Débloquer l'EHDS : la dernière ligne droite et son impact sur les entreprises

Les auteurs de cet article participent aux projets suivants financés par l'UE :

Flute, Trumpet - Magdalena Kogut-Czarkowska, Eleni Moraiti
RES-Q+, GLIOMATCH - Anubhuti Sinha

Si vous êtes intéressé par les développements de l'EHDS, nous vous invitons à lire nos précédents articles de blog : Take 5: Exploring the Latest Legislative Developments in European Health Data Space Regulation, European Health Data Space: The Debate Continues and European Health Data Space - Untapping The Potential of EU Health Data.

Le règlement relatif à l'espace européen des données de santé (EHDS – European Health Data Space) est dans sa dernière ligne droite, se rapprochant de l'adoption après de longues négociations. En tant que cadre de transformation pour le partage des données de santé dans l'UE, il apportera des changements significatifs pour les entreprises opérant dans les secteurs de la santé et du numérique. Cet article explore certains des principaux impacts de l'EHDS, en soulignant les défis et les opportunités pour les entreprises qui naviguent dans le nouveau paysage réglementaire.
 

Le règlement EHDS crée un système clair d'accès aux EHD pour un usage primaire (dans les soins de santé) et secondaire - pour la recherche et l'innovation. Les règles normalisées d'accès aux données de santé électroniques pour un usage secondaire permettent aux entreprises de demander différents types de données liées à la santé, y compris des registres de maladies, des données génomiques et d'autres facteurs affectant la santé, tels que la consommation de substances, le statut socio-économique, le comportement et des données environnementales telles que la pollution. Les chercheurs peuvent utiliser ces données pour développer de nouveaux produits et services de santé, tels que les traitements avancés et la médecine personnalisée. 

Chaque État membre de l'UE désignera un ou plusieurs organismes responsables de l'accès aux données de santé (HDAB – health data access bodies). Ces organismes serviront d'intermédiaires entre le détenteur de EHD et les utilisateurs potentiels de ces EHD. Une fois les HDAB créés, les chercheurs et les entreprises peuvent s'adresser à eux pour demander l'accès à certaines EHD disponibles auprès d'un ou de plusieurs détenteurs de données sur la santé. Les HDAB sont chargés, entre autres, de maintenir des catalogues de données, d'aider à l'anonymisation/la pseudonymisation des EHD demandées et de remplir diverses fonctions administratives. 

Par exemple, une société pharmaceutique peut demander à un HDAB un permis d'accès aux données d'un ou de plusieurs hôpitaux. Le HDAB évaluera la demande en fonction de différents facteurs, tels que les objectifs décrits dans la demande, et accordera une autorisation ou rejettera la demande d'accès aux données de santé dans un délai de trois mois. Une fois l'autorisation délivrée, le HDAB se coordonnera avec le détenteur des données de santé pour collecter la EHD, l’anonymiser et la pseudonymiser, et fournir à l'entreprise pharmaceutique l'accès à cette EHD dans un environnement de traitement sécurisé. L'entreprise pharmaceutique sera autorisée à utiliser la EHD aux fins et dans les limites spécifiées dans l'autorisation. 

La procédure d'accès aux données pour une utilisation secondaire repose en grande partie sur les HDAB. Toutefois, pour rationaliser le processus, le règlement EHDS a également introduit le concept de « détenteurs de données de santé de confiance ». Ces « détenteurs de confiance de données de santé » pourront examiner la demande d'accès aux données de santé ou la demande de données de santé et fournir des recommandations au(x) HDAB(s), qui prendra(ont) la décision finale d'autorisation des données. Cette désignation permet aux détenteurs de données de santé d'exercer un certain contrôle sur les personnes qui accèdent à leurs données de santé électroniques.

Le règlement EHDS prévoit également un mécanisme de participation transfrontalière à l'échange de EHD à des fins d'utilisation secondaire. En outre, il définit les conditions requises pour qu'un pays tiers ou une organisation internationale puisse participer au partage de données à des fins d'utilisation secondaire, pour autant qu'ils soient en conformité avec le RGPD et le règlement EHDS. 

Les règles normalisées de l'EHDS offrent aux entreprises et aux chercheurs un accès plus clair et plus fiable aux données de santé, contribuant ainsi à stimuler l'innovation. La mise en œuvre du processus administratif par les pays de l'UE devrait toutefois garantir que l'accès aux données reste efficace, opportun et équilibré avec les garanties nécessaires pour protéger la vie privée et la sécurité. 

Outre les règles normalisées sur l'accès aux données en vue d'une utilisation secondaire, l'EHDS offrira aux personnes physiques (patients) des droits supplémentaires concernant leurs données de santé, en s'appuyant sur le droit d'accès aux données à caractère personnel et le droit à l'interopérabilité des données à caractère personnel énumérés dans le GDPR. À l'avenir, les prestataires de soins de santé qui traitent des données de santé à l'aide de systèmes de EHD sont tenus d'intégrer les conditions techniques et organisationnelles définies dans le règlement EHDS.

Alors que le règlement EHDS établit les règles relatives à l'utilisation secondaire des EHD, il souligne la procédure requise pour les EHD protégés par des droits de propriété intellectuelle, des secrets commerciaux ou des droits réglementaires en matière de protection des données . Un détenteur de données de santé dont les EHD sont protégées par de tels droits doit en informer le HDAB, en précisant les ensembles de données qui bénéficieront d'une telle protection et en fournissant une justification. 

Une fois que le HDAB a contacté le détenteur de EHD protégé, il lui incombe de déterminer les mesures appropriées, proportionnées et nécessaires pour protéger les droits de propriété intellectuelle, les secrets commerciaux et les données protégées par des droits réglementaires en matière de protection des données du détenteur des données de santé. Parmi les mesures juridiques, techniques et organisationnelles qu'un HDAB peut recommander figurent des accords contractuels entre le détenteur et l'utilisateur des données. La Commission est censée élaborer et recommander des modèles non contraignants de clauses contractuelles et d'accords de ce type. D'autres mesures comprennent des obligations spécifiques stipulées dans le permis de données en relation avec ces droits, la configuration de l'environnement de traitement sécurisé de sorte que les informations protégées ne soient pas accessibles à l'utilisateur des données de santé, ou le prétraitement des EHD pour générer des données dérivées (telles que des données synthétiques) qui protègent un secret commercial mais ont une utilité pour l'utilisateur des données de santé. 

S'il existe un risque sérieux de violation des droits de propriété intellectuelle, des secrets commerciaux ou des droits réglementaires en matière de protection des données du détenteur des données, et que ce risque ne peut être écarté par la mise en œuvre des mesures de protection, le HDAB peut refuser l'accès aux EHD. 

Par conséquent, tous les détenteurs de données - en particulier les centres de recherche commerciale et les entreprises du secteur des sciences de la vie - doivent examiner et labéliser leurs ensembles de données EHD. Ce processus est essentiel pour garantir que les données hautement confidentielles, protégées par des droits de propriété intellectuelle, des secrets commerciaux ou par des droits réglementaires en matière de protection des données, ne soient pas divulguées de manière inappropriée. Toutefois, ces dispositions du règlement EHDS ne peuvent pas être utilisées pour contourner les exigences de transparence existantes en vertu d'autres lois de l'UE, y compris celles qui régissent les essais cliniques et les investigations cliniques.

[1] Ces droits sont définis à l'article 10, paragraphe 1, de la directive 2001/83/CE du Parlement européen et du Conseil ou à l'article 14, paragraphe 11, du règlement (CE) n° 726/2004 du Parlement européen et du Conseil.

Un système de dossier médical électronique (EHR - Electronic Health Record) permet aux prestataires de soins de santé de stocker, de gérer et d'accéder à des catégories prioritaires de données électroniques personnelles sur la santé (par exemple, les résumés des patients, les prescriptions électroniques, les résultats d'examens et les images médicales). Les établissements de santé peuvent utiliser ces données pour soigner les patients. La normalisation des systèmes de EHR est essentielle pour assurer un échange de données transparent entre les centres médicaux, éviter le verrouillage des fournisseurs, améliorer les soins aux patients et favoriser l'utilisation secondaire des EHD. Elle est cruciale pour l'interopérabilité et l'échange transfrontalier des données des patients. 

Les fabricants, importateurs ou distributeurs de systèmes de EHR devront donc se conformer à un certain nombre d'obligations.

Les exigences les plus importantes, présentées ci-dessous, s'appliquent aux fabricants de systèmes de EHD destinés au marché de l'UE.

Le règlement EHDS impose également des obligations aux importateurs, notamment celle de vérifier, avant de mettre un système de EHR sur le marché, que le fabricant a rempli ses obligations (par exemple, l'existence d'une documentation technique, d'une déclaration de conformité UE et d'un marquage CE de conformité). En outre, ils doivent veiller à ce que, lorsqu'il est sous leur responsabilité, le système de EHR soit conforme aux exigences essentielles. Dans le cas contraire, ils sont tenus de rappeler ou de retirer le système de EHR et d'en informer le fabricant, les autorités de surveillance du marché et les utilisateurs. Les obligations des distributeurs reflètent celles des importateurs.

L'EHDS établit des règles pour les développeurs d'applications de bien-être, marquant ainsi la première loi de l'UE à réglementer spécifiquement ces applications populaires. Les applications de bien-être sont des logiciels —ou un mélange de matériel et de logiciels— conçus pour permettre aux individus de traiter les EHD. Elles fournissent des informations relatives à la santé ou des soins de support, mais ne font pas partie des services de santé officiels. Fitbit, Sleep Cycle et MyFitnessPal sont des exemples d'applications de ce type.

Toutefois, la réglementation EHDS ne s'applique qu'aux applications dont le fabricant affirme qu'elles sont interopérables avec un système de EHR. Il s'agit d'applications qui peuvent être connectées à un système de EHR et lui fournir directement des données sur la santé des utilisateurs.

Aperçu des obligations applicables à ces applications de bien-être :

Les fournisseurs et les distributeurs d'applications de bien-être ont des obligations ultérieures. En particulier, les fournisseurs sont tenus de vérifier que chaque application est accompagnée du label, gratuitement, tandis que les distributeurs doivent veiller à ce que le label soit mis à la disposition de leurs clients par voie électronique.

La version finale de l'EHDS étant en cours d'élaboration, des implications significatives sont attendues non seulement pour les prestataires de soins de santé et les établissements de recherche, mais aussi pour des secteurs tels que les industries des sciences de la vie, des produits pharmaceutiques, de l'IA et de la technologie, des assurances et des organismes de recherche. Même si la mise en œuvre complète de l'EHDS prendra plusieurs années, les entreprises doivent commencer à se préparer dès maintenant, car les projets d'actes d'exécution seront façonnés par les initiatives en cours, telles que les consultations publiques lancées par TEHDAS2. Ces projets jettent déjà les bases de l'utilisation secondaire des données de santé, de l'interopérabilité et des structures de gouvernance. Les entreprises qui gèrent les EHD doivent rester attentives à l'évolution de la réglementation, évaluer les besoins en matière de conformité et anticiper la manière dont l'EHDS pourrait remodeler les pratiques de partage des données dans leur secteur. Les différentes entreprises des secteurs de la santé et des soins qui sont concernées par l'EHDS peuvent bénéficier d'un avantage pour naviguer efficacement dans cette transformation en prenant certaines mesures initiales. En fonction de la nature de l'entreprise, ces mesures peuvent être les suivantes :

Si vous avez des questions sur cet article de blog ou sur le règlement EHDS, n'hésitez pas à contacter Magdalena Kogut-Czarkowska à l'adresse e-mail magdalena.kogut@timelex.eu ou à soumettre votre demande via notre formulaire de contact.

Flute, Trumpet,  RES-Q+ et GLIOMATCH  ont reçu un financement du programme de recherche et d'innovation Horizon Europe de l'Union européenne. Cependant, le contenu de cet article reflète l'opinion de ses auteurs et ne représente en aucun cas les opinions de l'Union européenne. Ni l'Union européenne ni l'Agence exécutive européenne pour la santé et le numérique ne peuvent en être tenues pour responsables.