EHDS — ce que l'Espace européen des données de santé exige techniquement des hôpitaux et des organismes de recherche

Ce qu’est l’EHDS

L’EHDS vise à structurer l’usage primaire et secondaire des données de santé dans l’UE. L’usage primaire concerne la prise en charge et l’échange d’informations ; l’usage secondaire concerne la recherche, l’innovation, les politiques publiques et d’autres finalités définies.

Les hôpitaux, organismes de recherche, industriels, assureurs et acteurs publics peuvent être concernés selon les rôles. La gouvernance est centrale : des autorités d’accès aux données de santé (HDAB) dans chaque État membre encadrent l’accès pour la réutilisation.

Calendrier indicatif

• Mars 2025 : entrée en vigueur de l’EHDS.
• 2026 : obligations de certification pour les dossiers patients numériques.
• 2027 : actes d’application avec détails techniques.
• 2029 : obligations principales sur la réutilisation secondaire, l’échange de dossiers et les sanctions.
• 2031 : domaines additionnels (génomique, imagerie) selon la feuille de route.

Quatre obligations techniques majeures

• Catalogues de jeux de données HealthDCAT-AP : métadonnées interopérables et vérifiables.
• Pseudonymisation chez le détenteur des données avant transmission vers des environnements contrôlés.
• Environnement de traitement sécurisé (SPE) : analyses dans des environnements isolés ; export des données brutes restreint.
• Gestion des refus : les objections des personnes concernées doivent se propager rapidement dans les chaînes de traitement.

Ce que l’EHDS n’est pas

• Ce n'est pas un mandat GA4GH obligatoire.
• Ce ne remplace pas le RGPD : les deux cadres coexistent.
• Ce n'est pas uniquement un exercice de formats : la gouvernance HDAB reste centrale.

Implications pour l’infrastructure

Les équipes ont besoin de couches d’interopérabilité robustes (dont modèles orientés FHIR), de capacités d’export de métadonnées sémantiques et de journaux d’audit reproductibles. Les rôles, validations et environnements de calcul deviennent des sujets d’architecture prioritaires.

Pour les modèles de déploiement (sur site vs cloud), la maîtrise technique et organisationnelle des accès, de la pseudonymisation et de la traçabilité est une décision de conception, pas un ajout tardif.