La Commission européenne a publié un projet de règlement d’exécution précisant l’architecture technique et fonctionnelle de HealthData@EU, l’infrastructure prévue par le règlement (UE) 2025/327 sur l’Espace européen des données de santé (EHDS). Le texte, qui n’a pas encore été adopté, définit la plateforme centrale, les conditions de connexion des acteurs et les règles de conformité pour l’accès transfrontalier aux données de santé européennes à des fins de recherche.
Toute entité souhaitant rejoindre HealthData@EU doit passer un contrôle de conformité initial, puis des contrôles réguliers au moins tous les cinq ans, portant sur l’expertise technique, la cybersécurité, la protection des données et la continuité d’activité. Les pays tiers et organisations internationales doivent en outre respecter le chapitre V du RGPD relatif aux transferts internationaux et garantir un accès équivalent à leurs propres données de santé pour les utilisateurs de l’Union. Le texte prévoit également un outil dédié, l’Enforcement Information Exchange Tool, pour coordonner les mesures d’exécution entre autorités nationales compétentes.
La consultation publique reste ouverte jusqu’au 29 septembre 2026
Ce texte marque l’avancée du second pilier de l’EHDS, celui de l’usage secondaire des données, distinct de l’usage primaire. Les deux volets progressent en parallèle, avec des infrastructures, des règles de gouvernance et des acteurs différents.
Le mécanisme de contrôle de conformité, exigeant une expertise technique, une cybersécurité et une continuité d’activité démontrées avant et pendant la connexion, joue un rôle de filtre structurel comparable à celui observé sur le marché français des éditeurs de logiciels de santé : plus les exigences réglementaires s’alourdissent, plus elles favorisent les organisations déjà en capacité d’y répondre, au détriment des structures moins outillées.
La condition de réciprocité imposée aux pays tiers constitue un point de vigilance concret pour les acteurs non européens souhaitant accéder aux données de recherche européennes : un accès équivalent à leurs propres données de santé devra être démontré, ce qui pourrait s’avérer complexe pour des juridictions au cadre de protection des données moins harmonisé que celui de l’Union.
Il ne s’agit pas d’un cadre figé mais d’un texte encore modifiable par la consultation en cours. Les acteurs concernés (instituts de recherche, industriels, organismes publics) disposent donc d’une fenêtre réelle pour influencer les modalités techniques et les conditions de connexion avant leur entrée en vigueur.