Vos données de santé dans l'Union européenne : RGPD, EHDS et les droits que vous avez vraiment

Vos analyses sont au laboratoire. Votre compte rendu de sortie, à l'hôpital. Vos ordonnances, à la pharmacie et dans le système national. Tout cela est « à vous » au sens moral, mais pendant des années la loi ne disait pas clairement que vous pouviez les demander par voie électronique, les recevoir immédiatement, dans un format utilisable, et les emporter où vous vouliez. Depuis 2025, elle le dit.

Ce guide explique, à la portée de tous, les deux lois qui gouvernent vos données de santé dans l'Union européenne : le RGPD, en vigueur depuis 2018, et l'EHDS, le règlement sur l'Espace européen des données de santé, en vigueur depuis mars 2025 et appliqué par étapes jusqu'en 2031. Ce n'est pas un texte juridique ; c'est une carte des droits que vous avez et du moment où ils deviennent concrets.

RGPD : les données de santé sont une « catégorie particulière »

Le Règlement général sur la protection des données (RGPD) traite les données de santé à part : ce sont une catégorie particulière, décrite à l'article 9, avec les données génétiques et biométriques. Leur traitement est, par principe, interdit, avec des exceptions précises : votre consentement explicite, les soins médicaux, l'intérêt public en matière de santé, la recherche avec garanties.

Ce que cela signifie pour vous, concrètement :

• Toute application, laboratoire ou clinique qui traite vos données de santé doit avoir une base légale claire et vous dire, en langage simple, ce qu'elle en fait.
• Vous avez les droits généraux du RGPD aussi pour les données médicales : accès (voir ce qu'ils détiennent sur vous), rectification, effacement (avec des limites, car les dossiers médicaux ont des durées légales de conservation), portabilité (recevoir vos données dans un format structuré, couramment utilisé et lisible par machine) et le droit de vous opposer à certains traitements.
• Le délai de réponse à une demande d'accès est d'un mois, prolongeable de deux mois dans les cas complexes. L'accès est gratuit.
• L'hébergement compte. Les données ne peuvent être transférées hors de l'UE qu'avec des garanties (décisions d'adéquation, clauses types). Une application qui garde vos données dans l'UE élimine cette question.

Le RGPD a donné les droits. Ce qu'il n'a pas donné, c'est le format et l'infrastructure : vous pouviez demander l'accès, mais vous receviez un PDF ou une pile de papier, en plusieurs mois, et l'hôpital n'était pas tenu de pouvoir l'envoyer à un autre hôpital. C'est exactement le vide que comble l'EHDS.

EHDS : ce que c'est et pourquoi c'est important

Le règlement (UE) 2025/327 relatif à l'Espace européen des données de santé a été publié en mars 2025 et est entré en vigueur le 26 mars 2025. C'est le premier acte européen qui dit, pour les 27 États membres, comment les données de santé doivent circuler : entre vous et vos médecins (« utilisation primaire ») et, sous des règles strictes, vers la recherche et les politiques publiques (« utilisation secondaire »).

Trois idées centrales :

1. Vous avez un accès électronique, immédiat et gratuit à vos données de santé, via un service national d'accès, et vous pouvez les télécharger, les compléter, les restreindre et voir qui les a lues.
2. Les données circulent dans un format commun (le format européen d'échange des dossiers de santé électroniques, EEHRxF), fondé sur des normes comme HL7 FHIR, de sorte qu'un hôpital en Espagne puisse lire votre résumé venant de Roumanie.
3. Les systèmes de dossier de santé électronique doivent respecter des exigences communes d'interopérabilité et de journalisation, avec une déclaration de conformité, une sorte de marquage CE pour les logiciels de santé.

Vos droits dans le cadre de l'EHDS, un par un

Les articles du chapitre II du règlement vous donnent, concrètement :

Accès. Le droit d'accéder à vos données de santé électroniques immédiatement, gratuitement et sous une forme facile à lire, via le service d'accès de votre pays. « Immédiatement » signifie sans la demande écrite ni l'attente d'un mois du RGPD, avec une exception : le médecin peut différer l'accès à certains résultats (un diagnostic grave, par exemple) jusqu'à ce qu'il vous l'ait annoncé en personne.

Téléchargement. Le droit de recevoir une copie électronique dans le format européen d'échange, au moins pour les catégories prioritaires, et de la transmettre à un prestataire de soins de votre choix, dans tout État membre.

Insertion. Le droit d'ajouter des informations à votre dossier électronique (des mesures à domicile, par exemple), clairement marquées comme saisies par vous, pour que le médecin les distingue des données cliniques.

Rectification. Le droit de demander la correction de données erronées, en ligne, via le service d'accès.

Restriction. Le droit de limiter l'accès des professionnels à certaines données ou à l'ensemble du dossier ; celui qui restreint est informé qu'en urgence, l'absence d'information peut affecter les soins.

Information sur les accès. Le droit de voir qui a accédé à vos données, quand et depuis quel établissement : le journal des accès devient obligatoire et visible pour le patient.

Mandat. Le droit de désigner une autre personne (un parent, un enfant adulte, un tuteur) pour accéder à vos données en votre nom.

Opposition à l'utilisation secondaire. Le droit de vous opposer à ce que vos données (pseudonymisées ou anonymisées) soient utilisées pour la recherche, les statistiques ou les politiques publiques, dans les conditions fixées par chaque État. Ce n'est pas un droit absolu, mais il existe, et les États doivent le mettre en œuvre.

Les catégories prioritaires : ce qui circule en premier

L'EHDS n'exige pas que tout soit disponible dès le premier jour. Il définit des catégories prioritaires de données de santé électroniques qui doivent exister dans le format européen d'échange et pouvoir être consultées et transmises :

1. Le résumé du patient (allergies, médicaments, affections, vaccins ; en pratique, le Résumé international du patient ou son équivalent européen).
2. Les prescriptions électroniques et les dispensations électroniques.
3. L'imagerie médicale et ses comptes rendus.
4. Les résultats de laboratoire.
5. Les comptes rendus de sortie.

Au niveau européen, l'infrastructure MyHealth@EU (ex-eHDSI) relie déjà les points de contact nationaux et permet, entre les pays connectés, l'échange de résumés du patient et d'ordonnances électroniques. L'EHDS la rend obligatoire et l'étend aux autres catégories.

Quand cela s'applique vraiment

C'est là que la plupart des articles de presse se trompent. Le règlement est entré en vigueur en 2025, mais il s'applique par étapes :

• 26 mars 2027 : application générale du règlement ; les États doivent disposer des autorités de santé numérique et des organismes d'accès aux données, et les règles de base deviennent opérationnelles.
• 26 mars 2029 : les droits des patients et les obligations des prestataires pour le résumé du patient et les prescriptions électroniques (les deux premières catégories prioritaires), les exigences pour les systèmes de dossier de santé électronique et la première étape de l'utilisation secondaire.
• 26 mars 2031 : les mêmes obligations pour l'imagerie, les résultats de laboratoire et les comptes rendus de sortie, plus le reste de l'utilisation secondaire.
• Pour les États qui en ont besoin, certains délais peuvent être prolongés, avec notification à la Commission.

Ce que cela signifie pour vous : les droits du RGPD, vous les avez déjà, maintenant. Les droits de l'EHDS deviennent exigibles progressivement, en commençant par le résumé et les prescriptions en 2029. D'ici là, de nombreux États et prestataires les mettent en œuvre volontairement ou par la législation nationale, et les applications sérieuses construisent déjà sur le format européen.

Ce que cela signifie pour les applications que vous utilisez

L'EHDS réglemente principalement les systèmes utilisés par les prestataires de soins et les services nationaux d'accès. Les applications de bien-être (fitness, sommeil, nutrition) ont un régime volontaire : le fabricant peut déclarer que l'application est interopérable avec un système de dossier de santé électronique et l'enregistrer dans une base de données européenne ; ce n'est pas une obligation. Les applications qui tiennent votre dossier médical personnel se situent entre les deux mondes : elles ne sont pas des prestataires de soins, mais leur valeur augmente directement avec leur respect du format européen.

Les questions à poser à une application, dans l'esprit de l'EHDS :

• Garde-t-elle mes données dans un format standard (FHIR, avec codes) et les exporte-t-elle intégralement, pour que je puisse les apporter à un prestataire ou au service national d'accès ?
• Me montre-t-elle qui a accédé à quoi dans mon dossier ?
• Me permet-elle d'accorder et de retirer l'accès par catégorie et par période ?
• Marque-t-elle clairement ce que j'ai saisi par rapport à ce qui vient d'un médecin ou d'un laboratoire (provenance) ?
• Héberge-t-elle mes données dans l'UE ?

Si les réponses sont « oui », l'application est déjà là où le droit européen veut amener tout le système.

Comment exercer vos droits, aujourd'hui

Vous n'avez pas à attendre 2029 pour commencer.

1. Demandez l'accès, au titre du RGPD, à tout prestataire qui détient des données sur vous : hôpital, laboratoire, clinique privée. Par écrit, en citant l'article 15 du RGPD ; ils ont un mois pour répondre. Demandez le format électronique et, s'ils le peuvent, structuré.
2. Utilisez le portail national, là où il existe. En France, Mon espace santé offre déjà le dossier médical partagé, les ordonnances et certains résultats ; vérifiez ce que vous pouvez télécharger.
3. Mettez ce que vous recevez dans votre dossier personnel, codé, pour qu'il soit exportable et comparable. Le guide sur les analyses explique pourquoi les codes comptent.
4. Demandez le journal des accès là où il existe déjà (certains systèmes nationaux l'offrent) et habituez-vous à le lire.
5. Écrivez à l'adresse privacy@ de tout service quand quelque chose n'est pas clair. Les services sérieux ont une adresse dédiée et répondent.

Comment Anpheros aide

Anpheros est construit sur les principes de l'EHDS avant qu'ils ne deviennent obligatoires : votre dossier est stocké sous forme de ressources HL7 FHIR R4 avec des codes standard, dans l'Union européenne ; vous pouvez l'exporter intégralement à tout moment, y compris en résumé IPS ; chaque accès d'une clinique, d'une application ou d'un assistant IA exige votre consentement, pour une durée limitée, révocable, et reste dans le journal que vous pouvez voir ; chaque donnée porte sa provenance (saisie par vous, scannée d'un document, venue d'un appareil ou d'un prestataire). Les demandes concernant vos données, y compris la suppression du compte, sont traitées à privacy@anpheros.com, dans les délais du RGPD.

Questions fréquentes

L'EHDS signifie-t-il que n'importe qui peut voir mes données dans toute l'Europe ?

Non. L'EHDS réglemente l'accès des professionnels de santé qui vous soignent, avec journalisation et votre droit de restreindre, et l'utilisation secondaire avec des données pseudonymisées, sous autorisation d'un organisme d'accès et avec droit d'opposition. Il ne crée pas de base de données européenne centrale contenant les dossiers de tous.

Puis-je demander aujourd'hui mes données au format FHIR ?

Au titre du RGPD, vous pouvez demander la portabilité dans un « format structuré, couramment utilisé et lisible par machine » ; le prestataire décide du format exact et n'est pas tenu d'offrir FHIR. Au titre de l'EHDS, à partir de 2029 pour le résumé et les prescriptions, le format européen d'échange devient obligatoire. D'ici là, demandez : beaucoup de systèmes le peuvent déjà.

Mes données dans une application de dossier personnel relèvent-elles de l'EHDS ?

L'application elle-même n'est pas un prestataire de soins, donc les obligations de l'EHDS pour les prestataires ne s'y appliquent pas directement ; le RGPD s'y applique intégralement. L'EHDS compte pour elle indirectement : plus elle utilise le format européen, plus vos données peuvent facilement atteindre les systèmes réglementés.

Puis-je refuser que mes données soient utilisées pour la recherche ?

Oui, l'EHDS prévoit un droit d'opposition à l'utilisation secondaire, mis en œuvre par chaque État (le mécanisme concret varie). Les données utilisées pour la recherche sont pseudonymisées ou anonymisées et consultées uniquement dans des environnements sécurisés, pas téléchargées librement.

Que faire si un hôpital refuse de me donner mes données ?

Envoyez la demande par écrit, en citant l'article 15 du RGPD, et conservez la preuve. Si vous ne recevez pas de réponse dans un mois (ou trois, avec justification), vous avez le droit de saisir la CNIL ou l'autorité nationale de protection des données. À partir de 2029, pour les catégories prioritaires, vous aurez aussi la voie du service national d'accès.