Avocat e-santé : données de santé, HDS, dispositif médical

Un avocat en e-santé sécurise les projets numériques qui touchent à la santé : applications pour les patients, logiciels pour les soignants, téléconsultation, objets connectés, plateformes de rendez-vous, entrepôts de données. Trois questions reviennent dans chaque dossier : comment traiter les données de santé, qui doit les héberger, et le logiciel est-il un dispositif médical ? Hashtag Avocats intervient à Paris pour les start-up et les éditeurs du secteur, sous la responsabilité de Me Arnaud Touati, associé cofondateur et responsable du pôle Contractuel IP-IT.

Pour les données, une analyse d'impact est proposée à partir de 3 500 € HT et un délégué à la protection des données externalisé dès 1 000 € HT par mois. Les autres forfaits figurent sur notre page Tarifs. Pour exposer votre projet, réservez un diagnostic de 30 minutes offert.

Les situations qui vous amènent

Votre application de suivi des patients entre en phase pilote avec un hôpital, qui exige un hébergeur certifié et une analyse d'impact.
Votre hébergeur actuel vous annonce qu'il n'est pas certifié HDS, ou qu'une partie du stockage se fait hors de l'Union.
Votre algorithme propose une orientation ou un score de risque, et un investisseur demande s'il s'agit d'un dispositif médical.
Vous lancez une plateforme de téléconsultation et devez organiser les rôles entre l'éditeur, les médecins et les prestataires.
Un établissement de santé vous adresse un contrat de sous-traitance et une annexe de sécurité à signer.
Une fuite de données touche votre service et vous devez décider qui prévenir, et dans quel délai.

Ce que nous faisons

Qualification du projet : données traitées, rôle de chaque acteur, statut d'hébergeur, risque de qualification en dispositif médical.
Conformité des données : registre, bases légales, information des patients, analyse d'impact, durées de conservation, transferts.
Contrats : hébergement de données de santé, licence ou abonnement au logiciel, partenariats avec des établissements, conditions d'utilisation pour les patients et les professionnels.
Délégué à la protection des données externalisé, pour un suivi continu.
Gestion d'incident : qualification de la violation, notification, communication aux personnes concernées.

Les données de santé, un régime renforcé

Le règlement (UE) 2016/679, dit RGPD, range les données concernant la santé parmi les catégories particulières de données de son article 9. Leur traitement est interdit, sauf exception prévue par le texte, comme le consentement explicite de la personne. Elles couvrent toute information sur la santé physique ou mentale, y compris les prestations de soins qui révèlent l'état de santé.

Ce statut déclenche plusieurs obligations :

une analyse d'impact avant le traitement lorsque des données de santé sont traitées à grande échelle ;
la désignation d'un délégué à la protection des données dans la même hypothèse ;
la tenue d'un registre des traitements, même sous le seuil de 250 salariés ;
des mesures de sécurité adaptées et une procédure de gestion des violations.

Les manquements les plus graves exposent à une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Le secret professionnel s'ajoute au RGPD : l'article L. 1110-4 du Code de la santé publique garantit à toute personne prise en charge le secret des informations la concernant. Ce secret s'impose à tous les professionnels intervenant dans le système de santé. Notre page consacrée à la mise en conformité RGPD détaille la méthode générale.

Hébergement des données de santé : la certification HDS

Toute personne qui héberge, sur support numérique, des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social doit être certifiée. L'hébergement se fait pour le compte de celui qui a recueilli les données ou du patient, après information de ce dernier, et fait l'objet d'un contrat. Ces règles résultent de l'article L. 1111-8 du Code de la santé publique. Le responsable de traitement qui externalise l'hébergement doit vérifier que son prestataire est certifié. Une saisie ou une mise en forme ponctuelle par un prestataire n'est pas un hébergement au sens de ces règles.

Point	Règle	Texte
Qui doit être certifié	L'hébergeur de données de santé pour le compte d'un tiers, sur support numérique	Article L. 1111-8 du Code de la santé publique
Qui délivre le certificat	Un organisme certificateur accrédité par le COFRAC ou un équivalent européen	Article R. 1111-10 du même code
Où sont stockées les données	Exclusivement dans l'Union ou l'Espace économique européen ; accès hors Union encadré par le RGPD et mentionné au contrat	Article R. 1111-9-1 du même code, depuis le 26 septembre 2026
Que risque-t-on	Trois ans d'emprisonnement et 45 000 € d'amende pour un hébergement sans certificat	Article L. 1115-1 du même code

La règle de localisation est récente. Depuis le 26 septembre 2026, l'article R. 1111-9-1 du Code de la santé publique impose à l'hébergeur de stocker les données dans l'Union ou l'Espace économique européen. Un transfert ou un accès à distance depuis un pays tiers n'est possible que sur décision d'adéquation ou avec des garanties appropriées, et doit figurer au contrat. Vos contrats d'hébergement signés avant cette date méritent une relecture.

Selon l'Agence du numérique en santé, la certification passe par un audit documentaire puis un audit sur site, pour un certificat de trois ans avec un audit de surveillance annuel. Un établissement qui gère son propre système d'information n'y est pas soumis.

Votre logiciel est-il un dispositif médical ?

Un logiciel peut être un dispositif médical lorsque son fabricant le destine à une finalité médicale : diagnostic, prévention, suivi, prédiction, traitement. C'est ce que prévoit l'article 2 du règlement (UE) 2017/745 relatif aux dispositifs médicaux. La qualification dépend de la finalité que le fabricant assigne au logiciel, dans ses documents et sa communication, et pas seulement de la technique.

Les conséquences sont lourdes. Avant la mise sur le marché, le fabricant doit faire évaluer la conformité du produit selon les procédures de l'article 52 du même règlement. Une application de bien-être qui glisse vers le conseil médical peut basculer sans que l'équipe produit s'en aperçoive. Nous rédigeons une note de qualification, au forfait de 4 500 € HT, et nous relisons les messages marketing pour qu'ils restent cohérents avec la destination retenue.

Télésanté et plateformes de soins

La télémédecine est définie par l'article L. 6316-1 du Code de la santé publique comme une pratique médicale à distance utilisant les technologies de l'information. Elle met en rapport un professionnel médical avec d'autres professionnels de santé ou avec le patient. Ce texte a été modifié en juin 2026. Un arrêt de travail prescrit ou renouvelé en téléconsultation est désormais limité à trois jours, sauf par le médecin traitant ou en cas d'impossibilité justifiée de consulter.

L'éditeur d'une plateforme de téléconsultation n'exerce pas la médecine. Ses contrats doivent séparer ce qui relève du professionnel de santé, de l'éditeur et de l'hébergeur. Les plateformes de rendez-vous ou d'annuaire de soignants relèvent en outre des règles applicables aux plateformes numériques, notamment pour les avis et la modération.

Intelligence artificielle et santé

Le règlement (UE) 2024/1689 sur l'intelligence artificielle ajoute ses exigences à celles du règlement sur les dispositifs médicaux. Un système d'IA intégré à un produit réglementé de ce type peut relever des systèmes à haut risque : gestion des risques, documentation technique, journalisation, transparence. Un agent conversationnel destiné aux patients doit dans tous les cas indiquer qu'il s'agit d'une IA, sauf si c'est évident. Les données d'entraînement relèvent aussi du RGPD et, souvent, de l'hébergement certifié.

L'espace européen des données de santé

Le règlement (UE) 2025/327 crée l'espace européen des données de santé. Il est applicable à partir du 26 mars 2027, avec une mise en œuvre échelonnée. Les premières catégories de données et l'utilisation secondaire suivent en 2029, les systèmes de dossier médical électronique en 2031. Les éditeurs de logiciels de dossier patient doivent intégrer ce calendrier dans leur feuille de route produit dès maintenant.

Les contrats de l'e-santé

Un projet d'e-santé repose sur une chaîne de contrats. Le contrat d'hébergement est obligatoire et doit préciser, notamment, les conditions de tout accès aux données depuis un pays tiers. La licence ou l'abonnement au logiciel fixe la disponibilité, la sécurité et la réversibilité. Les partenariats avec les établissements organisent les responsabilités et l'accès aux données.

Nous négocions ces contrats en nous appuyant sur notre pratique des contrats informatiques. Les éditeurs qui commercialisent leur solution par abonnement trouveront les sujets propres à leur modèle sur notre page avocat SaaS. Pour la création de la société, le pacte d'associés et les levées de fonds, consultez notre page avocat start-up à Paris.

Déroulé de l'intervention

Diagnostic de 30 minutes offert, puis convention d'honoraires écrite signée avant toute diligence.
Cartographie : données, acteurs, flux, hébergement, fonctionnalités médicales.
Note de qualification : statut d'hébergeur, dispositif médical, obligations RGPD et sectorielles.
Plan d'action : analyse d'impact, contrats, documents d'information, procédures.
Rédaction et négociation des contrats avec les hébergeurs, les établissements et les partenaires.
Suivi, éventuellement comme délégué à la protection des données externalisé.

Honoraires

L'analyse d'impact est proposée à partir de 3 500 € HT. La mise en conformité complète des données coûte 6 000 € HT pour une TPE et 12 000 € HT pour une PME. Le délégué à la protection des données externalisé démarre à 1 000 € HT par mois, et la note de qualification approfondie est à 4 500 € HT. Chaque mission fait l'objet d'une convention d'honoraires écrite ; le détail figure sur la page honoraires du cabinet.

Chaque situation est particulière : cette page présente le cadre général et ne remplace pas l'analyse de votre projet.

Questions fréquentes

Qu'est-ce que l'e-santé ?

L'e-santé désigne l'usage du numérique dans la prévention, le soin et le suivi : applications pour les patients, téléconsultation, objets connectés, logiciels pour les professionnels, entrepôts de données. Juridiquement, elle combine le droit des données personnelles, le Code de la santé publique et la réglementation des dispositifs médicaux.

Faut-il un hébergeur certifié HDS ?

Oui, dès que vous confiez à un prestataire l'hébergement numérique de données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Vous devez vérifier sa certification, et depuis le 26 septembre 2026 son stockage dans l'Union ou l'Espace économique européen. Héberger sans certificat est puni de trois ans d'emprisonnement et de 45 000 € d'amende.

Mon application de santé est-elle un dispositif médical ?

Elle l'est si vous la destinez à une finalité médicale, comme le diagnostic, la prévention ou le suivi d'une maladie. Une application de bien-être sans finalité médicale ne l'est pas. La qualification repose sur la destination que vous annoncez, d'où l'importance de vos documents et de votre communication.

Faut-il désigner un délégué à la protection des données ?

Oui si votre activité principale implique un traitement de données de santé à grande échelle. C'est le cas de la plupart des éditeurs de services aux patients. Le délégué peut être externalisé.

Que risque une entreprise d'e-santé en cas de manquement ?

Sur le terrain des données, une amende de la CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Sur le terrain de l'hébergement, des sanctions pénales. Le risque commercial est souvent le plus immédiat : un établissement ou un investisseur refuse de signer.

Qu'est-ce que l'espace européen des données de santé ?

C'est le cadre créé par le règlement (UE) 2025/327 pour l'accès des patients à leurs données, l'échange entre professionnels et la réutilisation des données de santé. Il s'applique à partir du 26 mars 2027, avec des étapes en 2029 et 2031.

Textes cités

Chaque situation est particulière : les informations présentées sur cette page sont générales et ne remplacent pas un conseil juridique adapté à votre dossier. Le cabinet ne promet aucun résultat ; il s'engage sur les moyens mis en œuvre.

Nos expertises liées en droit du numérique

Pour approfondir

#Avocat en E-Santé