément^[19].

Prescription électronique et médication

Smals héberge Recip-e depuis fin 2022 sur une plate-forme à haute disponibilité et est, depuis la mi-2024, également responsable de l'application elle-même^[5] ; selon la roadmap de Recip-e, l'équipe applicative est passée à Smals le 14 octobre 2024^[16]. En 2025, Smals a travaillé pour l'INAMI à la conversion de Recip-e vers FHIR, en vue de l'interopérabilité européenne^[3].

Sur sa propre fiche de projet, Smals décrit UHMEP comme une solution centralisée pour la gestion des prescriptions et des propositions de soins, avec l'INAMI comme institution^[20]. Smals compte sur environ 300 millions de prescriptions par an dans UHMEP ; il s'agit d'une prévision, pas d'un volume mesuré^[20]. Le projet Smals eReferral (prescription de renvoi électronique) était en 2025 en phase pilote, avec une première phase pour les prescriptions de soins infirmiers à domicile^[3] ; voir eReferral : déploiement, projets pilotes et enregistrement. Pour la plateforme d'aide à la décision pour les prescripteurs (PSS), Smals a construit en 2025 des composants web et une API FHIR qui, selon le rapport d'activités, seront proposés aux prestataires de soins et intégrés dans le DPI à partir de 2026 (annonce)^[3].

En 2025, la banque de données SAM, un projet de Smals pour l'INAMI, a été migrée de l'environnement High Availability vers le cloud public (Microsoft Azure)^[3] ; voir SAM v2 – Source authentique des médicaments. L'infrastructure Smals HavanaH, avec l'INAMI comme donneur d'ordre, est selon la fiche de projet destinée à héberger des systèmes hautement critiques comme SAMv2, VIDIS et (annoncé) UHMEP^[8]. Depuis 2025, les partenaires peuvent intégrer VIDIS via des webcomponents, un projet de Smals pour l'INAMI^[3].

Soins flamands et besoins en soins

Pour le Departement Zorg, Vitalink FHIR figure dans le rapport d'activités 2025 comme projet live : la migration vers FHIR permet à Zorg Vlaanderen de mieux exploiter les données^[3]. Selon Smals, Vitalink contient des informations sur plus de 4,5 millions de patients flamands, avec des pics de 8000 transactions par minute^[3]. Une fiche Smals plus ancienne, avec des chiffres de début 2018, situait Vitalink sur G-Cloud PAAS Greenshift^[26]. Smals a développé Vaccinnet 2.0, le système de commande et d'enregistrement des vaccins de l'Autorité flamande, avec stockage dans la banque de données Vitalink^[3]. L'application Zorgteam de Smals soutient la plate-forme flamande ALIVIA^[3]. Smals a remanié le Gemeenschappelijk Klantenbestand (statut « En acceptation »), avec environ 40.000 établissements de soins, une source centrale pour CoBRHA et CoBRHA+^[3].

Pour le SPF Santé publique, Smals développe BelRAI 2.0 ; en 2025, une étude a démarré pour « échanger des données BelRAI depuis toutes les entités fédérales pour chaque citoyen belge »^[3].

Intégration et enregistrement des logiciels

Selon le rapport d'activités 2025, un logiciel médical qui intègre des solutions de l'INAMI, du SPF Santé publique ou de la plate-forme eHealth a besoin, depuis fin 2024, d'une validation de l'équipe Healthcare Registration pour obtenir une certification officielle^[3]. Pour l'enregistrement VIDIS, le trajet passe par Smals ou par Vitalink, selon le coffre-fort santé régional avec lequel le logiciel s'intègre^[27] ; un logiciel qui a suivi le trajet d'audit Vitalink n'est plus tenu de passer un audit distinct pour VIDIS^[27]. Pour les tests d'enregistrement d'eReferral et de PSS Radiologie, Smals, que l'INAMI qualifie de « notre partenaire », fournit les informations pratiques après inscription^[28]. Outre les connecteurs de la plate-forme eHealth, l'organisation GitHub Smals-Belgium contient des bibliothèques open source, comme des utilitaires de pseudonymisation pour Java et .NET et un composant web^[29] ; voir Connecteurs eHealth (eHealth platform services connectors). La bibliothèque de pseudonymisation aveugle le numéro d'identification avant l'appel du service de pseudonymisation, de sorte que ce service ne voit jamais lui-même d'identifiant de patient^[30].

État par programme selon la source la plus récente.

Qui le gère

Les statuts applicables sont ceux de l'assemblée générale extraordinaire du 15 juin 2022, avec une modification de l'article 4:4 (règlement interne) par l'organe d'administration le 21 février 2024^[4]. Des modifications des statuts ont été publiées aux Annexes du Moniteur belge les 5 août et 29 décembre 2022^[33]. Pour tout ce que les statuts ne règlent pas, ils renvoient au Wetboek van vennootschappen en verenigingen (WVV)^[4] ; que les statuts de 2022 aient adapté l'asbl au WVV est une interprétation^[4]. Les statuts autorisent Smals à collaborer avec des associations ou des sociétés qui favorisent son but, ou à y participer^[4].

Membres. L'affiliation est gratuite, sans préjudice d'une contribution aux frais selon les services fournis^[4]. Les demandes sont adressées à l'administrateur délégué, qui décide à titre provisoire en attendant la ratification par l'assemblée générale^[34]. À l'assemblée générale, chaque membre a une voix, mais les voix sont pondérées par catégorie ; en cas de partage des voix, le président décide^[4].

Un comptage propre de la liste des membres sur le site web aboutit à 15 membres dans la catégorie A, environ 134 dans la catégorie B et environ 197 dans la catégorie C^[9]. Selon la Cour des comptes, dans la pratique, seuls les membres des catégories A et B ont accès à tous les services de Smals ; les membres de la catégorie C n'utilisent Smals que pour la sécurité de l'information, selon Smals un choix stratégique^[6].

Organes. Selon Smals, les membres exercent un contrôle sur Smals via l'assemblée générale, l'organe d'administration, le comité stratégique et le comité d'audit^[35]. L'organe d'administration, auparavant le Conseil d'administration, agit collégialement^[36].

Répartition des sièges au sein de l'organe d'administration. Les statuts répartissent les 25 sièges au maximum selon la partie qui les présente^[4].

La liste des administrateurs sur le site web mentionne pour chaque administrateur l'institution, pas la partie qui l'a présenté ; on ne peut donc pas en déduire quel administrateur occupe quel siège. La présidence est assurée par un administrateur de l'ONSS^[36], l'administrateur délégué provient de la BCSS^[36] et le Departement Zorg a son propre administrateur^[36]. Selon une lecture propre de la liste, les administrateurs proviennent de l'ONSS (trois, dont la présidente et le vice-président), de la BCSS, de la CAAMI, du RJV, de la HVW, de l'INAMI, de Sigedis, de Fedris, du FPD, du Departement Zorg, du RSVZ, du RVA, du SPP Intégration Sociale et d'Egov Select, plus un administrateur présenté par le ministre des Affaires sociales et de la Santé publique ; la plate-forme eHealth et le SPF Santé publique n'y ont pas d'administrateur propre^[36]. Cela représente 17 mandats ; le rapport d'activités 2025 mentionne en outre un administrateur présenté par le ministre du Budget^[3].

Les missions des membres sont fixées dans des Algemene Samenwerkingsmodaliteiten (ASM) et, par projet, service ou détachement, dans des Bijzondere Samenwerkingsmodaliteiten (BSM)^[3]. Sur sa propre valeur ajoutée, principalement les prestations de son personnel propre, Smals ne porte pas de TVA en compte ; sur ses achats, elle paie une TVA non déductible^[3]. Smals et Egov Select recrutent, sous contrat de travail, des collaborateurs informatiques qu'ils mettent à la disposition de leurs membres (détachement)^[7].

Les chiffres dont Smals est la source sont des données communiquées par l'organisation elle-même. La part des soins de santé dans le chiffre d'affaires ne figure pas dans les sources consultées : la Cour des comptes ne ventile que par institutions de sécurité sociale, administrations fédérales et autres membres^[6].

Base légale

Les membres d'une association au sens de l'article 17bis peuvent lui confier des travaux en matière de gestion de l'information et de sécurité de l'information, et son personnel spécialisé peut être employé chez les membres^[14]. La loi du 21 août 2008 portant création de la plate-forme eHealth a ajouté cette plate-forme aux instances qui peuvent s'associer de cette manière^[14] ; le KCE figure aussi dans l'énumération^[14].

Smals décrit le principe in-house comme le fait de confier du travail à un service propre au sein d'une seule grande organisation, sans adjudication, en renvoyant à l'article 12 de la directive 2014/24/UE^[39]. Cet article permet une attribution sans application de la directive si chacune des trois conditions est remplie^[40] : les pouvoirs adjudicateurs exercent conjointement sur la personne morale un contrôle analogue à celui qu'ils exercent sur leurs propres services^[40], plus de 80 pour cent de ses activités consistent en tâches que ces pouvoirs adjudicateurs lui confient^[40], et la personne morale ne comporte aucune participation directe de capitaux privés^[40]. Selon Smals, la prestation de services relève dès lors de l'article 30 de la loi du 17 juin 2016 relative aux marchés publics^[35]. Inversement, Smals est elle-même un pouvoir adjudicateur et passe un marché public pour chaque besoin qu'elle ne peut pas satisfaire en interne^[35]. Un protocole de collaboration avec l'Inspection des Finances concernant les commandes via la centrale d'achat a été évalué positivement en décembre 2021 et prolongé pour une durée indéterminée^[3].

La Cour constitutionnelle a jugé le 30 octobre 2012, sur une question préjudicielle dans un litige d'un soumissionnaire contre Smals au sujet d'un marché public, que l'article 14 des lois sur le Conseil d'Etat, lu conjointement avec l'article 17bis de la loi BCSS, ne viole pas les articles 10 et 11 de la Constitution^[14].

Le projet de loi DOC 56 1449 a complété l'article 17bis, § 3, de sorte que l'association peut organiser des formations pour son propre personnel et pour celui des membres^[11] ; la Chambre l'a adopté le 11 juin 2026, la loi date du 28 juin 2026^[17]. Dans son avis, l'Autorité de protection des données (APD) a opposé Smals à l'asbl EGov, laquelle semble axée sur le recrutement et la mise à disposition de personnel technique : Smals déploie des activités beaucoup plus larges^[11]. L'APD a estimé plus cohérent, du point de vue de la protection des données, de préciser toutes les activités des associations en matière de gestion et de sécurité de l'information^[11].

Contrôle et critiques de la Cour des comptes

Smals n'est pas une institution de droit public, mais est, selon Smals, bien contrôlée par la Cour des comptes^[38] ; la Cour des comptes figure elle-même sur la liste des membres, dans la catégorie C^[9].

En juillet 2009, la Cour des comptes a examiné s'il existe un fondement juridique suffisant pour les missions confiées à Smals par les institutions publiques de sécurité sociale et comment le contrôle est organisé, et elle a formulé des recommandations sur le contrôle et la transparence^[15]. Le rapport a été examiné le 17 novembre 2009 en commission des Affaires sociales de la Chambre et a donné lieu à 25 questions parlementaires^[15].

L'audit de la Cour des comptes sur la consultance au sein de l'administration fédérale (novembre 2025) a également analysé Smals et Egov en tant qu'organisations mettant des spécialistes informatiques à disposition, ainsi que les accords-cadres informatiques que Smals a passés en tant que centrale d'achat^[7]. Les constats sont en partie positifs et en partie critiques ; la critique portant sur la stratégie et l'encadrement vise les organisations fédérales qui font appel à Smals^[6].

Selon le rapport d'activités 2025, Smals a misé en 2025 sur une diminution du nombre de spécialistes informatiques externes, pour deux raisons : l'accord de gouvernement fédéral impose aux membres des restrictions budgétaires avec un contrôle plus strict du recours à la consultance externe^[3], et le comité stratégique de Smals a décidé que les compétences informatiques clés doivent être autant que possible centralisées et internalisées^[3]. Pour 2025, cette diminution a été ancrée dans les objectifs stratégiques de Smals^[3].

• Pas de relation client directe : selon Smals, elle livre exclusivement à ses membres^[1] ; un hôpital utilise les services de Smals de manière indirecte, via la Plate-forme eHealth, l'INAMI, le SPF Santé publique ou le Departement Zorg (interprétation sur la base de la règle d'affiliation).
• Disponibilité : les pannes et les interventions planifiées apparaissent sur le site web de statut que Smals a mis en place pour la plate-forme eHealth^[3] ; un seul incident chez Smals peut toucher simultanément les services de base, Recip-e et Vitalink FHIR^[24].
• Certification des logiciels : celui qui intègre un logiciel propre ou un DPI avec des solutions de l'INAMI, du SPF ou de la plate-forme eHealth a besoin, selon le rapport d'activités 2025, d'une validation de Healthcare Registration pour obtenir une certification officielle^[3] ; pour les tests d'enregistrement d'eReferral et de PSS Radiologie, Smals fournit les informations pratiques^[28].
• Prescription et médication : Recip-e, UHMEP, PSS et la banque de données SAM, qui concernent aussi les prescripteurs hospitaliers, sont construits ou hébergés par Smals^[5][20][3].
• Hôpitaux flamands : Vitalink FHIR et Vaccinnet 2.0 sont des projets de Smals pour le Departement Zorg^[3].
• Recommandation (propre) : suivez les releases GitHub et le site web de statut de Smals comme signaux précoces de modifications des services de prescription et de médication.

• Date de création : Smals mentionne le 12 avril 1939 (association provisoire)^[10], la BCE le 10 février 1940 comme date de début de l'asbl^[12] ; probablement un démarrage de fait face à la personnalité juridique, mais aucun acte de constitution n'a été trouvé.
• Comité d'audit : le site web mentionne six membres de l'organe d'administration et trois membres externes^[38], le rapport d'activités 2025 quatre et trois^[3].
• Nombre d'administrateurs : le rapport d'activités mentionne deux administrateurs présentés par des ministres (Affaires sociales et Santé publique, Budget)^[3], la liste des administrateurs sur le site web n'en mentionne qu'un, pour les Affaires sociales et la Santé publique^[36] ; les listes comptent ainsi 18 mandats contre 17.
• SAM et HavanaH : la fiche HavanaH mentionne SAMv2 comme système hébergé et UHMEP comme annoncé^[8], alors que SAM a migré en 2025 vers Azure^[3] et qu'eReferral se trouvait en phase pilote^[3] ; la fiche semble dépassée.
• Healthcare Registration et le software register : il n'est pas confirmé que l'équipe de Smals soit le même service que le Software Register (plate-forme eHealth) de la plate-forme eHealth^[3].
• MyCareNet : aucun rôle de Smals dans MyCareNet n'a été trouvé ; pour les incidents MyCareNet, le site web de statut mentionne CIN-NIC comme lead^[41].
• Chiffres propres : les 19 milliards de transactions de la plate-forme eHealth^[3], l'économie G-Cloud^[13] et le volume Vitalink^[3] sont des chiffres de Smals elle-même, sans contrôle externe.