5. Cybersécurité 5.3. Sécurité informatique et de l'information

Règlement d'exécution (UE) 2026/2083 de la Commission du 18 septembre 2026 sur MaSanté@UE ​

(Texte présentant de l’intérêt pour l’EEE)

LA COMMISSION EUROPÉENNE,

• vu le traité sur le fonctionnement de l’Union européenne,
• vu le règlement (UE) 2025/327 du Parlement européen et du Conseil du 11 février 2025 relatif à l’espace européen des données de santé et modifiant la directive 2011/24/UE et le règlement (UE) 2024/2847 (1), et notamment son article 23, paragraphes 4 et 8,

considérant ce qui suit:

(1) Le règlement (UE) 2025/327 vise à améliorer l’accès des personnes physiques à leurs données de santé électroniques à caractère personnel et leur contrôle sur celles-ci dans le contexte des soins de santé et à améliorer l’échange transfrontière de ces données afin de garantir la continuité des soins de santé. À cette fin, l’article 23 dudit règlement charge la Commission de mettre en place MaSanté@UE (MyHealth@EU), une plateforme centrale d’interopérabilité pour l’échange transfrontière des catégories de données prioritaires énoncées à l’article 14 dudit règlement, ainsi que d’autres catégories de données. L’échange de ces données est pris en charge par le format européen d’échange des dossiers médicaux électroniques visé à l’article 15 du règlement (UE) 2025/327.

(2) En vertu du règlement (UE) 2025/327, MaSanté@UE s’appuie sur l’architecture et les processus élaborés pour l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne mise en place en vertu de la décision d’exécution (UE) 2019/1765 de la Commission (2). Cette infrastructure a permis aux États membres d’échanger des dossiers de patients, ainsi que des prescriptions et dispensations électroniques sur une base volontaire. MaSanté@UE devrait, au titre du règlement (UE) 2025/327, s’appuyer sur cette expérience et sur l’architecture des services au titre de la décision d’exécution 2019/1765 de la Commission et être mis à jour pour tenir compte des évolutions technologiques et des différences avec l’EHDS.

(3) L’article 24, paragraphes 2 et 3, du règlement (UE) 2025/327 prévoit la possibilité pour les participants autorisés de se connecter à MaSanté@UE. Dans de tels cas, l’article 7, à l’exception du paragraphe 1, point a), et les articles 8 à 13 du présent règlement devraient s’appliquer mutatis mutandis aux participants autorisés, afin de garantir la cohérence dans la notification des incidents importants, les contrôles de conformité et les exigences techniques pour rester connecté à MaSanté@UE.

(4) Afin de faciliter l’échange de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique, la Commission devrait fournir une mise en oeuvre de référence des logiciels à l’usage facultatif des points de contact nationaux pour la santé numérique. La mise en oeuvre de référence devrait se fonder sur le catalogue des exigences et être régulièrement mise à jour pour tenir compte de toute modification.

(5) Afin de garantir l’interopérabilité sémantique des services dans MaSanté@UE, la Commission devrait fournir un service terminologique central qui permette aux États membres de fournir des correspondances et des traductions vers et depuis les systèmes de codage et les valeurs du format européen d’échange des dossiers médicaux électroniques visés à l’article 15, paragraphe 1, du règlement (UE) 2025/327.

(6) Les points de contact nationaux pour la santé numérique devraient échanger des données de santé électroniques à caractère personnel par-delà les frontières au moyen d’un réseau de communication sécurisé fourni par la Commission.

(7) Afin de pouvoir établir une communication de confiance, les points de contact nationaux pour la santé numérique devraient utiliser un service de configuration central fourni par la Commission.

(8) Pour garantir l’interopérabilité, la Commission devrait établir un catalogue des exigences par en coopération avec le groupe de pilotage MaSanté@UE institué par l’article 95, paragraphe 1, du règlement (UE) 2025/327. Sur la base de ces exigences, des spécifications techniques devraient être proposées par la Commission et approuvées par le groupe de pilotage. Ces spécifications techniques devraient être conformes au format européen d’échange des dossiers médicaux électroniques défini dans l’acte d’exécution à adopter en vertu de l’habilitation prévue à l’article 15, paragraphe 1, du règlement (UE) 2025/327.

(9) La Commission devrait proposer un plan de travail annuel pour le fonctionnement et la gestion de la plateforme centrale d’interopérabilité et le soumettre à l’approbation du groupe de pilotage. Ce plan de travail devrait être cohérent avec le plan de travail biennal du comité de l’EHDS.

(10) Les modifications qui ne sont pas rétrocompatibles avec la version précédente, ou qui doivent être mises en oeuvre par les points de contact nationaux pour la santé numérique et les participants autorisés, sont traitées comme des versions majeures soumises à la procédure complète de gestion des modifications. En revanche, les corrections de défauts et de bogues, les clarifications rédactionnelles et les autres modifications qui n’introduisent pas de nouvelles fonctionnalités ou n’affectent pas la capacité des mises en oeuvre existantes du catalogue des exigences à échanger des données sans modification devraient suivre la procédure simplifiée applicable aux versions mineures. Les propositions de modifications majeures du catalogue des exigences doivent être soigneusement préparées avant d’être soumises pour évaluation et approbation au groupe de pilotage. À cette fin, il convient d’exiger qu’une proposition de modification soit soumise soit par un groupe de membres du groupe de pilotage, soit par la Commission, étant donné qu’elle est responsable de la gestion de MaSanté@UE.

(11) Afin de garantir un niveau élevé de qualité dans le développement et le fonctionnement de l’échange de données de santé électroniques à caractère personnel par l’intermédiaire de MaSanté@UE, la Commission, au nom du groupe de pilotage MaSanté@UE, devrait gérer les procédures d’autorisation de l’échange de données de santé électroniques à caractère personnel.

(12) Les points de contact nationaux pour la santé numérique devraient démontrer la conformité avec le catalogue des exigences au moyen de tests techniques et de contrôles de conformité. La Commission devrait permettre les essais techniques et effectuer des contrôles de conformité. Par la suite, la Commission devrait indiquer les écarts par rapport au catalogue des exigences. Les résultats des contrôles de conformité et des essais techniques devraient être classés en fonction de facteurs tels que les risques et les incidences. Les points de contact nationaux pour la santé numérique devraient élaborer des plans d’action pour résoudre tout risque recensé. La Commission devrait régulièrement rendre compte au groupe de pilotage de toute constatation en suspens et de tout plan d’action y afférent.

(13) Un point de contact national pour la santé numérique devrait toujours respecter la dernière version du catalogue des exigences. Afin de faciliter la confiance dans le réseau et de montrer à tous les autres points de contact nationaux qu’ils respectent les règles, des contrôles de conformité devraient être effectués régulièrement. Il convient que le contrôle de conformité soit une procédure approfondie et qu’il soit effectué à une fréquence proportionnée au niveau de risque que présente l’échange de données de santé électroniques à caractère personnel pour la protection, la sécurité et la confidentialité des données de santé électroniques à caractère personnel. S’il existe des raisons de soupçonner qu’un point de contact national pour la santé numérique ne respecte pas les exigences, la Commission devrait être habilitée à entreprendre un contrôle de conformité ad hoc.

(14) Tout échange de données de santé électroniques à caractère personnel lancé par un point de contact national pour la santé numérique devrait faire l’objet d’une autorisation du groupe de pilotage, garantissant que ce dernier assure le contrôle de l’échange de données de santé électroniques à caractère personnel. Afin que les points de contact nationaux pour la santé numérique qui lancent des échanges disposent de la prévisibilité nécessaire, la décision du groupe de pilotage devrait reposer sur le résultat d’un contrôle de conformité et d’un essai technique pertinents.

(15) Pour assurer l’interopérabilité entre les points de contact nationaux pour la santé numérique lorsqu’ils échangent des données de santé électroniques à caractère personnel, ceux-ci devraient opérer en utilisant la même version du catalogue des exigences. Les solutions techniques répondant à ces exigences devraient être testées de manière approfondie avant d’être utilisées pour l’échange de données de santé électroniques à caractère personnel. Le groupe de pilotage devrait évaluer les résultats de ces tests et autoriser un point de contact national pour la santé numérique à passer à une nouvelle version majeure.

(16) À la suite d’un contrôle de conformité d’un point de contact national pour la santé numérique échangeant déjà des données de santé électroniques à caractère personnel, le groupe de pilotage devrait évaluer les résultats et donner son autorisation à la poursuite de l’échange.

(17) Un point de contact national pour la santé numérique peut découvrir que l’échange de données de santé électroniques à caractère personnel ne fonctionne pas correctement. La Commission, en coopération avec le groupe de pilotage, devrait détailler les différents types de tels incidents et définir des réponses appropriées pour les traiter dans un cadre opérationnel.

(18) Il convient de définir clairement quelles données de santé électroniques à caractère personnel peuvent être traitées par l’intermédiaire de MaSanté@UE et elles devraient correspondre aux obligations énoncées dans le règlement (UE) 2025/327.

(19) L’article 23 du règlement (UE) 2025/327 attribue le rôle de responsable conjoint du traitement aux points de contact nationaux pour la santé numérique et celui de sous-traitant à la Commission pour fournir MaSanté@UE. Afin de garantir des conditions uniformes pour la mise en oeuvre du règlement (UE) 2025/327, le présent règlement devrait préciser les rôles et responsabilités des points de contact nationaux pour la santé numérique et de la Commission sur la base de cette attribution. À cette fin, le présent règlement devrait définir l’objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement, dans la mesure où ceux-ci ne sont pas déjà définis dans le règlement (UE) 2025/327. Il devrait également définir les responsabilités respectives des responsables conjoints du traitement.

(20) Le règlement (UE) 2025/327 dispose que la Commission agit en qualité de sous-traitant pour le traitement des données à caractère personnel dans MaSanté@UE, pour le compte des États membres en tant que responsables conjoints du traitement. Conformément aux règles en matière de protection des données, les obligations du sous- traitant doivent être énoncées dans un contrat ou un autre acte juridique qui lie le sous-traitant vis-à-vis du responsable du traitement. Le présent règlement définit les obligations détaillées de la Commission en tant que sous- traitant dans un acte juridique contraignant. De même, les responsables conjoints du traitement doivent déterminer leurs responsabilités respectives en ce qui concerne le respect de leurs obligations en matière de protection des données au moyen d’un accord entre eux, sauf si, et dans la mesure où, les responsabilités respectives des responsables conjoints du traitement sont déterminées par le droit de l’Union ou le droit de l’État membre auquel les responsables conjoints du traitement sont soumis. Le présent règlement détermine les responsabilités légales respectives des responsables conjoints du traitement.

(21) Le traitement de données à caractère personnel au titre du présent règlement est soumis aux règlements (UE) 2016/679 (3) et (UE) 2018/1725 (4) du Parlement européen et du Conseil, selon le cas. Les opérations de traitement des données à caractère personnel effectuées par la Commission en sa qualité de sous-traitant soutiennent l’échange de données entre les points de contact nationaux pour la santé numérique, qui est une mission d’intérêt public qui leur est assignée par le règlement (UE) 2025/327.

(22) Les règles de sécurité informatique énoncées dans la décision (UE, Euratom) 2017/46 de la Commission (5) s’appliquent à MaSanté@UE.

(23) Étant donné que MaSanté@UE est une évolution de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne mise en place en vertu de la décision d’exécution (UE) 2019/1765 de la Commission, il convient de tenir compte des enseignements tirés de cette évolution. En particulier, étant donné que les exigences techniques détaillées pour l’échange de données sont essentiellement équivalentes, il convient que, lorsqu’un point de contact national pour la santé numérique est déjà connecté, dans le cadre de l’utilisation en production, à l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne et que le même point de contact est désigné comme point de contact national pour la santé numérique de cet État membre, ce point de contact ne soit pas tenu de répéter le contrôle de conformité initial pour les services dont il fait une utilisation en production, étant donné qu’il a déjà prouvé sa capacité à se connecter à la plateforme centrale.

(24) Le règlement (UE) 2025/327 deviendra applicable de manière progressive. Les obligations d’échange de données par l’intermédiaire de MaSanté@UE entreront en vigueur le 26 mars 2029 en ce qui concerne l’échange de dossiers de patients, d’ordonnances et de dispensations électroniques, et le 26 mars 2031 en ce qui concerne l’échange d’examens d’imagerie médicale et des comptes rendus d’imagerie médicale y afférents, de résultats d’examens médicaux, tels que les résultats de laboratoires et les comptes rendus y afférents, et de rapports de sortie d’hôpital. Le présent règlement établit les modalités détaillées de fonctionnement de MaSanté@UE; l’obligation faite aux points de contact nationaux des États membres pour la santé numérique d’échanger les catégories prioritaires de données de santé électroniques à caractère personnel par l’intermédiaire de MaSanté@UE deviendra applicable conformément à l’article 105 du règlement (UE) 2025/327.

(25) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 et a rendu son avis le 18 mai 2026 (6).

(26) Le présent règlement d’exécution introduit des exigences contraignantes pour les services publics numériques transfrontières au sens du règlement (UE) 2024/903 du Parlement européen et du Conseil (7). En conséquence, une évaluation de l’interopérabilité a été réalisée et le rapport qui en résultera sera publié sur le portail «Europe interopérable» lorsque l’acte juridique aura été adopté.

(27) Les mesures prévues dans le présent règlement sont conformes à l’avis du comité institué par l’article 98, paragraphe 1, du règlement (UE) 2025/327,

A ADOPTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE 1
DISPOSITIONS GÉNÉRALES

Article premier
Objet et champ d’application

1. Le présent règlement établit les règles concernant les exigences en matière de cybersécurité, d’interopérabilité technique, d’interopérabilité sémantique, d’opérations et de gestion des services en ce qui concerne le traitement par la Commission en qualité de sous-traitant pour MaSanté@UE et ses responsabilités à l’égard des responsables du traitement.

Il définit les mesures nécessaires au développement technique de MaSanté@UE, les règles détaillées concernant la sécurité, la confidentialité et la protection des données de santé électroniques à caractère personnel et les conditions applicables aux contrôles de conformité nécessaires pour adhérer et rester connecté à MaSanté@UE).

2. L’article 7, à l’exception du paragraphe 1, point a), et les articles 8 à 13 s’appliquent mutatis mutandis aux participants autorisés visés à l’article 24, paragraphes 2 et 3, du règlement (UE) 2025/327. Les contrôles de conformité et les essais techniques pour ces participants autorisés peuvent également couvrir des exigences supplémentaires qui les concernent.

Article 2
Définitions

Aux fins du présent règlement, on entend par:

1) «groupe de pilotage», le groupe de pilotage MaSanté@UE institué par l’article 95, paragraphe 1, du règlement (UE) 2025/327 pour l’infrastructure transfrontière prévue à l’article 23 dudit règlement;

2) «version majeure», une version du catalogue des exigences et des spécifications techniques qui n’est pas rétrocompatible avec la version précédente ou qui a une incidence substantielle sur l’échange de données de santé électroniques à caractère personnel par l’intermédiaire de MaSanté@UE;

3) «version mineure», une version du catalogue des exigences et des spécifications techniques et leur mise en oeuvre qui n’est pas une version majeure;

4) la définition d’«incident» est celle qui figure à l’article 6, paragraphe 6, de la directive (UE) 2022/2555 du Parlement européen et du Conseil (8);

5) «incident important», un incident visé à l’article 23, paragraphe 3, de la directive (UE) 2022/2555.

CHAPITRE 2
ÉCHANGE TRANSFRONTIÈRE DE DONNÉES ET PLATEFORME CENTRALE D’INTEROPÉRABILITÉ POUR LA SANTÉ NUMÉRIQUE

Article 3
Plateforme centrale d’interopérabilité pour la santé numérique

1. La Commission fournit les services suivants de la plateforme centrale d’interopérabilité pour la santé numérique visée à l’article 23, paragraphe 1, du règlement (UE) 2025/327:

• a) un logiciel de mise en oeuvre de référence pour les points de contact nationaux pour la santé numérique;
• b) un service central de terminologie;
• c) un réseau de communication sécurisé;
• d) un service central de configuration.

2. La Commission fournit les services visés au paragraphe 1 conformément au catalogue des exigences visé à l’article 4, paragraphe 2, et aux spécifications techniques visées à l’article 4, paragraphe 3.

3. Les points de contact nationaux pour la santé numérique peuvent utiliser la mise en oeuvre de référence visée au paragraphe 1, point a), pour soutenir l’échange de données de santé électroniques à caractère personnel dans MaSanté@UE. Lorsqu’un point de contact national pour la santé numérique choisit d’utiliser d’autres solutions, celles-ci sont conformes au catalogue des exigences visé à l’article 4, paragraphe 2, et aux spécifications techniques visées à l’article 4, paragraphe 3.

4. Les points de contact nationaux pour la santé numérique peuvent utiliser le service central de terminologie visé au paragraphe 1, point b), pour soutenir la traduction et le recensement des systèmes et valeurs de codage à utiliser dans les ensembles de données contenant des données de santé électroniques à caractère personnel visés à l’article 15, paragraphe 1, premier alinéa, point b), du règlement (UE) 2025/327.

5. Les États membres sont responsables de la traduction et de la correspondance des systèmes de codage et des ensembles de valeurs pour l’échange de données de santé électroniques à caractère personnel, dans le format européen d’échange des dossiers médicaux électroniques visé à l’article 15, paragraphe 1, du règlement (UE) 2025/327. Les États membres tiennent à jour les traductions et les correspondances.

6. Les points de contact nationaux pour la santé numérique utilisent le réseau de communication sécurisé visé au paragraphe 1, point c), pour soutenir l’échange de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique. L’exploitation d’infrastructures nationales et de services nationaux à l’appui du réseau de communication sécurisé reste de la responsabilité des points de contact nationaux pour la santé numérique.

7. Les points de contact nationaux pour la santé numérique utilisent le service central de configuration visé au paragraphe 1, point d), pour mettre leurs coordonnées de configuration à la disposition de la Commission et de tous les autres points de contact nationaux pour la santé numérique.

Article 4
Catalogue des exigences et spécifications techniques

1. Lorsque les points de contact nationaux pour la santé numérique procèdent à des échanges transfrontières de données de santé électroniques à caractère personnel visés à l’article 23, paragraphe 3, du règlement (UE) 2025/327, ils les effectuent conformément au catalogue des exigences visé au paragraphe 2 et aux spécifications techniques visées au paragraphe 3.

2. La Commission, en coopération avec le groupe de pilotage, établit et tient à jour le catalogue des exigences pour l’échange transfrontière de données de santé électroniques à caractère personnel dans MaSanté@UE. Ce catalogue des exigences comprend au moins:

• a) une description des cas d’utilisation mis en oeuvre pour l’échange de données de santé électroniques à caractère personnel;
• b) les exigences relatives à la mise en oeuvre de l’échange de données de santé électroniques à caractère personnel;
• c) les cadres et procédures pour les essais, le contrôle de la conformité, le fonctionnement et le suivi des incidents liés à l’échange de données de santé électroniques à caractère personnel.

3. La Commission, en coopération avec le groupe de pilotage, propose les spécifications techniques sur la base du catalogue des exigences visé au paragraphe 2.

4. Le catalogue des exigences visé au paragraphe 2 et les spécifications techniques visées au paragraphe 3 sont approuvés par le groupe de pilotage.

Article 5
Fonctionnement et gestion de MaSanté@UE

1. La Commission, en coopération avec le groupe de pilotage, mène les activités suivantes pour le fonctionnement et la gestion de MaSanté@UE:

• a) l’élicitation, l’analyse et la gestion des exigences et des spécifications techniques;
• b) la coordination du développement, des essais et du déploiement;
• c) les modifications du catalogue des exigences;
• d) la gestion des incidents;
• e) l’assurance de la continuité des activités de la plateforme.

2. La Commission s’acquitte des missions suivantes:

• a) elle procède à des essais techniques de l’échange transfrontière de données de santé électroniques à caractère personnel;
• b) elle apporte un soutien aux services d’assistance des points de contact nationaux pour la santé numérique ou aux participants autorisés.

3. La Commission, en coopération avec le groupe de pilotage, propose un plan de travail annuel pour les activités visées aux paragraphes 1 et 2, pour approbation par le groupe de pilotage.

Article 6
Modifications du catalogue des exigences

1. À la demande de cinq membres ou plus du groupe de pilotage ou de sa propre initiative, la Commission peut soumettre au groupe de pilotage une proposition de modification majeure du catalogue des exigences. La proposition de la Commission contient au moins:

• a) une description des modifications;
• b) une justification des modifications;
• c) un calendrier de mise en oeuvre des modifications;
• d) une version majeure pour tenir compte des modifications proposées.

2. Le groupe de pilotage est chargé d’approuver les modifications apportées au catalogue des exigences visé à l’article 4, paragraphe 2, le calendrier de mise en oeuvre des modifications et la version majeure.

3. Une fois que les modifications visées au paragraphe 2 sont approuvées, la Commission, les points de contact nationaux pour la santé numérique et les participants autorisés les mettent en oeuvre conformément au calendrier de mise en oeuvre approuvé et à la version majeure.

4. Une version mineure n’est pas subordonnée à la présentation d’une proposition de modification. La Commission peut soumettre une modification en vue d’une version mineure au groupe de pilotage. Lorsqu’une telle modification est soumise, le groupe de pilotage est chargé, dès réception, d’approuver la proposition de version mineure, y compris son calendrier de mise en oeuvre. Une fois la version mineure approuvée, la Commission, les points de contact nationaux pour la santé numérique et les participants autorisés la mettent en oeuvre conformément au calendrier de mise en oeuvre approuvé.

Article 7
Gestion de l’autorisation d’échange transfrontière de données de santé électroniques à caractère personnel

1. La Commission est chargée, pour le compte du groupe de pilotage, de gérer les procédures d’autorisation de l’échange de données de santé électroniques à caractère personnel. Ces procédures sont les suivantes:

• a) autoriser un point de contact national pour la santé numérique à entamer l’échange de données de santé électroniques à caractère personnel;
• b) autoriser un point de contact national pour la santé numérique ou un participant autorisé à poursuivre l’échange de données de santé électroniques à caractère personnel après une mise à niveau jusqu’à la version majeure la plus récente;
• c) autoriser un point de contact national pour la santé numérique ou un participant autorisé à poursuivre l’échange de données de santé électroniques à caractère personnel après un contrôle de conformité opérationnelle visé à l’article 9, point b);
• d) traiter les incidents importants dans l’échange de données de santé électroniques à caractère personnel.

2. La Commission, en collaboration avec le groupe de pilotage, propose la méthodologie relative aux procédures d’autorisation visées au paragraphe 1, pour approbation par le groupe de pilotage.

3. Le groupe de pilotage décide d’accorder ou non l’autorisation visée au paragraphe 1, points a), b) ou c), sur la base des exigences énoncées aux articles 10 à 12.

4. Lorsque le groupe de pilotage décide de ne pas accorder l’autorisation prévue au paragraphe 1, le point de contact national pour la santé numérique peut demander au groupe de pilotage de revoir sa décision.

Article 8
Conditions pour s’inscrire et rester connecté à MaSanté@UE, contrôles de conformité et essais techniques

1. La Commission effectue des contrôles de conformité et facilite les essais techniques afin d’évaluer la conformité de l’échange de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique avec le catalogue des exigences visé à l’article 4, paragraphe 2, et les spécifications techniques visées à l’article 4, paragraphe 3.

2. Un contrôle de conformité permet de recenser les constatations relatives à la sécurité, à la confidentialité et à la protection de l’échange de données de santé électroniques à caractère personnel par l’intermédiaire de MaSanté@UE. Les constatations sont qualifiées de «mineures», «moyennes» ou «critiques» en fonction des niveaux de conformité définis dans le cadre de contrôle de la conformité visé à l’article 4, paragraphe 2, point c).

3. Un essai technique évalue l’échange transfrontière de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique par l’intermédiaire de MaSanté@UE et leur conformité avec les spécifications techniques visées à l’article 4, paragraphe 3. Les constatations sont qualifiées de «mineures», «moyennes» ou «critiques» en fonction des niveaux de conformité définis dans le cadre d’essai visé à l’article 4, paragraphe 2, point c).

4. La Commission informe les points de contact nationaux pour la santé numérique des résultats des contrôles de conformité et des essais techniques visés au paragraphe 1. Ces informations contiennent, au minimum, les constatations, observations et recommandations fondées sur les résultats des contrôles de conformité et des essais techniques.

5. Lorsqu’un contrôle de conformité ou un essai technique a mis en évidence des constatations, quel que soit leur niveau, le point de contact national pour la santé numérique concerné prend des mesures pour clore les constatations après avoir reçu de la Commission des informations sur les résultats du contrôle de conformité ou de l’essai technique. Un plan d’action contenant des mesures visant à donner suite aux constatations est soumis à la Commission dans un délai de quinze jours ouvrables à compter de la réception des informations sur les constatations.

6. Après la mise en oeuvre d’un plan d’action, le point de contact national pour la santé numérique en informe la Commission. La Commission évalue ensuite les éléments de preuve pertinents et décide s’il y a lieu de clore les constatations formulées.

7. La Commission communique régulièrement au groupe de pilotage les constatations ouvertes des contrôles de conformité et des essais techniques.

Article 9
Fréquence des contrôles de conformité

La Commission évalue la conformité de l’échange de données de santé électroniques à caractère personnel avec le catalogue des exigences visé à l’article 4, paragraphe 2, et les spécifications techniques visées à l’article 4, paragraphe 3:

• a) avant le début de l’échange de données de santé électroniques à caractère personnel;
• b) tous les cinq ans après le contrôle de conformité le plus récent;
• c) lorsque la Commission estime qu’il existe un risque critique pour la sécurité, la confidentialité ou la protection des données de santé électroniques à caractère personnel.

Article 10
Autorisation d’entamer l’échange de données de santé électroniques à caractère personnel

Un point de contact national pour la santé numérique obtient l’autorisation visée à l’article 7, paragraphe 1, point a), avant de commencer l’échange de données de santé électroniques à caractère personnel. L’autorisation est fondée sur:

• a) un résultat d’essai sans constatations critiques conformément à l’article 8, paragraphe 4;
• b) un résultat de contrôle de conformité sans constatations critiques conformément à l’article 8, paragraphe 4;
• c) les plans d’action visés à l’article 8, paragraphe 5.

Article 11
Autorisation de mise à niveau et de poursuite de l’échange de données de santé électroniques à caractère personnel à la suite d’une mise à niveau

1. Chaque point de contact national pour la santé numérique obtient l’autorisation visée à l’article 7, paragraphe 1, point b), au plus tard un mois avant la fin du délai visé à l’article 6, paragraphe 3. L’autorisation est fondée sur un résultat d’essai technique sans les constatations critiques visées à l’article 8, paragraphe 4.

2. Lorsqu’un point de contact national pour la santé numérique ne reçoit pas l’autorisation visée au paragraphe 1, le groupe de pilotage adopte des mesures d’atténuation, qui peuvent inclure la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.

3. Lorsque l’échange de données de santé électroniques à caractère personnel est suspendu conformément au paragraphe 2, le point de contact national pour la santé numérique prend les mesures suivantes:

• a) remédier aux constatations à l’origine de la suspension;
• b) obtenir l’autorisation visée à l’article 7, paragraphe 1, point b);
• c) mettre en oeuvre une mise à niveau de la dernière version majeure et rétablir l’échange de données de santé électroniques à caractère personnel.

Article 12
Poursuivre l’échange de données de santé électroniques à caractère personnel à la suite d’un contrôle de conformité opérationnelle

1. Chaque point de contact national pour la santé numérique obtient l’autorisation visée à l’article 7, paragraphe 1, point c), au plus tard deux mois après avoir reçu le résultat du contrôle de conformité visé à l’article 8, paragraphe 4. L’autorisation est fondée sur un résultat de contrôle de conformité sans constatations critiques.

2. Lorsqu’un point de contact national pour la santé numérique ne reçoit pas l’autorisation visée au paragraphe 1, le groupe de pilotage adopte des mesures d’atténuation, qui peuvent inclure la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.

3. Lorsque l’échange de données de santé électroniques à caractère personnel est suspendu conformément au paragraphe 2, le point de contact national pour la santé numérique prend les mesures suivantes:

• a) clore les constatations à l’origine de la suspension;
• b) obtenir l’autorisation visée à l’article 7, paragraphe 1, point c);
• c) rétablir l’échange de données de santé électroniques à caractère personnel.

Article 13
Incidents importants

1. Un point de contact national pour la santé numérique, ou la Commission selon le cas, informe le président du groupe de pilotage, la Commission et tout point de contact national pour la santé numérique concerné dès que possible et, en tout état de cause, dans un délai de 24 heures après avoir eu connaissance d’un incident important.

2. À la suite de la notification visée au paragraphe 1, ou de sa propre initiative, la Commission, en accord avec le président du groupe de pilotage, traite l’incident important.

3. Le point de contact national pour la santé numérique dont l’échange transfrontière de données de santé électroniques à caractère personnel est affecté par l’incident important et le groupe de pilotage, si nécessaire, prennent les mesures requises pour atténuer cet incident. Ces mesures peuvent comprendre la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.

4. Après approbation du groupe de pilotage, le point de contact national pour la santé numérique concerné rétablit l’échange transfrontière suspendu de données de santé électroniques à caractère personnel dès que possible après la résolution de l’incident important.

5. Le point de contact national pour la santé numérique dont l’échange transfrontière de données de santé électroniques à caractère personnel a été affecté par l’incident important ou la Commission, si un service visé à l’article 3, paragraphe 1, a été touché par l’incident important, fait rapport au groupe de pilotage au plus tard un mois après la soumission de la notification visée au paragraphe 1. Ce rapport comprend au moins les éléments suivants:

• a) une description détaillée de l’incident important, y compris de sa gravité et de ses répercussions;
• b) le type de menace ou la cause profonde qui a probablement déclenché l’incident important;
• c) les mesures d’atténuation déjà prises et toujours en cours.

CHAPITRE 3
TRAITEMENT, SÉCURITÉ, CONFIDENTIALITÉ ET PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL

Article 14
Traitement des données à caractère personnel dans MaSanté@UE

Le traitement des données à caractère personnel dans MaSanté@UE se limite:

• a) aux catégories prioritaires de données de santé électroniques à caractère personnel destinées à une utilisation primaire visées à l’article 14, paragraphe 1, premier alinéa, du règlement (UE) 2025/327;
• b) aux catégories supplémentaires de données de santé électroniques à caractère personnel destinées à une utilisation primaire visées à l’article 14, paragraphe 1, troisième alinéa, du règlement (UE) 2025/327;
• c) aux données à caractère personnel nécessaires pour gérer MaSanté@UE, y compris la gestion du service d’assistance.

Article 15
Responsabilités des points de contact nationaux pour la santé numérique en tant que responsables conjoints du traitement

1. En leur qualité de responsables conjoints du traitement, les points de contact nationaux pour la santé numérique assument les responsabilités énumérées ci-dessous.

• a) Ils mettent en place un point de contact doté d’une boîte aux lettres fonctionnelle aux fins de la communication entre les responsables conjoints du traitement, ainsi qu’entre ces derniers et le sous-traitant.
• b) Ils se coordonnent au sein du groupe de pilotage afin de fournir des instructions coordonnées à la Commission en tant que sous-traitant.
• c) Ils envoient toutes les instructions nécessaires à la Commission, en tant que sous-traitant, par l’intermédiaire du groupe de pilotage, comme convenu avec les autres responsables conjoints du traitement au sein du groupe.
• d) Ils sont chargés d’informer les personnes concernées du traitement des données à caractère personnel dans MaSanté@UE, conformément aux articles 13 et 14 du règlement (UE) 2016/679.
• e) Ils répondent aux demandes des personnes concernées visant à exercer leurs droits prévus par le règlement (UE) 2016/679. Lorsqu’un responsable conjoint du traitement reçoit une demande qui ne relève pas de ses responsabilités en ce qui concerne MaSanté@UE, il transmet la demande au responsable conjoint du traitement concerné et en informe la personne concernée.
• f) Ils prennent toutes les mesures de sécurité organisationnelles, physiques et logiques appropriées pour garantir que chaque point de contact national pour la santé numérique fonctionne de manière sécurisée et documente ces mesures. Ces mesures garantissent que:
  • i) les personnes autorisées à traiter les données à caractère personnel échangées par l’intermédiaire de MaSanté@UE sont soumises à une obligation légale appropriée de confidentialité ou se sont engagées à respecter la confidentialité;
  • ii) les échanges de données à caractère personnel par l’intermédiaire de MaSanté@UE sont consignés systématiquement afin de tenir un registre des échanges de données à caractère personnel, y compris l’identité des acteurs concernés, les catégories de données à caractère personnel et les finalités pour lesquelles elles ont été échangées.
• g) Ils se prêtent mutuellement assistance pour détecter et traiter tout incident, y compris les violations de données à caractère personnel, lié au traitement dans MaSanté@UE. En particulier, les responsables conjoints du traitement s’informent mutuellement des éléments suivants, et en informent la Commission:
  • i) tout risque pour la sécurité des données à caractère personnel traitées dans MaSanté@UE;
  • ii) tout incident de sécurité lié aux opérations de traitement des données à caractère personnel dans MaSanté@UE;
  • iii) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques, ainsi que toute mesure prise visant à remédier à la violation de données et à atténuer le risque pour ces droits et libertés;
  • iv) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans MaSanté@UE.
• h) Ils communiquent toute violation de données à caractère personnel liée au processus de traitement dans MaSanté@UE aux autorités de contrôle de la protection des données compétentes et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679.
• i) Ils participent aux analyses d’impact des opérations de traitement envisagées, conformément à l’article 35 du règlement (UE) 2016/679, le cas échéant.

2. Si, afin de s’acquitter des obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679, un responsable conjoint du traitement a besoin de s’informer auprès d’un autre responsable conjoint du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée au paragraphe 1, point a). L’autre responsable conjoint du traitement met tout en oeuvre pour fournir les informations demandées.

Article 16
Responsabilités de la Commission en tant que sous-traitant

En sa qualité de sous-traitant, la Commission assume les responsabilités énumérées ci-après. La Commission peut engager des tiers en tant que sous-traitants ultérieurs pour s’acquitter de ces responsabilités:

• a) elle met en place et maintient un service de communication sécurisé et fiable pour les points de contact nationaux pour la santé numérique participant à MaSanté@UE («service central de communication sécurisé»);
• b) elle configure une partie du service central de communication sécurisé de telle sorte que les points de contact nationaux pour la santé en ligne puissent échanger des informations de manière sécurisée, fiable et efficace;
• c) elle prend des mesures pour faciliter l’interopérabilité et la communication entre le service central de communication sécurisé et les responsables conjoints du traitement de MaSanté@UE;
• d) elle ne traite les données à caractère personnel que sur instruction des responsables conjoints du traitement de MaSanté@UE, à moins qu’elle ne soit tenue de le faire en vertu de la législation à laquelle elle est soumise. Dans ce cas, la Commission informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public. La Commission informe immédiatement les responsables conjoints du traitement si, selon elle, les instructions données enfreignent les dispositions applicables en matière de protection des données;
• e) elle met en place les mesures nécessaires pour garantir un niveau de sécurité des données à caractère personnel traitées dans le service de communication sécurisé adapté aux risques. Ces mesures sont consignées dans un plan de sécurité, qui est tenu à jour. Ces mesures consistent notamment à:
  • i) mettre en place une procédure d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour le système;
  • ii) veiller à ce que les personnes autorisées à traiter les données à caractère personnel soient soumises à une obligation légale appropriée de confidentialité, telle que celle prévue à l’article 17 du statut des fonctionnaires des Communautés européennes, fixé par le règlement (CEE, Euratom, CECA) n°259/68 du Conseil (9), ou se soient engagées à respecter la confidentialité;
  • iii) prendre les mesures appropriées pour faire en sorte que son personnel et ses contractants comprennent leurs responsabilités en matière de sécurité de l’information et de protection des informations sensibles non classifiées;
  • iv) mettre en oeuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel;
  • v) garantir l’intégrité des informations transmises par l’intermédiaire du service de communication sécurisé;
  • vi) mettre en oeuvre, chaque fois que cela est nécessaire, des mesures visant à bloquer l’accès non autorisé au service de communication sécurisé depuis le domaine des points de contact nationaux pour la santé numérique;
  • vii) veiller à ce que les données transportées au sein du service central de communication sécurisée soient chiffrées;
  • viii) prendre les mesures de sécurité physique appropriées, y compris:
    • 1. contrôler l’accès aux installations et tenir un registre des visiteurs à des fins de suivi;
    • 2. veiller à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé.
• f) elle met en oeuvre une procédure de gestion des modifications et tient les responsables conjoints du traitement informés de tout changement susceptible d’avoir une incidence sur la communication avec d’autres infrastructures nationales ou sur la sécurité de ces infrastructures;
• g) elle surveille en temps réel la performance de tous les éléments de son service de communication sécurisé, produit des statistiques régulières et tient des registres;
• h) elle met en oeuvre des procédures d’audit et de réexamen afin de:
  • i) vérifier la correspondance entre les mesures de sécurité mises en oeuvre et le plan de sécurité visé au point e);
  • ii) contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées;
  • iii) assurer une surveillance afin de détecter les atteintes à la sécurité;
  • iv) appliquer des modifications afin de corriger les failles existantes en matière de sécurité;
  • v) établir une procédure de gestion des incidents de sécurité définissant le système de signalement et de remontée des incidents;
  • vi) informer les responsables conjoints du traitement concernés.
• i) elle publie sur son site web des avis aux patients concernant le traitement des données à caractère personnel dans MaSanté@UE, après approbation de leur contenu par les responsables conjoints du traitement;
• j) elle assiste les responsables conjoints du traitement en fournissant des informations sur le service de communication sécurisé de MaSanté@UE, afin de mettre en oeuvre les obligations énoncées aux articles 32 à 36 du règlement (UE) 2016/679;
• k) après la fin de l’échange de données, elle efface toutes les données à caractère personnel traitées pour le compte d’un responsable du traitement et certifie au responsable du traitement qu’elle l’a fait, à moins que le droit applicable n’exige la conservation des données à caractère personnel;
• l) elle fournit aux responsables conjoints du traitement toutes les informations nécessaires pour démontrer qu’elle respecte ses obligations en tant que sous-traitant et consent, y compris à la demande des responsables du traitement, et contribue à la réalisation d’audits indépendants, y compris des inspections et des examens des mesures de sécurité, sous réserve de conditions conformes au protocole (n°7) du traité sur le fonctionnement de l’Union européenne sur les privilèges et immunités de l’Union européenne.

Article 17
Sécurité de MaSanté@UE

La Commission assure la sécurité de MaSanté@UE, conformément à la décision (UE, Euratom) 2017/46.

CHAPITRE 4
TRANSITION

Article 18
Mesures transitoires

Les points de contact nationaux pour la santé en ligne qui ont échangé des données de santé électroniques à caractère personnel par l’intermédiaire de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne conformément à la décision d’exécution (UE) 2019/1765 avant le 26 mars 2029 et qui ont été désignés comme points de contact nationaux pour la santé numérique en vertu de l’article 23, paragraphe 2, du règlement (UE) 2025/327 peuvent continuer à échanger ces données dans le cadre de MaSanté@UE et sont réputés satisfaire aux exigences en matière d’autorisation pour commencer l’échange de données de santé électroniques à caractère personnel énoncées dans le présent règlement.

CHAPITRE 5
DISPOSITIONS FINALES

Article 19
Entrée en vigueur et mise en application

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Il est applicable à partir du 26 mars 2027.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre.

Fait à Bruxelles, le 18 septembre 2026.

Par la Commission
La présidente
Ursula VON DER LEYEN
            
(1) JO L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj.
(2) Décision d’exécution (UE) 2019/1765 de la Commission du 22 octobre 2019 arrêtant les règles relatives à la création, à la gestion et au fonctionnement du réseau d’autorités nationales chargées de la santé en ligne, et abrogeant la décision d’exécution 2011/890/UE (JO L 270 du 24.10.2019, p. 83, ELI: http://data.europa.eu/eli/dec_impl/2019/1765/oj).
(3) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(4) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE (JO L 295 du 21.11.2018, p. 39, ELI: http:// data.europa.eu/eli/reg/2018/1725/oj).
(5) Décision (UE, Euratom) 2017/46 de la Commission du 10 janvier 2017 sur la sécurité des systèmes d’information et de communication au sein de la Commission européenne (JO L 6 du 11.1.2017, p. 40, ELI: http://data.europa.eu/eli/dec/2017/46/oj).
(6) EDPS Formal comments on the draft Commission Implementing Regulation on MyHealth@EU(Observations formelles du CEPD sur le projet de règlement d’exécution de la Commission sur MaSanté@UE, en anglais).
(7) Règlement (UE) 2024/903 du Parlement européen et du Conseil du 13 mars 2024 établissant des mesures destinées à assurer un niveau élevé d’interopérabilité du secteur public dans l’ensemble de l’Union (règlement pour une Europe interopérable) (JO L, 2024/903, 22.3.2024, ELI: http://data.europa.eu/eli/reg/2024/903/oj).
(8) Directive (UE) 2022/2555 du Parlement européen et du Conseil du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, modifiant le règlement (UE) n°910/2014 et la directive (UE) 2018/1972, et abrogeant la directive (UE) 2016/1148 (directive SRI 2) (JO L 333 du 27.12.2022, p. 80, ELI: http://data.europa. eu/eli/dir/2022/2555/oj).
(9) Règlement (CEE, Euratom, CECA) n°259/68 du Conseil du 29 février 1968 fixant le statut des fonctionnaires des Communautés européennes ainsi que le régime applicable aux autres agents de ces Communautés, et instituant des mesures particulières temporairement applicables aux fonctionnaires de la Commission [JO L 56 du 4.3.1968, p. 1, ELI: http://data.europa.eu/eli/reg/1968/ 259(1)/oj].