Règlement EEDS : qui est concerné par l'utilisation secondaire des données de santé ?

Le règlement EEDS, qu’est-ce que c’est ? 

Il s’agit du règlement n°2025/327 du 11 février 2025 de l’Union européenne relatif à l’Espace européen des données de santé (EHDS en anglais pour « European Health Data Space »).  

Le Règlement EEDS comporte deux axes : 

1. Le premier vise l’utilisation primaire des données de santé : l’objectif des règles édictées par le texte est de faciliter l’accès aux données de santé par les patients eux-mêmes et leur utilisation par les professionnels pour la prise en charge des patients (ex. : permettre à un médecin consulté en Espagne pendant ses vacances d’accéder aux informations médicales nécessaires aux soins). 

2. Le second vise l’utilisation secondaire des données de santé : les règles portent ici sur la réutilisation des données de santé pour la recherche médicale, mais aussi pour d’autres finalités encadrées, notamment la santé publique, les statistiques et l’élaboration des politiques de santé. 

C’est ce deuxième axe que nous décryptons dans cette série d’articles sur le règlement EEDS. 

Utilisation secondaire : quelles sont les données de santé concernées ? 

La particularité du règlement EEDS réside dans l’étendue des données couvertes : son périmètre ne se limite pas aux données personnelles de santé relevant du RGPD. 

Pour l’utilisation secondaire, sont concernées : 

- Les données de santé électroniques : sont donc exclues les données conservées uniquement sur papier. 

- Les données relevant de l’une des 17 catégories énumérées à l’article 51, paragraphe 1, du Règlement, sous réserve des catégories supplémentaires que les États membres peuvent prévoir dans leur droit national. 

Ces 17 catégories sont présentées ci-dessous de manière synthétique :

À la lecture de ces 17 familles de données, nous constatons que le périmètre du règlement EEDS va au-delà des données personnelles et des données issues du parcours de soins : il peut également concerner des données issues d’applications de bien-être ou de montres connectées, selon leurs fonctionnalités et les données produites. 

Mon organisme est-il concerné même s’il n’est pas un établissement de santé ? 

Oui, un organisme peut être concerné même s’il n’est pas un établissement de santé, dès lors qu’il répond à la définition de « détenteur de données de santé » prévue par le Règlement. 

Il peut s’agir d’un laboratoire pharmaceutique, d’un organisme de recherche, d’un assureur intervenant dans le remboursement des soins, d’une entreprise qui conçoit des dispositifs médicaux, d’un éditeur d’application de bien-être, d’un acteur public, etc. 

L’appartenance à l’une de ces catégories d’acteurs ne suffit toutefois pas : il faut également examiner son rôle à l’égard des données concernées. 

Qu’est-ce qu’un « détenteur de données de santé » ? 

Le Règlement EEDS vise certains acteurs qu’ils soient dans le secteur de la santé, ou qu’ils développent des produits et services destinés à ces secteurs, des développeurs ou producteurs d’applications de bien-être, des organismes de recherche, etc.  

Pour ces acteurs, le règlement EEDS prévoit deux hypothèses dans lesquelles ils sont qualifiés de « détenteurs de données de santé ». 

Hypothèse 1 : les données de santé sont des données personnelles 

Le détenteur de données au sens du règlement EEDS est celui qui est qualifié de responsable de traitement, seul ou conjoint, au sens du RGPD, et qui dispose du droit ou de l’obligation de traiter ces données pour l’une des finalités visées par la définition : soins, santé publique, remboursement, recherche, innovation, élaboration des politiques, statistiques officielles, sécurité des patients ou réglementation. 

Il convient donc d’analyser la qualité de l’acteur au regard du RGPD pour connaître sa qualification au regard du règlement EEDS, tout en vérifiant son activité et les finalités des traitements concernés. 

Le sous-traitant de données personnelles de santé n’est donc pas un détenteur de données de santé pour les traitements qu’il réalise exclusivement pour le compte de son client. 

Hypothèse 2 : les données de santé ne sont pas des données personnelles 

Dans ce cas, le Règlement vise l’acteur qui peut mettre les données à disposition grâce au contrôle de la conception technique d’un produit et des services liés : par exemple, en les enregistrant, en les fournissant, en limitant leur accès ou en les échangeant. La seule détention de droits sur les données ne suffit donc pas à décrire ce critère. 

Cette qualification peut nécessiter une analyse juridique approfondie. 

Tous les détenteurs de données sont-ils soumis aux obligations d’utilisation secondaire ? 

Non. L’article 50 du règlement prévoit une exemption des obligations imposées aux détenteurs par le chapitre consacré à l’utilisation secondaire pour : 

- Les personnes physiques, y compris les chercheurs individuels ; 

- Les personnes morales qualifiées de microentreprises au sens de la recommandation européenne 2003/361/CE. 

Les États membres peuvent toutefois étendre ces obligations à ces acteurs dans leur droit national. 

Il faut donc distinguer la qualification de détenteur de données de l’application effective des obligations qui lui sont associées. 

Mon organisme est détenteur de données de santé : quelle est la prochaine étape ? 

Nous allons vous présenter, dans plusieurs articles successifs sur ce blog, les obligations applicables aux détenteurs de données et leur calendrier de mise en œuvre. 

Nous aborderons également les modalités d’accès aux données, les redevances et la protection des droits de propriété intellectuelle et des secrets d’affaires. 

5 questions à se poser pour savoir si je suis concerné par le règlement EEDS  

- Mon organisme exerce-t-il une activité visée par la définition du détenteur de données de santé ? 

- Est-ce que mon organisme traite des données électroniques qui relèvent de l’une des 17 catégories visées par le règlement EEDS, ou d’une catégorie supplémentaire prévue au niveau national ? 

- Quel est le rôle de mon organisme sur ces données ? 

- Mon organisme est-il qualifié de détenteur de données de santé ? 

- Une exemption est-elle applicable à mon organisme ? 

À noter : dans certains cas, la qualification juridique peut nécessiter une analyse plus poussée. Il est important de ne pas passer à côté de cette qualification, qui conditionne l’identification des obligations applicables. Dans ce cas, n’hésitez pas à solliciter nos avocats en droit du numérique et des données qui mèneront cette analyse et vous  accompagneront dans la mise en conformité de vos pratiques.