En bref
Le règlement (UE) 2025/327 relatif à l'espace européen des données de santé est en vigueur depuis le 26 mars 2025 et s'applique à partir du 26 mars 2027. Le chapitre IV, celui de l'utilisation secondaire, s'applique à partir du 26 mars 2029. Il contient deux mécanismes d'opposition différents l'un de l'autre : l'article 10 est une faculté laissée aux États membres, l'article 71 est un droit qui appartient à la personne.
Ce que fait le règlement
Le règlement distingue deux utilisations des données de santé électroniques. L'utilisation primaire est celle pour laquelle les données ont été collectées : le soin. L'utilisation secondaire est tout le reste — recherche, innovation, statistique officielle, élaboration des politiques publiques, activités réglementaires. Pour la première, le règlement construit l'accès de la personne à ses propres données et l'accès du professionnel de santé à celles du patient pris en charge, y compris au-delà des frontières. Pour la seconde, il construit une infrastructure d'organismes nationaux qui délivrent des autorisations d'accès.
Les dates sont quatre, pas une
- 26 mars 2025 : entrée en vigueur, le vingtième jour suivant la publication au Journal officiel du 5 mars 2025.
- 26 mars 2027 : application générale du règlement.
- 26 mars 2029 : le chapitre IV sur l'utilisation secondaire s'applique, et les articles 3 à 15 s'appliquent aux catégories prioritaires de données visées à l'article 14, paragraphe 1, points a), b) et c).
- 26 mars 2031 : les mêmes articles s'appliquent aux catégories visées aux points d), e) et f), parmi lesquelles les résultats d'examens et l'imagerie médicale.
Les deux oppositions
C'est le point où il est le plus facile de se tromper, parce que le mot employé est le même et la nature juridique non.
L'article 10 concerne l'utilisation primaire et commence en disant que les législations des États membres peuvent prévoir le droit d'opposition : c'est une faculté, pas une obligation. L'État qui l'exerce doit garantir que l'opposition soit réversible et établir les règles et garanties du mécanisme, y compris la possibilité pour le professionnel de santé d'accéder malgré tout aux données lorsque le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne ou d'un autre individu.
L'article 71 concerne l'utilisation secondaire et ne laisse le choix à personne : la personne physique a le droit de s'opposer à tout moment, sans avoir à fournir de motif, au traitement pour utilisation secondaire des données de santé électroniques la concernant. Ce n'est pas une faculté des États, c'est un droit directement reconnu.
L'erreur à ne pas commettre
Le règlement ne remplace pas le RGPD et n'y déroge pas : il s'y ajoute. Les bases légales, l'information, le registre et l'analyse d'impact restent ceux du règlement 2016/679. Lire l'espace européen des données de santé comme un régime spécial qui absorbe le reste, c'est préparer une documentation qui ne répondra aux questions d'aucun des deux textes.
Que faire maintenant, si l'on suit un client du secteur de la santé
- Savoir quelles catégories prioritaires de l'article 14 le client traite réellement : la date d'application change selon le point.
- Vérifier si l'État où opère le client a exercé la faculté de l'article 10, et comment, car la réponse n'est pas la même dans toute l'Union.
- Regarder les systèmes de dossier médical électronique utilisés : le chapitre III impose des exigences aux systèmes, pas seulement à ceux qui les utilisent, et le fournisseur doit être associé maintenant, pas en 2027.
- Ne pas attendre 2029 pour l'utilisation secondaire : ceux qui transmettent des données pour la recherche le font déjà aujourd'hui, et le régime à venir demandera aussi des comptes sur ce qui a été construit avant.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
