Le décret n° 2026-153 du 3 mars 2026 précise les modalités de sanction prévues au III de l’article L.1470-6 du code de la santé publique. Il s’adresse aux personnes physiques ou morales, publiques ou privées, qui mettent en œuvre des services numériques en santé au sens de l’article L.1470-1. Le texte encadre la possibilité pour le ministre chargé de la santé d’appliquer des pénalités financières lorsque les éditeurs :

• Ne disposent pas du certificat de conformité requis.
• Ou ne respectent pas les référentiels d’interopérabilité, d’éthique et de sécurité définis à l’article L.1470-5.

Ce décret s’inscrit dans l’application de l’article 53 de la loi de financement de la sécurité sociale pour 2023.

Un portail de signalement et un programme annuel de contrôle

Le décret confie un rôle central au groupement d’intérêt public mentionné à l’article L.1111-24 du code de la santé publique. Celui-ci doit administrer un portail permettant de recueillir les signalements relatifs aux manquements des éditeurs de services numériques en santé.

Ce groupement est également chargé de :

• Porter à la connaissance des éditeurs et des utilisateurs l’existence de ce portail.
• Définir chaque année un programme de contrôle du respect des référentiels et de l’obligation éventuelle de certification.

Ce programme est approuvé par arrêté du ministre chargé de la santé. Le groupement doit transmettre au ministère un bilan annuel détaillant :

• Le nombre de contrôles réalisés.
• Les manquements constatés.
• Leurs caractéristiques.
• Et les suites données.

Ce bilan est rendu public sur son site internet. La Caisse nationale de l’assurance maladie participe au dispositif en signalant les manquements observés chez les professionnels ou établissements utilisant ces services.

Des pouvoirs de contrôle sur les éditeurs

Afin de vérifier la conformité des services numériques en santé, le groupement d’intérêt public peut mener différentes actions :

• Visites sur site.
• Démonstrations des outils.
• Examen des spécifications techniques.

Les éditeurs concernés doivent être informés à l’avance du motif du contrôle ainsi que de l’identité et de la qualité des personnes chargées de l’inspection.

Une procédure graduée avant sanction

Lorsqu’un manquement est constaté à la suite d’un signalement, d’un contrôle ou d’un audit, le groupement peut adresser une injonction à l’éditeur afin qu’il corrige la situation. Si le manquement persiste, il peut proposer au ministre chargé de la santé d’engager une procédure de sanction.

La proposition de sanction doit inclure :

• Une appréciation de la gravité du manquement.
• Un montant de pénalité, dans la limite prévue par la loi.
• Le cas échéant, une proposition d’astreinte.

L’évaluation de la gravité repose notamment sur :

• La nature du référentiel non respecté.
• Le nombre et la nature des non-conformités.
• L’impact potentiel sur la prise en charge des patients.
• Les risques pour la santé publique.
• Les conséquences financières pour l’assurance maladie.

Lorsque l’auteur présumé est un éditeur, les autorités prennent aussi en compte l’effet du manquement sur la capacité des professionnels ou établissements utilisateurs à respecter leurs propres obligations.

Une pénalité décidée par le ministre

Lorsque le ministre est saisi d’une proposition de sanction, il demande à l’auteur présumé du manquement de présenter ses observations écrites dans un délai d’un mois. L’éditeur peut également solliciter une audition. Le ministre peut ensuite prononcer une sanction financière dont le montant ne peut excéder celui proposé par le groupement. Lorsqu’un éditeur est sanctionné, il doit transmettre au ministère, dans les quinze jours suivant la notification, le chiffre d’affaires hors taxes réalisé en France lors du dernier exercice clos. À défaut de communication dans ce délai, la pénalité peut atteindre un million d’euros. La sanction peut être assortie :

• D’une mise en demeure de mise en conformité.
• D’une astreinte journalière jusqu’à régularisation.

Une publicité des sanctions et des non-conformités

Le décret prévoit également un mécanisme de transparence. Les sanctions prononcées à l’encontre des éditeurs de services numériques en santé sont publiées sur le site internet du groupement d’intérêt public chargé du contrôle. Ce même site doit tenir à jour la liste des services numériques en santé ne respectant pas les obligations réglementaires.

Le décret est entré en vigueur le lendemain de sa publication au Journal officiel, soit le 5 mars 2026.