Entré en vigueur le 26 mars 2025, le règlement (UE) 2025/327 relatif à l’espace européen des données de santé (EEDS) encadre l’accès de chaque citoyen à ses données (usage primaire) et leur réutilisation pour la recherche, l’innovation et les politiques publiques (usage secondaire). Le Journal de Droit de la Santé et de l’Assurance Maladie (JDSAM), revue de l’Institut Droit et Santé, lui consacre le dossier de son n°47 (juillet 2026). Né du constat, révélé par la crise du Covid, d’un accès insuffisant aux données pour la recherche européenne, le texte oblige l’écosystème à « se poser certaines questions », résume Nesrine Benyahia (Dr Data), qui a structuré le colloque co-organisé avec l’Institut Droit et Santé autour de trois axes : la gouvernance, les droits des patients et le modèle économique.

Pourquoi cela compte : À partir du 26 mars 2029, toute réutilisation de données de santé électroniques en Europe (recherche, innovation, politiques publiques) obéira aux règles du règlement EEDS. Pour les hôpitaux, les industriels et les chercheurs, cela signifie de nouvelles obligations de transparence, un droit de refus opposable par chaque patient et un système de redevances encore en construction. Pour la France, c’est aussi une question d’attractivité et de souveraineté sur les données qui entraîneront les IA de demain.

Une gouvernance à désigner avant mars 2027

Le règlement crée un nouvel acteur, l’organisme responsable de l’accès aux données (ORAD), chargé de quatre familles de missions : délivrer les autorisations d’accès, assurer la transparence (catalogue des données, registre des demandes, résultats des études), contrôler et sanctionner, et réguler les redevances. Certaines de ces missions sont déjà exercées en France par la Cnil ou la Plateforme des données de santé, d’autres sont entièrement nouvelles. Qui seront les ORAD français ? La question n’est pas tranchée, mais le ministère privilégie un petit nombre d’organismes, appuyés sur des détenteurs de données de confiance auxquels une partie des missions pourra être déléguée. La désignation doit intervenir avant le 26 mars 2027, et une loi d’adaptation sera nécessaire.

Concrètement, l’EEDS est un « espace à construire » brique par brique explique Yacine Daquin (Plateforme des données de santé) : un catalogue national de métadonnées au format Health DCAT-AP, une demande d’accès unique instruite par l’ORAD, une mise à disposition des données par les détenteurs sous trois mois renouvelable une fois, un traitement en environnement sécurisé et l’export de résultats anonymes uniquement. La France dispose déjà d’un catalogue de métadonnées et d’un environnement de traitement sécurisé éprouvé, atouts pour le déploiement national.

Des droits renforcés, une articulation à construire

Le règlement consacre également un droit à l’information renforcé (article 58) et un droit de refus discrétionnaire à l’usage secondaire (article 71), sans se substituer au RGPD ni à la loi « informatique et libertés », qui restent applicables (Manon de Fallois, Commission nationale de l’informatique et des libertés). Ce droit de refus s’exerce à tout moment et sans justification, mais ne vaut pas pour les autorisations déjà délivrées ; les États membres pourront l’écarter, au seul profit d’organismes publics, pour des finalités d’intérêt public comme la recherche sur les maladies rares.

Pour la juriste, la nouveauté réside moins dans les droits eux-mêmes, proches du droit d’opposition de l’article 74 de la loi française, que dans leur articulation avec les futurs organismes responsables de l’accès aux données (ORAD).

La confiance des citoyens, condition du dispositif :

L’enjeu est d’abord celui de la confiance : 75 % des Français ignorent qu’un EEDS est en cours de création et seuls 53 % connaissent leurs droits (d’après le dernier baromètre citoyen de la PDS). Le précédent britannique, où un programme de partage des données de médecine générale a été suspendu après plus d’un million d’oppositions, montre le prix d’un déficit de transparence. Les lignes directrices TEHDAS2 proposent un « point d’information des citoyens », portail public en langage clair, à articuler avec les portails de transparence existants et Mon Espace Santé.

Du côté des usagers, les patients ne s’opposent pas au partage de leurs données lorsqu’il sert l’intérêt général, mais ils refusent que les traitements soient réalisés « dans leur dos » explique Arthur Dauphin (France Assos Santé). Les données de santé sont les droits « les moins bien connus » des usagers, et la crainte d’une exploitation commerciale par des acteurs privés reste forte. La société civile défend donc le maintien d’une évaluation éthique et scientifique indépendante des projets, aujourd’hui assurée par le Cesrees et la Cnil pour le SNDS, et rappelle que la compétitivité française repose sur la richesse de ses bases (69 millions de personnes, plus de 3 000 variables) plutôt que sur des délais d’instruction réduits. La récente sanction de 5 millions d’euros prononcée par la Cnil contre Iqvia illustre, selon l’association, la réalité des dérives.

Des redevances pour compenser la mise à disposition

L’article 62 du règlement prévoit des redevances proportionnelles au coût de mise à disposition, au bénéfice des ORAD et des détenteurs de données. Les lignes directrices TEHDAS2, soumises à consultation publique à l’automne 2025, privilégient un modèle centralisé à facture unique géré par l’ORAD (Julie Baussand, Plateforme des données de santé). Les 83 contributions reçues, dont 16 % françaises, réclament des règles harmonisées et une meilleure prévisibilité tarifaire : 73 % des répondants prévoient de comparer les tarifs des ORAD entre pays.

Un modèle économique encore incomplet

Pour les établissements dotés d’un entrepôt de données de santé, la réutilisation a un coût réel, entre infrastructure « socle » conforme au référentiel de la Cnil et l’industrialisation des traitements, alors que 80 % des données de santé restent non structurées (Samantha Pasdeloup, Elsan). Selon elle, la redevance EEDS ne suffira pas : une subvention d’infrastructure sera nécessaire, au moins dans un premier temps, au nom de l’attractivité de la France pour la recherche clinique et de la souveraineté des IA en santé.

Le calendrier est serré : ORAD désignés avant le 26 mars 2027, loi « informatique et libertés » adaptée avant 2029. D’ici là, c’est la lisibilité du dispositif pour les patients qui décidera de son acceptation.

Source : Institut Droit et Santé (Université Paris Cité), Journal de Droit de la Santé et de l’Assurance Maladie (JDSAM) n°47, dossier consacré à l’espace européen des données de santé, juillet 2026, texte intégral · fiabilité : officielle.