Depuis le 5 mars 2026, la doctrine du numérique en santé n'est plus une simple recommandation : un éditeur de logiciel médical peut désormais se voir infliger une pénalité allant jusqu'à 1 % de son chiffre d'affaires réalisé en France, plafonnée à un million d'euros. Ce basculement, organisé par le décret n° 2026-153, impose à chaque acteur du numérique en santé de maîtriser un corpus réglementaire dense et en constante évolution. Portée par la Feuille de route 2023-2027, cette doctrine fixe les règles d'urbanisation des services numériques, de l'interopérabilité à l'éthique, en passant par la cybersécurité. Comprendre la doctrine numérique santé obligations qui en découlent constitue un enjeu stratégique pour tout dirigeant d'entreprise du numérique en santé (ENS), DSI ou responsable juridique. CONNECT AVOCATS, cabinet intervenant sur toute la France et compétent en droit du numérique et en accompagnement juridique des entreprises de la e-santé, vous propose un décryptage complet sous forme de questions-réponses.
La doctrine du numérique en santé est officiellement définie comme le cadre d'urbanisation des services numériques pour développer l'échange et le partage de données de santé. Elle ne se résume pas à un document unique figé. C'est un ensemble vivant de 35 fiches thématiques, accessible en ligne via la « Maison du numérique en santé » sur le portail esante.gouv.fr. Chaque fiche détaille un périmètre précis, le cadre réglementaire applicable et un calendrier de mise en œuvre.
Élaborée conjointement par la Délégation au numérique en santé (DNS), l'Agence du Numérique en Santé (ANS), l'Assurance Maladie et le GIE SESAM-Vitale, la doctrine fait l'objet d'une mise à jour annuelle. La version 2026, publiée le 13 mars 2026, a été co-construite avec plus de 130 acteurs lors de concertations publiques ouvertes à tous — professionnels, établissements, associations et citoyens. Cette version intègre notamment un calendrier actualisé sur le périmètre de l'intelligence artificielle et une section dédiée aux services numériques à des fins d'usage secondaire des données de santé, conformément à la stratégie nationale IA et données de santé officiellement lancée le 1er juillet 2025 par le ministre chargé de la Santé, Yannick Neuder.
Point essentiel : les référentiels qu'elle contient sont rendus opposables par arrêtés ministériels. Autrement dit, il ne s'agit pas d'un guide de bonnes pratiques facultatif. Toute ENS qui ne respecte pas ces référentiels s'expose à des sanctions réelles, financières et pénales, depuis l'entrée en vigueur du décret du 3 mars 2026.
Le périmètre d'application est particulièrement large. Sont concernés tous les acteurs du système de santé : établissements hospitaliers, structures médico-sociales et professionnels de santé libéraux. Mais la doctrine vise aussi et surtout les entreprises du numérique en santé — éditeurs de logiciels médicaux, hébergeurs de données de santé, startups e-santé, développeurs d'intelligence artificielle médicale et fabricants de dispositifs médicaux numériques.
Le critère déclenchant ne repose pas sur la taille de votre structure. Il repose sur la qualification de « service numérique en santé » au sens de l'article L.1470-1 du Code de la santé publique. Une startup de trois personnes développant une application d'aide au diagnostic est donc soumise aux mêmes exigences qu'un éditeur historique comptant plusieurs centaines de salariés. La conformité s'impose dès la phase de conception, pas au moment de la mise sur le marché. Concrètement, si vous concevez aujourd'hui un outil qui collecte ou traite des données de santé, vous devez intégrer les référentiels socles dans votre architecture technique dès le premier jour de développement.
Le Ségur vague 2 a ouvert, par arrêté du 3 mars 2026, un couloir Social et Médico-social (DUI – Dossier Usager Informatisé) couvrant six secteurs : Personnes âgées (PA), Personnes en situation de handicap (PH), Domicile (DOM), Personnes en difficultés spécifiques (PDS), Protection de l'enfance (PDE) et Accueil Hébergement Insertion (AHI). Les solutions devront être déployées dans les structures concernées avant le 15 mars 2029. Les éditeurs de logiciels à destination du secteur médico-social qui n'anticipent pas ce couloir dès maintenant s'exposent à ne pas être référencés dans les délais, et donc à perdre l'accès aux financements correspondants.
Conseil : Si vous êtes éditeur d'un logiciel à destination du secteur médico-social, ne raisonnez pas en fonction de l'échéance de 2029. Le processus de référencement Ségur est long : constitution du dossier, tests, certification. Engagez sans attendre un audit de conformité de votre solution par rapport aux exigences du couloir DUI pour identifier les écarts techniques à combler.
La doctrine s'articule autour de trois piliers, tous opposables juridiquement et structurant l'ensemble de l'écosystème numérique en santé.
La doctrine 2026 fait évoluer le volet identification électronique : Pro Santé Connect (PSC) est désormais complété par « Pro Santé Identité », un nouveau dispositif destiné au personnel administratif des établissements, jusqu'alors exclu du périmètre PSC. Au deuxième trimestre 2026, la DNS devait publier la deuxième version du référentiel d'identification électronique. Tout contrat éditeur ou accord de partenariat conclu avec des établissements de santé doit anticiper cette évolution en prévoyant une clause de mise à jour des exigences d'authentification, afin d'éviter une obsolescence contractuelle dès la publication de ce nouveau référentiel.
À noter : La vague 2 du Ségur impose des exigences de sécurité significativement renforcées par rapport à la vague 1, via le référentiel SSI/GEN.18 : un test d'intrusion obligatoire, réalisé par un prestataire qualifié PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information), est désormais requis. Les logiciels ne doivent plus seulement envoyer des documents vers Mon espace santé : ils doivent aussi consulter le DMP avant toute prise en charge et intégrer les documents reçus dans le logiciel métier. Les éditeurs sont par ailleurs tenus de déclarer les versions techniques obsolètes de leurs solutions via la plateforme Convergence.
Première obligation incontournable : la certification HDS. Toute ENS hébergeant des données de santé pour le compte d'un tiers doit l'obtenir, en application de l'article L.1111-8 du Code de la santé publique et du décret n° 2018-137. Cette certification, fondée à 80 % sur la norme ISO/IEC 27001, donne lieu à la délivrance simultanée de deux certificats. Si vous êtes un éditeur SaaS médical gérant vous-même votre hébergement, vous devez obtenir cette certification par vos propres moyens. La liste officielle des hébergeurs certifiés est publiquement consultable sur le site de l'ANS. Lors d'un engagement contractuel avec un hébergeur, il ne suffit pas de vérifier l'existence de la certification HDS : il faut impérativement contrôler la portée exacte de la certification, c'est-à-dire les six activités HDS effectivement couvertes par le certificat (parmi lesquelles figurent notamment la mise à disposition d'une infrastructure matérielle, la mise à disposition d'une infrastructure virtuelle, l'infogérance du système d'information, la sauvegarde des données). Un hébergeur certifié pour seulement deux activités sur six n'offre pas la couverture réglementaire complète requise par l'article L.1111-8 du CSP.
Exemple concret : La société MedLog, éditrice d'un logiciel de gestion de cabinet de kinésithérapie en mode SaaS, a sous-traité l'hébergement de ses données à un prestataire cloud. Lors d'un audit de conformité commandé par un groupement d'acheteurs hospitaliers, il s'est avéré que le prestataire ne détenait la certification HDS que pour deux activités (mise à disposition d'infrastructure matérielle et sauvegarde), mais pas pour l'infogérance du système d'information ni pour l'administration et l'exploitation. MedLog a dû, en urgence, migrer l'intégralité de ses données vers un hébergeur certifié sur les six activités, engendrant trois mois de retard sur son calendrier de référencement Ségur et un surcoût de 95 000 euros. Le groupement d'acheteurs a suspendu le marché en attendant la mise en conformité effective.
Seconde obligation : le certificat de conformité ANS aux référentiels d'interopérabilité, de sécurité et d'éthique, prévu par l'article L.1470-5 du CSP. Ce certificat est obligatoire pour tout service numérique en santé depuis le 31 décembre 2024. Sans lui, votre solution ne peut pas prétendre au référencement Ségur, ce qui entraîne une impossibilité réglementaire d'alimenter le Dossier Médical Partagé (DMP) et une inéligibilité aux financements publics SONS, France 2030 ou ARS. Concernant les avances Ségur, la distinction entre les taux mérite attention : les éditeurs ayant déposé un dossier complet avant le 15 décembre 2025 bénéficient d'une avance de 40 % ; ceux qui déposent entre cette date et le 31 mars 2026 ne perçoivent plus que 25 %. La maintenance Ségur en vague 2 couvre 5 ans (contre 6 ans en vague 1), et la procédure de financement SONS est ouverte jusqu'au 28 septembre 2027 pour le couloir Hôpital.
Troisième cas de figure : si votre solution intègre un système d'IA classé « à haut risque » au sens de l'Annexe III de l'AI Act (règlement UE 2024/1689), vous devez mettre en place une gestion des risques documentée, un contrôle humain effectif, un suivi post-commercialisation et obtenir le marquage CE avant toute mise sur le marché.
La loi n° 2026-403 du 26 mai 2026 (loi de simplification de la vie économique), en son article 55, crée une obligation supplémentaire à la charge des éditeurs de services numériques en santé gérant des dossiers médicaux : en cas de changement d'éditeur, l'éditeur sortant est légalement tenu d'assurer le transfert de l'ensemble des données dont le professionnel de santé est responsable de traitement. Un décret doit encore préciser le montant maximal des frais facturables, le délai de remise des données et le régime de sanctions applicable. Toute clause contractuelle écartant ou limitant cette obligation serait susceptible d'être déclarée illicite. Cette disposition impose aux éditeurs de revoir leurs contrats clients existants pour supprimer ou modifier toute clause de réversibilité non conforme.
Conseil : Si vous êtes éditeur, anticipez dès maintenant la publication du décret d'application de l'article 55 de la loi n° 2026-403 en auditant vos clauses de réversibilité et de portabilité des données. Une clause qui limite ou retarde le transfert des données en cas de changement d'éditeur vous expose à un contentieux et, à terme, aux sanctions que le décret définira. Un avocat compétent en droit du numérique en santé peut vous aider à rédiger des clauses conformes tout en préservant vos intérêts commerciaux légitimes.
Le décret n° 2026-153 du 3 mars 2026 a instauré un régime de sanctions financières sans précédent. L'éditeur qui ne respecte pas ses obligations s'expose à une pénalité pouvant atteindre 1 % de son chiffre d'affaires France, plafonnée à un million d'euros. Détail à ne pas négliger : si l'éditeur ne communique pas son chiffre d'affaires au ministre dans les 15 jours suivant la notification, la pénalité est automatiquement portée au plafond d'un million d'euros. Les utilisateurs ne sont pas épargnés : 1 000 euros d'amende pour les professionnels personnes physiques, 10 000 euros pour les personnes morales.
Les sanctions ne s'arrêtent pas là. Sur le terrain pénal, l'article 226-16 du Code pénal prévoit jusqu'à 5 ans d'emprisonnement et 300 000 euros d'amende. L'article L.1115-1 du CSP punit l'hébergement sans certification HDS de 3 ans d'emprisonnement et 225 000 euros d'amende pour les personnes morales. La CNIL, de son côté, peut infliger des sanctions allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial au titre du RGPD.
Il convient toutefois de signaler un point important : le Conseil constitutionnel, dans sa décision n° 2025-899 DC du 30 décembre 2025, a censuré les sanctions financières prévues par le PLFSS 2026 pour non-alimentation du DMP (2 500 € par infraction pour les libéraux, 25 000 € par infraction pour les établissements). Le motif retenu est celui du « cavalier social », hors périmètre d'une loi de financement de la sécurité sociale. Cette censure crée un vide juridique temporaire : aucune sanction financière spécifique ne peut aujourd'hui être prononcée pour défaut d'alimentation du DMP, en attendant une loi ordinaire dédiée. Ce vide ne doit cependant pas être interprété comme une dispense d'obligation : l'alimentation du DMP reste exigée par les textes en vigueur, et un futur véhicule législatif viendra combler cette lacune.
À ces risques financiers s'ajoute un risque réputationnel considérable : la liste des services non conformes est rendue publique sur le site de l'ANS, consultable par les professionnels de santé, les établissements et le grand public. Au-delà de cette publication, le dispositif de contrôle comprend un programme annuel approuvé par arrêté ministériel et un bilan annuel rendu public. La CNAM transmet à l'ANS les manquements constatés chez les professionnels et établissements utilisateurs. Concrètement, un éditeur dont le nom figure sur cette liste voit ses clients potentiels — professionnels de santé, établissements, ARS — informés en temps réel de sa non-conformité, ce qui peut entraîner une perte immédiate de contrats en cours ou en négociation. Enfin, les ENS non référencées Ségur se trouvent de facto exclues des marchés publics de santé.
À noter : Ne sous-estimez pas la portée pratique de ce dispositif de publicité. Contrairement à d'autres secteurs où la non-conformité peut rester confidentielle, le mécanisme mis en place en e-santé rend l'information accessible à l'ensemble de l'écosystème en quelques clics. Un seul signalement transmis par la CNAM à l'ANS peut déclencher une inscription sur la liste publique et provoquer un effet domino sur votre portefeuille de clients.
Le RGPD qualifie les données de santé de données sensibles au sens de l'article 9. Toute application qui collecte ce type de données — y compris une application de bien-être permettant de déduire un état pathologique, comme une mesure de glycémie ou un électrocardiogramme — doit réaliser une Analyse d'Impact sur la Protection des Données (AIPD) et recourir impérativement à un hébergeur certifié HDS.
Le règlement EEDS (UE 2025/327 du 15 février 2025) impose quant à lui de rendre interopérables toutes les bases de données de santé au sein de l'Union européenne. Il fixe des exigences essentielles pour les fabricants de dossiers médicaux électroniques et encadre l'utilisation secondaire des données de santé selon un principe de réutilisation « par défaut » (mécanisme d'opt-out) : les données peuvent être réutilisées à des fins secondaires — recherche, politique de santé, innovation — sauf exercice explicite du droit de refus par le patient. Ce mécanisme d'opt-out doit être intégré dans les architectures techniques dès la conception des solutions. Chaque État membre doit désigner un Organisme Responsable de l'Accès aux Données (ORAD) d'ici 2027. En France, un projet de loi est attendu dès 2026 pour désigner cette autorité, qui supervisera les demandes d'accès aux données pour usage secondaire. Cette stratégie nationale, lancée le 1er juillet 2025 par le ministre Yannick Neuder, vise précisément à préparer l'entrée en vigueur en France de ce règlement.
L'AI Act (UE 2024/1689) classe les solutions d'aide au diagnostic, de décision clinique ou de suivi patient comme systèmes d'IA à haut risque. La FAQ MDCG 2025-6 précise l'articulation entre ce règlement et le règlement sur les dispositifs médicaux (UE 2017/745). Enfin, la question de la souveraineté reste un sujet brûlant : tout hébergement hors Union européenne constitue un risque juridique direct, car il expose au jeu de lois extraterritoriales qui peuvent contraindre l'hébergeur à communiquer des données de santé à des autorités étrangères, sans que les garanties RGPD soient assurées. Les clauses contractuelles HDS doivent être vérifiées avec la plus grande rigueur sur ce point.
La nature évolutive de la doctrine crée une obligation de veille permanente. Un référentiel conforme en 2024 peut ne plus l'être en 2026. Sans clause de mise à jour dans vos contrats — y compris sur les exigences d'authentification liées à l'arrivée de « Pro Santé Identité » et de la deuxième version du référentiel d'identification électronique —, vous vous exposez à une obsolescence contractuelle susceptible de remettre en cause votre référencement Ségur ou votre certification. Un audit de conformité préalable portant sur les trois piliers socles — CI-SIS, PGSSI-S/HDS et CENS — est indispensable avant tout dépôt de dossier Ségur ou lancement d'un service numérique en santé.
La sécurisation contractuelle constitue un autre volet critique. Vos contrats d'hébergement doivent comporter des clauses obligatoires : mention de la certification HDS (avec vérification de la portée exacte couvrant les six activités réglementaires), garanties RGPD formalisées, traitement des risques d'extraterritorialité. Un contrat qui omet ces mentions expose directement le responsable de traitement à une mise en cause par la CNIL en cas d'incident. Les clauses de réversibilité et de portabilité doivent désormais intégrer les exigences de l'article 55 de la loi n° 2026-403 sur le transfert obligatoire des données en cas de changement d'éditeur. La gestion des incidents cyber, avec la désignation d'un RSSI et des procédures de notification conformes à NIS2, complète ce dispositif. Le programme CaRE peut d'ailleurs financer une partie de ces mises en conformité.
CONNECT AVOCATS accompagne les entreprises du numérique en santé sur l'ensemble de ces problématiques : audit de conformité aux référentiels socles, mise en conformité RGPD, EEDS et AI Act, rédaction et révision de contrats d'hébergement et contrats éditeurs (incluant les clauses de portabilité et de mise à jour d'authentification), gestion des incidents cyber et défense devant les autorités de contrôle. Le cabinet, qui intervient dans le domaine du droit du numérique et du droit des affaires sur toute la France, vous aide à transformer ces contraintes réglementaires en avantage concurrentiel. N'attendez pas un contrôle de l'ANS pour agir : contactez CONNECT AVOCATS afin de sécuriser votre activité et pérenniser votre accès aux marchés publics de santé.