Commande publique et e-santé : sécuriser l'externalisation RGPD face au secret médical, à NIS 2 et à l'EHDS. Par Mariana Tfeyl-Calleja, Avocate.
La commande publique en e-santé s’impose comme un levier stratégique pour les établissements hospitaliers, confrontés à une complexification croissante des enjeux de conformité. Entre RGPD, secret médical, normes NIS 2 et futur EHDS, l’externalisation juridique ne relève plus d’une simple prestation technique, mais d’un arbitrage opérationnel où la rigueur juridique et la maîtrise des risques deviennent des conditions de survie institutionnelle. L’article interroge ainsi les marges de manœuvre des acheteurs publics face à des cadres normatifs en tension, où l’anticipation et la flexibilité s’avèrent aussi cruciales que la conformité stricte.
Pourquoi le recours à la commande publique pour des prestations RGPD en e-santé est-il devenu un arbitrage stratégique plutôt qu’un choix ponctuel ?
La transformation numérique des GCS et CHU, couplée à la multiplication des normes (RGPD, HDS, EHDS) et à la recrudescence des cyberattaques, impose aux établissements de repenser en profondeur leur gouvernance des données. Externaliser ces enjeux à des experts juridiques via des marchés publics permet de sécuriser des flux de données de santé critiques, tout en anticipant des risques contentieux et assurantiels qui dépassent le cadre d’un simple conseil ponctuel.
Quels sont les trois points de vigilance majeurs dans l’élaboration d’une analyse d’impact (AIPD) en e-santé, au-delà du formalisme déclaratif ?
Premièrement, la qualification opérationnelle des acteurs, qui détermine la répartition des responsabilités juridiques en cas d’incident. Deuxièmement, la solidité de l’exception légale, notamment l’articulation avec les bases légales du Code de la santé publique et le respect des droits des patients. Troisièmement, le respect strict du secret médical, qui conditionne la licéité même du traitement et ne peut être réduit à une simple formalité.
Pourquoi la transposition de la directive NIS 2 en droit français reste-t-elle un sujet de préoccupation pour les acteurs de l’e-santé, malgré son entrée en vigueur en 2023 ?
À la date de publication de l’article, la France n’a toujours pas transposé NIS 2, malgré une échéance fixée au 17 octobre 2024. Cette absence de texte contraignant expose les établissements à des risques juridiques, mais l’ANSSI a publié le Référentiel Cyber France (ReCyF) en mars 2026, qui anticipe les futures obligations et sert de base pour les clauses contractuelles actuelles. La Commission européenne a d’ailleurs saisi la CJUE contre la France pour ce retard.
Comment l’EHDS (Espace Européen des Données de Santé) va-t-il modifier les obligations des titulaires de marchés publics en e-santé ?
L’EHDS, entré en vigueur en mars 2025, impose deux dimensions complémentaires : un usage primaire des données pour sécuriser la continuité des soins via des standards d’interopérabilité, et un usage secondaire encadré pour la recherche, avec des interdictions strictes (réidentification, usage assurantiel). Les prestataires doivent donc intégrer dès maintenant ces nouvelles obligations dans leurs livrables, sans attendre leur application effective, en s’appuyant sur des registres des traitements déjà robustes.
Ce que ça pourrait changer
Les établissements de santé pourraient voir leurs responsabilités juridiques et assurantielles s’alourdir en cas de non-conformité, notamment avec l’entrée en vigueur progressive de NIS 2 et de l’EHDS. Les acheteurs publics devront privilégier des marchés flexibles, avec des clauses évolutives et une documentation anticipant les prochaines échéances réglementaires. À l’inverse, une anticipation rigoureuse pourrait renforcer leur résilience face aux cybermenaces et aux exigences européennes, tout en sécurisant leurs partenariats technologiques.
