Partout en Europe, la manière dont les données de santé des patients sont collectées, stockées et partagées est sur le point de changer. L'Espace européen des données de santé, connu sous le nom d'EEDS, est entré en vigueur le 26 mars 2025 en tant que Règlement UE 2025/327, et sa mise en œuvre est désormais en cours dans tous les États membres de l'UE. Pour les administrateurs de cliniques, il ne s'agit pas d'une évolution politique abstraite. Ce règlement introduit des obligations concrètes concernant les normes de données, les droits des patients et l'interopérabilité des systèmes.

Qu'est-ce que l'Espace européen des données de santé ?

L'EEDS est un cadre réglementaire de l'UE conçu pour donner aux citoyens un meilleur contrôle sur leurs données de santé, tout en permettant le partage sécurisé et transfrontalier de ces données pour la prestation de soins, la recherche médicale et les politiques de santé publique. Comme le décrit la Commission européenne, il constitue une pierre angulaire de l'Union européenne de la santé, un effort plus large visant à renforcer la résilience et la coordination entre les systèmes de santé des États membres.

L'EEDS est un règlement, et non une initiative volontaire. Il s'applique directement et uniformément dans tous les États membres de l'UE sans nécessiter de législation nationale distincte. Tous les prestataires de soins de santé opérant au sein de l'UE relèvent de son champ d'application.

Le règlement est structuré autour de trois axes principaux : l'utilisation primaire des données de santé (donner aux patients l'accès et le contrôle de leurs propres dossiers), l'utilisation secondaire des données de santé (permettre l'utilisation de données anonymisées pour la recherche et les politiques publiques), et la certification des systèmes de dossiers médicaux. Ces trois axes ont des implications sur le fonctionnement des cliniques.

Pourquoi l'UE a créé l'EEDS

L'EEDS a été créé pour résoudre un problème structurel bien documenté : les données de santé en Europe sont fragmentées, formatées de manière incohérente et largement incapables de circuler entre les systèmes ou au-delà des frontières. Comme le souligne une recherche publiée dans l'European Journal of Public Health, les États membres de l'UE font face à des défis importants dans l'utilisation des données de santé à des fins secondaires, contraints par des systèmes de santé numériques incohérents et une capacité limitée de partage transfrontalier.

Cette fragmentation a des conséquences réelles. Les patients voyageant ou se déplaçant au sein de l'UE ne peuvent pas facilement partager leur historique médical avec un nouveau prestataire. Les chercheurs n'ont pas accès aux ensembles de données volumineux et standardisés nécessaires pour étudier les maladies rares ou évaluer les traitements à grande échelle. Les décideurs politiques manquent de l'infrastructure de données nécessaire pour répondre efficacement aux menaces sanitaires transfrontalières.

Une revue publiée dans BMC Medical Ethics examinant la faisabilité de la proposition d'EEDS a constaté que le règlement représente une étape importante vers une utilisation responsable et standardisée des données de santé. Les auteurs notent également que les défis de mise en œuvre, en particulier autour de l'intelligence artificielle (IA, une technologie qui permet aux machines d'effectuer des tâches nécessitant normalement l'intelligence humaine) et de l'éthique, restent non résolus.

Le règlement est entré en vigueur en mars 2025, avec une mise en œuvre progressive s'étendant jusqu'en 2031. Certaines obligations sont déjà actives. La préparation que les cliniques effectuent maintenant déterminera la fluidité avec laquelle elles navigueront dans les années à venir.

À qui s'applique l'EEDS

L'EEDS s'applique à tous les prestataires de soins de santé établis et opérant au sein de l'UE. Cela comprend :

• Les cabinets de médecine générale et de soins primaires

• Les cliniques spécialisées ambulatoires

• Les hôpitaux et établissements de soins hospitaliers

• Les prestataires de soins privés et les praticiens indépendants

• Toute organisation qui traite les données de santé électroniques des patients

Comme le précise le briefing juridique de Skadden, le règlement s'applique quelle que soit la taille de l'organisation. Un cabinet de médecin généraliste individuel et un grand réseau hospitalier sont tous deux concernés. Le facteur déterminant est de savoir si l'entité traite des données de santé de patients au sein de l'UE.

Comme le soulignent Covington & Burling, le règlement s'applique aux entités établies dans l'UE. Les organisations basées en dehors de l'UE qui traitent des données concernant des patients de l'UE peuvent faire face à des considérations différentes ou supplémentaires en vertu du Règlement général sur la protection des données (RGPD, le cadre de protection des données de l'UE qui régit la manière dont les données personnelles sont collectées, traitées et stockées), mais l'EEDS lui-même est limité à ceux qui opèrent au sein de l'Union.

Les deux piliers de l'EEDS : utilisation primaire et secondaire des données de santé

Comprendre l'EEDS nécessite de distinguer ses deux composantes principales, qui comportent des obligations différentes pour les cliniques.

L'utilisation primaire fait référence à l'utilisation des données de santé dans la prestation directe de soins. En vertu de l'EEDS, les patients bénéficient de droits renforcés pour accéder à leurs propres dossiers médicaux, partager ces données avec d'autres prestataires et les transporter au-delà des frontières. Pour les cliniques, cela signifie s'assurer que les données des patients sont conservées dans des formats accessibles et transférables conformément aux normes du règlement.

L'utilisation secondaire fait référence à l'utilisation contrôlée des données de santé, sous forme anonymisée ou pseudonymisée, à des fins autres que les soins individuels : recherche médicale, essais cliniques, surveillance de la santé publique et élaboration de politiques. Cela est régi par une nouvelle infrastructure à l'échelle de l'UE appelée HealthData@EU, soutenue par des organismes nationaux d'accès aux données de santé dans chaque État membre. Les cliniques qui contribuent des données à des registres ou à des programmes de recherche devront comprendre comment cette infrastructure s'applique à elles.

Comme le note l'analyse de Stibbe, l'EEDS présente à la fois une opportunité et une charge de conformité pour les établissements de santé. Le cadre d'utilisation secondaire ouvre de nouvelles possibilités pour la recherche basée sur les données, mais nécessite une gouvernance solide pour garantir que les données sont traitées de manière appropriée.

Quelles données l'EEDS couvre-t-il ?

L'EEDS couvre un large éventail de données de santé électroniques. Sur la base du texte officiel du règlement et des analyses juridiques complémentaires, les catégories concernées comprennent :

• Les dossiers médicaux électroniques et les synthèses patient

• Les e-prescriptions et les dossiers de médicaments

• Les données d'imagerie médicale et les rapports associés

• Les résultats de tests de laboratoire

• Les comptes rendus de sortie

• Les données génomiques (dans le contexte de l'utilisation secondaire)

• Les données provenant de dispositifs médicaux et d'applications de bien-être (sous certaines conditions)

Les administrateurs de cliniques devraient cartographier leurs propres données par rapport à cette liste. Si votre cabinet génère, stocke ou transmet l'un de ces types de données, ce qui est le cas de la plupart des cliniques, vous détenez des données pertinentes pour l'EEDS et devrez évaluer vos obligations en conséquence. Comprendre vos pratiques de documentation médicale est un point de départ utile pour cet exercice de cartographie.

Principales exigences d'interopérabilité pour les cliniques

L'un des aspects les plus importants sur le plan opérationnel de l'EEDS est son exigence de normes de données communes et de formats techniques. Le règlement impose l'utilisation de normes telles que HL7 FHIR (Fast Healthcare Interoperability Resources, une norme technique pour l'échange de données de santé entre systèmes) afin de garantir que les données de santé puissent circuler entre les systèmes et au-delà des frontières dans un format cohérent et lisible par machine.

Pour les administrateurs de cliniques, cela a des implications pratiques :

• Votre système de dossiers médicaux actuel devra peut-être être évalué pour sa compatibilité FHIR

• Les systèmes de dossiers médicaux utilisés au sein de l'UE devront répondre aux exigences de certification en vertu de l'EEDS

• Les cliniques qui acquièrent de nouveaux systèmes devraient vérifier que les fournisseurs développent des solutions conformes à l'EEDS

Une recherche examinant les projets d'interopérabilité en santé numérique financés par l'UE précédant l'EEDS a constaté que plus de 200 millions d'euros d'investissement public ont été consacrés aux efforts d'interopérabilité transfrontalière au cours des deux dernières décennies. Tirer les leçons de ces projets est essentiel alors que les États membres progressent vers la conformité à l'EEDS. L'interopérabilité n'est pas un problème nouveau, mais l'EEDS crée un cadre contraignant pour le résoudre.

Une étude de cas sur l'écosystème national des données de santé en Italie illustre l'ampleur du défi : même les systèmes nationaux bien dotés en ressources font face à des obstacles techniques et organisationnels importants pour répondre aux exigences de l'EEDS. Les cliniques ne devraient pas supposer que l'infrastructure au niveau national sera prête par défaut. Comprendre les capacités de votre propre système est essentiel.

Droits des patients en vertu de l'EEDS

L'EEDS élargit les droits des patients concernant leurs données de santé. Comme le souligne une recherche publiée dans Frontiers in Medicine, le règlement vise à donner aux citoyens plus de pouvoir dans l'utilisation primaire de leurs données de santé, en leur donnant accès à leurs dossiers et un rôle significatif dans la gouvernance de ces données.

En vertu de l'EEDS, les patients ont le droit de :

• Accéder à une copie numérique de leurs données de santé, y compris celles détenues par leur clinique

• Partager leurs données de santé avec d'autres prestataires, y compris au-delà des frontières de l'UE, via l'infrastructure MyHealth@EU

• Restreindre certaines utilisations secondaires de leurs données

• Recevoir des informations claires sur la manière dont leurs données sont utilisées

Pour les administrateurs de cliniques, ces droits se traduisent par des exigences opérationnelles. Les cabinets devront mettre en place des processus pour répondre rapidement et conformément aux demandes d'accès aux données des patients. Le personnel devra comprendre quelles données peuvent être partagées, avec qui et dans quelles conditions. L'Association européenne d'urologie a noté que, bien que le cadre d'accès transfrontalier aux données soit clair en principe, des questions subsistent quant à son application et à sa mise en œuvre pratique au niveau des cliniques.

Comment l'EEDS se rapporte au RGPD

Une question courante parmi les administrateurs de cliniques est de savoir si l'EEDS remplace le RGPD. Ce n'est pas le cas. Comme l'explique Kennedys Law, l'EEDS s'ajoute au RGPD sans le remplacer, en introduisant des obligations spécifiques aux données de santé en plus du cadre existant de protection des données. L'EEDS s'articule également avec la loi sur l'IA, le Règlement sur les dispositifs médicaux (RDM) et NIS2 (la directive de l'UE sur la sécurité des réseaux et de l'information).

En pratique, cela signifie :

• La conformité au RGPD reste une exigence de base. L'EEDS n'assouplit aucune obligation existante.

• L'EEDS introduit des exigences supplémentaires spécifiques aux données de santé, notamment en matière d'interopérabilité, d'accès des patients et de gouvernance de l'utilisation secondaire.

• Les cliniques qui ont investi dans une solide conformité au RGPD disposent d'une base sur laquelle s'appuyer, mais des étapes supplémentaires sont nécessaires.

L'analyse politique de Healthy Europe met en évidence une tension réelle ici : les dispositions de l'EEDS sur l'utilisation secondaire, qui permettent un accès plus large aux données de santé à des fins de recherche, doivent être soigneusement équilibrées avec les principes du RGPD de minimisation des données et de limitation des finalités. Cette tension n'est pas entièrement résolue dans le règlement et sera probablement réglée au fil du temps par les orientations nationales de mise en œuvre et les décisions des autorités de contrôle.

Calendrier de mise en œuvre : quand les cliniques doivent-elles être prêtes ?

L'EEDS fonctionne selon un calendrier de mise en œuvre progressive s'étendant de 2025 à 2031. Sur la base du calendrier officiel de la Commission européenne et de l'analyse d'EY, les principales étapes sont :

• 2025 : Règlement en vigueur. Les États membres commencent à établir des organismes d'accès aux données de santé. Les cadres de certification des systèmes de dossiers médicaux commencent à se développer.

• 2027 : Les principales dispositions sur l'utilisation primaire s'appliquent. Les patients doivent pouvoir accéder à leurs données de santé électroniques via l'infrastructure nationale connectée à MyHealth@EU. L'accès transfrontalier aux données des patients commence dans les États membres participants.

• 2029 : Les dispositions élargies sur l'utilisation secondaire entrent en vigueur. L'infrastructure HealthData@EU est opérationnelle dans tous les États membres.

• 2031 : Mise en œuvre complète attendue dans tous les États membres et pour toutes les catégories de données.

Les calendriers de mise en œuvre peuvent varier selon les États membres. Les autorités nationales publieront leurs propres orientations. Les cliniques devraient surveiller à la fois les développements au niveau de l'UE et les communications de leur propre ministère national de la santé. Covington & Burling conseillent que les organisations devraient commencer à se préparer dès maintenant malgré les incertitudes restantes, plutôt que d'attendre une clarté réglementaire complète.

Ce que les administrateurs de cliniques devraient faire maintenant pour se préparer

La conformité complète à l'EEDS n'est pas requise immédiatement pour toutes les dispositions, mais les bases doivent être posées dès maintenant. Les étapes suivantes représentent un point de départ pratique, et non un programme de conformité exhaustif :

• Auditez vos données actuelles : Identifiez les catégories de données de santé électroniques que votre clinique génère, stocke et transmet. Cartographiez-les par rapport aux catégories de données concernées par l'EEDS.

• Évaluez vos systèmes de dossiers médicaux : Déterminez si vos systèmes actuels prennent en charge HL7 FHIR ou s'ils sont en cours d'évolution vers des normes d'interopérabilité conformes à l'EEDS. Interrogez directement vos fournisseurs.

• Révisez votre base de conformité au RGPD : Assurez-vous que vos politiques de protection des données existantes, vos processus de consentement et vos procédures relatives aux droits des personnes concernées sont à jour et bien documentés. Ceux-ci constituent la base de la conformité à l'EEDS.

• Impliquez vos équipes informatiques et juridiques dès le début : L'EEDS a des dimensions à la fois techniques et juridiques. Les deux fonctions doivent être impliquées dans la planification. Des conseils juridiques externes peuvent être justifiés pour les cas complexes.

• Préparez-vous aux demandes de droits des patients : Créez ou révisez les processus pour répondre aux demandes des patients concernant l'accès aux données et la portabilité des données, y compris dans les scénarios transfrontaliers.

• Surveillez les orientations nationales de mise en œuvre : Votre ministère national de la santé et votre autorité de protection des données publieront des orientations spécifiques. Inscrivez-vous aux mises à jour pertinentes et suivez les développements.

• Évaluez les besoins en formation du personnel : Le personnel clinique et administratif devra comprendre le nouveau cadre des droits des patients et savoir comment traiter les demandes de données de manière appropriée.

L'évaluation d'impact de la Commission européenne pour l'EEDS a estimé que le règlement pourrait générer 11 milliards d'euros d'économies dans toute l'UE au cours de la prochaine décennie et stimuler une expansion de 20 à 30 % du secteur de la santé numérique. La réalisation de ces avantages nécessite un investissement initial dans l'infrastructure informatique et la formation du personnel au niveau des cliniques.

Comment l'IA et les outils de documentation médicale s'intègrent dans le paysage de l'EEDS

Les outils d'IA clinique, y compris les assistants médicaux IA qui génèrent ou traitent la documentation médicale, s'articulent avec l'EEDS de plusieurs manières importantes. Ces outils traitent généralement des données de santé sensibles en temps réel. Les exigences de l'EEDS concernant les normes de données, l'hébergement des données et la sécurité s'appliquent directement à la manière dont ces données sont traitées et stockées.

L'analyse du Portail européen des données souligne que les systèmes d'aide à la décision médicale alimentés par l'IA et formés sur des ensembles de données anonymisées accessibles via l'EEDS pourraient aider les cliniciens à identifier les maladies rares et à personnaliser les traitements. La revue systématique dans BMC Medical Ethics met en garde contre le fait que les défis éthiques et pratiques de l'intégration de l'IA dans le cadre de l'EEDS restent en grande partie non résolus, notamment en ce qui concerne la responsabilité, la transparence et le risque de biais algorithmique dans les contextes cliniques.

Pour les administrateurs de cliniques qui évaluent les fournisseurs de technologies cliniques actuels ou futurs, l'EEDS crée une exigence claire de diligence raisonnable :

• Hébergement des données : Où les données des patients sont-elles traitées et stockées ? L'hébergement des données au sein de l'UE est de plus en plus pertinent en vertu du RGPD et de l'EEDS.

• Interopérabilité : L'outil peut-il produire des données structurées dans des formats compatibles avec l'EEDS, ou crée-t-il des silos de données ?

• Normes de sécurité : Le fournisseur détient-il des certifications reconnues telles qu'ISO 27001 (une norme internationale pour la gestion de la sécurité de l'information) ? Ses pratiques de sécurité et confidentialité des données répondent-elles aux exigences de chiffrement et de contrôle d'accès décrites dans l'EEDS ?

• Statut de dispositif médical : Si l'outil est considéré comme un dispositif médical au sens du RDM, des obligations réglementaires distinctes s'appliquent parallèlement à l'EEDS.

Comme le note Kennedys Law, l'EEDS s'inscrit aux côtés de la loi sur l'IA, du RDM et de NIS2 dans un environnement réglementaire complexe. Les cliniques qui adoptent des outils de documentation alimentés par l'IA devraient s'assurer que leurs fournisseurs développent en tenant compte de l'ensemble de ce paysage réglementaire, et pas seulement de la conformité ponctuelle au RGPD.

L'EEDS introduit des obligations concrètes pour les administrateurs de cliniques, ainsi qu'un cadre structuré pour réfléchir à la qualité des données, aux droits des patients et à l'interopérabilité des systèmes. Aborder ces questions de manière systématique peut renforcer les opérations cliniques à long terme.

Questions fréquemment posées

▶ Qu'est-ce que l'Espace européen des données de santé et quand s'applique-t-il ?

L'Espace européen des données de santé (Règlement UE 2025/327) est un cadre réglementaire de l'UE qui est entré en vigueur le 26 mars 2025. Il donne aux patients un meilleur contrôle sur leurs données de santé et permet le partage sécurisé et transfrontalier de ces données pour la prestation de soins, la recherche médicale et les politiques de santé publique. Il s'applique directement dans tous les États membres de l'UE sans nécessiter de législation nationale distincte. La mise en œuvre se déroule par phases jusqu'en 2031.

▶ À quels prestataires de soins de santé l'EEDS s'applique-t-il ?

L'EEDS s'applique à tous les prestataires de soins de santé établis et opérant au sein de l'UE, quelle que soit leur taille. Les cabinets de médecine générale, les cliniques spécialisées ambulatoires, les hôpitaux, les prestataires de soins privés et les praticiens indépendants relèvent tous de son champ d'application. Le facteur déterminant est de savoir si une organisation traite les données de santé électroniques des patients au sein de l'UE. Un cabinet de médecin généraliste individuel et un grand réseau hospitalier sont tous deux concernés.

▶ Quels types de données de santé l'EEDS couvre-t-il ?

L'EEDS couvre un large éventail de données de santé électroniques, y compris les synthèses patient, les e-prescriptions, les dossiers de médicaments, les données d'imagerie médicale et les rapports associés, les résultats de tests de laboratoire, les comptes rendus de sortie, les données génomiques (dans le contexte de l'utilisation secondaire), ainsi que les données provenant de dispositifs médicaux et d'applications de bien-être sous certaines conditions. La plupart des cliniques détiennent déjà des données dans plusieurs de ces catégories.

▶ Quelle est la différence entre l'utilisation primaire et secondaire des données de santé en vertu de l'EEDS ?

L'utilisation primaire fait référence aux données de santé utilisées dans la prestation directe de soins. En vertu de l'EEDS, les patients bénéficient de droits renforcés pour accéder à leurs propres dossiers et les partager avec d'autres prestataires au-delà des frontières de l'UE. L'utilisation secondaire fait référence à l'utilisation contrôlée de données de santé anonymisées ou pseudonymisées à des fins autres que les soins individuels, telles que la recherche médicale, les essais cliniques, la surveillance de la santé publique et l'élaboration de politiques. L'utilisation secondaire est régie par une nouvelle infrastructure à l'échelle de l'UE appelée HealthData@EU, soutenue par des organismes nationaux d'accès aux données de santé dans chaque État membre.

▶ L'EEDS remplace-t-il le RGPD ?

Non. L'EEDS s'ajoute au Règlement général sur la protection des données (RGPD) sans le remplacer. La conformité au RGPD reste une exigence de base. L'EEDS ajoute des obligations spécifiques aux données de santé, couvrant l'interopérabilité, les droits d'accès des patients et la gouvernance de l'utilisation secondaire. L'EEDS s'articule également avec la loi sur l'IA, le Règlement sur les dispositifs médicaux et NIS2, la directive de l'UE sur la sécurité des réseaux et de l'information. Les cliniques dotées d'une solide conformité au RGPD disposent d'une base sur laquelle s'appuyer, mais des étapes supplémentaires sont nécessaires.

▶ Quelles sont les principales exigences d'interopérabilité que les cliniques doivent connaître ?

L'EEDS impose l'utilisation de normes de données communes, y compris HL7 FHIR (Fast Healthcare Interoperability Resources, une norme technique pour l'échange de données de santé entre systèmes), afin que les données de santé puissent circuler entre les systèmes et au-delà des frontières dans un format cohérent et lisible par machine. Les administrateurs de cliniques devraient évaluer si leurs systèmes de dossiers médicaux actuels prennent en charge FHIR ou s'ils sont en cours d'évolution vers des normes conformes à l'EEDS. Les systèmes de dossiers médicaux utilisés au sein de l'UE devront également répondre aux exigences de certification prévues par le règlement.

▶ Quels nouveaux droits les patients ont-ils en vertu de l'EEDS ?

En vertu de l'EEDS, les patients ont le droit d'accéder à une copie numérique de leurs données de santé, de partager ces données avec d'autres prestataires au-delà des frontières de l'UE via l'infrastructure MyHealth@EU, de restreindre certaines utilisations secondaires de leurs données et de recevoir des informations claires sur la manière dont leurs données sont utilisées. Pour les cliniques, cela signifie mettre en place des processus pour répondre rapidement et conformément aux demandes d'accès aux données des patients. Le personnel doit comprendre quelles données peuvent être partagées, avec qui et dans quelles conditions.

▶ Quelles sont les principales échéances de mise en œuvre pour les cliniques ?

L'EEDS fonctionne selon un calendrier progressif. En 2025, le règlement est entré en vigueur et les États membres ont commencé à établir des organismes d'accès aux données de santé. D'ici 2027, les principales dispositions sur l'utilisation primaire s'appliquent. Les patients doivent pouvoir accéder à leurs données de santé électroniques via l'infrastructure nationale connectée à MyHealth@EU. Les dispositions élargies sur l'utilisation secondaire entrent en vigueur en 2029, avec une mise en œuvre complète attendue dans tous les États membres et pour toutes les catégories de données d'ici 2031. Les calendriers de mise en œuvre peuvent varier selon les États membres. Les cliniques devraient surveiller à la fois les développements au niveau de l'UE et les communications de leur ministère national de la santé.

▶ Que devraient faire les administrateurs de cliniques maintenant pour se préparer à l'EEDS ?

Les étapes pratiques de préparation comprennent l'audit de vos données actuelles par rapport aux catégories de données concernées par l'EEDS, l'évaluation de la prise en charge par vos systèmes de dossiers médicaux de HL7 FHIR ou de leur évolution vers des normes conformes à l'EEDS, la révision de votre base de conformité au RGPD existante, et la mise en place de processus pour répondre aux demandes d'accès et de portabilité des données des patients. Il est conseillé d'impliquer tôt les équipes informatiques et juridiques, ainsi que de surveiller les orientations nationales de mise en œuvre de votre ministère de la santé et de votre autorité de protection des données. Une formation du personnel sur le nouveau cadre des droits des patients sera également nécessaire.

▶ Comment l'EEDS affecte-t-il les cliniques utilisant des outils de documentation médicale IA ?

Les outils d'IA clinique qui génèrent ou traitent la documentation médicale manipulent des données de santé sensibles en temps réel. Les exigences de l'EEDS concernant les normes de données, l'hébergement des données et la sécurité s'appliquent directement. Lors de l'évaluation des fournisseurs, les administrateurs de cliniques devraient vérifier où les données des patients sont traitées et stockées, si l'outil peut produire des données structurées dans des formats compatibles avec l'EEDS, si le fournisseur détient des certifications de sécurité reconnues telles qu'ISO 27001 (une norme internationale pour la gestion de la sécurité de l'information), et si l'outil constitue un dispositif médical au sens du Règlement sur les dispositifs médicaux, ce qui entraînerait des obligations réglementaires distinctes parallèlement à l'EEDS.