5. Cybersécurité 
5.3. Sécurité informatique et de l'information
5.3. Sécurité informatique et de l'information
Décret n° 2026-153 du 3 mars 2026 relatif aux sanctions mentionnées au III de l’article L. 1470-6 du code de la santé publique
| Date de signature : | 03/03/2026 | Statut du texte : | En vigueur |
| Date de publication : | 04/03/2026 | Emetteur : | Ministère de la santé, des familles, de l'autonomie et des personnes handicapées |
| Consolidée le : | Source : | JO du 4 mars 2026 | |
| Date d'entrée en vigueur : | 05/03/2026 |
Décret n° 2026-153 du 3 mars 2026 relatif aux sanctions mentionnées au III de l’article L. 1470-6 du code de la santé publique
NOR : SFHL2514095D
Publics concernés : personnes physiques ou morales de droit public ou de droit privé qui mettent en œuvre des services numériques en santé au sens de l’article L. 1470-1 du code de la santé publique.
Objet : le décret définit les modalités selon lesquelles le ministre chargé de la santé peut prononcer des pénalités financières à l’égard des éditeurs de services numériques en santé en cas d’absence d’un certificat de conformité aux référentiels d’interopérabilité, d’éthique et de sécurité mentionnés à l’article L. 1470-5 du code de la santé publique, lorsque ce certificat est obligatoire, ou de manquement au respect des exigences fixées par ces référentiels. Il précise la procédure applicable aux éditeurs de services numériques en santé qui peuvent se voir appliquer de telles pénalités.
Entrée en vigueur : le décret entre en vigueur le lendemain de sa publication.
Application : le présent décret est pris pour l’application de l’article L. 1470-6 du code de la santé publique dans sa rédaction issue du f du 3° du III de l’article 53 de la loi n°2022-1616 du 23 décembre 2022 de financement de la sécurité sociale pour 2023.
Le Premier ministre,
Sur le rapport de la ministre de la santé, des familles, de l’autonomie et des personnes handicapées,
Décrète :
Art. 1er. – Après le chapitre Ier du titre VII du livre IV de la première partie du code de la santé publique, il est inséré un chapitre II ainsi rédigé :
« CHAPITRE II
« CONTROLES ET SANCTIONS
« Art. R. 1470-12. – Le groupement d’intérêt public mentionné à l’article L. 1111-24 administre un portail de recueil des signalements des manquements des éditeurs de services numériques en santé à leurs obligations de respecter les référentiels mentionnés à l’article L. 1470-5 et de disposer du certificat de conformité mentionné à L. 1470-6 lorsqu’il est requis. Il porte à la connaissance des éditeurs et des utilisateurs l’existence de ce portail.
« La Caisse nationale de l’assurance maladie informe le groupement d’intérêt public mentionné à l’alinéa précédent des manquements qu’elle constate auprès de professionnels et d’établissements qui utilisent les services numériques en santé.
« Le groupement définit annuellement un programme de contrôle du respect des référentiels mentionnés à l’article L. 1470-5 par les services numériques en santé et, s’il y a lieu, de leur obligation de disposer du certificat de conformité mentionné à l’article L. 1470-6. Il est approuvé par arrêté par le ministre chargé de la santé. Le groupement transmet le bilan de la mise en œuvre de ce programme au ministre dans le premier trimestre qui suit l’année concernée, avec le nombre de contrôles effectués, le nombre de manquements relevés, les principales caractéristiques de ces manquements et les suites qui leur ont été données. Ce bilan est rendu public sur le site internet du groupement.
« Art. R. 1470-13. – Afin de vérifier le respect des exigences mentionnées à l’article R. 1470-12 par les éditeurs de services numériques en santé, le groupement mentionné à l’article L. 1111-24 peut procéder à des visites sur site, obtenir des démonstrations des outils concernés et les spécifications de ces outils. Le groupement les informe au préalable du motif du contrôle et leur précise la qualité et l’identité des personnes qui en sont chargées.
« Art. R. 1470-14. – Lorsque le groupement d’intérêt public mentionné à l’article L. 1111-24 constate un manquement aux obligations prévues aux articles L. 1470-5 et L. 1470-6 à la suite d’un signalement, dans le cadre d’un contrôle ou d’un audit, et que ce manquement persiste après injonction d’y remédier, il propose au ministre de déclencher une procédure de sanction.
« Sa proposition comporte une appréciation de la gravité du manquement constaté, le montant de la pénalité correspondant, dans la limite des montants mentionnés à l’article L. 1470-6, éventuellement assortie d’une proposition d’astreinte.
« Les critères d’appréciation de la gravité tiennent compte des spécificités du référentiel qui n’a pas été respecté, du nombre et de la nature de non conformités, de l’impact potentiel du manquement sur la prise en charge des patients, des risques pour la santé publique et des conséquences financières pour l’assurance maladie. Lorsque l’auteur présumé du manquement est un éditeur, le montant de la pénalité proposée tient compte des conséquences de ce manquement sur le respect par les professionnels ou utilisateurs du service numérique en santé concerné de leurs obligations.
« Art. R. 1470-15. – Lorsqu’il est saisi par le groupement d’intérêt public mentionné à l’article L. 1111-24 d’une proposition de sanction, le ministre, après avoir demandé à l’auteur présumé du manquement de présenter ses observations écrites dans un délai d’un mois, peut prononcer une sanction, dont le montant ne peut être supérieur à la proposition qui lui a été faite par le groupement d’intérêt public. En présentant ses observations, l’auteur présumé du manquement peut demander à être entendu. Lorsque l’auteur présumé est un éditeur de services numériques en santé, il doit communiquer au ministre dans un délai de quinze jours suivant la notification de la sanction le montant du chiffre d’affaires hors taxe qu’il a réalisé en France au titre du dernier exercice clos. A défaut d’avoir communiqué ce montant dans le délai, la pénalité financière peut être portée à un million d’euros.
« Cette sanction peut être accompagnée d’une mise en demeure de se conformer aux exigences des articles L. 1470-5 et L. 1470-6 assortie d’une astreinte journalière.
« Lorsque la sanction concerne un éditeur de services numériques en santé, elle est rendue publique sur le site internet du groupement d’intérêt public mentionné à l’article L. 1111-24. »
« Art. R. 1470-16. – La liste des services numériques en santé qui ne respectent pas les obligations mentionnées à l’article R. 1470-12 est tenue à jour sur le site internet du groupement d’intérêt public mentionné à l’article L. 1111-24. »
Art. 2. – La ministre de la santé, des familles, de l’autonomie et des personnes handicapées est chargée de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.
Fait le 3 mars 2026.
Par le Premier ministre :
Sébastien Lecornu
La ministre de la santé, des familles, de l’autonomie et des personnes handicapées,
Stéphanie Rist
Source Légifrance
NOR : SFHL2514095D
Publics concernés : personnes physiques ou morales de droit public ou de droit privé qui mettent en œuvre des services numériques en santé au sens de l’article L. 1470-1 du code de la santé publique.
Objet : le décret définit les modalités selon lesquelles le ministre chargé de la santé peut prononcer des pénalités financières à l’égard des éditeurs de services numériques en santé en cas d’absence d’un certificat de conformité aux référentiels d’interopérabilité, d’éthique et de sécurité mentionnés à l’article L. 1470-5 du code de la santé publique, lorsque ce certificat est obligatoire, ou de manquement au respect des exigences fixées par ces référentiels. Il précise la procédure applicable aux éditeurs de services numériques en santé qui peuvent se voir appliquer de telles pénalités.
Entrée en vigueur : le décret entre en vigueur le lendemain de sa publication.
Application : le présent décret est pris pour l’application de l’article L. 1470-6 du code de la santé publique dans sa rédaction issue du f du 3° du III de l’article 53 de la loi n°2022-1616 du 23 décembre 2022 de financement de la sécurité sociale pour 2023.
Le Premier ministre,
Sur le rapport de la ministre de la santé, des familles, de l’autonomie et des personnes handicapées,
- Vu le code de la santé publique, notamment ses articles L. 1470-1 à L. 1470-6 ;
- Vu le code de la sécurité sociale ;
- Vu la loi n°2022-1616 du 23 décembre 2022 de financement de la sécurité sociale pour 2023, notamment son article 53 ;
- Vu l’avis du conseil de la Caisse nationale de l’assurance maladie en date du 17 juin 2025 ;
- Vu l’avis de la Caisse centrale de la mutualité sociale agricole en date du 16 septembre 2025 ;
- Vu l’avis du conseil de l’Union nationale des caisses d’assurance maladie en date du 23 septembre 2025 ;
Décrète :
Art. 1er. – Après le chapitre Ier du titre VII du livre IV de la première partie du code de la santé publique, il est inséré un chapitre II ainsi rédigé :
« CHAPITRE II
« CONTROLES ET SANCTIONS
« Art. R. 1470-12. – Le groupement d’intérêt public mentionné à l’article L. 1111-24 administre un portail de recueil des signalements des manquements des éditeurs de services numériques en santé à leurs obligations de respecter les référentiels mentionnés à l’article L. 1470-5 et de disposer du certificat de conformité mentionné à L. 1470-6 lorsqu’il est requis. Il porte à la connaissance des éditeurs et des utilisateurs l’existence de ce portail.
« La Caisse nationale de l’assurance maladie informe le groupement d’intérêt public mentionné à l’alinéa précédent des manquements qu’elle constate auprès de professionnels et d’établissements qui utilisent les services numériques en santé.
« Le groupement définit annuellement un programme de contrôle du respect des référentiels mentionnés à l’article L. 1470-5 par les services numériques en santé et, s’il y a lieu, de leur obligation de disposer du certificat de conformité mentionné à l’article L. 1470-6. Il est approuvé par arrêté par le ministre chargé de la santé. Le groupement transmet le bilan de la mise en œuvre de ce programme au ministre dans le premier trimestre qui suit l’année concernée, avec le nombre de contrôles effectués, le nombre de manquements relevés, les principales caractéristiques de ces manquements et les suites qui leur ont été données. Ce bilan est rendu public sur le site internet du groupement.
« Art. R. 1470-13. – Afin de vérifier le respect des exigences mentionnées à l’article R. 1470-12 par les éditeurs de services numériques en santé, le groupement mentionné à l’article L. 1111-24 peut procéder à des visites sur site, obtenir des démonstrations des outils concernés et les spécifications de ces outils. Le groupement les informe au préalable du motif du contrôle et leur précise la qualité et l’identité des personnes qui en sont chargées.
« Art. R. 1470-14. – Lorsque le groupement d’intérêt public mentionné à l’article L. 1111-24 constate un manquement aux obligations prévues aux articles L. 1470-5 et L. 1470-6 à la suite d’un signalement, dans le cadre d’un contrôle ou d’un audit, et que ce manquement persiste après injonction d’y remédier, il propose au ministre de déclencher une procédure de sanction.
« Sa proposition comporte une appréciation de la gravité du manquement constaté, le montant de la pénalité correspondant, dans la limite des montants mentionnés à l’article L. 1470-6, éventuellement assortie d’une proposition d’astreinte.
« Les critères d’appréciation de la gravité tiennent compte des spécificités du référentiel qui n’a pas été respecté, du nombre et de la nature de non conformités, de l’impact potentiel du manquement sur la prise en charge des patients, des risques pour la santé publique et des conséquences financières pour l’assurance maladie. Lorsque l’auteur présumé du manquement est un éditeur, le montant de la pénalité proposée tient compte des conséquences de ce manquement sur le respect par les professionnels ou utilisateurs du service numérique en santé concerné de leurs obligations.
« Art. R. 1470-15. – Lorsqu’il est saisi par le groupement d’intérêt public mentionné à l’article L. 1111-24 d’une proposition de sanction, le ministre, après avoir demandé à l’auteur présumé du manquement de présenter ses observations écrites dans un délai d’un mois, peut prononcer une sanction, dont le montant ne peut être supérieur à la proposition qui lui a été faite par le groupement d’intérêt public. En présentant ses observations, l’auteur présumé du manquement peut demander à être entendu. Lorsque l’auteur présumé est un éditeur de services numériques en santé, il doit communiquer au ministre dans un délai de quinze jours suivant la notification de la sanction le montant du chiffre d’affaires hors taxe qu’il a réalisé en France au titre du dernier exercice clos. A défaut d’avoir communiqué ce montant dans le délai, la pénalité financière peut être portée à un million d’euros.
« Cette sanction peut être accompagnée d’une mise en demeure de se conformer aux exigences des articles L. 1470-5 et L. 1470-6 assortie d’une astreinte journalière.
« Lorsque la sanction concerne un éditeur de services numériques en santé, elle est rendue publique sur le site internet du groupement d’intérêt public mentionné à l’article L. 1111-24. »
« Art. R. 1470-16. – La liste des services numériques en santé qui ne respectent pas les obligations mentionnées à l’article R. 1470-12 est tenue à jour sur le site internet du groupement d’intérêt public mentionné à l’article L. 1111-24. »
Art. 2. – La ministre de la santé, des familles, de l’autonomie et des personnes handicapées est chargée de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.
Fait le 3 mars 2026.
Par le Premier ministre :
Sébastien Lecornu
La ministre de la santé, des familles, de l’autonomie et des personnes handicapées,
Stéphanie Rist
Source Légifrance