Avocat Santé et E-santé : données de santé, cybersécurité et conformité numérique du secteur sanitaire
Le droit du numérique au service de la santé
Le cabinet HAAS Avocats accompagne les établissements de santé, les éditeurs de solutions de télémédecine, les concepteurs de dispositifs médicaux numériques et les laboratoires pharmaceutiques dans la sécurisation juridique de leurs projets numériques : RGPD données de santé, certification HDS, cybersécurité, NIS 2, IA Act, mise sur le marché et valorisation des données.
30 ans d’expertise en droit du numérique appliqué à la santé.
Un secteur en transformation accélérée, soumis à une pression réglementaire et sécuritaire sans précédent
Le secteur de la santé subit un double mouvement. D’un côté, la transformation numérique s’accélère : la téléconsultation s’est généralisée, la télésurveillance médicale est remboursée par l’Assurance Maladie, les objets connectés de santé se multiplient, et l’intelligence artificielle entre dans le diagnostic, la prédiction et le suivi des patients. Des plateformes comme Doctolib structurent désormais la prise de rendez-vous et développent des assistants de consultation fondés sur l’IA. Les laboratoires pharmaceutiques investissent massivement dans la valorisation des données de santé et le drug discovery assisté par algorithme.
De l’autre côté, les risques explosent. Les hôpitaux, CHU, EHPAD et cliniques sont devenus les cibles prioritaires des ransomwares en France, paralysant les systèmes d’information. Ces attaques ont des conséquences directes sur la continuité des soins, la gestion des dossiers patients et la paie des personnels. Ainsi La CNIL a renforcé ses contrôles sur le traitement des données de santé. L’Agence du Numérique en Santé a revu en profondeur le référentiel de certification des hébergeurs de données de santé, avec des exigences renforcées en matière de souveraineté des données.
Face à cet empilement, les acteurs de la santé ne peuvent plus traiter les questions juridiques numériques en silo. Un éditeur de télémédecine jongle avec le RGPD, la certification HDS, le marquage CE et l’IA Act. Un directeur d’hôpital gère la conformité NIS 2, ses contrats éditeurs et les contrôles CNIL. Un laboratoire doit ouvrir ses données à la recherche sans compromettre les droits des patients. C’est ce positionnement transversal que le cabinet HAAS Avocats a construit avec son département e-santé.
7 enjeux juridiques prioritaires pour les acteurs de la santé numérique en 2026
01
RGPD et données de santé
02
Hébergement et certification HDS
Tout hébergeur de données de santé doit être certifié HDS au titre des articles L.1111-8 et suivants du Code de la santé publique. Le référentiel a été révisé en 2024 pour renforcer les exigences de souveraineté des données et clarifier le périmètre des activités d’hébergement.
03
Cyberattaques contre les établissements
04
Télémédecine et dispositifs numériques
05
IA médicale et IA Act
L’IA est utilisée en médecine prédictive, aide au diagnostic, interprétation d’imagerie et recommandation de traitements. L’IA Act classe les systèmes d’IA à finalité médicale parmi les systèmes à haut risque, soumis à des obligations de conformité, de documentation et de contrôle humain.
06
Contrats IT et dépendance aux éditeurs
Les établissements dépendent d’un nombre restreint d’éditeurs pour leurs logiciels métier (DPI, PACS, laboratoire, pharmacie). Les clauses de responsabilité, de réversibilité, de SLA et de conformité RGPD sont fréquemment insuffisantes.
07
Recherche et valorisation des données
Entrepôts de données hospitaliers et Health Data Hub ouvrent des perspectives considérables pour la recherche clinique. L’accès à ces données est encadré par la CNIL et suppose une gouvernance rigoureuse, une pseudonymisation effective et le respect des droits des patients.
Protégez votre établissement de santé face aux enjeux du numérique
Comment Haas Avocats accompagne les acteurs de la santé numérique ?
Traitement des données de santé et RGPD
Mise en conformité au règlement européen
Les données de santé sont des données sensibles au sens de l’article 9 du RGPD. Leur traitement est par principe interdit, sauf exception : consentement explicite, nécessité pour les soins, intérêt public en santé publique, ou recherche scientifique encadrée. La CNIL a établi des méthodologies de référence (MR 001 à MR 006) qui sécurisent les traitements les plus courants du secteur sanitaire et médico-social.
La qualification d’une donnée comme donnée de santé est plus large qu’il n’y paraît. Au-delà des données médicales évidentes, la CNIL et la Cour de justice de l’Union européenne retiennent une approche extensive : une donnée qui révèle l’état de santé par recoupement, comme le nombre de pas enregistré par un objet connecté ou une information sur un régime alimentaire, peut tomber dans le champ de l’article 9. Cette qualification conditionne tout le régime applicable, et une erreur d’analyse à ce stade fragilise l’ensemble du traitement.
Pour les acteurs du secteur, l’enjeu est de sécuriser la base légale. Un établissement de soins s’appuie sur la nécessité de la prise en charge médicale. Un éditeur de solution de e-santé doit souvent recueillir le consentement explicite du patient, ou s’adosser à la méthodologie de référence pertinente lorsque son traitement entre dans le cadre prévu par la CNIL. Un projet de recherche mobilise un fondement distinct et une procédure d’autorisation spécifique. Notre équipe, sous la direction de Jean-Philippe Souyris, qualifie les traitements, détermine le fondement adéquat et conduit l’analyse d’impact relative à la protection des données, obligatoire pour la plupart des traitements de données de santé à grande échelle.
Cette logique de conformité s’inscrit dans une démarche de Privacy by Design : pseudonymisation des données dès la conception, minimisation de la collecte aux seules données nécessaires à la finalité médicale, chiffrement, et information claire des patients sur l’usage de leurs données. Le cabinet, qui figure parmi les premiers à avoir obtenu deux labels CNIL, intègre cette exigence dès le cadrage du projet plutôt qu’en correction tardive.
Livrables types
Qualification juridique des données et des traitements · sélection et application des méthodologies de référence CNIL · AIPD données de santé · recueil et gestion du consentement explicite · cartographie Privacy by Design · accompagnement en cas de contrôle ou de demande de la CNIL.
Certification HDS et conformité des données de santé
Sécurisation juridique des contrats d’hébergement
Toute personne hébergeant des données de santé pour le compte d’un tiers doit être certifiée HDS. Le nouveau référentiel, publié au Journal officiel le 16 mai 2024, impose un hébergement exclusif dans l’Espace économique européen et renforce la souveraineté des données. Les hébergeurs déjà certifiés aveient jusqu’au 16 mai 2026 pour s’y conformer, et les nouveaux candidats avaient jusqu’au 16 novembre 2024.
La certification HDS s’impose à tout hébergeur de données de santé agissant comme sous-traitant au sens de l’article 28 du RGPD, dès lors qu’il héberge des données recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Cette obligation concerne directement les éditeurs de solutions de e-santé, les fabricants de dispositifs connectés et les plateformes qui stockent des données patients, et pas seulement les grands hébergeurs cloud. La frontière est parfois mal comprise par les acteurs, ce qui les expose à un risque de non-conformité.
Le référentiel de 2024 a clarifié un point qui suscitait de nombreuses interrogations : l’activité dite « 5 », relative à l’administration et à l’exploitation du système d’information contenant les données de santé. De nombreux éditeurs et fabricants se demandaient s’ils y étaient soumis. Le texte la définit désormais précisément, en y rattachant la gestion des droits d’accès nominatifs, la sécurisation des procédures d’accès, la conservation des traces et la validation préalable des interventions. Cette clarification change la qualification de nombreux contrats et impose de réexaminer les engagements pris vis-à-vis des clients.
Notre équipe sécurise l’ensemble de la chaîne. Nous déterminons si l’activité de notre client relève de la certification HDS et selon quel périmètre d’activités, nous analysons l’articulation entre les exigences HDS, la certification SecNumCloud de l’ANSSI et la norme ISO 27001, et nous traitons la question sensible des transferts hors Espace économique européen, en anticipant le renforcement de la souveraineté prévu à l’horizon 2027 avec le référentiel européen EUCS. Pour les structures de santé clientes d’un hébergeur, nous vérifions que le prestataire offre les garanties exigées et que le contrat reflète fidèlement le périmètre certifié.
Livrables types
Conformité NIS 2 et crises cyber
Sécurisation juridique des traitements à risques
La directive NIS 2 classe les établissements de santé parmi les entités essentielles, soumises au niveau d’obligations le plus élevé en matière de gouvernance cyber. Un établissement victime d’une attaque doit notifier l’incident à l’ANSSI et à l’ARS, et déclarer toute violation de données de santé à la CNIL dans un délai de 72 heures. La responsabilité des dirigeants peut être engagée.
Une attaque contre un hôpital ne ressemble à aucune autre crise cyber. Quand les systèmes d’information sont chiffrés par un rançongiciel, ce sont les blocs opératoires qui se déprogramment, les dossiers patients qui deviennent inaccessibles, les services d’urgence qui basculent en mode dégradé. L’enjeu n’est pas seulement financier ou réputationnel, il est vital. Cette particularité impose une réponse juridique qui se coordonne en temps réel avec la réponse médicale et technique.
En amont de la crise, la conformité repose sur un socle documentaire et organisationnel que le secteur connaît sous l’angle de la PGSSI-S, la politique générale de sécurité des systèmes d’information de santé. Le passage sous le régime NIS 2 ajoute des obligations de gouvernance qui engagent directement la direction de l’établissement. Notre équipe construit ce socle, encadre contractuellement les prestataires techniques et prépare les établissements aux obligations déclaratives qui leur incombent.
Lorsque l’attaque survient, la cellule de crise du cabinet intervient sous la direction de Gérard Haas, Frédéric Picard et Jean-Philippe Souyris. La spécificité du secteur santé tient à l’empilement des notifications : à l’ANSSI au titre de NIS 2, à l’ARS au titre de la continuité des soins, à la CNIL au titre de la violation de données de santé. Chacune obéit à ses propres délais et à son propre formalisme. Le dépôt de plainte dans les 72 heures conditionne par ailleurs l’activation de la couverture d’assurance cyber.
Livrables types
Construction de la PGSSI-S · mise en conformité NIS 2 et gouvernance de la direction · cartographie des notifications ANSSI, ARS et CNIL · cellule de crise dédiée au secteur santé · dépôt de plainte sous 72h · gestion des suites contentieuses et des éventuelles mises en cause.
Conformité des solutions de santé numérique
Protection des dispositifs de télémédecine
La télémédecine recouvre quatre actes encadrés par le Code de la santé publique : la téléconsultation, la téléexpertise, la téléassistance et la télésurveillance. Les professionnels et les solutions qui les déploient doivent respecter le RGPD, recourir à des outils conformes à la PGSSI-S et à l’espace de confiance MSSanté, et héberger les données chez un hébergeur certifié HDS. Un logiciel intégrant une fonction d’aide à la décision médicale peut relever du règlement européen sur les dispositifs médicaux (MDR).
Le déploiement d’une solution de télémédecine fait intervenir une chaîne d’acteurs aux responsabilités distinctes. Le professionnel de santé est en principe responsable de traitement des données de ses patients. L’éditeur de la solution agit le plus souvent comme sous-traitant et doit offrir des garanties techniques précises. La charte de bonnes pratiques élaborée par l’Assurance Maladie et les représentants de la profession médicale recommande l’usage de matériel de vidéotransmission de qualité, de messageries sécurisées adossées à MSSanté, de la carte professionnelle de santé et d’un chiffrement fort. Ces exigences renvoient aux référentiels d’interopérabilité et de sécurité mentionnés à l’article L.110-4-1 du Code de la santé publique.
Pour l’éditeur ou la plateforme, la difficulté tient à l’accumulation des qualifications. Une même solution peut être simultanément un traitement de données de santé soumis au RGPD, un service nécessitant un hébergement HDS, et, si elle intègre un algorithme d’aide à la décision ou de calcul d’un paramètre clinique, un dispositif médical numérique soumis au marquage CE au titre du règlement MDR 2017/745. Chaque qualification déclenche un régime distinct, et la stratégie de mise sur le marché doit les articuler dès la conception plutôt que de les empiler après coup.
Notre équipe accompagne les professionnels et les établissements dans la sécurisation de leurs actes de télémédecine, et les éditeurs dans la conformité et la commercialisation de leurs solutions. Côté professionnel de santé, nous structurons l’information du patient, la traçabilité du recueil de son consentement à l’acte à distance et la gestion documentée des accès. Côté éditeur, nous qualifions la solution, vérifions le périmètre de conformité applicable et sécurisons la relation contractuelle avec les établissements clients.
Livrables types
Mention d’information patient dédiée à la téléconsultation · procédures de traçabilité du consentement et des accès · audit de conformité d’une solution de télémédecine · qualification dispositif médical et stratégie de marquage CE · contrats éditeur de solution e-santé · vérification de la conformité PGSSI-S et MSSanté.
Encadrer les systèmes d'IA médicales
Mise en conformité avec l’IA Act
L’IA Act classe les systèmes d’intelligence artificielle destinés à un usage médical parmi les systèmes à haut risque, soumis aux obligations les plus strictes : évaluation de conformité, documentation technique, gestion des risques, contrôle humain et transparence. Lorsque le système est aussi un dispositif médical, les exigences de l’IA Act s’articulent avec celles du règlement MDR. La réutilisation de données de santé pour entraîner un algorithme est également encadrée.
L’intelligence artificielle s’est installée dans la pratique médicale par de multiples voies : aide au diagnostic, interprétation d’imagerie, médecine prédictive, recommandation de traitements personnalisés, optimisation des parcours de soins, assistants de consultation qui transcrivent et structurent les échanges. Chacun de ces usages soulève des questions de responsabilité, de fiabilité et de protection des données qui n’ont pas de réponse évidente.
Sur le plan réglementaire, un système d’IA à finalité médicale cumule fréquemment deux statuts. Il est presque toujours classé à haut risque au sens de l’IA Act, ce qui impose une évaluation de conformité, un système de gestion des risques, une documentation technique, une supervision humaine effective et une information des utilisateurs. Il est souvent aussi un dispositif médical au sens du règlement MDR, ce qui ajoute une procédure de marquage CE. Les deux régimes se superposent et la conformité doit être pensée de manière coordonnée. À cela s’ajoute la question de l’entraînement : la réutilisation de données de santé pour développer, tester et évaluer un algorithme obéit à des conditions de licéité strictes, et le fondement juridique de cette réutilisation doit être sécurisé en amont.
Notre équipe accompagne les éditeurs d’IA médicale et les acteurs de santé qui déploient ces outils. Nous classifions le système au regard de l’IA Act, identifions le cumul éventuel avec le statut de dispositif médical, construisons la documentation de conformité et sécurisons le fondement juridique de la réutilisation des données d’entraînement. Pour les établissements qui intègrent une solution d’IA acquise auprès d’un tiers, nous vérifi
Livrables types
Classification du système au regard de l’IA Act · analyse du cumul IA Act et statut de dispositif médical · documentation de conformité et système de gestion des risques · sécurisation juridique des données d’entraînement · clauses de répartition des responsabilités fournisseur et utilisateur · formation des équipes aux obligations de l’IA Act.
Mise sur le marché des logiciels de santé
Analyse réglementaire des logiciels de santé
Un logiciel destiné à une finalité médicale (diagnostic, prévention, suivi, traitement) est un dispositif médical au sens du règlement européen MDR 2017/745. Sa mise sur le marché suppose une classification selon le niveau de risque, une évaluation de conformité, l’intervention d’un organisme notifié pour les classes supérieures, le marquage CE et le respect de la déontologie médicale dans la communication.
Beaucoup d’éditeurs sous-estiment le moment où leur solution bascule dans le statut de dispositif médical. Une application qui se contente d’afficher des informations générales n’est pas un dispositif médical. La même application qui calcule une dose, suggère un diagnostic ou alerte sur un paramètre clinique le devient, avec toutes les obligations qui s’y attachent. Cette frontière conditionne le modèle économique, le calendrier de lancement et le budget de conformité, et elle doit être tranchée avant le développement plutôt que découverte au moment de la commercialisation.
Une fois la qualification posée, le parcours de mise sur le marché suit la logique du règlement MDR : détermination de la classe de risque, choix de la procédure d’évaluation de conformité, constitution de la documentation technique, recours à un organisme notifié lorsque la classe l’exige, puis apposition du marquage CE. À ce socle s’ajoutent des contraintes propres au secteur de la santé qui échappent souvent à la vigilance des éditeurs venus du numérique : les règles de déontologie médicale encadrent la communication et la publicité, l’information du patient et du professionnel obéit à des exigences spécifiques, et certaines prestations supposent des agréments ou des référencements complémentaires.
Sous la direction d’Eve Renaud-Chouraqui, le pôle Compliance accompagne les éditeurs et les fabricants tout au long de ce parcours. Nous déterminons le statut réglementaire de la solution, sécurisons la stratégie de mise sur le marché, fiabilisons la documentation exigée et veillons à la conformité de la communication aux règles déontologiques du secteur. Cette mission s’articule étroitement avec les volets données et IA lorsque la solution les mobilise.
Livrables types
Qualification réglementaire dispositif médical · détermination de la classe de risque et de la procédure d’évaluation · accompagnement de la procédure de marquage CE · revue de conformité de la communication et de la publicité santé · vérification des agréments et référencements applicables · coordination avec les exigences données et IA.
Contrats avec les éditeurs de logiciels
Maîtrise des risques contractuels
Les établissements de santé dépendent d’un nombre restreint d’éditeurs pour leurs logiciels critiques : dossier patient informatisé (DPI), imagerie (PACS), logiciels de laboratoire, de pharmacie ou de gestion administrative. Les contrats fixent rarement des garanties suffisantes en matière de responsabilité, de niveau de service, de sécurité et de réversibilité, laissant l’établissement exposé en cas de défaillance ou d’incident.
La dépendance technologique est plus aiguë en santé que dans la plupart des autres secteurs. Quand le dossier patient informatisé tombe, c’est l’ensemble de l’activité de soins qui ralentit, et changer d’éditeur relève souvent du parcours du combattant tant les données et les processus sont imbriqués dans l’outil. Cette situation de dépendance affaiblit la position de négociation de l’établissement et se traduit dans les contrats par des plafonds de responsabilité bas, des engagements de disponibilité imprécis et une réversibilité théorique.
L’audit d’un contrat existant révèle généralement les mêmes angles morts : une annexe de sous-traitance RGPD incomplète au regard de l’article 28, une absence de référence aux obligations d’hébergement HDS, des engagements de niveau de service sans pénalité réelle, et aucune procédure de sortie organisée permettant de récupérer les données dans un format exploitable. Pour un établissement soumis à NIS 2, l’absence d’engagements de sécurité opposables au prestataire constitue une faille supplémentaire.
Notre équipe intervient aussi bien en amont, lors de la rédaction et de la négociation des contrats et des marchés conclus avec les éditeurs de santé, qu’en cours de relation, par l’audit des contrats en vigueur et la renégociation des clauses déséquilibrées. En cas de projet défaillant ou de rupture, nous pilotons la sortie ou le contentieux. Cette expertise contractuelle se nourrit de la connaissance que le cabinet a des autres volets du dossier, de l’hébergement HDS à la conformité RGPD.
Livrables types
Audit de contrats IT de santé en vigueur · rédaction et négociation des contrats éditeurs et marchés · mise à niveau de l’annexe de sous-traitance RGPD et des obligations HDS · renégociation des plafonds de responsabilité et des engagements de service · sécurisation de la réversibilité · gestion des projets défaillants et contentieux.
Entrepôts de données de santé
Gouvernance juridique des projets de recherche
La réutilisation de données de santé à des fins de recherche, par les établissements, les laboratoires pharmaceutiques ou les acteurs de l’innovation, est encadrée par le RGPD et par le Code de la santé publique. Elle suppose un fondement juridique adapté, le recours aux méthodologies de référence de la CNIL ou une autorisation spécifique, ainsi qu’une gouvernance rigoureuse lorsque les données sont rassemblées dans un entrepôt ou transmises au Health Data Hub.
Les établissements constituent des entrepôts de données à des fins de réutilisation, les laboratoires pharmaceutiques exploitent des cohortes pour leurs études, et le Health Data Hub structure l’accès aux données nationales. Mais cette valeur ne se libère que si la gouvernance juridique est irréprochable, faute de quoi le projet de recherche est exposé à un refus de la CNIL, à une contestation des patients ou à une remise en cause de la valorisation.
Selon le projet, il faut s’adosser à une méthodologie de référence de la CNIL, solliciter une autorisation spécifique, ou démontrer la licéité d’une réutilisation de données initialement collectées pour le soin. La constitution d’un entrepôt de données de santé suppose une analyse d’impact, des mesures de pseudonymisation effectives, une information des patients et un encadrement des accès. Pour les laboratoires, s’ajoutent les enjeux de partage avec des partenaires de recherche, parfois hors Union européenne, et de valorisation des résultats.
Notre équipe sécurise ces projets de bout en bout. Nous accompagnons aussi bien les établissements producteurs de données que les laboratoires et acteurs privés qui souhaitent y accéder dans un cadre maîtrisé.
Livrables types
Détermination du fondement de réutilisation des données · dossiers et autorisations CNIL · gouvernance et AIPD d’un entrepôt de données de santé · encadrement des partenariats de recherche · contrats de partage et de valorisation des données · sécurisation des transferts vers des partenaires hors UE.
Pourquoi confier vos projets de santé numérique au cabinet HAAS Avocats
Une double culture, droit du numérique et santé
Le cabinet pratique le droit des nouvelles technologies et de la protection des données depuis 30 ans, et a structuré un département e-santé dédié. Cette double culture est la condition pour traiter des dossiers où le RGPD, la certification HDS, le règlement sur les dispositifs médicaux et l’IA Act se superposent sur une même solution. Plus de 35 professionnels du droit interviennent sur les sujets data, IT, IA et contentieux.
Une formation dédiée au numérique en santé
Le cabinet dispense une formation « Numérique et santé » accréditée Qualiopi, à destination des établissements, des éditeurs et des professionnels qui souhaitent monter en compétence sur le cadre juridique applicable. Cette offre pédagogique prolonge le conseil et aide les équipes à internaliser les bons réflexes.
Une veille active sur l'innovation en santé
Le cabinet publie régulièrement articles, podcasts et webinars sur les sujets de e-santé, qu’il s’agisse du référentiel HDS, de l’IA appliquée au diagnostic ou de la réutilisation des données de recherche. Cette production témoigne d’un suivi continu d’un cadre réglementaire en mouvement permanent.
Questions fréquentes sur le droit de la santé numérique
Les données de santé bénéficient-elles d'une protection renforcée au titre du RGPD ?
Oui. Les données de santé sont des données sensibles au sens de l’article 9 du RGPD, dont le traitement est par principe interdit sauf exception : consentement explicite du patient, nécessité pour la prise en charge médicale, intérêt public en santé publique ou recherche encadrée. La qualification est large : une donnée qui révèle l’état de santé par recoupement peut entrer dans ce régime. La CNIL a publié des méthodologies de référence (MR 001 à MR 006) pour sécuriser les traitements courants du secteur.
Qu'est-ce que la certification HDS et qui est concerné ?
La certification HDS est obligatoire pour toute personne hébergeant des données de santé pour le compte d’un tiers, en qualité de sous-traitant au sens de l’article 28 du RGPD. Le nouveau référentiel, publié au Journal officiel le 16 mai 2024, impose un hébergement dans l’Espace économique européen et renforce la souveraineté des données. Les hébergeurs déjà certifiés doivent s’y conformer au plus tard le 16 mai 2026. Les éditeurs et fabricants peuvent être concernés sans toujours le savoir.
Un hôpital est-il soumis à la directive NIS 2 ?
Oui. Les établissements de santé figurent parmi les entités essentielles au sens de la directive NIS 2, c’est-à-dire la catégorie soumise au niveau d’obligations le plus élevé. Cela implique une gouvernance cyber engageant la direction, des mesures de sécurité renforcées et une obligation de notification des incidents à l’ANSSI. En cas de violation de données de santé, l’établissement doit en outre notifier la CNIL dans un délai de 72 heures et informer l’ARS au titre de la continuité des soins.
Quelles sont les obligations d'une plateforme de téléconsultation ?
Une plateforme de téléconsultation doit garantir la sécurité et la confidentialité des échanges en recourant à des solutions conformes à la PGSSI-S, à des messageries sécurisées adossées à MSSanté et à un hébergement HDS. Le professionnel de santé, responsable de traitement, doit informer le patient, tracer le recueil de son consentement à l’acte à distance et documenter la gestion des accès. Les contrats avec l’éditeur doivent prévoir des engagements de niveau de service, de cybersécurité et de protection des données.
Comment se conformer à l'IA Act pour une IA médicale d'aide au diagnostic ?
Un système d’IA d’aide au diagnostic est classé à haut risque au sens de l’IA Act, ce qui impose une évaluation de conformité, un système de gestion des risques, une documentation technique, un contrôle humain effectif et une information des utilisateurs. Ce système est en outre généralement un dispositif médical soumis au marquage CE au titre du règlement MDR. Les deux régimes se cumulent et doivent être traités de manière coordonnée dès la conception.
Qu'est-ce qu'un dispositif médical numérique et comment le mettre sur le marché ?
Un logiciel poursuivant une finalité médicale, comme suggérer un diagnostic, calculer une dose ou alerter sur un paramètre clinique, est un dispositif médical au sens du règlement MDR 2017/745. Sa mise sur le marché suppose une classification selon le niveau de risque, une évaluation de conformité, l’intervention d’un organisme notifié pour les classes supérieures, puis l’apposition du marquage CE. La communication et la publicité doivent par ailleurs respecter les règles de déontologie médicale.
Que faire en cas de cyberattaque contre un établissement de santé ?
Il faut isoler les systèmes touchés, activer la cellule de crise et procéder aux notifications dans les délais : à l’ANSSI au titre de NIS 2, à la CNIL dans les 72 heures en cas de violation de données de santé, et à l’ARS au titre de la continuité des soins. Le dépôt de plainte dans les 72 heures conditionne l’activation de l’assurance cyber. La coordination entre la réponse juridique, technique et médicale est déterminante pour limiter l’impact sur les soins.
Un laboratoire pharmaceutique peut-il réutiliser des données de santé pour la recherche ?
Oui, sous conditions. La réutilisation de données de santé à des fins de recherche suppose un fondement juridique adapté : adossement à une méthodologie de référence de la CNIL, autorisation spécifique, ou démonstration de la licéité de la réutilisation. La constitution d’un entrepôt de données impose une analyse d’impact, une pseudonymisation effective et une information des patients. Le partage avec des partenaires, notamment hors Union européenne, doit être encadré contractuellement.
Comment sécuriser les contrats avec les éditeurs de logiciels hospitaliers ?
Les contrats portant sur les logiciels critiques (DPI, PACS, logiciels de laboratoire) doivent comporter une annexe de sous-traitance RGPD conforme à l’article 28, des références aux obligations d’hébergement HDS, des engagements de niveau de service assortis de pénalités, des garanties de cybersécurité opposables et une clause de réversibilité permettant de récupérer les données dans un format exploitable. Un audit des contrats en vigueur révèle généralement plusieurs de ces clauses manquantes ou déséquilibrées.
Combien coûte un accompagnement juridique pour un projet e-santé ?
Le coût dépend de la nature et de la maturité du projet. La qualification réglementaire d’une solution, un accompagnement à la certification HDS, une mise en conformité IA Act ou la sécurisation d’un entrepôt de données ne mobilisent pas les mêmes ressources. Le cabinet HAAS Avocats propose un premier échange gratuit pour évaluer le besoin et dimensionner une proposition adaptée au projet et à son stade de développement.