5 août 2026.
Présentation générale
L’Espace européen des données de santé, couramment désigné par l’acronyme anglais EHDS pour European Health Data Space, est le cadre juridique et technique créé par le règlement (UE) 2025/327 du 11 février 2025 afin d’organiser l’accès, l’échange et la réutilisation des données électroniques de santé dans l’Union européenne.
Le règlement a été publié au Journal officiel de l’Union européenne le 5 mars 2025 et est entré en vigueur le 26 mars 2025. Son application est progressive : si une date générale d’application est fixée au 26 mars 2027, les principales obligations opérationnelles relatives à l’échange des données de soins et à leur utilisation secondaire entreront surtout en application à partir de mars 2029, puis de mars 2031.
L’EHDS poursuit trois objectifs principaux :
- renforcer l’accès des personnes à leurs données électroniques de santé et leur contrôle sur celles-ci ;
- faciliter l’échange transfrontalier des données nécessaires aux soins ;
- permettre une réutilisation encadrée des données de santé pour la recherche, l’innovation, les politiques publiques, la sécurité des patients et les activités réglementaires.
Le règlement organise ainsi deux régimes distincts :
- l’utilisation primaire, qui correspond à l’usage des données pour la prise en charge médicale de la personne ;
- l’utilisation secondaire, qui correspond à leur réutilisation pour d’autres finalités d’intérêt collectif, notamment la recherche, la santé publique, les statistiques, l’innovation et le développement de technologies médicales.
L’EHDS institue également un cadre européen pour les systèmes de dossiers médicaux électroniques, ou systèmes de DME, afin d’améliorer leur interopérabilité et leur sécurité.
Il ne s’agit pas d’une base européenne unique dans laquelle tous les dossiers médicaux seraient centralisés. L’EHDS repose sur une architecture fédérée : les données restent principalement conservées dans les systèmes nationaux ou auprès de leurs détenteurs, tandis que des infrastructures communes permettent leur échange ou leur consultation dans des conditions harmonisées.
Deux infrastructures doivent être distinguées :
- MyHealth@EU, destinée à l’utilisation primaire et à la continuité des soins entre États membres ;
- HealthData@EU, destinée à l’utilisation secondaire des données pour la recherche, l’innovation, les politiques publiques et certaines activités réglementaires.
L’EHDS présente un intérêt majeur pour l’intelligence artificielle. Il doit faciliter l’accès à des corpus de santé plus vastes, plus structurés et plus interopérables, susceptibles d’être utilisés pour entraîner, évaluer ou valider des systèmes d’IA médicale. Cet accès demeure néanmoins soumis à une autorisation, à des finalités déterminées, à des environnements sécurisés et aux autres règles applicables, notamment le RGPD et l’AI Act.
Ressource Dabo Tibi Ius
IA en santé : cadre juridique et enjeux du droit médical
Points essentiels
- Le règlement EHDS est le règlement (UE) 2025/327.
- Il est entré en vigueur le 26 mars 2025.
- Son application est progressive entre 2027 et 2035.
- Il distingue l’utilisation primaire et l’utilisation secondaire des données de santé.
- L’utilisation primaire concerne directement la prévention, le diagnostic, les soins et le suivi du patient.
- L’utilisation secondaire concerne notamment la recherche, l’innovation, les politiques publiques et les statistiques.
- L’EHDS ne crée pas une base européenne centralisée de tous les dossiers médicaux.
- MyHealth@EU organise l’échange transfrontalier des données nécessaires aux soins.
- HealthData@EU organise l’accès transfrontalier aux données destinées à une utilisation secondaire.
- Les personnes disposeront de droits renforcés d’accès, de téléchargement et de contrôle sur leurs données.
- Elles disposeront d’un droit d’opposition à l’utilisation secondaire de leurs données.
- Les États membres pourront prévoir certaines exceptions à cette opposition pour des motifs importants d’intérêt public.
- Les données secondaires devront en principe être consultées dans des environnements de traitement sécurisés.
- Les utilisateurs ne pourront pas recevoir librement des données identifiantes.
- Certaines finalités seront interdites, notamment la publicité, le profilage commercial ou les décisions défavorables à une personne.
- Les systèmes de dossiers médicaux électroniques seront soumis à des exigences européennes d’interopérabilité et de sécurité.
- L’EHDS peut faciliter le développement de l’IA médicale, mais ne constitue pas une autorisation générale d’entraîner un modèle sur toutes les données de santé.
- Le RGPD demeure applicable.
- L’AI Act demeure applicable aux systèmes d’intelligence artificielle concernés.
1. Finalités de l’EHDS
1.1. Améliorer l’accès des patients à leurs données
Le règlement vise à permettre aux personnes de consulter plus facilement leurs données électroniques de santé, indépendamment de l’État membre dans lequel elles ont reçu leurs soins.
Elles doivent notamment pouvoir accéder à certaines catégories prioritaires de données :
- résumé du dossier patient ;
- prescriptions électroniques ;
- délivrances électroniques ;
- imagerie médicale ;
- résultats d’analyses ;
- comptes rendus de sortie d’hospitalisation.
Le résumé du dossier patient peut comprendre des informations telles que :
- les allergies ;
- les traitements ;
- les vaccinations ;
- les antécédents ;
- les implants ;
- les problèmes médicaux actuels ou passés ;
- les plans de soins.
1.2. Assurer la continuité des soins en Europe
Une personne soignée dans un autre État membre doit pouvoir permettre au professionnel de santé d’accéder aux informations médicales nécessaires à sa prise en charge.
Exemple :
Un patient français consulte un médecin en Espagne. Celui-ci pourra, par l’intermédiaire de l’infrastructure européenne et des points de contact nationaux, accéder à son résumé médical ou à ses prescriptions dans un format interopérable.
L’objectif est de réduire :
- les examens répétés ;
- les erreurs de prescription ;
- les incompatibilités médicamenteuses ;
- les pertes d’information ;
- les difficultés linguistiques ;
- les ruptures de prise en charge.
1.3. Soutenir la recherche et l’innovation
Les données de santé présentent une forte valeur scientifique.
Elles peuvent notamment permettre :
- l’étude de maladies rares ;
- l’identification d’effets indésirables ;
- l’amélioration des traitements ;
- le développement de médicaments ;
- l’évaluation de dispositifs médicaux ;
- l’entraînement d’algorithmes médicaux ;
- l’étude des inégalités de santé ;
- la préparation aux épidémies.
L’EHDS vise à créer un cadre européen plus homogène pour ces usages, alors que les procédures d’accès demeurent aujourd’hui fragmentées entre les États membres.
1.4. Développer le marché européen des dossiers médicaux électroniques
Le règlement cherche également à assurer que les systèmes de DME commercialisés dans l’Union puissent :
- enregistrer les données dans des formats communs ;
- les exporter ;
- les transmettre ;
- fonctionner avec d’autres systèmes ;
- protéger leur confidentialité et leur intégrité.
2. Utilisation primaire des données
2.1. Définition
L’utilisation primaire correspond au traitement des données électroniques de santé pour fournir des services de santé à la personne concernée.
Elle comprend notamment :
- la prévention ;
- le diagnostic ;
- les soins ;
- la délivrance de médicaments ;
- le suivi médical ;
- la coordination entre professionnels ;
- la gestion administrative directement liée aux soins.
2.2. Droits des personnes
Le règlement reconnaît ou renforce plusieurs droits.
Les personnes doivent pouvoir :
- accéder gratuitement et rapidement à leurs données ;
- obtenir une copie électronique ;
- consulter les professionnels ayant accédé à leurs données ;
- demander la rectification d’informations inexactes ;
- ajouter certaines informations ;
- transmettre leurs données à un professionnel de leur choix ;
- limiter l’accès à tout ou partie des informations dans les conditions prévues.
Ces droits complètent ceux du RGPD et doivent être exercés au moyen de services d’accès électroniques accessibles et compréhensibles.
2.3. Accès par les professionnels
Les professionnels doivent pouvoir accéder uniquement aux données nécessaires à la prise en charge.
Leur accès doit être :
- authentifié ;
- limité par leurs fonctions ;
- traçable ;
- sécurisé ;
- justifié par une relation de soins.
L’EHDS ne crée donc pas un accès général des professionnels à tous les dossiers de santé européens.
2.4. Droit national d’opposition à l’utilisation primaire
Le règlement permet aux États membres de prévoir un droit permettant à une personne de s’opposer à l’accès à ses données par d’autres professionnels que le responsable initial du traitement.
Ce mécanisme doit être :
- facilement accessible ;
- réversible ;
- accompagné d’informations sur ses avantages et risques.
Les États peuvent prévoir un accès exceptionnel en cas de nécessité pour protéger les intérêts vitaux de la personne ou d’un tiers.
3. MyHealth@EU
3.1. Infrastructure transfrontalière de soins
MyHealth@EU est l’infrastructure destinée à l’échange transfrontalier de données pour les soins.
La Commission doit mettre en place une plateforme centrale reliant les points de contact nationaux pour la santé numérique.
Chaque État membre doit connecter :
- son point de contact national ;
- ses professionnels de santé ;
- ses établissements ;
- ses pharmacies, lorsque les services concernés sont déployés.
3.2. Données échangées
À partir de mars 2029, les premiers échanges obligatoires doivent principalement concerner :
- les résumés de patients ;
- les prescriptions électroniques ;
- les informations relatives à la délivrance des médicaments.
À partir de mars 2031, le dispositif doit également couvrir :
- les images médicales ;
- les résultats de laboratoire ;
- les comptes rendus de sortie d’hospitalisation.
3.3. Responsabilité
Les points de contact nationaux interviennent comme responsables conjoints pour certaines opérations de traitement réalisées dans MyHealth@EU.
La Commission agit comme sous-traitant pour les services centraux de la plateforme.
4. Utilisation secondaire des données
4.1. Définition
L’utilisation secondaire désigne la réutilisation des données pour une finalité autre que la prise en charge directe de la personne.
Elle peut notamment concerner :
- la santé publique ;
- la recherche scientifique ;
- l’innovation ;
- l’enseignement ;
- les statistiques ;
- l’élaboration des politiques publiques ;
- la sécurité des patients ;
- la surveillance des produits de santé ;
- les activités des autorités de régulation ;
- l’entraînement ou l’évaluation de systèmes d’IA en santé.
4.2. Catégories de données
Les données susceptibles d’être accessibles comprennent notamment :
- données des dossiers médicaux électroniques ;
- données administratives de santé ;
- données génétiques ;
- données génomiques ;
- données issues de dispositifs médicaux ;
- données issues d’applications de bien-être ;
- données de registres ;
- données de biobanques ;
- données d’essais cliniques ;
- données de santé publique ;
- données issues de la recherche.
L’application aux différentes catégories sera progressive. Les données génomiques et certaines catégories complexes sont notamment concernées par les échéances les plus tardives.
4.3. Détenteurs de données
Les obligations peuvent concerner de nombreux acteurs :
- établissements de santé ;
- laboratoires ;
- organismes de recherche ;
- administrations ;
- assureurs publics ou privés selon les données concernées ;
- fabricants de dispositifs médicaux ;
- entreprises exploitant des applications de santé ;
- organismes tenant des registres ;
- biobanques.
Des exemptions ou adaptations peuvent être prévues pour certaines petites structures ou catégories particulières.
5. Organismes responsables de l’accès aux données
Chaque État membre doit désigner un ou plusieurs organismes responsables de l’accès aux données de santé.
Ils doivent notamment :
- recevoir les demandes ;
- vérifier les finalités ;
- déterminer les données nécessaires ;
- délivrer ou refuser les autorisations ;
- imposer des conditions ;
- contrôler les utilisateurs ;
- publier des informations sur les autorisations ;
- sanctionner certains manquements ;
- faciliter l’exercice des droits des personnes.
Ces organismes doivent coopérer avec :
- les autorités de protection des données ;
- les autorités de santé ;
- les autorités chargées de l’AI Act ;
- les autorités responsables des dispositifs médicaux ;
- les organismes compétents au titre du Data Governance Act et du Data Act.
6. Demandes d’accès et autorisations
6.1. Demande d’accès
Le demandeur doit notamment préciser :
- son identité ;
- la finalité du projet ;
- les données nécessaires ;
- la durée ;
- la méthode utilisée ;
- les résultats attendus ;
- les garanties de sécurité ;
- la justification de la nécessité d’utiliser des données personnelles.
6.2. Principe de minimisation
L’organisme responsable de l’accès ne doit autoriser que les données nécessaires.
Il doit privilégier :
- les données anonymisées ;
- lorsque l’anonymisation ne permet pas d’atteindre la finalité, des données pseudonymisées.
L’accès à des données directement identifiantes doit rester exceptionnel.
6.3. Autorisation de données
L’autorisation doit préciser :
- les données accessibles ;
- la finalité ;
- la durée ;
- l’environnement utilisé ;
- les personnes habilitées ;
- les obligations de confidentialité ;
- les restrictions de publication ;
- les conditions de suppression.
Le bénéficiaire ne peut utiliser les données pour une autre finalité sans nouvelle autorisation.
7. Environnements de traitement sécurisés
Les données destinées à une utilisation secondaire doivent normalement être accessibles dans un environnement de traitement sécurisé.
Ce dispositif applique le principe selon lequel il est préférable d’apporter les analyses aux données plutôt que de déplacer les données vers l’utilisateur.
L’environnement doit notamment :
- contrôler les accès ;
- empêcher les téléchargements non autorisés ;
- journaliser les opérations ;
- limiter les fonctions disponibles ;
- vérifier les résultats avant leur exportation ;
- empêcher la réidentification ;
- assurer un niveau élevé de cybersécurité.
L’utilisateur peut réaliser ses calculs ou entraîner un modèle dans cet environnement, mais ne doit pouvoir extraire que les résultats autorisés.
Cette architecture est essentielle pour les projets d’IA utilisant des données sensibles à grande échelle.
8. HealthData@EU
8.1. Infrastructure pour les utilisations secondaires
HealthData@EU doit relier les organismes nationaux responsables de l’accès aux données.
Il doit notamment permettre :
- de consulter des catalogues de jeux de données ;
- de déposer des demandes transfrontalières ;
- de coordonner les autorisations entre États ;
- d’accéder à des environnements sécurisés ;
- de traiter des données provenant de plusieurs pays ;
- de faciliter des projets européens de recherche.
8.2. Principe de demande unique
Le règlement cherche à permettre à un utilisateur de déposer une demande coordonnée lorsqu’il a besoin de données provenant de plusieurs États membres.
Cette approche évite, dans la mesure du possible, la multiplication de procédures nationales entièrement distinctes.
8.3. Connexion avec d’autres espaces de données
HealthData@EU doit pouvoir être interopérable avec d’autres espaces européens, par exemple dans les domaines :
- de l’environnement ;
- de l’agriculture ;
- du social ;
- de la recherche.
Cette interconnexion peut être utile pour étudier les déterminants environnementaux, sociaux ou professionnels de la santé.
9. Droit d’opposition à l’utilisation secondaire
9.1. Principe
Toute personne doit disposer d’un droit de s’opposer, à tout moment et sans justification, à l’utilisation secondaire de ses données électroniques personnelles de santé.
Le mécanisme doit être :
- accessible ;
- compréhensible ;
- réversible ;
- effectif.
Une fois l’opposition exercée, les données identifiables de la personne ne doivent plus être incluses dans les nouvelles autorisations délivrées après cette opposition.
9.2. Limites temporelles
L’opposition n’annule pas nécessairement les autorisations déjà délivrées ni les traitements licitement engagés avant son exercice.
9.3. Exceptions nationales
Les États membres peuvent prévoir, dans leur droit national, des exceptions limitées lorsque :
- la demande provient d’un organisme public ou d’une entité chargée d’une mission de santé publique ;
- la finalité présente un intérêt public important ;
- les données ne peuvent être obtenues efficacement autrement ;
- des garanties particulières sont prévues.
Ces exceptions peuvent notamment concerner :
- la protection contre des menaces sanitaires graves ;
- la recherche scientifique répondant à un motif important d’intérêt public ;
- certaines activités de santé publique.
10. Finalités interdites
Les données accessibles dans le cadre de l’utilisation secondaire ne peuvent pas servir à n’importe quelle finalité.
Sont notamment exclues les utilisations visant à :
- prendre une décision défavorable à une personne sur la base de ses données de santé ;
- prendre une décision défavorable relative à un professionnel de santé ;
- exclure une personne d’un contrat d’assurance ;
- modifier défavorablement ses conditions d’assurance ;
- réaliser de la publicité ou du marketing ;
- profiler commercialement les personnes ;
- développer des produits nocifs ;
- mener des activités contraires au droit ou à l’éthique médicale ;
- tenter de réidentifier les personnes.
Exemple :
Une entreprise ne peut pas obtenir des données EHDS pour identifier les personnes présentant un risque de maladie et leur proposer une assurance plus coûteuse.
11. Systèmes de dossiers médicaux électroniques
11.1. Exigences harmonisées
Les systèmes de DME doivent comporter des composants harmonisés relatifs :
- à l’interopérabilité ;
- à la journalisation ;
- à la sécurité ;
- à l’exportation ;
- à la transmission des données.
11.2. Obligations des fabricants
Les fabricants doivent notamment :
- démontrer la conformité de leurs systèmes ;
- établir une documentation ;
- fournir une déclaration de conformité ;
- apposer le marquage requis ;
- corriger les non-conformités ;
- assurer la surveillance après mise sur le marché.
11.3. Articulation avec les dispositifs médicaux
Un logiciel peut être simultanément :
- un système de DME ;
- un dispositif médical ;
- un système d’IA à haut risque ;
- un produit comportant des éléments numériques.
Plusieurs régimes peuvent donc s’appliquer cumulativement :
- EHDS ;
- règlement sur les dispositifs médicaux ;
- AI Act ;
- Cyber Resilience Act ;
- RGPD.
12. EHDS et intelligence artificielle
12.1. Accès à des données d’entraînement
L’EHDS peut faciliter l’accès à des jeux de données permettant de développer :
- des systèmes de diagnostic ;
- des outils de prédiction ;
- des systèmes de pharmacovigilance ;
- des modèles de médecine personnalisée ;
- des outils de recherche clinique ;
- des systèmes de détection de signaux sanitaires ;
- des modèles génératifs médicaux.
Il ne crée toutefois pas un droit automatique à obtenir toutes les données demandées.
12.2. Qualité et représentativité
L’accès à davantage de données peut améliorer la représentativité des modèles, notamment pour :
- les maladies rares ;
- les populations peu représentées ;
- les études transfrontalières ;
- les comparaisons entre systèmes de santé.
La quantité ne garantit toutefois pas la qualité.
Il faut encore évaluer :
- l’exactitude ;
- l’actualité ;
- les méthodes de collecte ;
- les différences de codification ;
- les biais ;
- la qualité des annotations ;
- la compatibilité entre les systèmes.
12.3. AI Act
Lorsqu’un système développé à partir de données EHDS relève de l’AI Act, son fournisseur doit respecter les obligations applicables, notamment :
- gouvernance des données ;
- gestion des risques ;
- documentation ;
- traçabilité ;
- supervision humaine ;
- exactitude ;
- robustesse ;
- cybersécurité.
L’autorisation d’utiliser des données dans l’EHDS ne constitue donc pas une certification de conformité du système d’IA.
12.4. Interdiction de réidentification
Un développeur ne doit pas tenter d’identifier les personnes figurant dans un jeu pseudonymisé.
Cette interdiction doit être intégrée :
- aux contrats ;
- aux contrôles techniques ;
- aux journaux ;
- aux politiques internes ;
- aux mécanismes de sanction.
13. Articulation avec le RGPD
13.1. Maintien du RGPD
L’EHDS complète le RGPD. Il ne le remplace pas.
Le RGPD demeure notamment applicable à :
- la licéité des traitements ;
- la sécurité ;
- les droits des personnes ;
- les transferts internationaux ;
- la responsabilité des acteurs ;
- les analyses d’impact ;
- les violations de données.
13.2. Base juridique
L’EHDS fournit un cadre législatif européen permettant certains traitements nécessaires :
- à la fourniture des soins ;
- à des missions d’intérêt public ;
- à la recherche ;
- à la santé publique.
Il ne faut toutefois pas en déduire que toutes les opérations réalisées dans l’écosystème EHDS reposent sur une base juridique identique.
13.3. Consentement
Le consentement n’est pas nécessairement la base juridique des utilisations secondaires.
Le système repose principalement sur :
- une autorisation administrative ;
- une finalité admissible ;
- une base juridique prévue par le droit de l’Union ou le droit national ;
- un droit d’opposition de la personne.
Il faut donc distinguer :
- le consentement aux soins ;
- le consentement au traitement de données ;
- l’autorisation d’accès délivrée à un chercheur ;
- le droit d’opposition prévu par l’EHDS.
14. Articulation avec le Data Governance Act et le Data Act
Data Governance Act
Le Data Governance Act organise des mécanismes généraux de confiance pour le partage des données.
L’EHDS constitue un régime sectoriel plus précis pour les données de santé.
Les organismes responsables de l’accès doivent notamment coopérer avec les autorités compétentes pour l’altruisme en matière de données.
Data Act
Le Data Act organise notamment l’accès aux données générées par des produits connectés.
Un dispositif médical ou une application de bien-être peut produire des données relevant à la fois :
- du Data Act ;
- du RGPD ;
- de l’EHDS.
Le Data Act régit principalement les droits de l’utilisateur sur les données du produit ; l’EHDS encadre leur utilisation dans le système de santé et leur réutilisation pour des finalités secondaires.
15. Cybersécurité et hébergement
Les données de santé font partie des informations les plus sensibles.
Les infrastructures EHDS doivent notamment assurer :
- chiffrement ;
- authentification forte ;
- journalisation ;
- cloisonnement ;
- contrôle des accès ;
- continuité des services ;
- protection contre l’exfiltration ;
- gestion des incidents ;
- audits.
En France, les règles relatives à l’hébergement de données de santé continuent à s’appliquer lorsque leurs conditions sont réunies.
L’EHDS ne supprime pas non plus les exigences issues :
- de NIS 2 ;
- du Cyber Resilience Act ;
- des réglementations médicales ;
- des obligations nationales de sécurité.
16. Gouvernance institutionnelle
Commission européenne
Elle adopte les actes d’exécution, exploite les plateformes centrales et coordonne la mise en œuvre.
Comité de l’EHDS
Le règlement crée un comité européen réunissant les autorités nationales compétentes.
Il comprend des groupes chargés notamment :
- de MyHealth@EU ;
- de HealthData@EU.
Autorités de santé numérique
Chaque État membre doit désigner une ou plusieurs autorités compétentes pour l’utilisation primaire et les systèmes de DME.
Organismes responsables de l’accès aux données
Ils contrôlent l’utilisation secondaire.
Autorités de protection des données
Elles conservent leurs compétences pour le RGPD.
Autorités de surveillance de l’IA et des dispositifs médicaux
Elles interviennent lorsque les systèmes concernés relèvent de leurs réglementations.
17. Calendrier d’application
26 mars 2025
Entrée en vigueur du règlement.
26 mars 2027
Date générale d’application de certaines dispositions et échéance pour de nombreux actes d’exécution.
26 mars 2029
Application des principales obligations relatives :
- aux résumés patients ;
- aux prescriptions et délivrances électroniques ;
- à la plupart des règles d’utilisation secondaire ;
- aux principales catégories de données issues des dossiers électroniques.
26 mars 2031
Extension notamment :
- à l’imagerie ;
- aux résultats de laboratoire ;
- aux comptes rendus de sortie ;
- aux données génétiques, génomiques et à d’autres catégories secondaires.
26 mars 2035
Possibilité pour certains pays tiers et organisations internationales de rejoindre HealthData@EU, sous réserve du respect des conditions européennes.
Jurisprudence
Au 5 août 2026, aucune jurisprudence consolidée propre au règlement EHDS ne peut encore être identifiée, ses principales obligations opérationnelles n’étant pas encore applicables.
Les futurs contentieux devraient notamment porter sur :
- le refus d’une autorisation d’accès ;
- le droit d’opposition ;
- les exceptions d’intérêt public ;
- l’anonymisation ;
- la réidentification ;
- la qualification d’un détenteur de données ;
- les obligations des systèmes de DME ;
- les responsabilités respectives des autorités et des utilisateurs ;
- l’articulation avec le RGPD.
La jurisprudence existante relative aux données de santé, à la recherche médicale, aux transferts internationaux et au secret médical reste néanmoins pertinente.
Débats actuels
L’EHDS crée-t-il un fichier européen unique ?
Non. Il organise principalement l’interopérabilité et les échanges entre systèmes nationaux.
Le patient doit-il consentir à chaque recherche ?
Pas nécessairement. Les utilisations secondaires peuvent reposer sur une autorisation réglementaire et une base juridique autre que le consentement. La personne dispose cependant d’un droit d’opposition.
L’opposition est-elle absolue ?
Non. Les États membres peuvent prévoir des exceptions limitées pour certaines finalités importantes de santé publique ou de recherche d’intérêt public.
Les entreprises privées peuvent-elles accéder aux données ?
Oui, lorsque leur projet poursuit une finalité autorisée et que l’organisme d’accès délivre une autorisation. La finalité commerciale d’une entreprise n’exclut pas nécessairement un projet de recherche ou d’innovation, mais la publicité, le profilage commercial et certaines décisions individuelles sont interdits.
Les données seront-elles anonymes ?
Elles devront être anonymisées lorsque cela permet d’atteindre la finalité. Des données pseudonymisées pourront être utilisées lorsque l’identification indirecte est nécessaire à la recherche.
L’EHDS permettra-t-il d’entraîner librement des IA ?
Non. L’entraînement devra être autorisé, réalisé dans le cadre d’une finalité admissible et respecter l’AI Act, le RGPD et les conditions imposées par l’organisme d’accès.
L’EHDS favorisera-t-il les grandes entreprises ?
Les grands acteurs disposent de moyens importants pour exploiter les données. Le règlement cherche toutefois à instaurer des procédures transparentes et non discriminatoires. La capacité réelle des PME et chercheurs publics à accéder aux données dépendra aussi des coûts, des délais et des infrastructures disponibles.
Ressources essentielles
Base documentaire Dabo Tibi Ius
IA en santé : cadre juridique et enjeux du droit médical
Gouvernance des données et intelligence artificielle
Data Governance Act et intelligence artificielle
La base Dabo Tibi Ius traite le DGA dans ses ressources relatives à la gouvernance des données :
Data Act et intelligence artificielle
Données personnelles et intelligence artificielle
La recherche dans la base accessible n’a pas permis d’identifier avec certitude une fiche autonome antérieure exclusivement consacrée à l’Espace européen des données de santé. La présente fiche combine donc la fiche Dabo Tibi Ius sur le droit médical avec les sources institutionnelles européennes.
Texte principal
Règlement (UE) 2025/327 relatif à l’Espace européen des données de santé
Résumé EUR-Lex
Commission européenne
Présentation générale de l’EHDS
Utilisation primaire des données
Utilisation secondaire des données
MyHealth@EU
France
Agence du numérique en santé – EHDS
Health Data Hub
Textes connexes
RGPD
Data Governance Act
Data Act
AI Act
Règlement relatif aux dispositifs médicaux
Règlement relatif aux dispositifs médicaux de diagnostic in vitro
FAQ
Qu’est-ce que l’Espace européen des données de santé ?
Un cadre européen destiné à permettre l’accès, l’échange et la réutilisation sécurisée des données électroniques de santé.
Depuis quand le règlement est-il en vigueur ?
Depuis le 26 mars 2025.
Est-il déjà pleinement applicable ?
Non. Son application est progressive, principalement à partir de 2027, 2029 et 2031.
Qu’est-ce que l’utilisation primaire ?
L’utilisation des données pour les soins directs de la personne.
Qu’est-ce que l’utilisation secondaire ?
La réutilisation des données pour la recherche, l’innovation, les politiques publiques, les statistiques ou la sécurité sanitaire.
Qu’est-ce que MyHealth@EU ?
L’infrastructure permettant l’échange transfrontalier des données nécessaires aux soins.
Qu’est-ce que HealthData@EU ?
L’infrastructure permettant l’accès transfrontalier aux données pour des utilisations secondaires autorisées.
Les données sont-elles centralisées à Bruxelles ?
Non. L’architecture est principalement fédérée. Les données restent auprès des systèmes et détenteurs nationaux.
Le patient peut-il s’opposer à la recherche ?
Oui. Il doit disposer d’un droit d’opposition à l’utilisation secondaire, sous réserve d’exceptions nationales limitées d’intérêt public.
Une entreprise peut-elle utiliser les données pour de la publicité ?
Non. L’utilisation secondaire à des fins de publicité ou de marketing est interdite.
Une compagnie d’assurance peut-elle utiliser les données ?
Elle ne peut pas les utiliser pour refuser une assurance, modifier les primes ou prendre une décision défavorable à la personne.
Les chercheurs recevront-ils les fichiers médicaux ?
En principe, ils devront travailler dans des environnements sécurisés et ne pourront extraire que des résultats autorisés.
L’EHDS est-il une base juridique pour entraîner une IA ?
Il encadre et peut autoriser l’accès aux données, mais le développement de l’IA doit également respecter le RGPD, l’AI Act et les autres règles applicables.
Les données génétiques sont-elles concernées ?
Oui, mais leur intégration opérationnelle relève d’un calendrier plus tardif, principalement à partir de 2031.
Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.
Résumé pédagogique
Définition
L’Espace européen des données de santé est le cadre créé par le règlement (UE) 2025/327 pour permettre aux patients et professionnels d’accéder plus facilement aux données médicales dans toute l’Union et pour organiser leur réutilisation à des fins de recherche, d’innovation et de santé publique.
Exemple
Une équipe de recherche souhaite entraîner une IA destinée à détecter une maladie rare à partir d’images médicales provenant de plusieurs pays. Elle devra déposer une demande auprès des organismes responsables de l’accès. Les données pourront être mises à disposition dans un environnement sécurisé, sous une forme anonymisée ou pseudonymisée. L’équipe ne pourra ni identifier les patients ni réutiliser les données pour de la publicité.
Problématique juridique
L’EHDS cherche à rendre les données de santé plus accessibles sans affaiblir leur protection. La difficulté consiste à concilier la continuité des soins, la recherche et l’innovation avec le secret médical, la vie privée, la cybersécurité et le droit des personnes à s’opposer à certains usages.
Cadre légal
Le cadre repose principalement sur le règlement (UE) 2025/327, entré en vigueur le 26 mars 2025 et applicable progressivement jusqu’en 2035. Il complète le RGPD et s’articule avec le Data Governance Act, le Data Act, l’AI Act et les règlements relatifs aux dispositifs médicaux.
Fiches Dabo Tibi Ius associées :
- Données de santé
- Intelligence artificielle médicale
- Systèmes d’IA à haut risque
- Data Governance Act
- Data Act
- RGPD