Commande publique et e-santé : sécuriser l'externalisation RGPD face au secret médical, à NIS 2 et à l'EHDS. Par Mariana Tfeyl-Calleja, Avocate.
À l'heure où l'Espace Européen des Données de Santé (EHDS) rebat les cartes de la gouvernance sanitaire et où la transposition de NIS 2 reste en suspens, les groupements de coopération sanitaire (GCS) et centres hospitaliers doivent arbitrer entre performance contractuelle, secret médical et cybersécurité renforcée. Cet article détaille la méthode d'intervention à privilégier pour sécuriser ces prestations, à l'appui d'un retour d'expérience direct sur un marché public de RGPD-santé.
Les groupements de coopération sanitaire (GCS) et les centres hospitaliers universitaires (CHU) doivent repenser leur gestion des données en raison de la transformation numérique. Cette évolution est motivée par plusieurs facteurs : l'augmentation des normes juridiques, la hausse des cyberattaques et la nécessité d'interconnecter les parcours de soins. Pour y répondre, les acheteurs publics du secteur sanitaire recourent de plus en plus à la commande publique pour externaliser une expertise juridique spécialisée. Cette démarche n'est plus ponctuelle mais devient un choix stratégique récurrent. Les enjeux incluent la conformité au RGPD (Règlement Général sur la Protection des Données), la sécurisation des flux de données de santé et l'adaptation aux nouveaux règlements comme l'EHDS (Espace Européen des Données de Santé).
Dans les marchés publics de santé, l'Analyse d'Impact relative à la Protection des Données (AIPD) doit dépasser le simple exercice déclaratif pour devenir opérationnelle. Trois points critiques nécessitent une attention particulière. D'abord, la qualification des acteurs : il faut distinguer clairement la responsabilité conjointe du traitement (où plusieurs acteurs partagent la responsabilité légale) de la sous-traitance technique (où un acteur agit sous les ordres d'un autre). Une mauvaise classification expose l'établissement à des risques juridiques et financiers. Ensuite, la solidité de l'exception légale : les traitements de données de santé doivent s'appuyer sur des bases légales du Code de la santé publique (prise en charge sanitaire, intérêt public, recherche) et garantir les droits des patients, conformément à l'article 9.2 du RGPD. Enfin, le respect du secret médical : les accès aux données doivent être strictement limités aux professionnels de l'équipe de soins (article L1110-4 du Code de la santé publique), une exigence souvent négligée dans les cahiers des charges informatiques.
L'expertise juridique en santé numérique s'inscrit dans la Politique de Sécurité des Systèmes d'Information (PSSI) des établissements. Deux enjeux majeurs se dégagent. D'abord, l'exigence de souveraineté via le référentiel Hébergeur de Données de Santé (HDS) : il faut auditer l'ensemble des chaînes de sous-traitance pour éviter les accès extraterritoriaux non régulés, notamment hors de l'Espace Économique Européen (EEE). Ensuite, la directive NIS 2 (Network and Information Security), entrée en vigueur le 16 janvier 2023 avec une échéance de transposition fixée au 17 octobre 2024, n'est toujours pas transposée en droit français à la date de publication de l'article. La France a été saisie par la Commission européenne le 8 juillet 2026 pour ce retard. En attendant, l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information) a publié le Référentiel Cyber France (ReCyF) le 17 mars 2026, qui servira de base aux futures obligations légales. Les clauses contractuelles doivent déjà s'y référer pour anticiper les exigences futures.
Le règlement (UE) 2025/327 sur l'Espace Européen des Données de Santé (EHDS), entré en vigueur le 26 mars 2025, impose une adaptation progressive jusqu'en 2031. Les prestataires doivent accompagner les acheteurs publics sur deux dimensions. D'abord, l'usage primaire : sécuriser la continuité des soins en alignant les systèmes informatisés sur les standards européens d'interopérabilité et de portabilité, avec un déploiement prévu à partir de mars 2029. Ensuite, l'usage secondaire : encadrer la mise à disposition des données pseudonymisées aux organismes d'accès aux données de santé (HDAB), en respectant les interdictions strictes de réidentification, d'usage par les assureurs ou à des fins d'exclusion. L'EHDS ne remplace pas le RGPD mais s'y superpose. Un registre des traitements solide et une cartographie des flux existants sont indispensables pour répondre aux nouvelles obligations.
Pour garantir l'efficacité des prestations juridiques en e-santé, quatre pratiques doivent être systématisées. D'abord, privilégier une exécution par *bons de commande ciblés* : structurer le marché autour de livrables précis et mesurables, comme des *cartographies d'impact*, des *audits de contrats éditeurs*, ou des *clauses-types*. Ensuite, négocier le *régime de propriété intellectuelle* : depuis le 1er octobre 2021, les *CCAG* (Cahiers des Clauses Administratives Générales) appliquent un régime de *cession non exclusive* des droits d'utilisation par défaut. Si l'acheteur souhaite une *pleine propriété* ou une *exclusivité d'usage*, cela doit être explicitement stipulé dans le *CCAP* (Cahier des Clauses Administratives Particulières). Troisièmement, impliquer tous les acteurs décisionnaires dès le lancement : le *DPO* (Délégué à la Protection des Données), la *DSI* (Direction des Systèmes d'Information) et les représentants médicaux pour une conformité réelle. Enfin, documenter la *trajectoire réglementaire* plutôt que de figer les livrables : les procédures et registres doivent être conçus comme évolutifs, avec des clauses de revue périodique alignées sur les prochaines échéances légales.
