Depuis le 26 mars 2025, l'interopérabilité des dossiers médicaux n'est plus une simple bonne pratique technique : c'est une obligation légale opposable, assortie de sanctions financières et pénales. Le Règlement européen EHDS (Espace Européen des Données de Santé) a changé la donne pour tous les éditeurs de logiciels médicaux, plateformes de télémédecine et entreprises de santé numérique, qui doivent désormais composer avec un empilement normatif inédit entre droit français et droit européen. CONNECT AVOCATS, cabinet intervenant sur toute la France dans le domaine du droit du numérique et du droit des affaires, accompagne les entreprises de e-santé dans la compréhension et la mise en conformité face à ces exigences. Cet article, conçu sous forme de FAQ, vous guide pas à pas à travers les questions essentielles que se posent dirigeants, DSI, DPO et juristes du secteur.
L'interopérabilité désigne la capacité des systèmes d'information de santé à échanger, comprendre et utiliser mutuellement des données médicales. Elle repose sur trois dimensions complémentaires : la dimension technique (connexion entre systèmes via des protocoles standardisés), la dimension sémantique (compréhension partagée du sens des données grâce à des terminologies communes comme SNOMED CT ou LOINC) et la dimension juridique (harmonisation des règles régissant les conditions d'échange).
Il est important de distinguer deux outils souvent confondus. Le DMP (Dossier Médical Partagé), désormais intégré dans Mon Espace Santé et géré par l'Assurance Maladie, est le dossier numérique accessible au patient et aux professionnels autorisés. Le DME (Dossier Médical Électronique) est quant à lui l'outil métier utilisé par le professionnel de santé pour gérer les données cliniques dans son logiciel. L'Identité Nationale de Santé (INS) joue le rôle d'identifiant pivot, reliant les données d'un même patient entre ces différents systèmes.
La définition légale d'un « système DME » mérite une attention particulière. Selon l'article 41 du Règlement EHDS, il s'agit de « tout appareil ou logiciel destiné par son fabricant à être utilisé pour le stockage, l'intermédiation, l'importation, l'exportation, la conversion, l'édition ou la consultation des dossiers médicaux électroniques ». Cette définition est plus large qu'on ne le pense : elle peut inclure des outils de conversion de formats, des plateformes d'échange ou des modules de consultation, pas uniquement les logiciels de gestion de patients au sens classique.
En France, le référentiel socle est le CI-SIS (Cadre d'Interopérabilité des Systèmes d'Information de Santé), porté par l'Agence du Numérique en Santé (ANS). Il impose notamment les standards FHIR R4 pour les échanges de dossiers patients et DICOM pour l'imagerie médicale. À terme, l'ensemble des volets du CI-SIS seront alignés sur le format européen issu du Règlement EHDS.
À noter : les applications mobiles de bien-être (suivi sportif, nutritionnel, etc.) qui interagissent avec des DME devront également obtenir un label de conformité garantissant leur compatibilité avec les standards EHDS. Les éditeurs d'applications de santé au sens large — y compris celles ne relevant pas strictement du dispositif médical — sont donc potentiellement dans le périmètre du Règlement. Si vous éditez une application de suivi de l'activité physique qui transmet des données à un logiciel de santé, vérifiez sans tarder si votre produit entre dans cette catégorie.
Le cadre juridique applicable se structure en plusieurs strates. En droit français, les articles L.1111-8, L.1111-13-1, L.1470-5 et L.1470-5-1 du Code de la santé publique posent les fondations en matière d'hébergement des données de santé et d'obligations d'interopérabilité. La Doctrine du Numérique en Santé 2025, publiée conjointement par l'ANS, la Délégation au numérique en santé, l'Assurance Maladie et le GIE SESAM-Vitale, rend opposables trois référentiels clés : le CI-SIS (interopérabilité), la PGSSI-S (sécurité) et le CENS (éthique).
Le RGPD qualifie les données de santé de données sensibles au sens de l'article 9, ce qui impose des obligations de sécurité renforcées, la désignation obligatoire d'un DPO (Délégué à la Protection des Données) et la réalisation d'une AIPD (Analyse d'Impact relative à la Protection des Données) préalable à tout nouveau traitement.
La certification HDS (Hébergeur de Données de Santé), exigée par l'article L.1111-8 du CSP, s'impose à tout prestataire hébergeant des données de santé pour le compte d'un tiers. Elle repose sur la norme ISO 27001 mais intègre des exigences complémentaires propres au RGPD et au secteur de la santé. Sa validité est de trois ans, avec des audits de surveillance annuels. Depuis l'arrêté du 26 avril 2024, entré en vigueur le 16 mai 2024, une nouvelle version du référentiel HDS (HDS v2) publiée par l'AFNOR Certification s'applique : tout audit HDS engagé depuis cette date doit se référer à cette version mise à jour. Attention : la certification ISO 27001 seule ne suffit pas.
Précision importante : une organisation qui héberge ses propres données de santé sur ses propres serveurs, sans faire appel à un tiers, n'est pas soumise à l'obligation de certification HDS. En revanche, elle reste intégralement soumise au RGPD. Cette distinction est essentielle pour les établissements de santé gérant leur propre infrastructure, qui ne doivent pas confondre l'absence d'obligation HDS avec une absence d'obligation de sécurité.
Le Règlement (UE) 2025/327 est entré en vigueur le 26 mars 2025 et prévoit un déploiement progressif : application générale dès mars 2027, échanges transfrontaliers prioritaires (résumés patients, e-prescriptions) à partir de mars 2029, puis extension à l'imagerie médicale et aux rapports de sortie d'hôpital en mars 2031. L'objectif affiché est de couvrir 100 % des citoyens européens d'ici 2030.
En parallèle, le décret du 3 mars 2026 impose à tout éditeur ou exploitant de service numérique en santé l'obtention d'un certificat de conformité ANS. En cas de manquement, le ministre de la Santé peut prononcer des pénalités financières sur proposition de l'ANS, assorties d'astreintes journalières et d'une publication sur une liste noire accessible au public. Les solutions d'intelligence artificielle appliquées à la santé ne sont pas exemptées du respect des référentiels d'interopérabilité, de sécurité et d'éthique de l'ANS — au contraire, l'exigence documentaire peut y être accrue. Le fait qu'un traitement repose sur de l'IA ne constitue pas un motif d'exemption du certificat de conformité ; cette précision est expressément mentionnée dans la doctrine d'application du texte.
Conseil : contrairement à ce que l'on pourrait attendre d'un règlement européen sur les données de santé, le Règlement EHDS ne garantit pas par défaut que les données de santé des citoyens européens soient stockées sur le territoire de l'UE : il laisse aux États membres la possibilité d'autoriser un stockage en dehors de l'UE. Si votre conformité repose sur la seule localisation de vos données en Europe, vérifiez que vos analyses d'impact et vos contrats prévoient des mesures complémentaires de protection (chiffrement, pseudonymisation, clauses contractuelles types).
Votre première démarche consiste à vérifier si votre activité vous soumet à l'obligation de certification HDS. Les éditeurs de logiciels de santé en mode SaaS, les prestataires cloud et les hébergeurs IT entrent dans ce périmètre dès lors qu'ils hébergent des données de santé pour le compte d'un tiers. Pensez à vérifier que vos sauvegardes externalisées bénéficient du même niveau de certification que les données d'origine. Pour un accompagnement juridique en e-santé, le recours à un avocat compétent en droit du numérique permet d'évaluer précisément votre situation au regard de ces exigences cumulatives.
Il est également essentiel d'intégrer dès maintenant le standard FHIR R4 dans vos développements. La mise en conformité d'un logiciel métier prend généralement entre 12 et 24 mois, ce qui signifie que les entreprises qui repoussent ce chantier risquent de ne pas tenir les échéances de 2027. L'ANS met à disposition une plateforme en ligne de tests d'interopérabilité pour valider la conformité de vos interfaces.
Concernant le marquage de conformité EHDS, vos systèmes DME devront intégrer un module d'interopérabilité et un module de journalisation traçant tous les accès et partages de données. Soyez vigilant : certains composants logiciels pourraient être qualifiés de dispositifs médicaux ou de systèmes d'IA à haut risque, nécessitant un double marquage. Les exigences du Cyber Resilience Act (CRA), en vigueur depuis décembre 2024, s'ajoutent à ce dispositif. La documentation technique démontrant la conformité du système DME aux exigences d'interopérabilité et de traçabilité doit être élaborée avant même la mise sur le marché du logiciel et doit contenir une évaluation de l'interopérabilité. Cette exigence de « conformité dès la conception » implique d'intégrer les prérequis EHDS dès la phase de développement et non a posteriori.
Exemple concret : la société MedVault Solutions, éditrice d'un logiciel SaaS de gestion de dossiers patients déployé dans 45 cabinets de radiologie en France, a été confrontée en mai 2025 à cette problématique. En préparant la mise à jour de son module d'export d'images DICOM, elle a découvert que son outil de conversion de formats — un composant jusqu'alors considéré comme une simple brique technique — répondait à la définition de « système DME » de l'article 41 du Règlement EHDS. L'éditeur a dû engager un chantier de mise en conformité incluant la rédaction d'une documentation technique complète, l'intégration d'un module de journalisation et la planification d'un audit HDS v2 (référentiel en vigueur depuis le 16 mai 2024). En anticipant ce travail 18 mois avant l'échéance de mars 2027, MedVault Solutions a pu étaler l'investissement — estimé à 180 000 euros — sur deux exercices et éviter le risque de devoir retirer son produit du marché.
Le Règlement EHDS ne se limite pas à l'interopérabilité des systèmes : son Chapitre IV introduit un cadre juridique dédié à l'usage secondaire des données de santé, qui entrera en application le 26 mars 2029. Les finalités autorisées incluent la recherche scientifique, l'évaluation d'algorithmes et les politiques publiques. En revanche, les finalités à visée commerciale (publicité, marketing) ou préjudiciables à l'individu sont expressément interdites.
Les patients disposent d'un droit d'opt-out spécifique leur permettant de s'opposer à l'utilisation secondaire de leurs données. À la fin du traitement, les résultats doivent être rendus publics dans un délai maximal de 18 mois. En France, le Health Data Hub est pressenti pour jouer le rôle d'ORAD (Organisme Responsable de l'Accès aux Données), avec intervention de la CNIL pour avis conforme dans les cas sensibles. Au 1er septembre 2025, 125 entrepôts de données de santé disposaient déjà d'une autorisation CNIL, ce qui témoigne de la structuration progressive de cet écosystème.
À noter : si vous développez des algorithmes exploitant des données de santé à des fins de recherche ou d'évaluation, la conformité aux référentiels d'interopérabilité de l'ANS est indispensable, indépendamment de la nature de votre traitement (statistique classique ou intelligence artificielle). Anticipez dès maintenant la désignation de votre point de contact ORAD et la rédaction des protocoles de mise à disposition des résultats.
En droit de la protection des données, vous êtes responsable des sous-traitants que vous mandatez. Auditez la conformité de vos hébergeurs en exigeant l'attestation HDS sur le périmètre exact des activités couvertes. La liste des hébergeurs certifiés est consultable publiquement sur le site de l'ANS.
Faites réviser vos contrats éditeurs pour y intégrer les clauses EHDS et les obligations de portabilité prévues par l'article L.1470-5-1 du Code de la santé publique. Ce texte consacre l'obligation de transfert exhaustif des données médicales en cas de changement d'éditeur. Vos contrats doivent prévoir explicitement les conditions de portabilité, les délais de remise, le format de restitution (FHIR) et les pénalités applicables.
N'oubliez pas de respecter les droits des patients : accès via Mon Espace Santé, droit d'opposition partiel permettant de masquer certaines données, et portabilité européenne via la plateforme MyHealth@EU. Un défaut de traçabilité constitue une non-conformité immédiatement sanctionnable par la CNIL en cas de contrôle.
L'arsenal de sanctions est particulièrement dissuasif et se cumule potentiellement sur plusieurs fronts :
Un piège méconnu mérite votre attention : en cas de notification par l'ANS, l'absence de communication de votre chiffre d'affaires dans les 15 jours entraîne l'application immédiate du plafond d'un million d'euros.
Toutefois, les sanctions prévues par le décret du 3 mars 2026 ne sont pas automatiques. L'ANS et le ministère de la Santé apprécient la sanction en tenant compte de quatre critères de proportionnalité : l'impact potentiel sur la prise en charge des patients, les risques pour la santé publique, les conséquences financières pour l'Assurance Maladie, et les répercussions pour les professionnels de santé qui, du fait d'un logiciel non conforme, pourraient eux-mêmes se retrouver en infraction vis-à-vis de leurs conventions.
Conseil : en cas de procédure de sanction, documentez précisément les diligences accomplies et l'état d'avancement de votre mise en conformité. La démonstration d'une démarche active et de bonne foi — même si elle n'a pas encore abouti — peut peser dans l'appréciation de la proportionnalité de la sanction par l'autorité compétente.
L'affaire Viamedis/Almerys de janvier-février 2024 illustre tragiquement ce lien : 33 millions de personnes touchées par une cyberattaque sur deux opérateurs de tiers payant, soit près de la moitié de la population française. La CNIL a ouvert une enquête pour vérifier la conformité des mesures de sécurité au RGPD. Cet incident démontre le risque systémique lié à la concentration et l'interconnexion de données de santé.
Les données du CERT Santé confirment cette tendance : en 2025, 764 incidents de sécurité ont été déclarés et le nombre d'établissements médico-sociaux touchés a augmenté de 50 %. Si les attaques par rançongiciel reculent de 30 %, les comptes compromis, accès illégitimes et fuites de données structurent désormais une menace plus diffuse. Le coût d'une cyberattaque majeure pour un établissement peut atteindre 30 millions d'euros, avec un délai moyen de reconstruction du système d'information de 18 mois. Selon les données de l'ANSSI reprises par la Cour des comptes dans son rapport de janvier 2025, en 2023, 10 % des victimes de cyberattaques en France étaient des établissements de santé, et 30 hôpitaux français ont été touchés par des rançongiciels entre 2022 et 2023. Pour renforcer la résilience hospitalière, le programme CaRE (Cybersécurité Accélération et Résilience des Établissements) a mobilisé 120 millions d'euros à fin février 2026.
La responsabilité est diffuse dans la chaîne de traitement — établissements, éditeurs, hébergeurs, prestataires IT — ce qui rend impérative la clarification des responsabilités par le contrat. En cas de violation de données, la notification à la CNIL doit intervenir sous 72 heures ; l'absence de notification constitue un facteur aggravant des sanctions.
Face à l'empilement des textes — RGPD, HDS, CI-SIS, Doctrine 2025, EHDS, décret du 3 mars 2026, NIS 2, CRA —, la mise en conformité nécessite une analyse juridique précise de chaque flux de données et de chaque contrat. Un avocat intervenant dans ce domaine peut réaliser l'audit juridique de vos traitements, rédiger des clauses contractuelles conformes aux exigences EHDS/RGPD/HDS, et défendre vos intérêts en cas de contrôle CNIL ou de contentieux lié aux données de santé.
CONNECT AVOCATS accompagne les entreprises de e-santé, de télémédecine et de santé numérique sur l'ensemble du territoire français. Le cabinet intervient tant en conseil — mise en conformité réglementaire, rédaction et négociation de contrats, protection des données sensibles — qu'en contentieux, pour défendre vos intérêts face aux autorités de contrôle ou dans le cadre de litiges commerciaux. Si vous êtes confronté à ces enjeux d'interopérabilité des dossiers médicaux et d'obligations juridiques, n'hésitez pas à solliciter un accompagnement sur mesure pour sécuriser durablement votre activité.