Mis à jour le 5 min de lecture

RGPD, EHDS, nLPD : qu'est-ce qui protège vraiment vos données de santé en Europe ?

Trois régimes juridiques comptent pour les données de santé en Europe, et ils font des travaux différents.

RGPD : l’interdiction de principe

Le Règlement général sur la protection des données classe les données de santé parmi ses « catégories particulières » : leur traitement est interdit sauf condition stricte et explicitement justifiée. Le RGPD définit aussi la structure de responsabilité. Le responsable du traitement détermine pourquoi et comment les données sont traitées et porte l’entière responsabilité juridique ; un sous-traitant agit sur ses instructions (l’article 28 du RGPD régit cette relation).

EHDS : le nouveau cadre européen

L’Espace européen des données de santé (EHDS), règlement (UE) 2025/327, est entré en vigueur le 26 mars 2025. Il est plus ambitieux que tout ce qui l’a précédé : un cadre commun pour l’usage primaire (vos propres soins, y compris transfrontaliers) et l’usage secondaire (recherche, politiques publiques, décisions réglementaires) des données de santé dans tous les États membres, avec des normes d’interopérabilité obligatoires, des environnements de traitement sécurisés et un renvoi au mécanisme d’« altruisme des données » du règlement européen sur la gouvernance des données pour les patients qui veulent contribuer à la recherche.

Deux réserves s’imposent. Ses obligations ne s’appliquent que progressivement : la date générale d’application est le 26 mars 2027, l’échange en usage primaire et tout le chapitre sur l’usage secondaire s’appliquent à partir du 26 mars 2029, et d’autres étapes suivent en 2031 et 2035. Et les premiers retours des systèmes nationaux d’usage secondaire appellent à la prudence : la Finlande, où une loi spécifique sur l’usage secondaire s’applique depuis 2020, a vu les autorisations de recherche approuvées tomber environ 47 % sous les projections en 2023. Déplacer les décisions du consentement individuel vers l’autorisation administrative ne produit pas automatiquement plus de recherche.

Suisse : la nLPD

La Suisse n’est pas membre de l’UE ; sa nouvelle Loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, gouverne les données de santé avec la même logique de fond : les données de santé sont spécialement protégées, et le responsable du traitement porte la responsabilité de leur stockage, de leur accès et de leur usage.

Les failles que les lois laissent ouvertes

Un droit fort n’a pas empêché des résultats faibles. Le secteur de la santé est le plus coûteux en matière de violations de données depuis treize années consécutives, et en 2026 la violation moyenne dans la santé a coûté 6,64 millions de dollars, le record de tous les secteurs, selon le rapport Cost of a Data Breach 2026 d’IBM. Les applications de santé grand public échappent largement aux régimes de confidentialité de niveau hospitalier comme HIPAA (voir notre guide sur les applications de suivi de cycle), et la prudence institutionnelle surrestreint la recherche légitime que ces lois devaient permettre.

Où se situe Health Data Safe

HDS est conçue pour opérer sous les trois régimes à la fois : une fondation suisse à but non lucratif agissant comme responsable du traitement, afin que les cliniques, chercheurs et développeurs d’applications qui s’associent à elle héritent de la machinerie de consentement, d’audit et de conformité au lieu de la construire seuls. HDS est conforme par conception, et va plus loin que ce qu’aucun de ces cadres n’exige : sur HDS, une donnée ne peut être vue par quelqu’un d’autre ou partagée que si le patient, qui est l’utilisateur HDS, y a explicitement consenti. Sa matrice de conformité, publiée en juin 2026, n’ajoute aucune protection en soi. Elle décrit en langage clair comment exactement chaque obligation issue de HIPAA, du RGPD, de la nLPD suisse et de SOC 2 est remplie, et si c’est la plateforme, HDS, ou l’organisation qui construit dessus qui la porte.

La matrice couvre deux cadres que cet article n’a pas encore décrits. HIPAA est la loi fédérale américaine de 1996 sur la confidentialité des données de santé. Elle ne s’applique pas à toute donnée de santé, mais à des acteurs précis, les soignants, les assureurs et leurs prestataires. Elle impose des règles de confidentialité, de sécurité et de notification des fuites. Quand une clinique américaine utilise HDS, HDS devient son prestataire au sens de HIPAA et ces règles s’appliquent à HDS. SOC 2 n’est pas une loi. C’est un référentiel publié par l’ordre américain des experts-comptables (AICPA). Un auditeur indépendant examine les contrôles d’une organisation en matière de sécurité, de disponibilité, d’intégrité, de confidentialité et de vie privée, et délivre un rapport que les hôpitaux et entreprises de santé américains demandent couramment à leurs fournisseurs. HDS n’a pas encore fait l’objet d’un tel audit. La matrice rapproche ses contrôles de ces critères pour que chacun puisse voir où elle en est.

Voyez Fonctionnement pour le modèle, ou Devenir partenaire si vous construisez sur des données de santé.

Sources