RGPD, EHDS, nLPD : qu'est-ce qui protège vraiment vos données de santé en Europe ?

Trois régimes juridiques comptent pour les données de santé en Europe, et ils font des travaux différents.

RGPD : l’interdiction de principe

Le Règlement général sur la protection des données classe les données de santé parmi ses « catégories particulières » : leur traitement est interdit sauf condition stricte et explicitement justifiée. Le RGPD définit aussi la structure de responsabilité. Le responsable du traitement détermine pourquoi et comment les données sont traitées et porte l’entière responsabilité juridique ; un sous-traitant agit sur ses instructions (l’article 28 du RGPD régit cette relation).

EHDS : le nouveau cadre européen

L’Espace européen des données de santé (EHDS), règlement (UE) 2025/327, est entré en vigueur le 26 mars 2025. Il est plus ambitieux que tout ce qui l’a précédé : un cadre commun pour l’usage primaire (vos propres soins, y compris transfrontaliers) et l’usage secondaire (recherche, politiques publiques, décisions réglementaires) des données de santé dans tous les États membres, avec des normes d’interopérabilité obligatoires, des environnements de traitement sécurisés et une voie d’« altruisme des données » pour les patients qui veulent contribuer à la recherche.

Deux réserves s’imposent. Ses obligations ne s’appliquent que progressivement, la plupart quatre ans après l’entrée en vigueur. Et les premiers retours des systèmes nationaux d’usage secondaire appellent à la prudence : la Finlande, premier pays à appliquer pleinement des règles d’usage secondaire, a vu les autorisations de recherche approuvées tomber environ 47 % sous les projections en 2023. Déplacer les décisions du consentement individuel vers l’autorisation administrative ne produit pas automatiquement plus de recherche.

Suisse : la nLPD

La Suisse n’est pas membre de l’UE ; sa nouvelle Loi fédérale sur la protection des données (nLPD) gouverne les données de santé avec la même logique de fond : les données de santé sont spécialement protégées, et le responsable du traitement porte la responsabilité de leur stockage, de leur accès et de leur usage.

Les failles que les lois laissent ouvertes

Un droit fort n’a pas empêché des résultats faibles. Le secteur de la santé est le plus coûteux en matière de violations de données depuis quatorze années consécutives ; en 2025, la violation moyenne dans la santé a coûté 7,42 millions de dollars et demandé 279 jours pour être identifiée et contenue. Les applications de santé grand public échappent largement aux régimes de confidentialité médicale, et la prudence institutionnelle surrestreint la recherche légitime que ces lois devaient permettre.

Où se situe Health Data Safe

HDS est conçue pour opérer sous les trois régimes à la fois : une fondation suisse à but non lucratif agissant comme responsable du traitement, afin que les cliniques, chercheurs et développeurs d’applications qui s’associent à elle héritent de la machinerie de consentement, d’audit et de conformité au lieu de la construire seuls. Sa matrice de conformité, publiée en juin 2026, offre un registre public et consultable de la correspondance entre les droits des patients sous HIPAA, RGPD et nLPD et les capacités de la plateforme.

Voyez Fonctionnement pour le modèle, ou Devenir partenaire si vous construisez sur des données de santé.