Espace européen des données de santé (EHDS)
Aller directement à la conformité Avatar concernant l'EHDS
L'espace européen des données de santé (EHDS, ou EEDS) est créé par le règlement (UE) 2025/327 du 11 février 2025, publié au Journal officiel le 5 mars 2025. Il couvre deux usages des données de santé électroniques :
- Utilisation primaire : accès des personnes physiques à leurs propres données de santé et échange de ces données entre professionnels de santé dans l'Union.
- Utilisation secondaire : réutilisation des données de santé pour la recherche, l'innovation, l'élaboration des politiques, les statistiques, l'enseignement et l'amélioration des soins.
Cette page porte sur l'utilisation secondaire (chapitre IV du règlement), où les données anonymisées et synthétiques jouent un rôle central.
Calendrier
Le règlement est en vigueur, mais s'applique par étapes (article 105) :
- 26 mars 2027 : date générale d'application. Les États membres doivent avoir communiqué à la Commission les organismes responsables de l'accès aux données de santé qu'ils ont désignés (article 55, paragraphe 6).
- 26 mars 2029 : les règles relatives à l'utilisation secondaire (chapitre IV) s'appliquent à la plupart des catégories de données de santé.
- 26 mars 2031 : elles s'appliquent aux catégories restantes de l'article 51, paragraphe 1, points b), f), g), m) et p) : déterminants de la santé, données génétiques, génomiques et autres données omiques, données d'essais cliniques et données de cohortes de recherche.
Des actes d'exécution sont adoptés en parallèle. Par exemple, le règlement d'exécution (UE) 2026/2098 fixe les métadonnées minimales que les détenteurs de données de santé doivent fournir pour décrire leurs jeux de données destinés à l'utilisation secondaire, sur la base du profil HealthDCAT-AP. Il s'applique à partir du 26 mars 2029.
Finalités de l'utilisation secondaire
Les organismes responsables de l'accès aux données de santé ne peuvent octroyer l'accès que pour les finalités énumérées à l'article 53, paragraphe 1, notamment :
- l'intérêt public dans le domaine de la santé publique ou de la santé au travail,
- l'élaboration de politiques et les activités réglementaires,
- les statistiques officielles,
- l'éducation et l'enseignement dans les secteurs de la santé ou des soins,
- la recherche scientifique ayant trait aux secteurs de la santé ou des soins, y compris les activités de développement et d'innovation pour des produits ou services et la formation, les essais et l'évaluation d'algorithmes, notamment de systèmes d'IA,
- l'amélioration de la fourniture de soins.
L'accès est octroyé par un organisme responsable de l'accès aux données de santé au moyen d'une autorisation de traitement de données (article 68) ou, pour une réponse sous forme statistique anonymisée, d'une demande de données de santé (article 69).
Les données anonymisées d'abord
L'EHDS fait des données anonymisées le format par défaut de l'utilisation secondaire. Selon l'article 66, paragraphe 2 :
« Les organismes responsables de l’accès aux données de santé fournissent les données de santé électroniques dans un format anonymisé, lorsque la finalité du traitement par l’utilisateur de données de santé peut être réalisée à l’aide de ces données, compte tenu des informations fournies par l’utilisateur de données de santé. »
Les données pseudonymisées sont l'exception. Elles ne sont fournies que lorsque l'utilisateur de données de santé « a suffisamment démontré que la finalité du traitement ne peut pas être réalisée à l’aide de données anonymisées » (article 66, paragraphe 3). La demande d'accès doit comporter cette justification (article 67, paragraphe 2, point e).
Le règlement demande aussi des techniques de pointe. Lorsqu'il donne accès à un ensemble de données pseudonymisées ou anonymisées, un organisme responsable de l'accès aux données de santé « devrait recourir à une technologie et à des normes de pseudonymisation ou d’anonymisation de pointe qui garantissent le plus possible que les personnes physiques ne peuvent pas être réidentifiées par les utilisateurs de données de santé » (considérant 72). Il est interdit aux utilisateurs de données de santé de réidentifier ou de tenter de réidentifier les personnes concernées (article 61, paragraphe 3).
Le considérant 92 ajoute que certaines catégories de données de santé restent sensibles même une fois anonymisées, par exemple pour les maladies rares, car un risque résiduel de réidentification peut subsister « même en cas d’utilisation de techniques d’anonymisation de pointe ».
Environnements de traitement sécurisés
Les données de santé ne sont mises à disposition qu'au moyen d'un environnement de traitement sécurisé (article 73, paragraphe 1). Seules des données à caractère non personnel peuvent en sortir. Selon l'article 73, paragraphe 2 :
« Les organismes responsables de l’accès aux données de santé examinent les données de santé électroniques contenues dans une demande de téléchargement afin de veiller à ce que les utilisateurs de données de santé ne puissent télécharger que des données de santé électroniques à caractère non personnel, notamment des données de santé électroniques dans un format statistique anonymisé, à partir de l’environnement de traitement sécurisé. »
Droit de refus
Les personnes physiques ont le droit de refuser, à tout moment et sans motif, le traitement de leurs données de santé électroniques à caractère personnel à des fins d'utilisation secondaire (article 71, paragraphe 1). Les États membres peuvent prévoir des exceptions limitées pour des finalités d'intérêt public (article 71, paragraphe 4).
Chaque État membre met en place ses propres organismes responsables de l'accès aux données de santé et les règles nationales nécessaires à l'application du règlement.
Statut juridique de la méthode Avatar
L'EHDS ne définit pas lui-même l'anonymisation : le caractère anonyme d'un jeu de données s'apprécie au regard du RGPD, compte tenu de l'ensemble des moyens raisonnablement susceptibles d'être utilisés (voir la page RGPD). Le règlement ne mentionne pas non plus les données synthétiques.
Dans ce cadre, la méthode Avatar répond à plusieurs besoins créés par l'EHDS :
- Les données anonymisées d'abord (article 66) : les détenteurs de données de santé et les organismes responsables de l'accès ont besoin de jeux de données anonymisés suffisamment utiles pour la finalité demandée. La méthode Avatar génère des données synthétiques qui préservent les propriétés statistiques des données d'origine, ce qui permet de servir davantage de demandes sans recourir à des données pseudonymisées.
- Sorties des environnements de traitement sécurisés (article 73) : seules des données à caractère non personnel peuvent être téléchargées. Des données Avatar dont l'anonymat a été démontré sont des données non personnelles et peuvent donc sortir de l'environnement, contrairement à des extraits pseudonymisés.
- Anonymisation de pointe et risque résiduel (considérants 72 et 92) : chaque avatarisation s'accompagne d'une évaluation de la confidentialité qui mesure le risque résiduel de réidentification, y compris pour les enregistrements rares, afin de documenter le caractère anonyme des données générées dans leur contexte d'usage.
La génération des avatars traite les données personnelles d'origine. Cette étape reste donc soumise au RGPD et aux règles de l'EHDS applicables aux données personnelles, notamment au droit de refus : les données des personnes qui ont exercé ce droit doivent être exclues en amont, avant la génération.