Règlement (UE) 2025/327 du Parlement européen et du Conseil du 11 février 2025 relatif à l’espace européen des données de santé et modifiant la directive 2011/24/UE et le règlement (UE) 2024/2847 (Texte présentant de l’intérêt pour l’EEE)

1 Le présent règlement établit l’espace européen des données de santé (EEDS) en prévoyant des règles, des normes et des infrastructures communes et un cadre de gouvernance, en vue de faciliter l’accès aux données de santé électroniques aux fins de l’utilisation primaire des données de santé électroniques et de l’utilisation secondaire de ces données.

2 Le présent règlement: a) précise et complète les droits des personnes physiques en ce qui concerne l’utilisation primaire et l’utilisation secondaire de leurs données de santé électroniques à caractère personnel fixés par le règlement (UE) 2016/679; b) établit des règles communes pour les systèmes de dossiers médicaux électroniques (ci-après dénommés «systèmes de DME») en ce qui concerne deux composants logiciels harmonisés obligatoires, à savoir le composant logiciel d’interopérabilité européen pour les systèmes de DME et le composant logiciel de journalisation européen pour les systèmes de DME, tels qu’ils sont définis, respectivement, à l’article 2, paragraphe 2, points n) et o), et pour les applications de bien-être au sujet desquelles l’interopérabilité avec les systèmes de DME en ce qui concerne ces deux composants logiciels harmonisés est alléguée, en ce qui concerne l’utilisation primaire des données de santé électroniques; c) établit des règles et des mécanismes communs pour l’utilisation primaire des données de santé électroniques et l’utilisation secondaire des données de santé électroniques; d) met en place une infrastructure transfrontière permettant l’utilisation primaire des données de santé électroniques à caractère personnel dans l’ensemble de l’Union; e) met en place une infrastructure transfrontière pour l’utilisation secondaire des données de santé électroniques; f) établit des mécanismes de gouvernance et de coordination au niveau de l’Union et au niveau national à la fois pour l’utilisation primaire des données de santé électroniques et l’utilisation secondaire des données de santé électroniques.

3 Le présent règlement s’entend sans préjudice d’autres actes juridiques de l’Union concernant l’accès aux données de santé électroniques, ainsi que leur partage ou leur utilisation secondaire, ou des exigences de l’Union concernant le traitement de données en ce qui concerne les données de santé électroniques, en particulier des règlements (CE) no 223/2009 , (UE) no 536/2014 , (UE) 2016/679, (UE) 2018/1725, (UE) 2022/868 et (UE) 2023/2854 du Parlement européen et du Conseil, et des directives 2002/58/CE et (UE) 2016/943 du Parlement européen et du Conseil.

4 Les références faites dans le présent règlement aux dispositions du règlement (UE) 2016/679 s’entendent également comme des références faites aux dispositions correspondantes du règlement (UE) 2018/1725, le cas échéant, en ce qui concerne les institutions, organes et organismes de l’Union.

5 Le présent règlement s’entend sans préjudice des règlements (UE) 2017/745, (UE) 2017/746 et (UE) 2024/1689, en ce qui concerne la sécurité des dispositifs médicaux, des dispositifs médicaux de diagnostic in vitro et des systèmes d’intelligence artificielle (IA) qui interagissent avec les systèmes de DME.

6 Le présent règlement s’entend sans préjudice du droit de l’Union ou du droit national relatif au traitement des données de santé électroniques aux fins de la notification, de la réponse aux demandes d’accès à des informations ou de la démonstration ou vérification du respect des obligations légales, ou du droit de l’Union ou du droit national en ce qui concerne l’octroi de l’accès aux documents officiels et leur divulgation.

7 Le présent règlement s’entend sans préjudice des dispositions spécifiques du droit de l’Union ou du droit national prévoyant l’accès aux données de santé électroniques en vue d’un traitement ultérieur par les organismes du secteur public des États membres, par les institutions, organes et organismes de l’Union ou par des entités privées chargées, en vertu du droit de l’Union ou du droit national, d’une mission d’intérêt public, aux fins de l’accomplissement de cette mission.

8 Le présent règlement n’a pas d’incidence sur l’accès aux données de santé électroniques à des fins d’utilisation secondaire convenu dans le cadre d’accords contractuels ou administratifs entre entités publiques ou privées.

9 Le présent règlement ne s’applique pas au traitement de données à caractère personnel dans les cas suivants: a) lorsque le traitement est effectué au cours d’une activité qui ne relève pas du champ d’application du droit de l’Union; b) lorsque le traitement est effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris à des fins de protection contre des menaces pour la sécurité publique et de prévention de telles menaces.

1 Aux fins du présent règlement, les définitions suivantes s’appliquent: a) les définitions des termes «données à caractère personnel», «traitement», «pseudonymisation», «responsable du traitement», «sous-traitant», «tiers», «consentement», «données génétiques», «données concernant la santé» et «organisation internationale» figurant à l’article 4, points 1), 2), 5), 7), 8), 10), 11), 13), 15) et 26), respectivement, du règlement (UE) 2016/679; b) les définitions des termes «soins de santé», «État membre d’affiliation», «État membre de traitement», «professionnel de la santé», «prestataire de soins de santé», «médicament» et «prescription» figurant à l’article 3, points a), c), d), f), g), i) et k), respectivement, de la directive 2011/24/UE; c) les définitions des termes «données», «accès», «altruisme en matière de données», «organisme du secteur public» et «environnement de traitement sécurisé» figurant à l’article 2, points 1), 13), 16), 17) et 20), respectivement, du règlement (UE) 2022/868; d) les définitions des termes «mise à disposition sur le marché», «mise sur le marché», «surveillance du marché», «autorité de surveillance du marché», «non-conformité», «fabricant», «importateur», «distributeur», «opérateur économique», «mesure corrective», «rappel» et «retrait» figurant à l’article 3, points 1), 2), 3), 4), 7), 8), 9), 10), 13), 16), 22) et 23), respectivement, du règlement (UE) 2019/1020; e) les définitions des termes «dispositif médical», «destination», «notice d’utilisation», «performances», «établissement de santé» et «spécifications communes» figurant à l’article 2, points 1), 12), 14), 22), 36) et 71), respectivement, du règlement (UE) 2017/745; f) les définitions des termes «identification électronique» et «moyen d’identification électronique» figurant à l’article 3, points 1) et 2), respectivement, du règlement (UE) no 910/2014; g) la définition de «pouvoirs adjudicateurs» figurant à l’article 2, paragraphe 1, point 1), de la directive 2014/24/UE du Parlement européen et du Conseil ; h) la définition de «santé publique» figurant à l’article 3, point c), du règlement (CE) no 1338/2008 du Parlement européen et du Conseil .

2 En outre, aux fins du présent règlement, on entend par: a) «données de santé électroniques à caractère personnel», les données concernant la santé et les données génétiques, qui sont traitées sous une forme électronique; b) «données de santé électroniques à caractère non personnel», les données de santé électroniques autres que les données de santé électroniques à caractère personnel, comprenant à la fois les données qui ont été anonymisées de sorte qu’elles ne se rapportent plus à une personne physique identifiée ou identifiable («personne concernée») et les données qui ne se sont jamais rapportées à une personne concernée; c) «données de santé électroniques», les données de santé électroniques à caractère personnel ou non personnel; d) «utilisation primaire», le traitement de données de santé électroniques pour la fourniture de soins de santé en vue d’évaluer, de maintenir ou de rétablir l’état de santé de la personne physique à laquelle ces données se rapportent, y compris la prescription, la dispensation et la fourniture de médicaments et de dispositifs médicaux, ainsi que pour les services sociaux, administratifs ou de remboursement pertinents; e) «utilisation secondaire», le traitement de données de santé électroniques aux fins énoncées au chapitre IV du présent règlement, autres que les finalités initiales pour lesquelles ces données ont été collectées ou produites; f) «interopérabilité», la capacité d’organisations, ainsi que d’applications logicielles ou de dispositifs du même fabricant ou de fabricants différents, à interagir au moyen des processus qu’ils soutiennent, ce qui implique l’échange d’informations et de connaissances, sans modification du contenu des données, entre ces organisations, applications logicielles ou dispositifs; g) «enregistrement des données de santé électroniques», l’enregistrement de données de santé dans un format électronique par la saisie manuelle de ces données, par la collecte de ces données au moyen d’un dispositif ou par la conversion dans un format électronique de données de santé non électroniques à traiter dans un système de DME ou dans une application de bien-être; h) «service d’accès aux données de santé électroniques», un service en ligne, tel qu’un portail ou une application pour les appareils mobiles, qui permet aux personnes physiques n’agissant pas dans l’exercice de leurs fonctions professionnelles d’accéder à leurs propres données de santé électroniques ou aux données de santé électroniques d’autres personnes physiques auxquelles elles sont légalement autorisées à accéder; i) «service d’accès des professionnels de la santé», un service qui, accompagné par un système de DME, permet aux professionnels de la santé d’accéder aux données de personnes physiques qu’ils traitent; j) «dossier médical électronique» ou «DME», un ensemble de données de santé électroniques relatives à une personne physique collectées dans le système de santé et traitées aux fins de la prestation de soins de santé; k) «système de dossiers médicaux électroniques» ou «système de DME», tout système dont le logiciel ou une combinaison du matériel informatique et du logiciel permet le stockage, l’intermédiation, l’exportation, l’importation, la conversion, l’édition ou la consultation de données de santé électroniques à caractère personnel qui appartiennent aux catégories prioritaires de données de santé électroniques à caractère personnel établies par le présent règlement, et qui est destiné par le fabricant à être utilisé par les prestataires de soins de santé pour dispenser des soins aux patients ou par les patients pour accéder à leurs données de santé électroniques; l) «mise en service», la première utilisation dans l’Union, conformément à sa destination, d’un système de DME relevant du présent règlement; m) «composant logiciel», une partie distincte d’un logiciel qui propose une fonctionnalité spécifique ou exécute des fonctions ou des procédures spécifiques et qui peut fonctionner de manière indépendante ou en lien avec d’autres composants; n) «composant logiciel d’interopérabilité européen pour les systèmes de DME», un composant logiciel du système de DME qui fournit et reçoit des données de santé électroniques à caractère personnel relevant d’une catégorie prioritaire à des fins d’utilisation primaire établie par le présent règlement dans le format européen d’échange des dossiers médicaux électroniques prévu par le présent règlement et qui est indépendant du composant logiciel de journalisation européen pour les systèmes de DME; o) «composant logiciel de journalisation européen pour les systèmes de DME», un composant logiciel du système de DME qui fournit des informations de journalisation liées à l’accès par des professionnels de la santé ou d’autres personnes aux catégories prioritaires des données de santé électroniques à caractère personnel établies par le présent règlement, dans le format défini au point 3.2 de son annexe II, et qui est indépendant du composant logiciel d’interopérabilité européen pour les systèmes de DME; p) «marquage CE de conformité», un marquage par lequel le fabricant indique qu’un système de DME est conforme aux exigences applicables énoncées dans le présent règlement et dans d’autres dispositions du droit de l’Union applicables qui en prévoient l’apposition en vertu du règlement (CE) no 765/2008 du Parlement européen et du Conseil ; q) «risque», la combinaison de la probabilité de survenance d’un danger causant un dommage à la santé, la sûreté ou la sécurité de l’information et du degré de gravité d’un tel dommage; r) «incident grave», tout dysfonctionnement ou toute détérioration des caractéristiques ou des performances d’un système de DME mis à disposition sur le marché qui entraîne, pourrait avoir entraîné ou pourrait entraîner, directement ou indirectement: i) le décès d’une personne physique ou un préjudice grave pour la santé d’une personne physique; ii) des atteintes graves aux droits d’une personne physique; iii) une perturbation grave de la gestion et de l’exploitation d’infrastructures critiques dans le secteur de la santé; s) «soins», un service professionnel destiné à répondre aux besoins spécifiques d’une personne physique qui, en raison d’une déficience ou de son état physique ou mental, a besoin d’une assistance, y compris des mesures de prévention et d’accompagnement, pour accomplir les activités essentielles de la vie quotidienne afin de favoriser son autonomie personnelle; t) «détenteur de données de santé», toute personne physique ou morale, autorité publique, agence ou autre organisme dans les secteurs des soins de santé ou des soins, y compris les services de remboursement si nécessaire, ainsi que toute personne physique ou morale qui développe des produits ou des services destinés aux secteurs de la santé, des soins de santé ou des soins, qui développe ou produit des applications de bien-être, qui effectue des travaux de recherche ayant trait aux secteurs des soins de santé ou des soins, ou qui agit en tant que registre de mortalité, ainsi que toute institution ou tout organe ou organisme de l’Union, qui ont: i) le droit ou l’obligation, conformément au droit de l’Union ou au droit national applicables et en leur qualité de responsable ou de responsable conjoint du traitement, de traiter des données de santé électroniques à caractère personnel à des fins de fourniture de soins de santé ou de soins, ou à des fins de santé publique, de remboursement, de recherche, d’innovation, d’élaboration des politiques, de statistiques officielles ou de sécurité des patients ou à des fins de réglementation; ou ii) la capacité de mettre à disposition des données de santé électroniques à caractère non personnel par le biais du contrôle de la conception technique d’un produit et de services liés, y compris en enregistrant ou en fournissant ces données, en limitant l’accès à ces données ou en échangeant ces données; u) «utilisateur de données de santé», une personne physique ou morale, y compris les institutions, organes ou organismes de l’Union, qui s’est vu octroyer un accès licite aux données de santé électroniques à des fins d’utilisation secondaire en vertu d’une autorisation de traitement de données, d’une approbation d’une demande de données de santé ou d’une approbation d’accès émanant d’un participant autorisé à DonnéesDeSanté@UE (HealthData@EU); v) «autorisation de traitement de données», une décision administrative délivrée par un organisme responsable de l’accès aux données de santé à un utilisateur de données de santé, lui donnant le droit de traiter certaines données de santé électroniques indiquées dans l’autorisation de traitement de données à des fins d’utilisation secondaire spécifiques, sur la base des conditions énoncées au chapitre IV du présent règlement; w) «ensemble de données», une collection structurée de données de santé électroniques; x) «ensemble de données ayant une incidence majeure sur l’utilisation secondaire», un ensemble de données dont la réutilisation est associée à d’importantes retombées positives en raison de sa pertinence pour la recherche en matière de santé; y) «catalogue des ensembles de données», une collection de descriptions d’ensembles de données, organisée de manière systématique et comprenant une partie publique orientée vers l’utilisateur, dans laquelle les informations concernant les paramètres des ensembles de données individuels sont accessibles par voie électronique par l’intermédiaire d’un portail en ligne; z) «qualité des données», la mesure dans laquelle les éléments des données de santé électroniques conviennent à leur utilisation primaire et à leur utilisation secondaire prévues; a bis) «label de qualité et d’utilité des données», un diagramme graphique comprenant une échelle et décrivant la qualité des données et les conditions d’utilisation d’un ensemble de données; a ter) «application de bien-être», tout logiciel ou toute combinaison de matériel informatique et de logiciel, destiné par le fabricant à être utilisé par une personne physique, pour le traitement de données de santé électroniques, en particulier pour fournir des informations sur la santé de personnes physiques ou dispenser des soins à des fins autres que la prestation de soins de santé.

1 Les personnes physiques ont le droit d’accéder au moins aux données de santé électroniques à caractère personnel les concernant qui appartiennent aux catégories prioritaires visées à l’article 14 et qui sont traitées pour la prestation de soins de santé par l’intermédiaire des services d’accès aux données de santé électroniques visés à l’article 4. L’accès est fourni immédiatement après que les données de santé électroniques à caractère personnel ont été enregistrées dans un système de DME, tout en respectant le besoin de faisabilité technique, et les données sont fournies gratuitement et dans un format aisément lisible, consolidé et accessible.

2 Les personnes physiques, ou leurs représentants visés à l’article 4, paragraphe 2, ont le droit de télécharger gratuitement une copie électronique au moins des données de santé électroniques à caractère personnel relevant des catégories prioritaires visées à l’article 14 les concernant, par l’intermédiaire des services d’accès aux données de santé électroniques visés à l’article 4, dans le format européen d’échange des dossiers médicaux électroniques visé à l’article 15.

3 Conformément à l’article 23 du règlement (UE) 2016/679, les États membres peuvent limiter la portée des droits prévus aux paragraphes 1 et 2 du présent article, en particulier lorsque ces limitations sont nécessaires pour protéger les personnes physiques, sur la base de la sécurité des patients et de considérations éthiques, en retardant l’accès des personnes physiques à leurs données de santé électroniques à caractère personnel pendant une période limitée, jusqu’à ce qu’un professionnel de la santé puisse leur communiquer de manière adéquate des informations susceptibles d’avoir une incidence significative sur leur santé et leur donner des explications appropriées sur ces informations.

1 Les États membres veillent à ce qu’un ou plusieurs services d’accès aux données de santé électroniques soient mis en place au niveau national, régional ou local, permettant ainsi aux personnes physiques d’accéder à leurs données de santé électroniques à caractère personnel et d’exercer leurs droits prévus aux articles 3 et 5 à 10. Ces services d’accès aux données de santé électroniques sont gratuits pour les personnes physiques et leurs représentants visés au paragraphe 2 du présent article.

2 Les États membres veillent à ce qu’un ou plusieurs services de procuration soient mis en place en tant que fonctionnalité des services d’accès aux données de santé électroniques qui permette: a) aux personnes physiques d’autoriser d’autres personnes physiques de leur choix à accéder à leurs données de santé électroniques à caractère personnel, ou à une partie de celles-ci, en leur nom, pour une durée limitée ou illimitée et, si nécessaire, uniquement pour une fin spécifique, et de gérer ces autorisations; et b) aux représentants légaux de personnes physiques d’accéder aux données de santé électroniques à caractère personnel de ces personnes physiques dont ils gèrent les affaires, conformément au droit national. Les États membres établissent des règles concernant les autorisations visées au point a) du premier alinéa et les actions des tuteurs et des autres représentants légaux.

3 Les services de procuration visés au paragraphe 2 fournissent des autorisations de manière transparente et facilement compréhensible, gratuitement, par voie électronique ou sur papier. Les personnes physiques et leurs représentants sont informés de leurs droits liés à l’autorisation, y compris de la manière d’exercer ces droits, et de la procédure d’autorisation. Les services de procuration mettent à disposition un mécanisme de réclamation facilement accessible pour les personnes physiques.

4 Les services de procuration visés au paragraphe 2 du présent article sont interopérables d’un État membre à l’autre. La Commission établit, par voie d’actes d’exécution, les spécifications techniques pour l’interopérabilité des services de procuration des États membres. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

5 Les services d’accès aux données de santé électroniques et les services de procuration sont facilement accessibles pour les personnes handicapées, les groupes vulnérables et les personnes dotées d’une faible habileté numérique.

Les personnes physiques ou leurs représentants visés à l’article 4, paragraphe 2, ont le droit d’insérer des informations dans le DME de ces personnes physiques par l’intermédiaire des services d’accès aux données de santé électroniques ou d’applications liées à ces services visés audit article. Ces informations apparaissent clairement comme ayant été insérées par la personne physique ou par son représentant. Les personnes physiques ou leurs représentants visés à l’article 4, paragraphe 2, ne peuvent pas modifier directement les données de santé électroniques et les informations connexes qui ont été insérées par les professionnels de la santé.

Les services d’accès aux données de santé électroniques visés à l’article 4 permettent aux personnes physiques de demander facilement en ligne la rectification de leurs données de santé électroniques à caractère personnel conformément à l’article 16 du règlement (UE) 2016/679. Le cas échéant, le responsable du traitement des données vérifie l’exactitude des informations fournies dans la demande auprès d’un professionnel de la santé compétent. Les États membres peuvent également permettre aux personnes physiques d’exercer en ligne d’autres droits en vertu du chapitre III du règlement (UE) 2016/679 par l’intermédiaire des services d’accès aux données de santé électroniques.

1 Les personnes physiques ont le droit de donner l’accès à tout ou partie de leurs données de santé électroniques à caractère personnel à un prestataire de soins de santé de leur choix, ou de demander à un prestataire de soins de santé de transmettre tout ou partie de celles-ci à un autre prestataire de soins de santé de leur choix, immédiatement, gratuitement et sans que le prestataire de soins de santé ou les fabricants des systèmes utilisés par celui-ci y fassent obstacle.

2 Les personnes physiques ont le droit, lorsque les prestataires de soins de santé sont situés dans différents États membres, de demander la transmission de leurs données de santé électroniques à caractère personnel dans le format européen d’échange des dossiers médicaux électroniques visé à l’article 15 par l’intermédiaire de l’infrastructure transfrontière visée à l’article 23. Le prestataire de soins de santé destinataire accepte ces données et est en mesure de les lire.

3 Les personnes physiques ont le droit de demander à un prestataire de soins de santé de transmettre une partie de leurs données de santé électroniques à caractère personnel à un destinataire clairement identifié du secteur de la sécurité sociale ou des services de remboursement. Cette transmission a lieu immédiatement, gratuitement et sans que le prestataire de soins de santé ou les fabricants des systèmes utilisés par celui-ci puissent y faire obstacle, et cette transmission ne s’effectue que dans un sens.

4 Lorsque des personnes physiques ont téléchargé une copie électronique de leurs catégories prioritaires de données de santé électroniques à caractère personnel conformément à l’article 3, paragraphe 2, elles peuvent transmettre ces données aux prestataires de soins de santé de leur choix dans le format européen d’échange des dossiers médicaux électroniques visé à l’article 15. Le prestataire de soins de santé destinataire accepte ces données et est en mesure de les lire, selon le cas.

Les personnes physiques ont le droit de limiter l’accès des professionnels de la santé et des prestataires de soins de santé à tout ou partie de leurs données de santé électroniques à caractère personnel visées à l’article 3. Lorsqu’elles exercent le droit visé au premier alinéa, les personnes physiques sont informées qu’une telle limitation d’accès pourrait avoir une incidence sur la prestation de soins de santé à leur égard. Le fait qu’une personne physique ait procédé à une limitation d’accès au titre du premier alinéa n’est pas visible pour les prestataires de soins de santé. Les États membres établissent les règles et les garanties spécifiques concernant ces mécanismes de limitation.

1 Les personnes physiques ont le droit d’obtenir des informations, y compris au moyen de notifications automatiques, sur tout accès à leurs données de santé électroniques à caractère personnel obtenu par l’intermédiaire du service d’accès des professionnels de la santé dans le cadre des soins de santé, y compris l’accès fourni conformément à l’article 11, paragraphe 5.

2 Les informations visées au paragraphe 1 sont fournies, gratuitement et sans retard, par l’intermédiaire des services d’accès aux données de santé électroniques et sont disponibles pendant au moins trois ans à compter de chaque date d’accès aux données. Ces informations comprennent au moins les éléments suivants: a) des informations sur le prestataire de soins de santé ou d’autres personnes ayant eu accès aux données de santé électroniques à caractère personnel; b) la date et l’heure de l’accès; c) quelles données de santé électroniques à caractère personnel ont été consultées.

3 Les États membres peuvent prévoir des limitations du droit visé au paragraphe 1 dans des circonstances exceptionnelles, lorsque des éléments factuels indiquent que la divulgation de ces informations compromettrait les intérêts vitaux ou les droits du professionnel de la santé concerné ou les soins apportés à la personne physique.

1 Les législations des États membres peuvent prévoir le droit pour les personnes physiques de refuser l’accès à leurs données de santé électroniques à caractère personnel enregistrées dans un système de DME par l’intermédiaire des services d’accès aux données de santé électroniques visés aux articles 4 et 12. Dans de tels cas, les États membres veillent à ce que l’exercice de ce droit soit réversible.

2 Lorsqu’un État membre prévoit le droit visé au paragraphe 1 du présent article, il établit les règles et les garanties spécifiques concernant ce mécanisme de refus. En particulier, les États membres peuvent prévoir qu’un prestataire de soins de santé ou un professionnel de la santé peut avoir accès aux données de santé électroniques à caractère personnel dans les cas où le traitement est nécessaire pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique comme visé à l’article 9, paragraphe 2, point c), du règlement (UE) 2016/679, même si le patient a exercé son droit de de refus dans le contexte d’une utilisation primaire.

1 Lorsqu’ils traitent des données dans un format électronique, les professionnels de la santé ont accès aux données de santé électroniques à caractère personnel pertinentes et nécessaires des personnes physiques qu’ils traitent, par l’intermédiaire des services d’accès des professionnels de la santé visés à l’article 12, quels que soient l’État membre d’affiliation et l’État membre de traitement.

2 Lorsque l’État membre d’affiliation de la personne physique traitée et l’État membre de traitement de cette personne physique diffèrent, l’accès transfrontière aux données de santé électroniques à caractère personnel de la personne physique traitée est fourni par l’intermédiaire de l’infrastructure transfrontière visée à l’article 23.

3 L’accès visé aux paragraphes 1 et 2 du présent article comprend au minimum les catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14. Conformément aux principes prévus à l’article 5 du règlement (UE) 2016/679, les États membres établissent des règles prévoyant les catégories de données de santé électroniques à caractère personnel qui sont accessibles par les différentes catégories de professionnels de la santé ou pour les différentes tâches liées aux soins de santé. Ces règles tiennent compte de la possibilité d’imposer des limitations au titre de l’article 8 du présent règlement.

4 En cas de traitement dans un État membre autre que l’État membre d’affiliation, les règles visées au paragraphe 3 sont celles de l’État membre de traitement.

5 Lorsque l’accès aux données de santé électroniques à caractère personnel a été limité par une personne physique en vertu de l’article 8, le prestataire de soins de santé ou le professionnel de la santé n’est pas informé du contenu limité de ces données. Par dérogation au premier alinéa de l’article 8, le prestataire de soins de santé ou le professionnel de la santé peut se voir octroyer l’accès aux données de santé électroniques auxquelles l’accès a été limité si cela s’avère nécessaire pour protéger les intérêts vitaux de la personne concernée. Ces événements sont enregistrés dans un format clair et compréhensible et sont facilement accessibles à la personne concernée. Les États membres peuvent prévoir des garanties supplémentaires.

Pour la prestation de soins de santé, les États membres veillent à ce que les professionnels de la santé puissent accéder gratuitement aux catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14, y compris pour les soins transfrontières, par l’intermédiaire des services d’accès des professionnels de la santé. Les services visés au premier alinéa du présent article ne sont accessibles qu’aux professionnels de la santé qui sont en possession de moyens d’identification électronique qui font l’objet d’une reconnaissance en vertu de l’article 6 du règlement (UE) no 910/2014 ou d’autres moyens d’identification électronique conformes aux spécifications communes visées à l’article 36 du présent règlement. Les données de santé électroniques à caractère personnel sont présentées de manière conviviale dans les dossiers médicaux électroniques, afin de permettre une utilisation aisée par les professionnels de la santé.

1 Lorsque des données de santé électroniques sont traitées pour la prestation de soins de santé, les États membres veillent à ce que les prestataires de soins de santé enregistrent, dans un format électronique dans un système de DME, les données de santé électroniques à caractère personnel pertinentes relevant en tout ou en partie au moins des catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14.

2 Les prestataires de soins de santé qui traitent des données dans un format électronique veillent à ce que les données de santé électroniques à caractère personnel des personnes physiques qu’ils traitent soient mises à jour à l’aide d’informations liées aux soins de santé.

3 Lorsque des données de santé électroniques à caractère personnel sont enregistrées dans un État membre de traitement qui diffère de l’État membre d’affiliation de la personne physique concernée, l’État membre de traitement veille à ce que l’enregistrement soit effectué avec les données d’identification de la personne physique dans l’État membre d’affiliation.

4 Au plus tard le 26 mars 2027, la Commission détermine, par voie d’actes d’exécution, les exigences en matière de qualité des données, y compris en ce qui concerne la sémantique, l’uniformité, la cohérence, l’exactitude et l’exhaustivité, pour l’enregistrement des données de santé électroniques à caractère personnel dans un système de DME, comme il convient. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2. Lorsque des données de santé électroniques à caractère personnel sont enregistrées ou mises à jour, les dossiers médicaux électroniques indiquent le professionnel de la santé et le prestataire de soins de santé qui a procédé à cet enregistrement ou à cette mise à jour, ainsi que l’heure à laquelle cet enregistrement ou cette mise à jour a eu lieu. Les États membres peuvent exiger qu’il soit gardé trace d’autres aspects de l’enregistrement des données.

1 Aux fins du présent chapitre, lorsque les données sont traitées dans un format électronique, les catégories prioritaires de données de santé électroniques à caractère personnel sont les suivantes: a) résumés des dossiers de patients; b) prescriptions électroniques; c) dispensations électroniques; d) examens d’imagerie médicale et comptes rendus d’imagerie médicale y afférents; e) résultats d’examens médicaux, y compris les résultats de laboratoire et d’autres diagnostics, ainsi que les comptes rendus y afférents; et f) rapports de sortie d’hôpital. Les principales caractéristiques des catégories prioritaires de données de santé électroniques à caractère personnel à des fins d’utilisation primaire figurent à l’annexe I. Les États membres peuvent prévoir, dans leur droit national, l’accès à des catégories de données de santé électroniques à caractère personnel supplémentaires et leur échange, à des fins d’utilisation primaire en application du présent chapitre. La Commission peut, par voie d’actes d’exécution, établir des spécifications transfrontières pour les catégories de données de santé électroniques à caractère personnel visées au troisième alinéa du présent paragraphe en vertu de l’article 15, paragraphe 3, et de l’article 23, paragraphe 8. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

2 La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier le présent règlement en modifiant l’annexe I par l’ajout, la modification ou la suppression des principales caractéristiques des catégories prioritaires de données de santé électroniques à caractère personnel visées au paragraphe 1, pour autant que les modifications visent à adapter les catégories prioritaires de données de santé électroniques à caractère personnel à l’évolution technique et aux normes internationales. Par ailleurs, les ajouts et les modifications de ces caractéristiques satisfont aux deux critères suivants: a) la caractéristique est pertinente pour les soins de santé dispensés à des personnes physiques; b) la caractéristique est utilisée dans la majorité des États membres selon les informations les plus récentes.

1 Au plus tard le 26 mars 2027, la Commission établit, par voie d’actes d’exécution, les spécifications techniques pour les catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14, paragraphe 1, en fixant le format européen d’échange des dossiers médicaux électroniques. Ce format est un format couramment utilisé et lisible par machine, qui permet la transmission de données de santé électroniques à caractère personnel entre différents dispositifs, applications logicielles et prestataires de soins de santé. Un tel format soutient la transmission de données de santé structurées et non structurées, et comprend les éléments suivants: a) des ensembles de données harmonisés contenant des données de santé électroniques et définissant des structures, telles que des champs de données et des groupes de données pour la représentation de contenu clinique et d’autres parties des données de santé électroniques; b) des systèmes de codage et des valeurs à utiliser dans les ensembles de données contenant des données de santé électroniques; c) des spécifications techniques d’interopérabilité pour l’échange de données de santé électroniques, y compris la représentation de son contenu, les normes et les profils. Les actes d’exécution visés au premier alinéa du présent paragraphe sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

2 La Commission met régulièrement à jour le format européen d’échange des dossiers médicaux électroniques par voie d’actes d’exécution afin d’intégrer les révisions pertinentes des nomenclatures et systèmes de codage des soins de santé. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

3 La Commission peut, par voie d’actes d’exécution, établir des spécifications techniques pour étendre le format européen d’échange des dossiers médicaux électroniques à des catégories de données de santé électroniques à caractère personnel supplémentaires visées à l’article 14, paragraphe 1, troisième alinéa. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

4 Les États membres veillent à ce que les catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14 soient émises dans le format européen d’échange des dossiers médicaux électroniques visé au paragraphe 1 du présent article. Lorsque ces données sont transmises par des procédés automatisés à des fins d’utilisation primaire, le prestataire destinataire accepte le format des données et est en mesure de lire les données.

1 Lorsque des personnes physiques utilisent des services d’accès aux données de santé électroniques visés à l’article 4, ces personnes physiques ont le droit de s’identifier par voie électronique en utilisant tout moyen d’identification électronique reconnu en vertu de l’article 6 du règlement (UE) no 910/2014. Les États membres peuvent prévoir des mécanismes complémentaires pour garantir une mise en correspondance appropriée des identités dans les situations transfrontières.

2 La Commission détermine, par voie d’actes d’exécution, les exigences applicables au mécanisme interopérable et transfrontière d’identification et d’authentification pour les personnes physiques et les professionnels de la santé, conformément au règlement (UE) no 910/2014. Ce mécanisme facilite la transférabilité des données de santé électroniques à caractère personnel dans un contexte transfrontière. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

3 La Commission, en coopération avec les États membres, met en œuvre, à l’échelon de l’Union, les services requis par le mécanisme interopérable et transfrontière d’identification et d’authentification visé au paragraphe 2 du présent article, dans le cadre de l’infrastructure transfrontière visée à l’article 23.

4 Les autorités compétentes des États membres et la Commission mettent en œuvre le mécanisme interopérable transfrontière d’identification et d’authentification, à l’échelon des États membres et à l’échelon de l’Union, respectivement.

La Commission détermine, par voie d’actes d’exécution, les exigences concernant la mise en œuvre technique des droits énoncés dans la présente section. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

Les prestataires qui reçoivent des données dans le cadre du présent chapitre ne sont pas tenus d’indemniser le prestataire de soins de santé pour la mise à disposition de données de santé électroniques à caractère personnel. Un prestataire de soins de santé ou un tiers ne saurait facturer directement ou indirectement aux personnes concernées des frais ou des coûts ni exiger une indemnisation pour le partage de données ou pour l’accès à des données.

1 Chaque État membre désigne une ou plusieurs autorités de santé numérique responsables de la mise en œuvre et de l’exécution du présent chapitre à l’échelon national. Les États membres communiquent à la Commission l’identité des autorités de santé numérique au plus tard le 26 mars 2027. Lorsqu’un État membre désigne plus d’une autorité de santé numérique ou lorsque l’autorité de santé numérique est composée de plusieurs organisations, l’État membre concerné communique à la Commission une description de la répartition des tâches entre ces différentes autorités ou organisations. Lorsqu’un État membre désigne plusieurs autorités de santé numérique, il désigne l’une d’entre elles pour agir en qualité de coordonnateur. La Commission met ces informations à la disposition du public.

2 Chaque autorité de santé numérique se voit confier les tâches et les pouvoirs suivants: a) assurer la mise en œuvre des droits et obligations prévus au présent chapitre et au chapitre III en adoptant les solutions techniques nationales, régionales ou locales nécessaires et en établissant des règles et des mécanismes pertinents; b) veiller à ce que des informations complètes et actualisées sur la mise en œuvre des droits et obligations prévus au présent chapitre et au chapitre III soient mises à la disposition des personnes physiques, des professionnels de la santé et des prestataires de soins de santé; c) lors de la mise en œuvre des solutions techniques visées au point a) du présent paragraphe, veiller à ce que ces solutions techniques soient conformes au présent chapitre, au chapitre III et à l’annexe II; d) contribuer, à l’échelon de l’Union, au développement de solutions techniques permettant aux personnes physiques et aux professionnels de la santé d’exercer leurs droits et de se conformer à leurs obligations, énoncés dans le présent chapitre; e) faciliter l’exercice par les personnes handicapées de leurs droits prévus au présent chapitre conformément à la directive (UE) 2019/882 du Parlement européen et du Conseil ; f) superviser les points de contact nationaux pour la santé numérique et coopérer avec d’autres autorités de santé numérique et avec la Commission en vue de poursuivre le développement de MaSanté@UE (MyHealth@EU); g) assurer, à l’échelon national, la mise en œuvre du format européen d’échange des dossiers médicaux électroniques, en coopération avec les autorités nationales et les parties prenantes; h) contribuer, à l’échelon de l’Union, au développement du format européen d’échange des dossiers médicaux électroniques, à l’élaboration de spécifications communes, conformément à l’article 36, qui répondent aux préoccupations en matière de qualité, d’interopérabilité, de sécurité, de sûreté, de facilité d’utilisation, d’accessibilité, de non-discrimination ou de droits fondamentaux, et à l’élaboration des spécifications relatives à la base de données de l’Union européenne pour l’enregistrement des systèmes de DME et des applications de bien-être visée à l’article 49; i) le cas échéant, effectuer des activités de surveillance du marché conformément à l’article 43, tout en veillant à éviter tout conflit d’intérêts; j) renforcer les capacités nationales de mise en œuvre des exigences en matière d’interopérabilité et de sécurité des données de santé électroniques à des fins d’utilisation primaire et participer aux échanges d’informations et aux activités de renforcement des capacités à l’échelle de l’Union; k) coopérer avec les autorités de surveillance du marché, participer aux activités liées à la gestion des risques présentés par les systèmes de DME et des incidents graves, et superviser la mise en œuvre de mesures correctives conformément à l’article 44; l) coopérer avec d’autres entités et organismes compétents à l’échelon local, régional, national ou de l’Union afin de garantir l’interopérabilité, la portabilité et la sécurité des données de santé électroniques; m) coopérer avec les autorités de contrôle conformément aux règlements (UE) no 910/2014 et (UE) 2016/679 et à la directive (UE) 2022/2555 du Parlement européen et du Conseil et avec d’autres autorités concernées, y compris celles compétentes en matière de cybersécurité et d’identification électronique.

3 Chaque État membre veille à ce que chaque autorité de santé numérique dispose des ressources humaines, techniques et financières, des locaux et des infrastructures nécessaires à la bonne exécution de ses tâches et à l’exercice efficace de ses pouvoirs.

4 Dans l’exécution de ses tâches, chaque autorité de santé numérique évite tout conflit d’intérêts. Chaque membre du personnel de l’autorité de santé numérique agit dans l’intérêt public et de manière indépendante.

5 Dans l’exécution de leurs tâches, les autorités de santé numérique concernées coopèrent activement et se concertent avec les représentants des parties prenantes concernées, y compris les représentants de patients, les représentants des prestataires de soins de santé et des professionnels de la santé, notamment les associations de professionnels de la santé, ainsi que les organisations de consommateurs et les associations professionnelles.

Les autorités de santé numérique désignées en vertu de l’article 19 publient tous les deux ans un rapport d’activité contenant une vue d’ensemble complète de leurs activités. Si un État membre désigne plus d’une autorité de santé numérique, l’une d’entre elles est responsable de l’élaboration du rapport et, à cette fin, demande les informations nécessaires aux autres autorités de santé numérique. Ce rapport d’activité suit une structure convenue à l’échelon de l’Union, au sein du comité de l’espace européen des données de santé (ci-après dénommé «comité de l’EEDS») visé à l’article 92. Ce rapport d’activité contient au moins des informations concernant: a) les mesures prises pour mettre en œuvre le présent règlement; b) le pourcentage de personnes physiques ayant accès aux différentes catégories de données de leurs dossiers médicaux électroniques; c) le traitement des demandes des personnes physiques relatives à l’exercice de leurs droits en vertu du présent règlement; d) le nombre de prestataires de soins de santé de différents types, y compris les pharmacies, les hôpitaux et les autres lieux où des soins sont dispensés, connectés à MaSanté@UE (MyHealth@EU), calculé: i) en valeur absolue; ii) en un pourcentage de l’ensemble des prestataires de soins de santé du même type; et iii) en un pourcentage des personnes physiques pouvant utiliser les services; e) les volumes de données de santé électroniques de différentes catégories partagées par-delà les frontières au moyen de MaSanté@UE (MyHealth@EU); f) le nombre de cas de non-conformité avec des exigences obligatoires.

1 Sans préjudice de tout autre recours administratif ou judiciaire, les personnes physiques et morales ont le droit d’introduire une réclamation en lien avec les dispositions du présent chapitre, individuellement ou, le cas échéant, collectivement, auprès de l’autorité de santé numérique compétente, pour autant que leurs droits ou intérêts soient lésés.

2 Lorsque la réclamation concerne les droits de personnes physiques découlant des articles 3 et 5 à 10 du présent règlement, l’autorité de santé numérique transmet la réclamation aux autorités de contrôle compétentes au titre du règlement (UE) 2016/679. L’autorité de santé numérique fournit à l’autorité de contrôle compétente au titre du règlement (UE) 2016/679 les informations nécessaires dont elle dispose afin de faciliter l’évaluation et l’enquête portant sur la réclamation.

3 L’autorité de santé numérique compétente auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation, conformément au droit national, des progrès réalisés dans le traitement de la réclamation, de la décision prise au sujet de la réclamation, du renvoi éventuel de la réclamation à l’autorité de contrôle compétente au titre du règlement (UE) 2016/679 et, dans le cas d’un tel renvoi, de ce que l’autorité de contrôle est, à partir de ce moment, le seul point de contact pour l’auteur de la réclamation en la matière.

4 Les autorités de santé numérique des États membres concernés coopèrent pour traiter les réclamations liées à l’échange transfrontière de données de santé électroniques à caractère personnel et à l’accès à ces données et pour y apporter une réponse, y compris en échangeant toutes les informations pertinentes par voie électronique, dans les meilleurs délais.

5 Les autorités de santé numérique facilitent l’introduction de réclamations et fournissent des outils facilement accessibles pour l’introduction de réclamations.

L’autorité de contrôle ou les autorités de contrôle chargées de surveiller l’application du règlement (UE) 2016/679 et de veiller au respect de celui-ci sont également compétentes pour surveiller l’application des articles 3 et 5 à 10 du présent règlement et pour veiller au respect desdits articles. Les dispositions pertinentes du règlement (UE) 2016/679 s’appliquent mutatis mutandis. Les autorités de contrôle disposent du pouvoir d’imposer des amendes administratives à concurrence du montant visé à l’article 83, paragraphe 5, du règlement (UE) 2016/679. Le cas échéant, les autorités de contrôle visées au premier alinéa du présent article et les autorités de santé numérique visées à l’article 19 coopèrent aux fins de l’exécution du présent règlement, dans le cadre de leurs compétences respectives.

1 La Commission met en place une plateforme centrale d’interopérabilité pour la santé numérique (MaSanté@UE (MyHealth@EU)] afin de fournir des services visant à soutenir et à faciliter l’échange de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique des États membres.

2 Chaque État membre désigne un point de contact national pour la santé numérique, en tant que portail organisationnel et technique pour la fourniture de services liés à l’échange transfrontière de données de santé électroniques à caractère personnel dans le contexte d’une utilisation primaire. Chaque point de contact national pour la santé numérique est connecté à tous les autres points de contact nationaux pour la santé numérique des autres États membres et à la plateforme centrale d’interopérabilité pour la santé numérique dans l’infrastructure transfrontière MaSanté@UE (MyHealth@EU). Lorsqu’un point de contact national pour la santé numérique est une entité composée de plusieurs organisations chargées de la mise en œuvre de différents services, l’État membre concerné communique à la Commission une description de la répartition des tâches entre les organisations. Chaque État membre informe la Commission de l’identité de son point de contact national pour la santé numérique au plus tard le 26 mars 2027. Le point de contact national pour la santé numérique peut être désigné au sein de l’autorité de santé numérique visée à l’article 19. Les États membres informent la Commission de toute modification ultérieure de l’identité de ces points de contact nationaux pour la santé numérique. La Commission et les États membres mettent ces informations à la disposition du public.

3 Chaque point de contact national pour la santé numérique permet l’échange des données de santé électroniques à caractère personnel visées à l’article 14, paragraphe 1, avec des points de contact nationaux pour la santé numérique d’autres États membres par l’intermédiaire de MaSanté@UE (MyHealth@EU). Cet échange se fonde sur le format européen d’échange des dossiers médicaux électroniques. Lorsque les États membres prévoient des catégories de données de santé électroniques à caractère personnel supplémentaires au titre de l’article 14, paragraphe 1, troisième alinéa, le point de contact national pour la santé numérique permet l’échange des catégories de données de santé électroniques à caractère personnel supplémentaires visées à l’article 14, paragraphe 1, troisième alinéa, dans la mesure où l’État membre concerné a prévu l’accès à ces catégories de données de santé électroniques à caractère personnel supplémentaires et leur échange conformément à l’article 14, paragraphe 1, troisième alinéa.

4 Au plus tard le 26 mars 2027, la Commission adopte, par voie d’actes d’exécution, les mesures nécessaires au développement technique de MaSanté@UE (MyHealth@EU), des règles détaillées concernant la sécurité, la confidentialité et la protection des données de santé électroniques à caractère personnel et les conditions applicables aux contrôles de conformité nécessaires pour adhérer et rester connecté à MaSanté@UE (MyHealth@EU). Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

5 Les États membres veillent à ce que tous les prestataires de soins de santé soient connectés à leur point de contact national pour la santé numérique. Les États membres veillent à ce que les prestataires de soins de santé connectés soient en mesure de procéder à des échanges bidirectionnels de données de santé électroniques avec le point de contact national pour la santé numérique.

6 Les États membres veillent à ce que les pharmacies exerçant des activités sur leur territoire, y compris les pharmacies en ligne, soient en mesure de délivrer des prescriptions électroniques établies dans d’autres États membres, dans les conditions prévues à l’article 11 de la directive 2011/24/UE. Les pharmacies ont accès aux prescriptions électroniques que leur transmettent d’autres États membres par l’intermédiaire de MaSanté@UE (MyHealth@EU) et les acceptent, pour autant que les conditions prévues à l’article 11 de la directive 2011/24/UE soient remplies. À la suite de la délivrance de médicaments sur la base d’une prescription électronique provenant d’un autre État membre, la pharmacie concernée notifie, par l’intermédiaire de MaSanté@UE (MyHealth@EU), cette délivrance au point de contact pour la santé numérique de l’État membre dans lequel la prescription a été établie.

7 Les points de contact nationaux pour la santé numérique agissent en tant que responsables conjoints du traitement des données de santé électroniques à caractère personnel communiquées par l’intermédiaire de MaSanté@UE (MyHealth@EU) pour les opérations de traitement auxquelles ils participent. La Commission agit en qualité de sous-traitant.

8 La Commission, par voie d’actes d’exécution, établit les règles relatives aux exigences en matière de cybersécurité, d’interopérabilité technique, d’interopérabilité sémantique, d’opérations et de gestion des services en ce qui concerne le traitement par le sous-traitant visé au paragraphe 7 du présent article et ses responsabilités à l’égard des responsables du traitement, conformément au chapitre IV du règlement (UE) 2016/679. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

9 Les points de contact nationaux pour la santé numérique remplissent les conditions pour adhérer et rester connecté à MaSanté@UE (MyHealth@EU) prévues dans les actes d’exécution visés au paragraphe 4. La Commission vérifie le respect de ces conditions par les points de contact nationaux pour la santé numérique au moyen de contrôles de conformité.

1 Les États membres peuvent fournir, par l’intermédiaire de MaSanté@UE (MyHealth@EU), des services supplémentaires facilitant la télémédecine, la santé mobile, l’accès des personnes physiques à des traductions existantes de leurs données de santé, l’échange ou la vérification de certificats liés à la santé, y compris des services de carnets de vaccination soutenant la santé publique, la surveillance de la santé publique ou les systèmes de santé numérique, ou des services et applications interopérables, en vue d’atteindre un niveau élevé de confiance et de sécurité, de renforcer la continuité des soins et de garantir l’accès à des soins de santé sûrs et de qualité. La Commission définit, par voie d’actes d’exécution, les aspects techniques de ces services supplémentaires. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

2 La Commission et les États membres peuvent faciliter l’échange de données de santé électroniques à caractère personnel avec d’autres infrastructures, telles que le système de gestion des données cliniques des patients ou d’autres services ou infrastructures dans les domaines de la santé, des soins ou de la sécurité sociale qui peuvent devenir des participants autorisés à MaSanté@UE (MyHealth@EU). La Commission définit, par voie d’actes d’exécution, les aspects techniques de ces échanges. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2. La connexion d’une autre infrastructure à la plateforme centrale pour la santé numérique, ainsi que sa déconnexion de ladite plateforme, font l’objet d’une décision de la Commission adoptée par la voie d’un acte d’exécution, fondée sur les résultats des contrôles de conformité des aspects techniques des échanges visés au premier alinéa du présent paragraphe. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

3 Un point de contact national pour la santé numérique d’un pays tiers ou un système établi à l’échelon international par une organisation internationale peut devenir un participant autorisé à MaSanté@UE (MyHealth@EU), à condition qu’il satisfasse aux exigences de MaSanté@UE (MyHealth@EU) aux fins de l’échange de données de santé électroniques à caractère personnel visé à l’article 23, que le transfert résultant de la connexion à MaSanté@UE (MyHealth@EU) respecte les règles du chapitre V du règlement (UE) 2016/679, et que les exigences concernant les mesures juridiques, organisationnelles, opérationnelles, sémantiques, techniques et de cybersécurité soient équivalentes à celles applicables aux États membres dans le cadre du fonctionnement des services MaSanté@UE (MyHealth@EU). Ces exigences sont vérifiées par la Commission au moyen de contrôles de conformité. Sur la base des résultats des contrôles de conformité visés au premier alinéa du présent paragraphe, la Commission peut, par voie d’actes d’exécution, décider de connecter le point de contact national pour la santé numérique du pays tiers ou le système établi à l’échelon international par une organisation internationale, selon le cas, à MaSanté@UE (MyHealth@EU), ou de l’en déconnecter. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2. La Commission établit et tient à jour une liste des points de contact nationaux pour la santé numérique des pays tiers ou des systèmes établis à l’échelon international par des organisations internationales qui sont connectés à MaSanté@UE (MyHealth@EU) en vertu du présent paragraphe et met cette liste à la disposition du public.

1 Les systèmes de DME comprennent un composant logiciel d’interopérabilité européen pour les systèmes de DME et un composant logiciel de journalisation européen pour les systèmes de DME (ci-après dénommés «composants logiciels harmonisés des systèmes de DME»), conformément aux dispositions du présent chapitre.

2 Le présent chapitre ne s’applique pas aux logiciels à usage général utilisés dans un environnement de soins de santé.

1 Les systèmes de DME ne sont mis sur le marché ou mis en service que s’ils respectent les dispositions du présent chapitre.

2 Les systèmes de DME fabriqués et utilisés dans les établissements de santé établis dans l’Union, ainsi que les systèmes de DME proposés en tant que service, tel que ce terme est défini à l’article 1er, paragraphe 1, point b), de la directive (UE) 2015/1535 du Parlement européen et du Conseil , à une personne physique ou morale établie dans l’Union, sont considérés comme ayant été mis en service.

3 Les États membres ne peuvent pas interdire ni restreindre la mise sur le marché des systèmes de DME qui respectent le présent règlement, pour des considérations relatives aux aspects concernant les composants logiciels harmonisés des systèmes de DME réglementés par le présent règlement.

1 Les fabricants de dispositifs médicaux ou de dispositifs médicaux de diagnostic in vitro, tels qu’ils sont définis, respectivement, à l’article 2, point 1), du règlement (UE) 2017/745 et à l’article 2, point 2), du règlement (UE) 2017/746, qui allèguent l’interopérabilité de ces dispositifs médicaux ou de ces dispositifs médicaux de diagnostic in vitro avec les composants logiciels harmonisés des systèmes de DME prouvent que lesdits dispositifs sont conformes aux exigences essentielles applicables au composant logiciel d’interopérabilité européen pour les systèmes de DME et au composant logiciel de journalisation européen pour les systèmes de DME fixées à la section 2 de l’annexe II du présent règlement. L’article 36 du présent règlement s’applique à ces dispositifs médicaux et à ces dispositifs médicaux de diagnostic in vitro.

2 Les fournisseurs de systèmes d’IA qui sont considérés comme étant à haut risque conformément à l’article 6 du règlement (UE) 2024/1689 (ci-après dénommés «systèmes d’IA à haut risque») et qui ne relèvent pas du champ d’application du règlement (UE) 2017/745 ou (UE) 2017/746, qui allèguent l’interopérabilité de ces systèmes d’IA à haut risque avec les composants logiciels harmonisés des systèmes de DME prouvent que lesdits systèmes sont conformes aux exigences essentielles applicables au composant logiciel d’interopérabilité européen pour les systèmes de DME et au composant logiciel de journalisation européen pour les systèmes de DME fixées à la section 2 de l’annexe II du présent règlement. L’article 36 du présent règlement s’applique à ces systèmes d’IA à haut risque.

Dans la fiche d’information, la notice d’utilisation ou toute autre information accompagnant les systèmes de DME, ainsi que dans la publicité pour les systèmes de DME, il est interdit d’utiliser du texte, des noms, des marques commerciales, des images ou des signes figuratifs ou d’autres signes susceptibles d’induire en erreur l’utilisateur professionnel, tel qu’il est défini à l’article 3, point 8), du règlement (UE) 2018/1807 du Parlement européen et du Conseil , en ce qui concerne la destination, l’interopérabilité et la sécurité desdits systèmes: a) en attribuant au système de DME des fonctions et des propriétés dont ledit système est dépourvu; b) en n’informant pas l’utilisateur professionnel des limitations probables liées à l’interopérabilité ou aux dispositifs de sécurité du système de DME par rapport à sa destination; c) en suggérant des utilisations du système de DME autres que celles déclarées comme relevant de la destination dans la documentation technique.

Les États membres peuvent maintenir ou définir des règles spécifiques pour l’acquisition, le financement ou le remboursement de systèmes de DME dans le contexte de l’organisation, de la fourniture ou du financement de services de soins de santé, à condition que ces règles soient conformes au droit de l’Union et n’affectent pas le fonctionnement ou la conformité des composants logiciels harmonisés des systèmes de DME.

1 Les fabricants de systèmes de DME: a) veillent à ce que les composants logiciels harmonisés de leurs systèmes de DME et les systèmes de DME eux-mêmes, dans la mesure où le présent chapitre établit des exigences les concernant, soient conformes aux exigences essentielles fixées à l’annexe II et aux spécifications communes visées à l’article 36; b) veillent à ce que les composants logiciels harmonisés de leurs systèmes de DME ne subissent pas d’effets négatifs d’autres composants logiciels du même système de DME; c) établissent la documentation technique de leurs systèmes de DME conformément à l’article 37 avant de mettre ces systèmes de DME sur le marché, et tiennent cette documentation à jour par la suite; d) veillent à ce que leurs systèmes de DME soient accompagnés, gratuitement pour l’utilisateur, de la fiche d’information prévue à l’article 38 et d’une notice d’utilisation claire et complète; e) établissent la déclaration UE de conformité conformément à l’article 39; f) apposent le marquage CE de conformité conformément à l’article 41; g) indiquent le nom, la raison sociale ou la marque déposée, l’adresse postale et le site internet, l’adresse électronique ou d’autres coordonnées numériques grâce auxquels ils peuvent être contactés, dans le système de DME; indiquent dans les coordonnées un point unique auquel le fabricant peut être contacté; les coordonnées sont rédigées dans une langue qui peut être aisément comprise par les utilisateurs et les autorités de surveillance du marché; h) respectent les obligations d’enregistrement prévues à l’article 49; i) prennent sans retard indu toute mesure corrective nécessaire en ce qui concerne leurs systèmes de DME, lorsqu’ils estiment ou ont des raisons de croire que lesdits systèmes ne sont pas ou ne sont plus conformes aux exigences essentielles fixées à l’annexe II, ou rappellent ou retirent ces systèmes; les fabricants de systèmes de DME informent ensuite les autorités nationales des États membres dans lesquels ils ont mis leurs systèmes de DME à disposition sur le marché ou dans lesquels ils les ont mis en service, de la non-conformité, de toute mesure corrective prise, y compris le calendrier de mise en œuvre, et de la date à laquelle les composants logiciels harmonisés de leurs systèmes de DME ont été mis en conformité ou rappelés ou retirés; j) informent les distributeurs de leurs systèmes de DME et, le cas échéant, le mandataire, les importateurs et les utilisateurs de la non-conformité et de toute mesure corrective ou de tout rappel ou retrait de ces systèmes de DME; k) informent les distributeurs de leurs systèmes de DME et, le cas échéant, le mandataire, les importateurs et les utilisateurs de toute maintenance préventive obligatoire des systèmes de DME et de sa fréquence; l) fournissent, à la demande et dans une langue officielle de l’État membre concerné, aux autorités de surveillance du marché de cet État membre, toutes les informations et tous les documents qui sont nécessaires pour démontrer la conformité des systèmes de DME qu’ils ont mis sur le marché ou mis en service aux exigences essentielles fixées à l’annexe II; m) coopèrent avec les autorités de surveillance du marché, à leur demande, en vue de prendre toute mesure permettant de mettre les systèmes de DME qu’ils ont mis sur le marché ou mis en service en conformité avec les exigences essentielles fixées à l’annexe II et avec les exigences éventuelles adoptées en vertu de l’article 42 dans une langue officielle de l’État membre concerné; n) mettent en place des canaux de réclamation et en tiennent les distributeurs informés; o) tiennent un registre des réclamations et un registre des systèmes de DME non conformes, et en tiennent les distributeurs informés.

2 Les fabricants de systèmes de DME veillent à ce que des procédures soient en place pour garantir que la conception, le développement et le déploiement des composants logiciels harmonisés d’un système de DME continuent d’être conformes aux exigences essentielles fixées à l’annexe II et aux spécifications communes visées à l’article 36. Les modifications de la conception ou des caractéristiques d’un système de DME en ce qui concerne les composants logiciels harmonisés d’un système de DME sont dûment prises en compte et reflétées dans la documentation technique.

3 Les fabricants de systèmes de DME conservent la documentation technique visée à l’article 37 et la déclaration UE de conformité visée à l’article 39 pendant une période de dix ans après la mise sur le marché du système de DME couvert par la déclaration UE de conformité. Les fabricants de systèmes de DME mettent à la disposition des autorités concernées, le code source ou la logique de programmation figurant dans la documentation technique, sur requête motivée, si ce code source ou cette logique de programmation est nécessaire pour permettre à ces autorités de vérifier la conformité aux exigences essentielles fixées à l’annexe II.

4 Les fabricants de systèmes de DME établis en dehors de l’Union veillent à ce que leur mandataire dispose facilement des documents nécessaires afin d’exécuter les tâches visées à l’article 31, paragraphe 2.

5 Sur requête motivée d’une autorité de surveillance du marché, les fabricants de systèmes de DME communiquent à cette autorité de surveillance du marché, sur support papier ou sous format électronique, toutes les informations et tous les documents nécessaires pour démontrer la conformité du système de DME aux exigences essentielles fixées à l’annexe II ainsi qu’aux spécifications communes visées à l’article 36, dans une langue qui peut être aisément comprise par cette autorité de surveillance du marché. Les fabricants de systèmes de DME coopèrent avec l’autorité de surveillance du marché, à sa demande, concernant toute mesure prise pour éliminer les risques présentés par un système de DME qu’ils ont mis sur le marché ou mis en service.

1 Avant de mettre un système de DME à disposition sur le marché de l’Union, un fabricant d’un système de DME établi en dehors de l’Union désigne, par mandat écrit, un mandataire qui est établi dans l’Union.

2 Le mandataire exécute les tâches spécifiées dans le mandat convenu avec le fabricant. Le mandat autorise le mandataire à faire au minimum ce qui suit: a) tenir la déclaration UE de conformité et la documentation technique visée à l’article 37 à la disposition des autorités de surveillance du marché pendant la durée prévue à l’article 30, paragraphe 3; b) à la suite d’une demande motivée d’une autorité de surveillance du marché, communiquer aux autorités de l’État membre concerné une copie du mandat et toutes les informations et tous les documents nécessaires pour démontrer la conformité d’un système de DME aux exigences essentielles fixées à l’annexe II ainsi qu’aux spécifications communes visées à l’article 36; c) informer sans retard indu le fabricant si le mandataire a des raisons de croire qu’un système de DME n’est plus conforme aux exigences essentielles fixées à l’annexe II; d) informer sans retard indu le fabricant de toute réclamation reçue de consommateurs ou d’utilisateurs professionnels; e) coopérer avec les autorités de surveillance du marché, à leur demande, en vue de prendre toute mesure corrective en rapport avec les systèmes de DME couverts par son mandat; f) mettre fin au mandat si le fabricant ne respecte pas les obligations qui lui incombent au titre du présent règlement; g) s’assurer que la documentation technique visée à l’article 37 peut être mise à la disposition des autorités concernées, sur demande.

3 En cas de changement de mandataire, les modalités précises de ce changement portent au moins sur ce qui suit: a) la date de fin du mandat du mandataire sortant et la date de début du mandat du nouveau mandataire; b) les modalités de transfert des documents, y compris les questions de confidentialité et de droits de propriété.

4 Lorsque le fabricant est établi en dehors de l’Union et n’a pas respecté les obligations fixées à l’article 30, le mandataire est conjointement et solidairement responsable de la non-conformité au présent règlement au même titre que le fabricant.

1 Les importateurs ne mettent sur le marché de l’Union que des systèmes de DME conformes aux exigences essentielles fixées à l’annexe II ainsi qu’aux spécifications communes visées à l’article 36.

2 Avant de mettre un système de DME à disposition sur le marché, les importateurs veillent à ce que: a) le fabricant ait établi la documentation technique visée à l’article 37 et la déclaration UE de conformité; b) le fabricant soit identifié et un mandataire ait été désigné conformément à l’article 31; c) le système de DME porte le marquage CE de conformité visé à l’article 41 après que la procédure d’évaluation de la conformité a été achevée; d) le système de DME soit accompagné de la fiche d’information visée à l’article 38 et d’une notice d’utilisation claire et complète, y compris pour son entretien, dans des formats accessibles.

3 Les importateurs indiquent, dans un document accompagnant le système de DME, leur nom, leur raison sociale ou leur marque déposée, l’adresse postale, le site internet, l’adresse électronique ou d’autres coordonnées numériques grâce auxquels ils peuvent être contactés. Les coordonnées indiquent un point unique auquel le fabricant peut être contacté et sont rédigées dans une langue qui peut être aisément comprise par les utilisateurs et les autorités de surveillance du marché. Les importateurs veillent à ce qu’aucune étiquette supplémentaire ne cache ou ne rende moins visibles les informations fournies par le fabricant qui apparaissent sur l’étiquette originale qui est fournie pour le système de DME.

4 Les importateurs veillent à ce que le système de DME, tant qu’il est sous leur responsabilité, ne soit pas modifié de telle sorte que sa conformité aux exigences essentielles fixées à l’annexe II et aux exigences éventuelles adoptées en vertu de l’article 42 soit compromise.

5 Lorsqu’un importateur considère ou a des raisons de croire qu’un système de DME n’est pas ou n’est plus conforme aux exigences essentielles fixées à l’annexe II et aux exigences éventuelles adoptées en vertu de l’article 42, il ne met pas le système de DME à disposition sur le marché, ou, si ce système de DME était déjà mis sur le marché, procède au rappel ou au retrait du système de DME jusqu’à sa mise en conformité. Dans le cas d’un rappel ou d’un retrait, l’importateur informe sans retard indu le fabricant de ce système de DME, les utilisateurs et les autorités de surveillance du marché de l’État membre dans lequel il a mis le système de DME à disposition sur le marché de ce rappel ou de ce retrait, en apportant notamment des précisions sur la non-conformité et sur toute mesure corrective prise. Lorsqu’un importateur estime ou a des raisons de croire qu’un système de DME présente un risque pour la santé ou la sécurité des personnes physiques, il en informe sans retard indu les autorités de surveillance du marché de l’État membre dans lequel il est établi ainsi que le fabricant et, le cas échéant, le mandataire.

6 Les importateurs tiennent une copie de la déclaration UE de conformité à la disposition des autorités de surveillance du marché pendant la durée prévue à l’article 30, paragraphe 3, et veillent à ce que la documentation technique visée à l’article 37 puisse être mise à la disposition de ces autorités sur demande.

7 À la suite d’une demande motivée des autorités de surveillance du marché des États membres concernés, les importateurs communiquent à ces autorités toutes les informations et tous les documents nécessaires pour démontrer la conformité d’un système de DME. Les importateurs coopèrent avec ces autorités, à leur demande, et avec le fabricant et, le cas échéant, avec le mandataire dans une langue officielle de l’État membre dans lequel l’autorité de surveillance du marché est située. Les importateurs coopèrent avec ces autorités, à leur demande, en vue de prendre toute mesure permettant de mettre leurs systèmes de DME en conformité avec les exigences essentielles applicables aux composants logiciels harmonisés fixées à l’annexe II ou d’assurer le rappel ou le retrait des systèmes de DME qui ne sont pas conformes à ces exigences essentielles.

8 Les importateurs mettent en place des canaux de communication et veillent à ce que ces canaux soient accessibles pour permettre aux utilisateurs d’introduire des réclamations, et tiennent un registre des réclamations, des systèmes de DME non conformes et des rappels et retraits de systèmes de DME. Les importateurs vérifient que les canaux de réclamation mis en place en vertu de l’article 30, paragraphe 1, point n), sont à la disposition du public pour permettre aux utilisateurs d’introduire des réclamations et de recevoir toute communication concernant tout risque lié à leur santé ou à leur sécurité, ou concernant d’autres questions relatives à la protection de l’intérêt public, et permettre aux utilisateurs d’être informés de tout incident grave impliquant un système de DME. Lorsque de tels canaux de réclamation n’ont pas été mis en place, les importateurs les mettent en place et tiennent compte des besoins en matière d’accessibilité des groupes vulnérables et des personnes handicapées.

9 Les importateurs examinent les réclamations et assurent un suivi des informations qu’ils reçoivent concernant des incidents impliquant un système de DME qu’ils ont mis à disposition sur le marché. Les importateurs enregistrent ces réclamations, ainsi que tout rappel ou retrait de systèmes de DME et toute mesure corrective prise en vue de la mise en conformité du système de DME, dans le registre visé à l’article 30, paragraphe 1, point o), ou dans leur propre registre interne. Les importateurs tiennent le fabricant, les distributeurs et, le cas échéant, les mandataires informés en temps utile de l’examen et du suivi réalisés et de leur issue.

1 Avant de mettre un système de DME à disposition sur le marché, les distributeurs vérifient que: a) le fabricant a rédigé la déclaration UE de conformité; b) le système de DME porte le marquage CE de conformité; c) le système de DME est accompagné de la fiche d’information visée à l’article 38 et d’une notice d’utilisation claire et complète dans des formats accessibles; d) le cas échéant, l’importateur s’est conformé aux exigences énoncées à l’article 32, paragraphe 3.

2 Les distributeurs veillent à ce qu’un système de DME, tant qu’il est sous leur responsabilité, ne soit pas modifié de telle sorte que sa conformité aux exigences essentielles fixées à l’annexe II et aux exigences éventuelles adoptées en vertu de l’article 42 soit compromise.

3 Lorsqu’un distributeur estime ou a des raisons de croire qu’un système de DME n’est pas conforme aux exigences essentielles fixées à l’annexe II et aux exigences éventuelles adoptées en vertu de l’article 42, il ne met pas ledit système de DME à disposition sur le marché jusqu’à la mise en conformité dudit système. À cet effet, le distributeur informe sans retard indu le fabricant ou l’importateur ainsi que les autorités de surveillance du marché des États membres dans lesquels le système de DME a été mis à disposition sur le marché ou doit l’être. Lorsqu’un distributeur estime ou a des raisons de croire qu’un système de DME présente un risque pour la santé ou la sécurité des personnes physiques, il en informe les autorités de surveillance du marché de l’État membre dans lequel il est établi, ainsi que le fabricant et l’importateur.

4 Sur demande motivée d’une autorité de surveillance du marché, les distributeurs communiquent à cette autorité toutes les informations et tous les documents nécessaires pour démontrer la conformité d’un système de DME. Ils coopèrent avec cette autorité, à sa demande, et avec le fabricant, l’importateur et, le cas échéant, le mandataire du fabricant, en vue de prendre toute mesure permettant de mettre le système de DME en conformité avec les exigences essentielles fixées à l’annexe II et avec les exigences éventuelles adoptées en vertu de l’article 42 ou de le rappeler ou de le retirer.

Un importateur, distributeur ou utilisateur est considéré comme un fabricant aux fins du présent règlement et est soumis aux obligations fixées à l’article 30 dans les cas suivants: a) lorsqu’il met un système de DME à disposition sur le marché sous son propre nom ou sa propre marque commerciale; b) lorsqu’il modifie un système de DME déjà mis sur le marché de telle sorte que la conformité aux exigences applicables pourrait être compromise; ou c) lorsqu’il modifie un système de DME de telle sorte que cela entraîne des modifications de la destination déclarée par le fabricant.

Sur demande, les opérateurs économiques communiquent aux autorités de surveillance du marché, pendant une période de dix ans à compter de la date de mise sur le marché du dernier système de DME couvert par la déclaration UE de conformité, l’identité de: a) tout opérateur économique qui leur a fourni un système de DME; et b) tout opérateur économique auquel ils ont fourni un système de DME.

1 Au plus tard le 26 mars 2027, la Commission adopte, par voie d’actes d’exécution, des spécifications communes en ce qui concerne les exigences essentielles fixées à l’annexe II, y compris un modèle commun et un délai pour la mise en œuvre de ces spécifications communes. Le cas échéant, ces spécifications communes tiennent compte des spécificités des dispositifs médicaux et des systèmes d’IA à haut risque visés à l’article 27, paragraphes 1 et 2, respectivement, y compris des normes les plus récentes applicables à l’informatique de la santé et du format européen d’échange des dossiers médicaux électroniques. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

2 Les spécifications communes visées au paragraphe 1 comprennent les informations et les éléments suivants: a) leur champ d’application; b) leur applicabilité aux différentes catégories de systèmes de DME ou aux fonctions qui y sont incluses; c) leur version; d) la période de validité; e) une partie normative; f) une partie explicative, comprenant les éventuelles lignes directrices pertinentes pour la mise en œuvre.

3 Les spécifications communes visées au paragraphe 1 peuvent englober des éléments ayant trait à ce qui suit: a) aux ensembles de données contenant des données de santé électroniques et définissant des structures, telles que des champs de données et des groupes de données pour la représentation de contenu clinique et d’autres parties des données de santé électroniques; b) aux systèmes de codage et aux valeurs à utiliser dans les ensembles de données contenant des données de santé électroniques, en tenant dûment compte à la fois de l’harmonisation future éventuelle des terminologies et de leur compatibilité avec les terminologies en vigueur au niveau national; c) à d’autres exigences liées à la qualité des données, telles que l’exhaustivité et l’exactitude des données de santé électroniques; d) aux spécifications techniques, normes et profils pour l’échange de données de santé électroniques; e) aux exigences et principes concernant la sécurité des patients ainsi que la sécurité, la confidentialité, l’intégrité et la protection des données de santé électroniques; f) aux spécifications et exigences relatives à la gestion de l’identification et à l’utilisation de l’identification électronique.

4 Les systèmes de DME, les dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro et les systèmes d’IA à haut risque visés aux articles 25 et 27 qui sont conformes aux spécifications communes visées au paragraphe 1 du présent article sont considérés comme étant conformes aux exigences essentielles couvertes par ces spécifications communes ou par des parties de celles-ci, fixées à l’annexe II, et couverts par ces spécifications communes ou par les parties pertinentes de celles-ci.

5 Lorsque des spécifications communes couvrant les exigences d’interopérabilité et de sécurité des systèmes de DME ont une incidence sur des dispositifs médicaux, sur des dispositifs médicaux de diagnostic in vitro ou sur des systèmes d’IA à haut risque relevant d’autres actes juridiques, tels que le règlement (UE) 2017/745, (UE) 2017/746 ou (UE) 2024/1689, l’adoption de ces spécifications communes peut être précédée d’une consultation du groupe de coordination en matière de dispositifs médicaux (GCDM) institué par l’article 103 du règlement (UE) 2017/745 ou du Comité européen de l’intelligence artificielle créé par l’article 65 du règlement (UE) 2024/1689, et du comité européen de la protection des données, selon le cas.

6 Lorsque des spécifications communes couvrant les exigences d’interopérabilité et de sécurité des dispositifs médicaux, des dispositifs médicaux de diagnostic in vitro ou des systèmes d’IA à haut risque relevant d’autres actes juridiques, tels que le règlement (UE) 2017/745, (UE) 2017/746 ou (UE) 2024/1689, ont une incidence sur les systèmes de DME, la Commission veille à ce que l’adoption de ces spécifications communes soit précédée d’une consultation du comité de l’EEDS et du comité européen de la protection des données, selon le cas.

1 Les fabricants établissent une documentation technique avant la mise sur le marché ou la mise en service du système de DME et tiennent cette documentation à jour.

2 La documentation technique visée au paragraphe 1 du présent article démontre que le système de DME est conforme aux exigences essentielles fixées à l’annexe II et fournit aux autorités de surveillance du marché toutes les informations nécessaires pour évaluer la conformité du système de DME à ces exigences. Cette documentation technique contient, au minimum, les éléments énoncés à l’annexe III et une référence aux résultats obtenus dans un environnement d’essai numérique européen visé à l’article 40.

3 La documentation technique visée au paragraphe 1 est établie dans une langue officielle de l’État membre concerné ou dans une langue qui peut être aisément comprise dans ledit État membre. À la suite d’une demande motivée d’une autorité de surveillance du marché d’un État membre, le fabricant fournit une traduction des parties pertinentes de la documentation technique dans une langue officielle de cet État membre.

4 Lorsqu’une autorité de surveillance du marché demande à un fabricant la documentation technique ou une traduction de certaines parties de cette documentation, le fabricant fournit cette documentation technique ou cette traduction dans un délai de 30 jours à compter de la date de la demande, à moins qu’un délai plus court ne soit justifié en raison d’un risque sérieux et immédiat. Si le fabricant ne se conforme pas aux exigences des paragraphes 1, 2 et 3 du présent article, l’autorité de surveillance du marché peut exiger qu’un essai soit effectué par un organisme indépendant à ses frais dans un délai déterminé afin de vérifier la conformité aux exigences essentielles fixées à l’annexe II ainsi qu’aux spécifications communes visées à l’article 36.

1 Les systèmes de DME sont accompagnés d’une fiche d’information, contenant des informations concises, complètes, exactes et claires, qui sont pertinentes, accessibles et compréhensibles pour les utilisateurs professionnels.

2 La fiche d’information visée au paragraphe 1 indique: a) l’identité, la raison sociale ou la marque déposée et les coordonnées du fabricant ainsi que, le cas échéant, de son mandataire; b) le nom et la version du système de DME et la date de sa mise en service; c) la destination du système de DME; d) les catégories de données de santé électroniques pour le traitement desquelles le système de DME a été conçu; e) les normes, formats et spécifications soutenus par le système de DME, ainsi que les versions de ces normes, formats et spécifications.

3 Au lieu de fournir la fiche d’information visée au paragraphe 1 du présent article avec le système de DME, les fabricants peuvent introduire les informations visées au paragraphe 2 du présent article dans la base de données de l’Union européenne pour l’enregistrement des systèmes de DME et des applications de bien-être visée à l’article 49.

1 La déclaration UE de conformité visée à l’article 30, paragraphe 1, point e), atteste que le fabricant d’un système de DME a démontré que les exigences essentielles fixées à l’annexe II ont été remplies.

2 Lorsqu’un système de DME fait l’objet d’autres actes juridiques de l’Union en ce qui concerne des aspects qui ne sont pas couverts par le présent règlement, qui imposent aussi une déclaration UE de conformité du fabricant attestant qu’il a été démontré que les exigences prévues dans ces actes juridiques ont été remplies, une seule déclaration UE de conformité est établie pour tous les actes juridiques de l’Union applicables au système de DME. La déclaration UE de conformité contient toutes les informations nécessaires à l’identification des actes juridiques de l’Union auxquels la déclaration se rapporte.

3 La déclaration UE de conformité contient les informations qui figurent à l’annexe IV et est traduite dans une ou plusieurs des langues officielles de l’Union déterminées par les États membres dans lesquels le système de DME est mis à disposition.

4 Lorsqu’une déclaration UE de conformité est établie dans un format numérique, elle est rendue accessible en ligne pendant la durée de vie prévue du système de DME et, en tout état de cause, pendant au moins dix ans à compter de la mise sur le marché ou de la mise en service du système de DME.

5 En établissant la déclaration UE de conformité, le fabricant assume la responsabilité de la conformité des composants logiciels harmonisés du système de DME aux exigences fixées dans le présent règlement lorsque le système de DME est mis sur le marché ou mis en service.

6 La Commission publie un modèle uniforme standard de déclaration UE de conformité, qu’elle met à disposition dans un format numérique dans toutes les langues officielles de l’Union.

1 La Commission élabore un environnement d’essai numérique européen pour l’évaluation des composants logiciels harmonisés des systèmes de DME. La Commission met à disposition le logiciel permettant l’exploitation de l’environnement d’essai numérique européen sous la forme d’un code source ouvert.

2 Les États membres gèrent des environnements d’essai numériques pour l’évaluation des composants logiciels harmonisés des systèmes de DME. Ces environnements d’essai numériques sont conformes aux spécifications communes applicables à l’environnement d’essai numérique européen établies en vertu du paragraphe 4. Les États membres informent la Commission des environnements d’essai numériques dont ils disposent.

3 Avant la mise sur le marché de systèmes de DME, les fabricants utilisent les environnements d’essai numériques visés aux paragraphes 1 et 2 du présent article pour évaluer les composants logiciels harmonisés des systèmes de DME. Les résultats de cette évaluation sont intégrés à la documentation visée à l’article 37. Les éléments pour lesquels les résultats de l’évaluation sont positifs sont présumés être conformes au présent règlement.

4 La Commission établit, par voie d’actes d’exécution, les spécifications communes applicables à l’environnement d’essai numérique européen. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Le marquage CE de conformité est apposé de manière visible, lisible et indélébile sur les documents d’accompagnement du système de DME et, le cas échéant, sur l’emballage du système de DME.

2 Le marquage CE de conformité est apposé avant la mise sur le marché du système de DME.

3 Le marquage CE de conformité est soumis aux principes généraux énoncés à l’article 30 du règlement (CE) no 765/2008.

1 Les États membres peuvent adopter des exigences nationales applicables aux systèmes de DME et des dispositions relatives à leur évaluation de la conformité en ce qui concerne des aspects autres que les composants logiciels harmonisés des systèmes de DME.

2 Les exigences ou dispositions nationales visées au paragraphe 1 ne peuvent avoir d’effets négatifs sur les composants logiciels harmonisés des systèmes de DME.

3 Lorsque les États membres adoptent des exigences ou des dispositions conformément au paragraphe 1, ils en informent la Commission.

1 Le règlement (UE) 2019/1020 s’applique aux systèmes de DME en ce qui concerne les exigences applicables aux systèmes de DME couverts par le présent chapitre et les risques présentés par ces systèmes.

2 Les États membres désignent l’autorité de surveillance du marché ou les autorités de surveillance du marché chargées de la mise en œuvre du présent chapitre. Ils dotent leurs autorités de surveillance du marché des pouvoirs nécessaires ainsi que des ressources humaines, financières et techniques, de l’équipement et des connaissances nécessaires pour accomplir correctement les tâches qui leur incombent en vertu du présent règlement. Les autorités de surveillance du marché sont habilitées à prendre les mesures de surveillance du marché visées à l’article 16 du règlement (UE) 2019/1020 pour faire respecter les obligations fixées au présent chapitre. Les États membres communiquent l’identité des autorités de surveillance du marché qu’ils désignent à la Commission. La Commission et les États membres mettent ces informations à la disposition du public.

3 Les autorités de surveillance du marché désignées en application du paragraphe 2 du présent article peuvent être les mêmes autorités que les autorités de santé numérique désignées en application de l’article 19. Lorsqu’une autorité de santé numérique exécute des tâches d’une autorité de surveillance du marché, les États membres veillent à éviter tout conflit d’intérêts.

4 Les autorités de surveillance du marché communiquent une fois par an à la Commission les résultats des activités de surveillance du marché pertinentes.

5 Lorsqu’un fabricant ou un autre opérateur économique ne coopère pas avec une autorité de surveillance du marché ou lorsque les informations et la documentation qu’il a fournies sont incomplètes ou incorrectes, l’autorité de surveillance du marché peut prendre toutes les mesures appropriées pour interdire ou limiter la mise à disposition sur le marché du système de DME concerné jusqu’à ce que le fabricant ou l’opérateur économique concerné coopère ou fournisse des informations complètes et correctes, ou jusqu’à ce qu’il procède au rappel ou au retrait dudit système de DME du marché.

6 Les autorités de surveillance du marché des États membres coopèrent entre elles ainsi qu’avec la Commission. La Commission facilite l’organisation des échanges d’informations nécessaires à cette coopération.

7 Pour les dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro ou les systèmes d’IA à haut risque visés à l’article 27, paragraphes 1 et 2, les autorités responsables de la surveillance du marché sont celles visées à l’article 93 du règlement (UE) 2017/745, à l’article 88 du règlement (UE) 2017/746 ou à l’article 70 du règlement (UE) 2024/1689, selon le cas.

1 Lorsqu’une autorité de surveillance du marché d’un État membre a des raisons de croire qu’un système de DME présente un risque pour la santé, la sécurité ou les droits des personnes physiques ou pour la protection des données à caractère personnel, elle procède à une évaluation du système de DME concerné couvrant toutes les exigences pertinentes prévues par le présent règlement. Le fabricant, le mandataire du fabricant et tous les autres opérateurs économiques concernés coopèrent à cette fin avec l’autorité de surveillance du marché, en tant que de besoin, et prennent toutes les mesures appropriées pour faire en sorte que le système de DME concerné ne présente plus ce risque lors de sa mise sur le marché, ou pour procéder au rappel ou au retrait du système de DME du marché dans un délai raisonnable.

2 Lorsque les autorités de surveillance du marché d’un État membre considèrent que la non-conformité du système de DME n’est pas limitée à leur territoire national, elles informent la Commission et les autorités de surveillance du marché des autres États membres des résultats de l’évaluation visée au paragraphe 1 du présent article et des mesures correctives qu’elles ont enjoint à l’opérateur économique de prendre en vertu de l’article 16, paragraphe 2, du règlement (UE) 2019/1020.

3 Lorsqu’une autorité de surveillance du marché constate qu’un système de DME a porté préjudice à la santé ou à la sécurité de personnes physiques, ou à certains aspects de la protection de l’intérêt public, le fabricant fournit immédiatement des informations et une documentation, selon le cas, à la personne physique ou à l’utilisateur affectés, et, le cas échéant, aux autres tiers affectés par ledit préjudice, sans préjudice des règles en matière de protection des données.

4 L’opérateur économique concerné visé au paragraphe 1 s’assure que des mesures correctives sont prises à l’égard de tous les systèmes de DME concernés qu’il a mis sur le marché dans toute l’Union.

5 L’autorité de surveillance du marché informe sans retard indu la Commission et les autorités de surveillance du marché, ou, le cas échéant, les autorités de contrôle au titre du règlement (UE) 2016/679, d’autres États membres des mesures correctives visées au paragraphe 2. Cette information comprend toutes les précisions disponibles, notamment les données nécessaires à l’identification du système de DME concerné, l’origine et la chaîne d’approvisionnement du système de DME, la nature du risque encouru, ainsi que la nature et la durée des mesures nationales prises.

6 Lorsqu’une constatation faite par une autorité de surveillance du marché ou un incident grave porté à la connaissance de cette autorité concerne la protection de données à caractère personnel, ladite autorité de surveillance du marché en informe sans retard indu les autorités de contrôle compétentes au titre du règlement (UE) 2016/679 et coopère avec elles.

7 Les fabricants de systèmes de DME mis sur le marché ou mis en service signalent tout incident grave impliquant un système de DME aux autorités de surveillance du marché des États membres dans lesquels l’incident grave s’est produit et des États membres dans lesquels ces systèmes de DME sont mis sur le marché ou mis en service. Ce signalement contient également une description des mesures correctives prises ou envisagées par le fabricant. Les États membres peuvent prévoir que les utilisateurs de systèmes de DME mis sur le marché ou mis en service peuvent signaler ces incidents. Le signalement requis en vertu du premier alinéa du présent paragraphe est effectué, sans préjudice des exigences en matière de notification des incidents établies dans la directive (UE) 2022/2555, immédiatement après que le fabricant a établi un lien de causalité, ou la probabilité raisonnable qu’un tel lien existe, entre le système de DME et l’incident grave et, en tout état de cause, au plus tard trois jours après que le fabricant a eu connaissance de l’incident grave impliquant le système de DME.

8 Les autorités de surveillance du marché visées au paragraphe 7 informent, sans retard, les autres autorités de surveillance du marché de l’incident grave et des mesures correctives prises ou envisagées par le fabricant, ou exigées de celui-ci, pour réduire au minimum le risque de répétition de l’incident grave.

9 Lorsque les tâches de l’autorité de surveillance du marché ne sont pas exécutées par l’autorité de santé numérique, l’autorité de surveillance du marché coopère avec l’autorité de santé numérique. L’autorité de surveillance du marché informe l’autorité de santé numérique de tout incident grave, des systèmes de DME présentant un risque, y compris des risques en matière d’interopérabilité, de sécurité des patients et de sûreté, de toute mesure corrective et de tout rappel ou de tout retrait de tels systèmes de DME.

10 Pour les incidents mettant en péril la sécurité des patients ou la sécurité de l’information, les autorités de surveillance du marché peuvent prendre des mesures immédiates et exiger du fabricant du système de DME concerné, de son mandataire et d’autres opérateurs économiques, le cas échéant, qu’ils prennent des mesures correctives immédiates.

1 Lorsqu’une autorité de surveillance du marché constate un cas de non-conformité, elle requiert du fabricant du système de DME concerné, de son mandataire et de tous les autres opérateurs économiques concernés qu’ils prennent, dans un délai déterminé, les mesures correctives appropriées en vue de la mise en conformité du système de DME. Ces constats de non-conformité incluent les cas suivants, sans s’y limiter: a) le système de DME n’est pas conforme aux exigences essentielles fixées à l’annexe II ou aux spécifications communes visées à l’article 36; b) la documentation technique n’est pas disponible, est incomplète ou n’est pas conforme à l’article 37; c) la déclaration UE de conformité n’a pas été établie ou n’a pas été établie correctement conformément à l’article 39; d) le marquage CE de conformité a été apposé en violation de l’article 41 ou n’a pas été apposé; e) les obligations d’enregistrement prévues à l’article 49 n’ont pas été remplies.

2 Lorsque le fabricant du système de DME concerné, son mandataire ou tout autre opérateur économique concerné ne prend pas de mesures correctives appropriées dans un délai raisonnable, les autorités de surveillance du marché prennent toutes les mesures provisoires appropriées pour interdire ou limiter la mise à disposition du système de DME sur le marché de leurs États membres ou pour procéder au rappel ou au retrait du système de DME de ce marché. Les autorités de surveillance du marché informent, sans retard, la Commission et les autorités de surveillance du marché des autres États membres de ces mesures provisoires. Ces informations contiennent toutes les précisions disponibles, notamment les données nécessaires pour identifier le système de DME non conforme, son origine, la nature de la non-conformité alléguée et le risque encouru, ainsi que la nature et la durée des mesures prises par les autorités de surveillance du marché et les arguments avancés par l’opérateur économique concerné. En particulier, les autorités de surveillance du marché indiquent si la non-conformité découle de l’une des causes suivantes: a) le non-respect par le système de DME des exigences essentielles fixées à l’annexe II; b) des lacunes en ce qui concerne les spécifications communes visées à l’article 36.

3 Les autorités de surveillance du marché autres que celles qui ont entamé la procédure en vertu du présent article informent, sans retard, la Commission et les autorités de surveillance du marché des autres États membres de toute mesure adoptée, de toute information supplémentaire dont elles disposent à propos de la non-conformité du système de DME concerné et, dans l’éventualité où elles s’opposeraient à la mesure nationale adoptée, de leurs objections.

4 Lorsque, dans les trois mois à compter de la réception des informations visées au paragraphe 2, deuxième alinéa, aucune objection n’a été soulevée soit par une autorité de surveillance du marché d’un autre État membre soit par la Commission à l’encontre d’une mesure provisoire prise par une autorité de surveillance du marché, cette mesure est réputée justifiée.

5 Lorsque la non-conformité visée au paragraphe 1 persiste, l’autorité de surveillance du marché concernée prend toutes les mesures appropriées pour interdire ou limiter la mise à disposition du système de DME sur le marché ou pour procéder au rappel ou au retrait du système de DME du marché.

1 Lorsque, dans le cadre de l’article 44, paragraphe 2, et de l’article 45, paragraphe 3, des objections sont soulevées à l’égard d’une mesure nationale prise par une autorité de surveillance du marché, ou lorsque la Commission considère qu’une mesure nationale est contraire au droit de l’Union, la Commission entreprend sans tarder des consultations avec cette autorité de surveillance du marché et les opérateurs économiques concernés et procède à l’évaluation de la mesure nationale concernée. Sur la base des résultats de cette évaluation, la Commission adopte une décision d’exécution déterminant si la mesure nationale est justifiée. Cette décision d’exécution est adoptée en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2. La Commission adresse sa décision d’exécution à tous les États membres et la communique immédiatement à ceux-ci ainsi qu’aux opérateurs économiques concernés.

2 Si la Commission considère que la mesure nationale visée au paragraphe 1 est justifiée, tous les États membres concernés prennent les mesures nécessaires pour procéder au retrait du système de DME non conforme de leur marché, et en informent la Commission. Si la Commission considère que la mesure nationale visée au paragraphe 1 n’est pas justifiée, l’État membre concerné révoque cette mesure.

1 Lorsque le fabricant d’une application de bien-être allègue l’interopérabilité de cette application avec un système de DME en ce qui concerne les composants logiciels harmonisés des systèmes de DME et, par conséquent, sa conformité aux spécifications communes visées à l’article 36 et aux exigences essentielles fixées à l’annexe II, l’application de bien-être est accompagnée d’un label indiquant clairement sa conformité auxdites spécifications et exigences. Ce label est délivré par le fabricant de l’application de bien-être.

2 Les informations suivantes doivent figurer sur le label visé au paragraphe 1: a) les catégories de données de santé électroniques pour lesquelles la conformité aux exigences essentielles fixées à l’annexe II a été confirmée; b) une référence aux spécifications communes pour démontrer la conformité; c) la durée de validité du label.

3 La Commission détermine, par voie d’actes d’exécution, le format et le contenu du label visé au paragraphe 1. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

4 Le label est rédigé dans une ou plusieurs langues officielles de l’Union ou dans une langue qui peut être aisément comprise, déterminée par l’État membre dans lequel l’application de bien-être est mise sur le marché ou mise en service.

5 La durée de validité du label ne dépasse pas trois ans.

6 Si l’application de bien-être fait partie intégrante d’un dispositif ou est intégrée dans un dispositif après sa mise en service, le label qui l’accompagne figure dans l’application elle-même ou il est apposé sur ce dispositif. Lorsque l’application de bien-être consiste seulement en un logiciel, le label a un format numérique et figure dans l’application elle-même. Le label peut également être apposé sous la forme d’un code-barre à deux dimensions (2D).

7 Les autorités de surveillance du marché vérifient la conformité des applications de bien-être aux exigences essentielles fixées à l’annexe II.

8 Chaque fournisseur d’une application de bien-être pour laquelle un label a été délivré veille à ce que l’application de bien-être qui est mise sur le marché ou mise en service soit accompagnée du label pour chaque unité individuelle, gratuitement.

9 Chaque distributeur d’une application de bien-être pour laquelle un label a été délivré met le label à la disposition des clients au point de vente sous format électronique.

1 Les fabricants d’applications de bien-être peuvent alléguer l’interopérabilité de ces applications avec un système de DME à condition de satisfaire aux spécifications communes et aux exigences essentielles visées, respectivement, à l’article 36 et à l’annexe II. Dans le cas d’une telle allégation, ces fabricants informent dûment les utilisateurs de l’interopérabilité de ces applications de bien-être et des effets d’une telle interopérabilité.

2 L’interopérabilité des applications de bien-être avec les systèmes de DME n’implique pas le partage automatique avec le système de DME, ou la transmission automatique à ce dernier, de tout ou partie des données de santé issues de l’application de bien-être. Le partage ou la transmission de ces données n’est possible que s’il a lieu conformément à l’article 5 et qu’après que la personne physique concernée a donné son consentement et l’interopérabilité est exclusivement limitée à ces fins. Les fabricants d’applications de bien-être qui allèguent l’interopérabilité de ces applications avec un système de DME veillent à ce que la personne physique concernée soit en mesure de choisir les catégories de données de santé issues de l’application de bien-être qui doivent être intégrées au système de DME et les conditions du partage ou de la transmission de ces catégories de données.

1 La Commission établit et tient à jour une base de données de l’Union européenne accessible au public contenant des données sur les systèmes de DME pour lesquels une déclaration UE de conformité a été délivrée en vertu de l’article 39 et sur les applications de bien-être pour lesquelles un label a été délivré en vertu de l’article 47 (ci-après dénommée «base de données de l’Union européenne pour l’enregistrement des systèmes de DME et des applications de bien-être»).

2 Avant la mise sur le marché ou la mise en service d’un système de DME visé à l’article 26 ou d’une application de bien-être visée à l’article 47, le fabricant du système de DME ou de l’application de bien-être, ou, le cas échéant, son mandataire, introduit les données requises visées au paragraphe 4 du présent article dans la base de données de l’Union européenne pour l’enregistrement des systèmes de DME et des applications de bien-être, y compris, dans le cas des systèmes de DME, les résultats de l’évaluation visée à l’article 40.

3 Les dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro ou les systèmes d’IA à haut risque visés à l’article 27, paragraphes 1 et 2, du présent règlement sont également enregistrés dans les bases de données établies en application du règlement (UE) 2017/745, (UE) 2017/746 ou (UE) 2024/1689, selon le cas. Dans ces cas, les données à introduire sont également transmises à la base de données de l’Union européenne pour l’enregistrement des systèmes de DME et des applications de bien-être.

4 La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour compléter le présent règlement en déterminant la liste des données requises que les fabricants de systèmes de DME et d’applications de bien-être doivent introduire dans la base de données de l’Union européenne pour l’enregistrement des systèmes de DME et des applications de bien-être en vertu du paragraphe 2 du présent article.

1 Les catégories de détenteurs de données de santé suivantes sont exemptées des obligations qui incombent aux détenteurs de données de santé fixées dans le présent chapitre: a) les personnes physiques, y compris les chercheurs individuels; b) les personnes morales qui peuvent être qualifiées de microentreprises telles qu’elles sont définies à l’article 2, paragraphe 3, de l’annexe de la recommandation 2003/361/CE.

2 Les États membres peuvent prévoir dans leur droit national que les obligations des détenteurs de données de santé fixées dans le présent chapitre s’appliquent aux détenteurs de données de santé visés au paragraphe 1 qui relèvent de leur compétence.

3 Les États membres peuvent prévoir dans leur droit national que les entités d’intermédiation de données de santé s’acquittent des obligations de certaines catégories de détenteurs de données de santé. Dans ce cas, les données sont néanmoins considérées comme étant mises à disposition par plusieurs détenteurs de données de santé.

4 Les États membres notifient à la Commission les dispositions de droit national visées aux paragraphes 2 et 3 au plus tard le 26 mars 2029. Toute disposition légale ultérieure ou toute modification ultérieure d’une telle disposition est notifiée sans retard à la Commission.

1 Les détenteurs de données de santé mettent à disposition à des fins d’utilisation secondaire conformément au présent chapitre les catégories de données de santé électroniques ci-après: a) les données de santé électroniques provenant de DME; b) les données sur les facteurs ayant une incidence sur la santé, dont les déterminants socio-économiques, environnementaux et comportementaux de la santé; c) les données agrégées sur les besoins en soins de santé, les ressources allouées aux soins de santé, la fourniture et l’accès en matière de soins de santé, les dépenses et le financement en matière de soins de santé; d) les données sur les pathogènes ayant une incidence sur la santé humaine; e) les données administratives liées aux soins de santé, dont les données relatives aux dispensations, aux demandes de remboursement et aux remboursements; f) les données génétiques, épigénomiques et génomiques humaines; g) d’autres données moléculaires humaines telles que les données protéomiques, transcriptomiques, métabolomiques, lipidomiques et d’autres données omiques; h) les données de santé électroniques à caractère personnel générées automatiquement grâce aux dispositifs médicaux; i) les données provenant d’applications de bien-être; j) les données relatives au statut professionnel, ainsi qu’à la spécialisation et à l’établissement des professionnels de la santé intervenant dans le traitement d’une personne physique; k) les données provenant des registres de données de santé basées sur la population, tels que les registres de santé publique; l) les données contenues dans les registres médicaux et les registres de mortalité; m) les données provenant d’essais cliniques, d’études cliniques, d’investigations cliniques et d’études de performance soumis au règlement (UE) no 536/2014, au règlement (UE) 2024/1938 du Parlement européen et du Conseil , au règlement (UE) 2017/745 et au règlement (UE) 2017/746; n) d’autres données de santé provenant de dispositifs médicaux; o) les données provenant des registres de médicaments et des dispositifs médicaux; p) les données provenant de cohortes de recherche, de questionnaires et d’enquêtes dans le domaine de la santé, après la première publication des résultats y afférents; q) les données de santé provenant de biobanques et de bases de données associées.

2 Les États membres peuvent prévoir, dans leur droit national, que des catégories de données de santé électroniques supplémentaires sont mises à disposition à des fins d’utilisation secondaire en application du présent règlement.

3 Les États membres peuvent établir des règles relatives au traitement et à l’utilisation des données de santé électroniques contenant des améliorations liées au traitement de ces données, telles que des corrections, des annotations ou des enrichissements, sur la base d’une autorisation de traitement de données en vertu de l’article 68.

4 Les États membres peuvent introduire des mesures plus strictes et des garanties supplémentaires au niveau national visant à préserver le caractère sensible et la valeur des données relevant du paragraphe 1, points f), g), i) et q). Les États membres notifient, sans retard, ces mesures et garanties à la Commission ainsi que toute modification ultérieure les concernant.

1 Les données de santé électroniques protégées par des droits de propriété intellectuelle, des secrets d’affaires ou relevant du droit à la protection réglementaire des données prévue à l’article 10, paragraphe 1, de la directive 2001/83/CE du Parlement européen et du Conseil ou à l’article 14, paragraphe 11, du règlement (CE) no 726/2004 du Parlement européen et du Conseil sont mises à disposition à des fins d’utilisation secondaire conformément aux règles fixées dans le présent règlement.

2 Les détenteurs de données de santé communiquent à l’organisme responsable de l’accès aux données de santé les données de santé électroniques comportant des contenus ou des informations protégés par des droits de propriété intellectuelle ou des secrets d’affaires ou couverts par le droit à la protection réglementaire des données prévu à l’article 10, paragraphe 1, de la directive 2001/83/CE ou à l’article 14, paragraphe 11, du règlement (CE) no 726/2004. Les détenteurs de données de santé déterminent quelles parties des ensembles de données sont concernées et justifient la nécessité de la protection spécifique des données. Les détenteurs de données de santé fournissent ces informations lorsqu’ils communiquent à l’organisme responsable de l’accès aux données de santé la description de l’ensemble de données qu’ils détiennent en vertu de l’article 60, paragraphe 3, du présent règlement, ou, au plus tard, après avoir reçu une demande de l’organisme responsable de l’accès aux données de santé.

3 Les organismes responsables de l’accès aux données de santé prennent toutes les mesures spécifiques appropriées et proportionnées, y compris de nature juridique, organisationnelle et technique, qu’ils jugent nécessaires pour protéger les droits de propriété intellectuelle, les secrets d’affaires ou le droit à la protection réglementaire des données prévu à l’article 10, paragraphe 1, de la directive 2001/83/CE ou à l’article 14, paragraphe 11, du règlement (CE) no 726/2004. Les organismes responsables de l’accès aux données de santé demeurent responsables pour déterminer si ces mesures sont nécessaires et appropriées.

4 Lorsqu’ils délivrent des autorisations de traitement de données conformément à l’article 68, les organismes responsables de l’accès aux données de santé peuvent subordonner l’accès à certaines données de santé électroniques à des mesures juridiques, organisationnelles et techniques, qui peuvent comprendre des accords contractuels entre des détenteurs de données de santé et des utilisateurs de données de santé sur le partage de données comportant des informations ou des contenus protégés par des droits de propriété intellectuelle ou des secrets d’affaires. La Commission élabore et recommande des modèles non contraignants de clauses contractuelles applicables à ces accords.

5 Lorsque l’octroi d’un accès à des données de santé électroniques à des fins d’utilisation secondaire entraîne un risque grave de violation des droits de propriété intellectuelle, des secrets d’affaires ou du droit à la protection réglementaire des données prévu à l’article 10, paragraphe 1, de la directive 2001/83/CE ou à l’article 14, paragraphe 11, du règlement (CE) no 726/2004, auquel il ne peut être remédié de manière satisfaisante, l’organisme responsable de l’accès aux données de santé refuse l’accès à ces données au demandeur de données de santé. L’organisme responsable de l’accès aux données de santé informe le demandeur de données de santé de ce refus et lui fournit une justification de ce refus. Les détenteurs de données de santé et les demandeurs de données de santé ont le droit d’introduire une réclamation conformément à l’article 81 du présent règlement.

1 Les organismes responsables de l’accès aux données de santé n’octroient l’accès aux données de santé électroniques visées à l’article 51 à des fins d’utilisation secondaire à un utilisateur de données de santé que lorsque le traitement des données par ledit utilisateur de données est nécessaire à l’une des finalités suivantes: a) l’intérêt public dans le domaine de la santé publique ou de la santé au travail, telles que des activités destinées à la protection contre les menaces transfrontières graves pour la santé et à la surveillance de la santé publique ou des activités destinées à garantir un niveau élevé de qualité et de sécurité des soins de santé, y compris de sécurité des patients, et des médicaments ou des dispositifs médicaux; b) l’élaboration de politiques et les activités réglementaires destinées à aider les organismes du secteur public ou les institutions, organes et organismes de l’Union, dont les autorités réglementaires, dans le secteur de la santé ou des soins, à accomplir les tâches définies dans leur mandat; c) des statistiques, telles qu’elles sont définies à l’article 3, point 1), du règlement (CE) no 223/2009, telles que les statistiques officielles aux échelons national, plurinational et de l’Union, en rapport avec les secteurs de la santé ou des soins; d) des activités d’éducation ou d’enseignement dans les secteurs de la santé ou des soins au niveau de l’enseignement professionnel ou supérieur; e) la recherche scientifique ayant trait aux secteurs de la santé ou des soins qui contribue à la santé publique ou aux évaluations des technologies de la santé, ou qui garantit un niveau élevé de qualité et de sécurité des soins de santé, des médicaments ou des dispositifs médicaux, dans le but d’en faire bénéficier les utilisateurs finals, tels que les patients, les professionnels de la santé et les administrateurs des services de santé, y compris: i) les activités de développement et d’innovation pour les produits ou services; ii) la formation, les essais et l’évaluation d’algorithmes, notamment dans les dispositifs médicaux, les dispositifs médicaux de diagnostic in vitro, les systèmes d’IA et les applications de santé numérique; f) l’amélioration de la fourniture de soins, de l’optimisation des traitements et de la fourniture de soins de santé, sur la base des données de santé électroniques d’autres personnes physiques.

2 L’accès aux données de santé électroniques pour les finalités visées au paragraphe 1, points a), b) et c), est réservé aux organismes du secteur public et aux institutions, organes et organismes de l’Union exécutant des tâches qui leur ont été conférées par le droit de l’Union ou le droit national, y compris lorsque le traitement de données aux fins de l’accomplissement de ces tâches est effectué par un tiers pour le compte de ces organismes du secteur public ou d’institutions, organes et organismes de l’Union.

Les utilisateurs de données de santé ne traitent les données de santé électroniques à des fins d’utilisation secondaire que sur la base des finalités contenues dans une autorisation de traitement de données délivrée en vertu de l’article 68, dans une demande de données de santé approuvée en vertu de l’article 69 ou, dans les situations visées à l’article 67, paragraphe 3, dans une approbation d’accès émanant du participant autorisé à DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75 concerné, et conformément à ces finalités. Il est, en particulier, interdit de demander l’accès aux données de santé électroniques obtenues moyennant une autorisation de traitement de données délivrée en vertu de l’article 68 ou une demande de données de santé approuvée en vertu de l’article 69, et de traiter de telles données, aux fins des utilisations suivantes: a) une prise de décisions préjudiciables à une personne physique ou un groupe de personnes physiques sur la base de leurs données de santé électroniques; pour être qualifiées de «décisions» aux fins du présent point, celles-ci doivent produire des effets juridiques, sociaux ou économiques, ou avoir, de manière similaire, une incidence significative sur ces personnes physiques; b) une prise de décisions, à l’égard d’une personne physique ou d’un groupe de personnes physiques, relatives à des offres d’emploi, proposant des conditions moins favorables dans le cadre de la fourniture de biens ou de services, y compris l’exclusion de ces personnes ou groupes du bénéfice d’un contrat d’assurance ou de crédit ou la modification de leurs cotisations et de leurs primes d’assurance ou de leurs conditions de prêt, ou la prise de toute autre décision, à l’égard d’une personne physique ou d’un groupe de personnes physiques, dont il découle une discrimination à leur encontre sur la base des données de santé obtenues; c) l’exercice d’activités de publicité ou de marketing; d) une mise au point de produits ou de services susceptibles de porter préjudice aux personnes, à la santé publique ou à la société au sens large, tels que les drogues illicites, les boissons alcoolisées, les produits du tabac et à base de nicotine, les armes ou les produits ou services qui sont conçus ou modifiés de sorte à créer une dépendance, à porter atteinte à l’ordre public ou à induire un risque pour la santé humaine; e) l’exercice d’activités contraires aux dispositions éthiques fixées dans le droit national.

1 Les États membres désignent un ou plusieurs organismes responsables de l’accès aux données de santé chargés d’accomplir les tâches et de s’acquitter des obligations énoncées aux articles 57, 58 et 59. Les États membres peuvent soit créer un ou plusieurs nouveaux organismes du secteur public, soit s’appuyer sur des organismes du secteur public existants ou sur des services internes d’organismes du secteur public qui remplissent les conditions énoncées dans le présent article. Les tâches énoncées à l’article 57 peuvent être réparties entre différents organismes responsables de l’accès aux données de santé. Lorsqu’un État membre désigne plusieurs organismes responsables de l’accès aux données de santé, il désigne un organisme responsable de l’accès aux données de santé comme coordonnateur, chargé d’assurer la coordination des tâches avec les autres organismes responsables de l’accès aux données de santé tant sur le territoire dudit État membre que dans d’autres États membres. Chaque organisme responsable de l’accès aux données de santé contribue à l’application cohérente du présent règlement dans l’ensemble de l’Union. À cette fin, les organismes responsables de l’accès aux données de santé coopèrent entre eux, avec la Commission et, en ce qui concerne les questions relatives à la protection des données, avec les autorités de contrôle compétentes.

2 Afin de soutenir les organismes responsables de l’accès aux données de santé dans l’accomplissement efficace de leurs tâches et dans l’exercice de leurs pouvoirs, les États membres veillent à ce que chaque organisme responsable de l’accès aux données de santé dispose des éléments suivants: a) les ressources humaines, financières et techniques nécessaires; b) l’expertise nécessaire; et c) les locaux et les infrastructures nécessaires. Lorsqu’une évaluation par des organismes chargés des questions d’éthique est requise en vertu du droit national, ces organismes mettent leur expertise à la disposition de l’organisme responsable de l’accès aux données de santé. À titre d’alternative, les États membres peuvent prévoir que les organismes chargés des questions d’éthique font partie de l’organisme responsable de l’accès aux données de santé.

3 Les États membres veillent à éviter tout conflit d’intérêts entre les services des organismes responsables de l’accès aux données de santé réalisant les différentes tâches de ces organismes, en prévoyant, par exemple, des garanties organisationnelles telles que la séparation des différentes fonctions des organismes responsables de l’accès aux données de santé, y compris l’évaluation des demandes, la réception et la préparation d’ensembles de données, par exemple la pseudonymisation et l’anonymisation d’ensembles de données, ainsi que la fourniture de données dans des environnements de traitement sécurisés.

4 Dans l’accomplissement de leurs tâches, les organismes responsables de l’accès aux données de santé coopèrent activement avec les représentants des parties prenantes concernées, en particulier avec les représentants des patients, des détenteurs de données de santé et des utilisateurs de données de santé, et évitent tout conflit d’intérêts.

5 Dans l’accomplissement de leurs tâches et l’exercice de leurs pouvoirs, les organismes responsables de l’accès aux données de santé évitent tout conflit d’intérêts. Le personnel des organismes responsables de l’accès aux données de santé agit dans l’intérêt public et de manière indépendante.

6 Les États membres informent la Commission de l’identité des organismes responsables de l’accès aux données de santé désignés en vertu du paragraphe 1 au plus tard le 26 mars 2027. Ils informent également la Commission de toute modification ultérieure concernant l’identité de ces organismes. La Commission et les États membres mettent ces informations à la disposition du public.

1 La Commission accomplit les tâches énoncées aux articles 57 et 59 lorsque les détenteurs de données de santé sont des institutions, organes et organismes de l’Union.

2 La Commission veille à ce que les ressources humaines, techniques et financières, les locaux et les infrastructures nécessaires soient alloués en vue de l’accomplissement efficace des tâches énoncées aux articles 57 et 59 et de l’exercice de ses fonctions.

3 Sauf exclusion explicite, les références aux organismes responsables de l’accès aux données de santé dans le présent règlement en ce qui concerne l’accomplissement des tâches et l’exercice des fonctions s’entendent comme s’appliquant également à la Commission lorsque les détenteurs de données de santé sont des institutions, organes et organismes de l’Union.

1 Les organismes responsables de l’accès aux données de santé accomplissent les tâches suivantes: a) statuer sur les demandes d’accès aux données de santé en vertu de l’article 67 du présent règlement, autoriser et délivrer les autorisations de traitement de données en vertu de l’article 68 du présent règlement pour l’accès, à des fins d’utilisation secondaire, aux données de santé électroniques relevant de leur compétence, et statuer sur les demandes de données de santé présentées en vertu de l’article 69 du présent règlement conformément au présent chapitre et au chapitre II du règlement (UE) 2022/868, notamment pour ce qui est de: i) donner accès aux données de santé électroniques aux utilisateurs de données de santé en vertu d’une autorisation de traitement de données dans un environnement de traitement sécurisé, conformément à l’article 73; ii) surveiller et contrôler le respect des exigences énoncées dans le présent règlement par les utilisateurs de données de santé et les détenteurs de données de santé; iii) demander les données de santé électroniques visées à l’article 51 aux détenteurs de données de santé concernés en vertu d’une autorisation de traitement de données délivrée ou d’une demande de données de santé approuvée; b) traiter les données de santé électroniques visées à l’article 51, notamment en assurant la réception, la combinaison, la préparation et la compilation de ces données lorsqu’elles sont demandées aux détenteurs de données de santé ainsi que la pseudonymisation ou l’anonymisation de ces données; c) prendre toutes les mesures nécessaires pour préserver la confidentialité des droits de propriété intellectuelle, pour assurer la protection réglementaire des données et pour préserver la confidentialité des secrets d’affaires conformément à l’article 52, en tenant compte des droits pertinents dont disposent tant le détenteur de données de santé que l’utilisateur de données de santé; d) coopérer avec les détenteurs de données de santé et les superviser afin de garantir la mise en œuvre cohérente et précise des dispositions sur le label de qualité et d’utilité des données prévues à l’article 78; e) maintenir un système de gestion permettant d’enregistrer et de traiter les demandes d’accès aux données de santé, les demandes de données de santé, les décisions relatives à ces demandes, ainsi que les autorisations de traitement de données délivrées et les demandes de données de santé traitées, fournissant au moins des informations sur le nom du demandeur de données de santé, sur la finalité de l’accès, sur la date de délivrance et sur la durée de l’autorisation de traitement de données ainsi qu’une description de la demande d’accès aux données de santé ou de la demande de données de santé; f) maintenir un système d’information du public afin de satisfaire aux obligations énoncées à l’article 58; g) coopérer à l’échelon de l’Union et à l’échelon national afin d’établir des normes communes, des exigences techniques et des mesures appropriées pour l’accès aux données de santé électroniques dans un environnement de traitement sécurisé; h) coopérer à l’échelon de l’Union et à l’échelon national et conseiller la Commission sur les techniques et les bonnes pratiques en matière d’utilisation secondaire et de gestion des données de santé électroniques; i) faciliter l’accès transfrontière, à des fins d’utilisation secondaire, aux données de santé électroniques hébergées dans d’autres États membres par l’intermédiaire de DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75, et coopérer étroitement entre eux et avec la Commission. j) rendre publics, par voie électronique: i) un catalogue des ensembles de données national, contenant des informations détaillées sur la source et la nature des données de santé électroniques, conformément aux articles 77, 78 et 80, et sur les conditions de mise à disposition de ces données; ii) toute demande d’accès aux données de santé et toute demande de données de santé sans retard indu après leur réception initiale; iii) toutes les autorisations de traitement de données délivrées ou toutes les demandes de données de santé approuvées ainsi que les décisions de refus, accompagnées d’une justification, dans les 30 jours ouvrables à compter de la délivrance, de l’approbation ou du refus; iv) les mesures liées au non-respect en vertu de l’article 63; v) les résultats communiqués par les utilisateurs de données de santé en vertu de l’article 61, paragraphe 4; vi) un système d’information afin de satisfaire aux obligations fixées à l’article 58; vii) des informations, au moins sur un site internet ou un portail internet facilement accessibles, sur la connexion à DonnéesDeSanté@UE (HealthData@EU) des points de contact nationaux à des fins d’utilisation secondaire d’un pays tiers ou d’un système établi au niveau international par une organisation internationale, dès que le pays tiers ou l’organisation internationale devient un participant autorisé à DonnéesDeSanté@UE (HealthData@EU); k) s’acquitter des obligations envers les personnes physiques en vertu de l’article 58; l) accomplir toute autre tâche visant à rendre possible une utilisation secondaire des données de santé électroniques dans le cadre du présent règlement. Le catalogue des ensembles de données national visé au point j), i), du présent paragraphe est également mis à la disposition des points d’information uniques prévus à l’article 8 du règlement (UE) 2022/868.

2 Dans l’accomplissement de leurs tâches, les organismes responsables de l’accès aux données de santé: a) coopèrent avec les autorités de contrôle au titre du règlement (UE) 2016/679 en ce qui concerne les données de santé électroniques à caractère personnel, ainsi qu’avec le comité de l’EEDS; b) coopèrent avec toutes les parties prenantes concernées, dont les organisations de patients, les représentants de personnes physiques, les professionnels de la santé, les chercheurs et les comités d’éthique, le cas échéant conformément au droit de l’Union ou au droit national; c) coopèrent avec d’autres organismes nationaux compétents, dont les autorités nationales compétentes chargées de la surveillance des organisations altruistes en matière de données au titre du règlement (UE) 2022/868, les autorités compétentes au titre du règlement (UE) 2023/2854 et les autorités nationales compétentes au titre des règlements (UE) 2017/745, (UE) 2017/746 et (UE) 2024/1689, le cas échéant.

3 Les organismes responsables de l’accès aux données de santé peuvent fournir une assistance aux organismes du secteur public lorsque ces derniers accèdent à des données de santé électroniques conformément à l’article 14 du règlement (UE) 2023/2854.

4 Les organismes responsables de l’accès aux données de santé peuvent soutenir un organisme du secteur public lorsqu’il obtient des données dans les situations visées à l’article 15, point a) ou b), du règlement (UE) 2023/2854, conformément aux règles fixées dans ledit règlement, en l’aidant sur le plan technique à traiter ces données ou à les combiner avec d’autres données en vue d’une analyse conjointe.

1 Les organismes responsables de l’accès aux données de santé mettent à la disposition du public les informations sur les conditions dans lesquelles les données de santé électroniques sont mises à disposition à des fins d’utilisation secondaire et rendent ces informations facilement consultables par voie électronique et accessibles pour les personnes physiques. Ces informations couvrent ce qui suit: a) la base juridique en vertu de laquelle l’accès aux données de santé électroniques est octroyé à l’utilisateur de données de santé; b) les mesures techniques et organisationnelles prises pour protéger les droits des personnes physiques; c) les droits applicables des personnes physiques en matière d’utilisation secondaire; d) les modalités selon lesquelles les personnes physiques peuvent exercer leurs droits conformément au chapitre III du règlement (UE) 2016/679; e) l’identité et les coordonnées de l’organisme responsable de l’accès aux données de santé; f) qui a été autorisé à accéder à des ensembles de données de santé électroniques et à quels ensembles de données l’accès leur a été octroyé ainsi que les détails de l’autorisation de traitement de données en ce qui concerne les finalités du traitement de ces données, conformément à l’article 53, paragraphe 1; g) les résultats ou l’aboutissement des projets pour lesquels les données de santé électroniques ont été utilisées.

2 Si un État membre prévoit un droit de refus en vertu de l’article 71 devant être exercé par l’intermédiaire des organismes responsables de l’accès aux données de santé, les organismes responsables de l’accès aux données de santé concernés fournissent au public des informations sur la procédure relative au droit de refus et facilitent l’exercice de ce droit.

3 Lorsqu’un organisme responsable de l’accès aux données de santé est informé par un utilisateur de données de santé d’une constatation significative relative à la santé d’une personne physique, conformément à l’article 61, paragraphe 5, il informe le détenteur de données de santé de cette constatation. Le détenteur de données de santé informe, dans les conditions prévues par le droit national, la personne physique ou le professionnel de la santé traitant la personne physique concernée. Les personnes physiques ont le droit de demander à ne pas être informées de ces constatations.

4 Les États membres informent le grand public sur le rôle et les avantages des organismes responsables de l’accès aux données de santé.

1 Chaque organisme responsable de l’accès aux données de santé publie un rapport d’activité tous les deux ans et le met à la disposition du public sur son site internet. Si un État membre désigne plusieurs organismes responsables de l’accès aux données de santé, l’organisme de coordination visé à l’article 55, paragraphe 1, est responsable du rapport d’activité et demande les informations nécessaires aux autres organismes responsables de l’accès aux données de santé. Ce rapport d’activité suit une structure convenue par le comité de l’EEDS en vertu de l’article 94, paragraphe 2, point d), et contient au moins les catégories d’informations suivantes: a) des informations sur les demandes d’accès aux données de santé et sur les demandes de données de santé présentées, telles que les types de demandeurs de données de santé, le nombre d’autorisations de traitement de données délivrées ou refusées, les catégories de finalités d’accès et les catégories de données de santé électroniques auxquelles il a été accédé, ainsi qu’un résumé des résultats des utilisations de données de santé électroniques, le cas échéant; b) des informations sur le respect des engagements réglementaires et contractuels par les utilisateurs de données de santé et les détenteurs de données de santé, ainsi que le nombre d’amendes administratives imposées par les organismes responsables de l’accès aux données de santé et leur montant; c) des informations sur les audits réalisés concernant les utilisateurs de données de santé pour veiller à la conformité du traitement qu’ils ont effectué dans l’environnement de traitement sécurisé en vertu de l’article 73, paragraphe 1, point e); d) des informations sur les audits internes et de tiers relatifs à la conformité des environnements de traitement sécurisés avec les normes, spécifications et exigences définies, conformément à l’article 73, paragraphe 3; e) des informations sur le traitement des demandes des personnes physiques concernant l’exercice de leurs droits à la protection des données; f) une description des activités de l’organisme responsable de l’accès aux données de santé réalisées en ce qui concerne le dialogue avec les parties prenantes concernées et la consultation desdites parties prenantes concernées; g) les recettes provenant des autorisations de traitement de données et des demandes de données de santé; h) le nombre moyen de jours entre les demandes d’accès aux données de santé ou les demandes de données de santé et l’accès aux données; i) le nombre de labels de qualité des données délivrés par les détenteurs de données de santé, ventilé par catégorie de qualité; j) le nombre de publications de recherche évaluées par des pairs, de documents d’orientation et de procédures réglementaires utilisant des données auxquelles il a été accédé via l’EEDS; k) le nombre de produits et services de santé numériques, dont les applications d’IA, mis au point grâce à des données auxquelles il a été accédé via l’EEDS.

2 Le rapport d’activité visé au paragraphe 1 est présenté à la Commission et au comité de l’EEDS dans un délai de six mois à compter de la fin de la deuxième année de la période sur laquelle porte le rapport concerné. Le rapport d’activité est accessible via le site internet de la Commission.

1 Les détenteurs de données de santé mettent les données de santé électroniques pertinentes visées à l’article 51, sur demande, à la disposition de l’organisme responsable de l’accès aux données de santé conformément à une autorisation de traitement de données délivrée en vertu de l’article 68 ou à une demande de données de santé approuvée en vertu de l’article 69.

2 Les détenteurs des données de santé mettent les données de santé électroniques demandées visées au paragraphe 1 à la disposition de l’organisme responsable de l’accès aux données de santé dans un délai raisonnable et au plus tard trois mois à compter de la réception de la demande de l’organisme responsable de l’accès aux données de santé. Dans des cas justifiés, l’organisme responsable de l’accès aux données de santé peut prolonger ce délai de trois mois au maximum.

3 Le détenteur de données de santé communique à l’organisme responsable de l’accès aux données de santé une description de l’ensemble de données qu’il détient conformément à l’article 77. Le détenteur de données de santé vérifie, au minimum une fois par an, que sa description de l’ensemble de données figurant dans le catalogue des ensembles de données national est exacte et à jour.

4 Lorsqu’un label de qualité et d’utilité des données accompagne l’ensemble de données en vertu de l’article 78, le détenteur de données de santé fournit à l’organisme responsable de l’accès aux données de santé des documents suffisants pour lui permettre de vérifier l’exactitude du label.

5 Les détenteurs de données de santé électroniques à caractère non personnel donnent accès aux données au moyen de bases de données ouvertes et fiables afin de garantir un accès illimité à tous les utilisateurs ainsi que le stockage et la conservation des données. Les bases de données publiques ouvertes et fiables disposent d’une gouvernance solide, transparente et durable et d’un modèle transparent d’accès des utilisateurs.

1 Les utilisateurs de données de santé peuvent accéder aux données de santé électroniques visées à l’article 51 à des fins d’utilisation secondaire et les traiter uniquement conformément à une autorisation de traitement de données délivrée en vertu de l’article 68, une demande de données de santé approuvée en vertu de l’article 69 ou, dans les situations visées à l’article 67, paragraphe 3, une approbation d’accès émanant du participant autorisé à DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75 concerné.

2 Lorsqu’ils traitent des données de santé électroniques dans les environnements de traitement sécurisés visés à l’article 73, les utilisateurs de données de santé ne peuvent pas donner accès aux données de santé électroniques à des tiers qui ne figurent pas dans l’autorisation de traitement de données, ou mettre ces données à la disposition de tels tiers.

3 Les utilisateurs de données de santé ne peuvent pas réidentifier ou tenter de réidentifier les personnes physiques auxquelles se rapportent les données de santé électroniques qu’ils ont obtenues sur la base d’une autorisation de traitement de données, d’une demande de données de santé ou d’une approbation d’accès émanant d’un participant autorisé à DonnéesDeSanté@UE (HealthData@EU).

4 Les utilisateurs de données de santé rendent publics les résultats ou l’aboutissement de l’utilisation secondaire, y compris les informations pertinentes pour la prestation de soins de santé, dans un délai de 18 mois à compter de l’achèvement du traitement des données de santé électroniques dans l’environnement de traitement sécurisé ou à compter de la réception de la réponse à la demande de données de santé visée à l’article 69. Dans des cas justifiés liés aux finalités autorisées du traitement des données de santé électroniques, le délai visé au premier alinéa peut être prolongé par l’organisme responsable de l’accès aux données de santé, en particulier dans les cas où le résultat est publié dans une revue scientifique ou une autre publication scientifique. Les résultats ou l’aboutissement de l’utilisation secondaire ne contiennent que des données anonymisées. Les utilisateurs de données de santé informent les organismes responsables de l’accès aux données de santé auprès desquels une autorisation de traitement de données a été obtenue des résultats ou de l’aboutissement de l’utilisation secondaire et les aident à rendre ces informations publiques sur les sites internet des organismes responsables de l’accès aux données de santé. Cette publication est sans préjudice des droits de publication dans des revues scientifiques ou d’autres publications scientifiques. Lorsque les utilisateurs de données de santé utilisent des données de santé électroniques conformément au présent chapitre, ils reconnaissent les sources des données de santé électroniques et le fait que les données de santé électroniques ont été obtenues dans le cadre de l’EEDS.

5 Sans préjudice du paragraphe 2, les utilisateurs de données de santé informent l’organisme responsable de l’accès aux données de santé de toute constatation significative relative à l’état de santé de la personne physique dont les données sont incluses dans l’ensemble de données.

6 Les utilisateurs de données de santé coopèrent avec les organismes responsables de l’accès aux données de santé dans l’accomplissement des tâches desdits organismes.

1 Les organismes responsables de l’accès aux données de santé, y compris le service d’accès aux données de santé de l’Union, ou les détenteurs de données de santé de confiance visés à l’article 72 peuvent percevoir des redevances pour la mise à disposition de données de santé électroniques à des fins d’utilisation secondaire. Les redevances sont proportionnelles au coût de la mise à disposition des données et ne restreignent pas la concurrence. Les redevances couvrent tout ou partie des coûts liés à la procédure d’évaluation d’une demande d’accès aux données de santé ou d’une demande de données de santé, de délivrance, de refus ou de modification d’une autorisation de traitement de données en vertu des articles 67 et 68, ou de réponse à une demande de données de santé présentée en vertu de l’article 69, y compris les coûts liés à la consolidation, à la préparation, à la pseudonymisation, à l’anonymisation et à la fourniture de données de santé électroniques. Les États membres peuvent fixer des redevances réduites pour certains types d’utilisateurs de données de santé situés dans l’Union, tels que les organismes du secteur public ou les institutions, organes et organismes de l’Union ayant un mandat légal dans le domaine de la santé publique, les chercheurs universitaires ou les microentreprises.

2 Les redevances visées au paragraphe 1 du présent article peuvent inclure une compensation pour les coûts exposés par le détenteur de données de santé pour la compilation et la préparation des données de santé électroniques à mettre à disposition à des fins d’utilisation secondaire. En pareils cas, le détenteur de données de santé fournit une estimation de ces coûts à l’organisme responsable de l’accès aux données de santé. Lorsque le détenteur de données de santé est un organisme du secteur public, l’article 6 du règlement (UE) 2022/868 ne s’applique pas. La partie des redevances liée aux coûts du détenteur de données de santé est versée au détenteur de données de santé.

3 Toutes redevances facturées aux utilisateurs de données de santé en vertu du présent article sont transparentes et non discriminatoires.

4 Lorsque les détenteurs de données de santé et les utilisateurs de données de santé ne s’accordent pas sur le montant des redevances dans un délai d’un mois à compter de la délivrance de l’autorisation de traitement de données, l’organisme responsable de l’accès aux données de santé peut fixer les redevances en proportion du coût de la mise à disposition de données de santé électroniques à des fins d’utilisation secondaire. Lorsque les détenteurs de données de santé ou les utilisateurs de données de santé se trouvent en désaccord sur la redevance fixée par l’organisme responsable de l’accès aux données de santé, ils ont accès aux organes de règlement des litiges conformément à l’article 10 du règlement (UE) 2023/2854.

5 Avant de délivrer une autorisation de traitement de données en vertu de l’article 68 ou de répondre à une demande de données de santé présentée en vertu de l’article 69, l’organisme responsable de l’accès aux données de santé informe le demandeur de données de santé des redevances estimées. Le demandeur de données de santé est informé de la possibilité de retirer sa demande d’accès aux données de santé ou sa demande de données de santé. Si le demandeur de données de santé retire sa demande, seuls les coûts déjà exposés lui sont facturés.

6 La Commission établit, par voie d’actes d’exécution, des principes applicables aux politiques et aux structures liées aux redevances, y compris aux déductions en faveur des entités visées au paragraphe 1, quatrième alinéa, du présent article de manière à favoriser la cohérence et la transparence entre les États membres en ce qui concerne ces politiques et ces structures liées aux redevances. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Lorsqu’ils accomplissent leurs tâches de surveillance et de contrôle visées à l’article 57, paragraphe 1, point a), ii), les organismes responsables de l’accès aux données de santé ont le droit de demander et d’obtenir toutes les informations nécessaires des utilisateurs de données de santé et des détenteurs de données de santé pour vérifier la conformité avec le présent chapitre.

2 Lorsque les organismes responsables de l’accès aux données de santé constatent qu’un utilisateur de données de santé ou un détenteur de données de santé ne se conforme pas aux exigences du présent chapitre, ils notifient immédiatement ces constatations à l’utilisateur de données de santé ou au détenteur de données de santé et prennent des mesures appropriées. L’organisme responsable de l’accès aux données de santé concerné donne à l’utilisateur de données de santé ou au détenteur de données de santé concerné la possibilité d’exprimer son point de vue dans un délai raisonnable qui ne dépasse pas quatre semaines. Lorsque la constatation de non-conformité concerne une éventuelle violation du règlement (UE) 2016/679, l’organisme responsable de l’accès aux données de santé concerné en informe immédiatement les autorités de contrôle au titre dudit règlement et leur fournit toutes les informations pertinentes au sujet de cette constatation.

3 En cas de non-conformité de la part d’utilisateurs de données de santé, les organismes responsables de l’accès aux données de santé ont le pouvoir de révoquer l’autorisation de traitement de données délivrée en vertu de l’article 68 et d’arrêter, sans retard indu, l’opération de traitement de données de santé électroniques concernée effectuée par l’utilisateur de données de santé, et ils prennent des mesures appropriées et proportionnées pour veiller à ce que le traitement par l’utilisateur de données de santé soit conforme. En outre, dans le cadre de telles mesures d’exécution, les organismes responsables de l’accès aux données de santé peuvent, le cas échéant, exclure ou engager une procédure en vue d’exclure, conformément au droit national, l’utilisateur de données de santé concerné de tout accès aux données de santé électroniques au sein de l’EEDS dans le contexte d’une utilisation secondaire pendant une période maximale de cinq ans.

4 En cas de non-conformité de la part de détenteurs de données de santé, lorsqu’un détenteur de données de santé retient les données de santé électroniques des organismes responsables de l’accès aux données de santé dans l’intention manifeste d’en entraver l’utilisation, ou ne respecte pas les délais fixés à l’article 60, paragraphe 2, l’organisme responsable de l’accès aux données de santé a le pouvoir d’infliger au détenteur de données de santé une astreinte, transparente et proportionnée, pour chaque jour de retard. Le montant des amendes est fixé par l’organisme responsable de l’accès aux données de santé conformément au droit national. En cas de manquements répétés du détenteur de données de santé à l’obligation de coopération avec l’organisme responsable de l’accès aux données de santé, ledit organisme peut exclure ou engager une procédure en vue d’exclure, conformément au droit national, le détenteur de données de santé concerné de la possibilité de présenter des demandes d’accès aux données de santé en vertu du présent chapitre pendant une période maximale de cinq ans. Pendant cette période d’exclusion, le détenteur de données de santé reste tenu de rendre les données accessibles au titre du présent chapitre, le cas échéant.

5 L’organisme responsable de l’accès aux données de santé communique, sans retard, à l’utilisateur de données de santé ou au détenteur de données de santé concerné les mesures d’exécution prises en vertu des paragraphes 3 et 4 et les motifs sur lesquels elles se fondent, et il fixe un délai raisonnable pour que l’utilisateur de données de santé ou le détenteur de données de santé se conforme auxdites mesures.

6 Toutes mesures d’exécution prises par l’organisme responsable de l’accès aux données de santé en vertu du paragraphe 3 sont notifiées aux autres organismes responsables de l’accès aux données de santé, au moyen de l’outil informatique visé au paragraphe 7. Les organismes responsables de l’accès aux données de santé peuvent mettre ces informations à la disposition du public sur leurs sites internet.

7 La Commission détermine, par voie d’actes d’exécution, l’architecture d’un outil informatique, dans le cadre de l’infrastructure DonnéesDeSanté@UE (HealthData@EU) visée à l’article 75, destiné à soutenir les mesures d’exécution visées au présent article, en particulier les astreintes, les révocations d’autorisations de traitement de données et les exclusions, et à rendre ces mesures d’exécution transparentes pour d’autres organismes responsables de l’accès aux données de santé. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

8 La Commission publie, au plus tard le 26 mars 2032, en étroite coopération avec le comité de l’EEDS, des lignes directrices sur les mesures d’exécution, y compris les astreintes et autres mesures à prendre par les organismes responsables de l’accès aux données de santé.

1 Chaque organisme responsable de l’accès aux données de santé veille à ce que les amendes administratives imposées en vertu du présent article pour des violations visées aux paragraphes 4 et 5 soient, dans chaque cas individuel, effectives, proportionnées et dissuasives.

2 Selon les circonstances propres à chaque cas individuel, les amendes administratives sont imposées en complément ou à la place des mesures d’exécution visées à l’article 63, paragraphes 3 et 4. Les organismes responsables de l’accès aux données de santé décident s’il convient d’imposer une amende administrative et du montant de l’amende administrative dans chaque cas individuel, en tenant dûment compte des éléments suivants: a) la nature, la gravité et la durée de la violation; b) la question de savoir si des sanctions ou des amendes administratives ont déjà été imposées par d’autres autorités compétentes pour la même violation; c) le fait que la violation a été commise délibérément ou par négligence; d) toute mesure prise par le détenteur de données de santé ou l’utilisateur de données de santé pour atténuer le dommage causé; e) le degré de responsabilité de l’utilisateur de données de santé, compte tenu des mesures techniques et organisationnelles qu’il a mises en œuvre en vertu de l’article 67, paragraphe 2, point g), et de l’article 67, paragraphe 4; f) toute violation antérieure pertinente commise par le détenteur de données de santé ou l’utilisateur de données de santé; g) le degré de coopération établi par le détenteur de données de santé ou l’utilisateur de données de santé avec l’organisme responsable de l’accès aux données de santé en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs; h) la manière dont l’organisme responsable de l’accès aux données de santé a eu connaissance de la violation, notamment si, et dans quelle mesure, l’utilisateur des données de santé lui a notifié la violation; i) le respect de toutes mesures d’exécution visées à l’article 63, paragraphes 3 et 4, qui ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet; j) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.

3 Si le détenteur de données de santé ou l’utilisateur de données de santé viole délibérément ou par négligence plusieurs dispositions du présent règlement, dans le cadre de la même autorisation de traitement de données ou demande de données de santé ou d’autorisations ou de demandes liées, le montant total de l’amende administrative ne peut pas excéder le montant fixé pour la violation la plus grave.

4 Conformément au paragraphe 2 du présent article, les violations des obligations du détenteur de données de santé ou de l’utilisateur de données de santé en vertu de l’article 60 et de l’article 61, paragraphes 1, 5 et 6, font l’objet d’amendes administratives pouvant s’élever à maximum 10000000 EUR ou, dans le cas d’une entreprise, à maximum 2 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

5 Conformément au paragraphe 2, les violations suivantes font l’objet, d’amendes administratives pouvant s’élever à maximum 20000000 EUR ou, dans le cas d’une entreprise, à maximum 4 % de son chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu: a) le traitement, par des utilisateurs de données de santé, de données de santé électroniques obtenues au moyen d’une autorisation de traitement de données délivrée en vertu de l’article 68 aux fins des utilisations visées à l’article 54; b) l’extraction, par les utilisateurs de données de santé, de données de santé électroniques à caractère personnel à partir d’environnements de traitement sécurisés; c) la réidentification ou la tentative de réidentification des personnes physiques auxquelles se rapportent les données de santé électroniques obtenues par les utilisateurs de données de santé sur la base d’une autorisation de traitement de données ou d’une demande de données de santé en vertu de l’article 61, paragraphe 3; d) le non-respect des mesures d’exécution prises par l’organisme responsable de l’accès aux données de santé en vertu de l’article 63, paragraphes 3 et 4.

6 Sans préjudice des pouvoirs dont les organismes responsables de l’accès aux données de santé disposent en vertu de l’article 63, chaque État membre peut établir des règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes du secteur public établis sur le territoire dudit État membre.

7 L’exercice, par un organisme responsable de l’accès aux données de santé, des pouvoirs que lui confère le présent article est soumis à des garanties procédurales appropriées conformément au droit de l’Union et au droit national, y compris des recours juridictionnels effectifs et une procédure régulière.

8 Lorsque le système juridique d’un État membre ne prévoit pas d’amendes administratives, il est possible d’appliquer le présent article de sorte que, conformément à son cadre juridique national, ces voies de droit soient effectives et aient un effet équivalent aux amendes administratives imposées par les organismes responsables de l’accès aux données de santé. En tout état de cause, les amendes imposées sont effectives, proportionnées et dissuasives. L’État membre concerné notifie à la Commission les dispositions de droit qu’il adopte en vertu du présent paragraphe au plus tard le 26 mars 2029 et, sans retard, toute législation ultérieure modifiant ces dispositions ou toutes modifications concernant ces dispositions.

L’autorité de contrôle ou les autorités de contrôle chargées de surveiller l’application du règlement (UE) 2016/679 et de veiller au respect de celui-ci sont également compétentes pour surveiller l’application du droit de refuser le traitement des données de santé électroniques à caractère personnel à des fins d’utilisation secondaire en vertu de l’article 71 ainsi que pour veiller au respect de ce droit. Ces autorités de contrôle sont habilitées à imposer des amendes administratives à concurrence du montant visé à l’article 83 du règlement (UE) 2016/679. Le cas échéant, les autorités de contrôle visées au premier alinéa du présent article et les organismes responsables de l’accès aux données de santé visés à l’article 55 du présent règlement coopèrent aux fins de l’exécution du présent règlement, dans les limites de leurs compétences respectives. Les dispositions pertinentes du règlement (UE) 2016/679 s’appliquent mutatis mutandis.

1 Lorsque les organismes responsables de l’accès aux données de santé reçoivent une demande d’accès aux données de santé, ils veillent à ce que l’accès soit donné uniquement aux données de santé électroniques qui sont appropriées, pertinentes et limitées à ce qui est nécessaire au regard de la finalité du traitement dont il est fait mention dans la demande d’accès aux données de santé présentée par l’utilisateur de données de santé, et dans le respect de l’autorisation de traitement de données qui a été délivrée en vertu de l’article 68.

2 Les organismes responsables de l’accès aux données de santé fournissent les données de santé électroniques dans un format anonymisé, lorsque la finalité du traitement par l’utilisateur de données de santé peut être réalisée à l’aide de ces données, compte tenu des informations fournies par l’utilisateur de données de santé.

3 Lorsque l’utilisateur de données de santé a suffisamment démontré que la finalité du traitement ne peut pas être réalisée à l’aide de données anonymisées conformément à l’article 68, paragraphe 1, point c), les organismes responsables de l’accès aux données de santé donnent accès aux données de santé électroniques dans un format pseudonymisé. Les informations nécessaires pour annuler la pseudonymisation ne sont accessibles qu’à l’organisme responsable de l’accès aux données de santé ou à une entité qui agit en tant que tiers de confiance conformément au droit national.

1 Une personne physique ou morale peut présenter à un organisme responsable de l’accès aux données de santé une demande d’accès aux données de santé pour les finalités visées à l’article 53, paragraphe 1.

2 La demande d’accès aux données de santé comprend: a) l’identité du demandeur de données de santé, une description de ses fonctions et de ses activités professionnelles, y compris l’identité des personnes physiques qui auraient accès aux données de santé électroniques si une autorisation de traitement de données était délivrée; le demandeur de données de santé notifie à l’organisme responsable de l’accès aux données de santé toute mise à jour de la liste des personnes physiques; b) les finalités visées à l’article 53, paragraphe 1, pour lesquelles l’accès est demandé; c) une explication détaillée de l’utilisation prévue des données de santé électroniques et des avantages escomptés liés à cette utilisation, ainsi que de la manière dont ces avantages contribueraient aux finalités visées à l’article 53, paragraphe 1; d) une description des données de santé électroniques demandées, notamment leur portée, la période concernée, leur format, leurs sources et, si possible, la couverture géographique lorsque ces données sont demandées à des détenteurs de données de santé de plusieurs États membres ou à des participants autorisés à DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75; e) une description indiquant si les données de santé électroniques doivent être mises à disposition dans un format pseudonymisé ou anonymisé; dans le cas d’un format pseudonymisé, une justification de la raison pour laquelle le traitement ne peut être effectué à l’aide de données anonymisées; f) lorsque le demandeur de données de santé a l’intention d’introduire des ensembles de données qu’il détient déjà dans l’environnement de traitement sécurisé, une description de ces ensembles de données; g) une description des garanties, qui doivent être proportionnées aux risques, prévues pour empêcher toute utilisation abusive des données de santé électroniques, ainsi que pour protéger les droits et intérêts du détenteur de données de santé et des personnes physiques concernées, et notamment pour empêcher toute réidentification des personnes physiques dans l’ensemble de données; h) une indication justifiée de la période pendant laquelle les données de santé électroniques sont nécessaires au traitement dans un environnement de traitement sécurisé; i) une description des outils et des ressources informatiques nécessaires à un environnement de traitement sécurisé; j) le cas échéant, des informations sur toute évaluation des aspects éthiques du traitement, requise au titre du droit national, qui peut servir à remplacer la propre évaluation éthique du demandeur de données de santé; k) lorsque le demandeur de données de santé a l’intention de faire usage d’une exception au titre de l’article 71, paragraphe 4, la justification requise par le droit national en vertu dudit article.

3 Lorsque le demandeur de données de santé cherche à accéder à des données de santé électroniques détenues par des détenteurs de données de santé établis dans plus d’un État membre ou des participants autorisés à DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75 concernés, il soumet une demande unique d’accès aux données de santé par l’intermédiaire de l’organisme responsable de l’accès aux données de santé de l’État membre dans lequel l’établissement principal du demandeur de données de santé est situé, par l’intermédiaire de l’organisme responsable de l’accès aux données de santé de l’État membre dans lequel l’un de ces détenteurs de données de santé est établi ou par l’intermédiaire des services fournis par la Commission dans DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75. La demande d’accès aux données de santé est automatiquement transmise aux participants autorisés à DonnéesDeSanté@UE (HealthData@EU) concernés et aux organismes responsables de l’accès aux données de santé des États membres dans lesquels sont établis les détenteurs de données de santé identifiés dans la demande d’accès aux données de santé.

4 Lorsque le demandeur de données de santé cherche à accéder aux données de santé électroniques à caractère personnel dans un format pseudonymisé, il fournit, avec la demande d’accès aux données de santé, une description de la manière dont le traitement serait conforme au droit de l’Union et au droit national applicables en matière de protection des données et de respect de la vie privée, notamment au règlement (UE) 2016/679 et, en particulier, à l’article 6, paragraphe 1, dudit règlement.

5 Les organismes du secteur public et les institutions, organes et organismes de l’Union fournissent les mêmes informations que celles requises en vertu des paragraphes 2 et 4, à l’exception du paragraphe 2, point h), auquel cas ils communiquent, à la place, des informations sur la période pendant laquelle il est possible d’accéder aux données de santé électroniques, sur la fréquence de cet accès ou sur la fréquence des mises à jour des données.

1 Aux fins de donner accès aux données de santé électroniques, les organismes responsables de l’accès aux données de santé évaluent si tous les critères suivants sont remplis: a) les finalités décrites dans la demande d’accès aux données de santé correspondent à une ou plusieurs des finalités énumérées à l’article 53, paragraphe 1; b) les données demandées sont nécessaires, adéquates et proportionnées aux finalités décrites dans la demande d’accès aux données de santé, compte tenu des exigences de minimisation des données et de limitation des finalités prévues à l’article 66; c) le traitement est conforme à l’article 6, paragraphe 1, du règlement (UE) 2016/679, et, dans le cas de données pseudonymisées, il existe une justification suffisante de ce que la finalité ne peut pas être réalisée à l’aide de données anonymisées; d) le demandeur de données de santé est qualifié au regard des finalités prévues de l’utilisation des données et possède une expertise appropriée, notamment des qualifications professionnelles dans les domaines des soins de santé, des soins, de la santé publique ou de la recherche, et cohérente avec les pratiques éthiques et les lois et réglementations applicables; e) le demandeur de données de santé démontre l’existence de mesures techniques et organisationnelles suffisantes pour prévenir une utilisation abusive des données de santé électroniques et protéger les droits et les intérêts du détenteur de données de santé et des personnes physiques concernées; f) les informations sur l’évaluation des aspects éthiques du traitement, visée à l’article 67, paragraphe 2, point j), le cas échéant, respectent le droit national; g) lorsque le demandeur de données de santé a l’intention de faire usage d’une exception au titre de l’article 71, paragraphe 4, la justification requise par les dispositions de droit national adoptées en vertu dudit article a été fournie; h) le demandeur de données de santé remplit toutes les autres exigences prévues au présent chapitre.

2 L’organisme responsable de l’accès aux données de santé tient également compte de ce qui suit: a) les risques pour la défense nationale, la sécurité, la sécurité publique et l’ordre public; b) le risque de compromettre la confidentialité des données dans les bases de données gouvernementales des autorités réglementaires.

3 Lorsque l’organisme responsable de l’accès aux données de santé conclut que les exigences prévues au paragraphe 1 sont remplies et que les risques visés au paragraphe 2 sont suffisamment atténués, l’organisme responsable de l’accès aux données de santé octroie l’accès aux données de santé électroniques en délivrant une autorisation de traitement de données. Les organismes responsables de l’accès aux données de santé refusent toutes les demandes d’accès aux données de santé lorsque les exigences prévues au présent chapitre ne sont pas remplies. Lorsque les exigences pour la délivrance d’une autorisation de traitement de données ne sont pas remplies, mais que les exigences pour fournir une réponse dans un format statistique anonymisé en vertu de l’article 69 le sont, l’organisme responsable de l’accès aux données de santé peut décider de fournir une telle réponse à condition que cette réponse atténue les risques et si la finalité de la demande d’accès aux données de santé peut être réalisée de cette manière, et que le demandeur de données de santé accepte de recevoir une réponse dans un format statistique anonymisé en vertu de l’article 69.

4 Par dérogation au règlement (UE) 2022/868, l’organisme responsable de l’accès aux données de santé délivre ou refuse de délivrer une autorisation de traitement de données dans un délai de trois mois à compter de la réception d’une demande complète d’accès aux données de santé. Si l’organisme responsable de l’accès aux données de santé constate que la demande d’accès aux données de santé est incomplète, il en informe le demandeur de données de santé et lui donne la possibilité de compléter cette demande. Si le demandeur de données de santé ne complète pas la demande d’accès aux données de santé dans un délai de quatre semaines, l’autorisation de traitement de données n’est pas délivrée. L’organisme responsable de l’accès aux données de santé peut, si nécessaire, prolonger de trois mois supplémentaires le délai de réponse à une demande d’accès aux données de santé, compte tenu de l’urgence et de la complexité de la demande d’accès aux données de santé ainsi que du volume des demandes d’accès aux donnés de santé présentées en vue d’une décision. En pareils cas, l’organisme responsable de l’accès aux données de santé informe dès que possible le demandeur de données de santé qu’un délai supplémentaire est nécessaire pour l’examen de la demande d’accès aux donnés de santé, et lui communique en même temps les raisons du retard.

5 Lorsqu’ils traitent une demande d’accès aux données de santé pour un accès transfrontière à des données de santé électroniques visées à l’article 67, paragraphe 3, les organismes responsables de l’accès aux données de santé et les participants autorisés à DonnéesDeSanté@UE (HealthData@EU) visé à l’article 75 concernés conservent la responsabilité en ce qui concerne l’adoption des décisions d’octroyer ou de refuser l’accès aux données de santé électroniques relevant de leur compétence, conformément au présent chapitre. Les organismes responsables de l’accès aux données de santé et les participants autorisés à DonnéesDeSanté@UE (HealthData@EU) concernés s’informent mutuellement de leurs décisions. Ils peuvent prendre ces informations en considération lorsqu’ils décident d’octroyer ou de refuser l’accès aux données de santé électroniques. Une autorisation de traitement de données délivrée par un organisme responsable de l’accès aux données de santé peut bénéficier de la reconnaissance mutuelle des autres organismes responsables de l’accès aux données de santé.

6 Les États membres prévoient une procédure de demande d’accès aux données de santé accélérée pour les organismes du secteur public et les institutions, organes et organismes de l’Union dotés d’un mandat légal dans le domaine de la santé publique si le traitement des données de santé électroniques doit être effectué pour les finalités établies à l’article 53, paragraphe 1, points a), b) et c). Lorsque cette procédure accélérée s’applique, l’organisme responsable de l’accès aux données de santé délivre ou refuse de délivrer une autorisation de traitement de données dans un délai de deux mois à compter de la réception d’une demande complète d’accès aux données de santé. L’organisme responsable de l’accès aux données de santé peut au besoin prolonger d’un mois supplémentaire le délai de réponse à une demande d’accès aux données de santé.

7 Après la délivrance de l’autorisation de traitement de données, l’organisme responsable de l’accès aux données de santé demande immédiatement les données de santé électroniques au détenteur de données de santé. L’organisme responsable de l’accès aux données de santé met les données de santé électroniques à la disposition de l’utilisateur de données de santé dans un délai de deux mois à compter du moment où il reçoit ces données des détenteurs de données de santé, sauf si l’organisme responsable de l’accès aux données de santé fait savoir qu’il fournira les données dans un délai plus long qu’il indique.

8 Dans les cas visés au paragraphe 5, premier alinéa, du présent article, les organismes responsables de l’accès aux données de santé et les participants autorisés à DonnéesDeSanté@UE (HealthData@EU) qui ont délivré une autorisation de traitement de données ou une approbation d’accès, respectivement, peuvent décider de donner accès aux données de santé électroniques dans l’environnement de traitement sécurisé fourni par la Commission conformément à l’article 75, paragraphe 9.

9 Lorsque l’organisme responsable de l’accès aux données de santé refuse de délivrer une autorisation de traitement de données, il fournit une justification de ce refus au demandeur de données de santé.

10 Lorsque l’organisme responsable de l’accès aux données de santé délivre une autorisation de traitement de données, il fixe dans cette autorisation de traitement de données les conditions générales applicables à l’utilisateur de données de santé. L’autorisation de traitement de données contient ce qui suit: a) les catégories, la spécification et le format des données de santé électroniques auxquelles il doit être accédé, qui sont couvertes par l’autorisation de traitement de données, ainsi que les sources desdites données, et une indication quant à savoir si l’accès aux données de santé électroniques doit avoir lieu dans un format pseudonymisé dans l’environnement de traitement sécurisé; b) une description détaillée de la finalité pour laquelle les données de santé électroniques sont mises à disposition; c) lorsqu’un mécanisme pour mettre en œuvre une exception est prévu et s’applique au titre de l’article 71, paragraphe 4, des informations indiquant s’il a été appliqué et le motif de la décision qui y est liée; d) l’identité des personnes autorisées, en particulier l’identité de l’investigateur principal, disposant de droits d’accès aux données de santé électroniques dans l’environnement de traitement sécurisé; e) la durée de l’autorisation de traitement de données; f) des informations sur les caractéristiques techniques et sur les outils dont dispose l’utilisateur de données de santé dans l’environnement de traitement sécurisé; g) les redevances à payer par l’utilisateur de données de santé; h) toutes conditions spécifiques.

11 Les utilisateurs de données de santé ont le droit d’accéder aux données de santé électroniques et de les traiter dans un environnement de traitement sécurisé conformément à l’autorisation de traitement de données qui leur a été délivrée sur la base du présent règlement.

12 Une autorisation de traitement de données est délivrée pour la durée nécessaire à la réalisation des finalités demandées et cette durée ne peut pas dépasser dix ans. Cette durée peut être prolongée une fois, pour une durée ne dépassant pas dix ans, à la demande de l’utilisateur de données de santé, sur la base d’arguments et de documents justifiant cette prolongation fournis un mois avant l’expiration de l’autorisation de traitement de données. L’organisme responsable de l’accès aux données de santé peut percevoir des redevances qui augmentent pour tenir compte des coûts et des risques associés au stockage des données de santé électroniques pendant une période dépassant la période initiale. Afin de réduire ces coûts et ces redevances, l’organisme responsable de l’accès aux données de santé peut également proposer à l’utilisateur de données de santé de stocker l’ensemble de données dans un système de stockage ayant des capacités réduites. Ces capacités réduites ne portent pas atteinte à la sécurité de l’ensemble de données traité. Les données de santé électroniques dans l’environnement de traitement sécurisé sont effacées dans un délai de six mois à compter de l’expiration de l’autorisation de traitement de données. À la demande de l’utilisateur de données de santé, la formule applicable à la création de l’ensemble de données demandé peut être conservée par l’organisme responsable de l’accès aux données de santé.

13 L’utilisateur de données de santé soumet une demande de modification de l’autorisation de traitement de données si celle-ci doit être mise à jour.

14 La Commission peut, par voie d’un acte d’exécution, établir un logo permettant de reconnaître la contribution de l’EEDS. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Le demandeur de données de santé peut présenter une demande de données de santé pour les finalités visées à l’article 53 dans le but d’obtenir une réponse uniquement dans un format statistique anonymisé. Un organisme responsable de l’accès aux données de santé ne fournit pas de réponse à une demande de données de santé dans un autre format, et l’utilisateur de données de santé n’a pas accès aux données de santé électroniques utilisées pour fournir cette réponse.

2 Une demande de données de santé visée au paragraphe 1 comprend les informations suivantes: a) l’identité du demandeur de données de santé et une description de ses fonctions et de ses activités professionnelles; b) une explication détaillée de l’utilisation prévue des données de santé électroniques, notamment les finalités visées à l’article 53, paragraphe 1, pour lesquelles la demande de données de santé est présentée; c) une description des données de santé électroniques demandées, de leur format et des sources de ces données, si possible; d) une description du contenu statistique; e) une description des garanties prévues pour empêcher toute utilisation abusive des données de santé électroniques demandées; f) une description de la manière dont le traitement serait conforme à l’article 6, paragraphe 1, du règlement (UE) 2016/679 ou à l’article 5, paragraphe 1, et à l’article 10, paragraphe 2, du règlement (UE) 2018/1725; g) lorsque le demandeur de données de santé a l’intention de faire usage d’une exception au titre de l’article 71, paragraphe 4, la justification requise à cet égard par le droit national en vertu dudit article.

3 L’organisme responsable de l’accès aux données de santé évalue si la demande de données de santé est complète et tient compte des risques visés à l’article 68, paragraphe 2.

4 L’organisme responsable de l’accès aux données de santé évalue la demande de données de santé dans un délai de trois mois à compter de la réception de la demande et, si possible, fournit ensuite la réponse à l’utilisateur de données de santé dans un délai supplémentaire de trois mois.

Au plus tard le 26 mars 2027, la Commission, par voie d’actes d’exécution, établit les modèles pour la demande d’accès aux données de santé, pour l’autorisation de traitement de données et pour la demande de données de santé visées, respectivement, aux articles 67, 68 et 69. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Les personnes physiques ont le droit de refuser à tout moment et sans motif le traitement des données de santé électroniques à caractère personnel les concernant à des fins d’utilisation secondaire au titre du présent règlement. L’exercice de ce droit est réversible.

2 Les États membres prévoient un mécanisme de refus accessible et facilement compréhensible permettant d’exercer le droit établi au paragraphe 1, par lequel les personnes physiques peuvent exprimer explicitement leur volonté que leurs données de santé électroniques à caractère personnel ne soient pas traitées à des fins d’utilisation secondaire.

3 Dès que des personnes physiques ont exercé leur droit de refus, et lorsque des données de santé électroniques à caractère personnel les concernant peuvent être identifiées dans un ensemble de données, les données de santé électroniques à caractère personnel concernant ces personnes physiques ne sont pas mises à disposition ou traitées d’une autre manière en vertu d’autorisations de traitement de données délivrées en vertu de l’article 68 ou de demandes de données de santé approuvées en vertu de l’article 69 après que les personnes physiques ont exercé leur droit de refus. Le premier alinéa du présent paragraphe n’affecte pas le traitement à des fins d’utilisation secondaire des données de santé électroniques à caractère personnel concernant ces personnes physiques en vertu d’autorisations de traitement de données ou de demandes de données de santé qui ont été délivrées ou approuvées avant que les personnes physiques aient exercé leur droit de refus.

4 Par dérogation au droit de refus prévu au paragraphe 1, un État membre peut prévoir, dans son droit national, un mécanisme permettant de mettre à disposition des données pour lesquelles un droit de refus a été exercé, à condition que toutes les conditions suivantes soient remplies: a) la demande d’accès aux données de santé ou la demande de données de santé est présentée par un organisme du secteur public ou une institution, un organe ou un organisme de l’Union ayant pour mandat d’accomplir des tâches dans le domaine de la santé publique, ou par une autre entité chargée d’accomplir des tâches publiques dans le domaine de la santé publique, ou agissant au nom d’une autorité publique ou mandatée par celle-ci, et le traitement est nécessaire pour l’une des finalités suivantes: i) les finalités visées à l’article 53, paragraphe 1, points a), b) et c); ii) la recherche scientifique pour des motifs importants d’intérêt public; b) ces données ne peuvent être obtenues par d’autres moyens en temps utile et de manière efficace à des conditions équivalentes; c) le demandeur de données de santé a fourni la justification visée à l’article 68, paragraphe 1, point g), ou à l’article 69, paragraphe 2, point g). Le droit national prévoyant un tel mécanisme contient des mesures spécifiques et appropriées visant à protéger les droits fondamentaux et les données à caractère personnel des personnes physiques. Lorsqu’un État membre prévoit dans son droit national la possibilité de demander l’accès à des données pour lesquelles un droit de refus a été exercé et que les conditions visées au premier alinéa du présent paragraphe sont remplies, ces données peuvent être incluses dans le cadre de l’accomplissement des tâches visées à l’article 57, paragraphe 1, points a), i), a), iii), et b).

5 Les règles relatives à tout mécanisme visant à mettre en œuvre des exceptions prévu au paragraphe 4 par dérogation au paragraphe 1 respectent l’essence des droits et libertés fondamentaux et constituent une mesure nécessaire et proportionnée dans une société démocratique pour réaliser des finalités d’intérêt public dans le domaine d’objectifs scientifiques et sociétaux légitimes.

6 Tout traitement effectué au titre d’un mécanisme visant à mettre en œuvre des exceptions prévu au paragraphe 4 du présent article respecte les exigences du présent chapitre, notamment l’interdiction de réidentifier ou de tenter de réidentifier des personnes physiques conformément à l’article 61, paragraphe 3. Toute mesure législative prévoyant, dans le droit national, un mécanisme visé au paragraphe 4 du présent article contient des dispositions spécifiques en matière de sécurité et de protection des droits des personnes physiques.

7 Les États membres notifient sans retard à la Commission les dispositions de leur droit national qu’ils adoptent en vertu du paragraphe 4, de même que toute modification ultérieure les concernant.

8 Lorsque les finalités du traitement des données de santé électroniques à caractère personnel par un détenteur de données de santé ne nécessitent pas ou ne nécessitent plus l’identification d’une personne concernée par le responsable du traitement, ce détenteur de données de santé n’est pas tenu de conserver, d’acquérir ou de traiter des informations supplémentaires pour identifier la personne concernée à la seule fin de respecter le droit de refus prévu par le présent article.

1 Lorsqu’un organisme responsable de l’accès aux données de santé reçoit une demande d’accès aux données de santé en vertu de l’article 67 ou une demande de données de santé en vertu de l’article 69 qui ne couvre que les données de santé électroniques détenues par un détenteur de données de santé de confiance désigné conformément au paragraphe 2 du présent article, la procédure prévue aux paragraphes 4 à 6 du présent article s’applique.

2 Les États membres peuvent établir une procédure par laquelle les détenteurs de données de santé peuvent demander à être désignés comme détenteurs de données de santé de confiance, à condition que les détenteurs de données de santé remplissent les conditions suivantes: a) ils peuvent donner accès aux données de santé au moyen d’un environnement de traitement sécurisé conforme à l’article 73; b) ils disposent de l’expertise nécessaire pour évaluer les demandes d’accès aux données de santé et les demandes de données de santé; c) ils fournissent les garanties nécessaires quant au respect du présent règlement. Les États membres désignent des détenteurs de données de santé de confiance après évaluation du respect de ces conditions par l’organisme responsable de l’accès aux données de santé concerné. Les États membres établissent une procédure pour vérifier régulièrement si le détenteur de données de santé de confiance continue de remplir ces conditions. Les organismes responsables de l’accès aux données de santé mentionnent les détenteurs de données de santé de confiance dans le catalogue des ensembles de données visé à l’article 77.

3 Les demandes d’accès aux données de santé et les demandes de données de santé visées au paragraphe 1 sont présentées à l’organisme responsable de l’accès aux données de santé, qui peut les transmettre au détenteur de données de santé de confiance concerné.

4 À la suite de la réception d’une demande d’accès aux données de santé ou d’une demande de données de santé en vertu du paragraphe 3 du présent article, le détenteur de données de santé de confiance évalue la demande d’accès aux données de santé ou la demande de données de santé au regard des critères énumérés à l’article 68, paragraphes 1 et 2, ou à l’article 69, paragraphes 2 et 3, selon le cas.

5 Le détenteur de données de santé de confiance soumet l’évaluation qu’il effectue en vertu du paragraphe 4, accompagnée d’une proposition de décision, à l’organisme responsable de l’accès aux données de santé dans un délai de deux mois à compter de la réception de la demande d’accès aux données de santé ou de la demande de données de santé émanant de l’organisme responsable de l’accès aux données de santé. Dans les deux mois à compter de la réception de l’évaluation, l’organisme responsable de l’accès aux données de santé prend une décision sur la demande d’accès aux données de santé ou la demande de données de santé. L’organisme responsable de l’accès aux données de santé n’est pas lié par la proposition soumise par le détenteur de données de santé de confiance.

6 À la suite de la décision de l’organisme responsable de l’accès aux données de santé de délivrer l’autorisation de traitement de données ou d’approuver la demande de données de santé, le détenteur de données de santé de confiance accomplit les tâches visées à l’article 57, paragraphe 1, points a), i), et b).

7 Le service d’accès aux données de santé de l’Union visé à l’article 56 peut désigner en tant que détenteurs de données de santé de confiance des détenteurs de données de santé qui sont des institutions, organes ou organismes de l’Union qui remplissent les conditions prévues au paragraphe 2, premier alinéa, points a), b) et c), du présent article. Dans ce cas, le paragraphe 2, troisième et quatrième alinéas, et les paragraphes 3 à 6 du présent article s’appliquent mutatis mutandis.

1 Les organismes responsables de l’accès aux données de santé ne donnent accès aux données de santé électroniques en vertu d’une autorisation de traitement de données qu’au moyen d’un environnement de traitement sécurisé, qui est soumis à des mesures techniques et organisationnelles et à des exigences en matière de sécurité et d’interopérabilité. L’environnement de traitement sécurisé respecte notamment les mesures de sécurité suivantes: a) restreindre aux personnes physiques autorisées énumérées dans l’autorisation de traitement de données délivrée en vertu de l’article 68 l’accès à l’environnement de traitement sécurisé; b) réduire au minimum le risque de lecture, de copie, de modification ou de suppression non autorisées de données de santé électroniques hébergées dans l’environnement de traitement sécurisé par des mesures techniques et organisationnelles de pointe; c) restreindre à un nombre limité d’individus identifiables autorisés l’introduction de données de santé électroniques et l’inspection, la modification ou la suppression de données de santé électroniques hébergées dans l’environnement de traitement sécurisé; d) veiller à ce que les utilisateurs de données de santé n’aient accès qu’aux données de santé électroniques couvertes par leur autorisation de traitement de données, au moyen d’identifiants individuels et uniques et de modes d’accès confidentiels uniquement; e) tenir des registres identifiables d’accès à l’environnement de traitement sécurisé et des activités qui sont menées dans cet environnement pendant la période nécessaire pour vérifier et contrôler toutes les opérations de traitement dans cet environnement; les registres d’accès sont conservés pendant au moins un an; f) veiller à la conformité et contrôler les mesures de sécurité visées au présent paragraphe, afin d’atténuer les menaces potentielles pour la sécurité.

2 Les organismes responsables de l’accès aux données de santé veillent à ce que les données de santé électroniques provenant des détenteurs de données de santé au format défini dans l’autorisation de traitement de données puissent être téléversées par ces détenteurs de données de santé et que l’utilisateur de données de santé puisse y avoir accès dans un environnement de traitement sécurisé. Les organismes responsables de l’accès aux données de santé examinent les données de santé électroniques contenues dans une demande de téléchargement afin de veiller à ce que les utilisateurs de données de santé ne puissent télécharger que des données de santé électroniques à caractère non personnel, notamment des données de santé électroniques dans un format statistique anonymisé, à partir de l’environnement de traitement sécurisé.

3 Les organismes responsables de l’accès aux données de santé veillent à ce que les environnements de traitement sécurisés fassent régulièrement l’objet d’audits, y compris par des tiers, et prennent des mesures correctives pour pallier les lacunes, les risques ou les vulnérabilités constatés lors de ces audits dans les environnements de traitement sécurisés.

4 Lorsque des organisations altruistes en matière de données reconnues visées au chapitre IV du règlement (UE) 2022/868 traitent des données de santé électroniques à caractère personnel au moyen d’un environnement de traitement sécurisé, ledit environnement respecte également les mesures de sécurité énoncées au paragraphe 1, points a) à f), du présent article.

5 Au plus tard le 26 mars 2027, la Commission fixe, par voie d’actes d’exécution, les exigences techniques et organisationnelles, ainsi que les exigences en matière de sécurité de l’information, de confidentialité, de protection des données et d’interopérabilité applicables aux environnements de traitement sécurisés, y compris en ce qui concerne les caractéristiques techniques et les outils dont peut disposer l’utilisateur de données de santé dans les environnements de traitement sécurisés. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Le détenteur de données de santé est réputé être le responsable du traitement pour la mise à la disposition de l’organisme responsable de l’accès aux données de santé des données de santé électroniques à caractère personnel demandées en vertu de l’article 60, paragraphe 1. L’organisme responsable de l’accès aux données de santé est réputé être le responsable du traitement des données de santé électroniques à caractère personnel lorsqu’il accomplit ses tâches en vertu du présent règlement. Nonobstant le deuxième alinéa du présent paragraphe, l’organisme responsable de l’accès aux données de santé est réputé agir en qualité de sous-traitant pour le compte de l’utilisateur de données de santé agissant en tant que responsable du traitement en ce qui concerne le traitement des données de santé électroniques à caractère personnel en vertu d’une autorisation de traitement de données délivrée au titre de l’article 68 dans l’environnement de traitement sécurisé lorsqu’il fournit des données au moyen de cet environnement ou en ce qui concerne le traitement de telles données en vertu d’une demande de données de santé approuvée au titre de l’article 69 pour qu’une réponse soit générée.

2 Dans les situations visées à l’article 72, paragraphe 6, le détenteur de données de santé de confiance est réputé être le responsable du traitement en ce qui concerne le traitement des données de santé électroniques à caractère personnel lié à la fourniture de données de santé électroniques à l’utilisateur de données de santé en vertu d’une autorisation de traitement de données ou d’une demande de données de santé. Le détenteur de données de santé de confiance est réputé agir en tant que sous-traitant pour le compte de l’utilisateur de données de santé lorsqu’il fournit des données au moyen d’un environnement de traitement sécurisé.

3 La Commission peut, par voie d’actes d’exécution, établir un modèle pour les accords entre les responsables du traitement et les sous-traitants dans le cadre des paragraphes 1 et 2 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Chaque État membre désigne un point de contact national pour l’utilisation secondaire. Ce point de contact national pour l’utilisation secondaire est un portail organisationnel et technique, qui permet la mise à disposition des données de santé électroniques à des fins d’utilisation secondaire dans un contexte transfrontière, et qui est responsable de cette mise à disposition. Le point de contact national pour l’utilisation secondaire peut être l’organisme responsable de l’accès aux données de santé désigné comme coordonnateur visé à l’article 55, paragraphe 1. Chaque État membre communique à la Commission le nom et les coordonnées du point de contact national pour l’utilisation secondaire au plus tard le 26 mars 2027. La Commission et les États membres mettent ces informations à la disposition du public.

2 Le service d’accès aux données de santé de l’Union fait office de point de contact des institutions, organes et organismes de l’Union pour l’utilisation secondaire et est responsable de la mise à disposition des données de santé électroniques à des fins d’utilisation secondaire.

3 Les points de contact nationaux pour l’utilisation secondaire visés au paragraphe 1 et le service d’accès aux données de santé de l’Union visé au paragraphe 2 se connectent à l’infrastructure transfrontière pour l’utilisation secondaire, à savoir DonnéesDeSanté@UE (HealthData@EU). Les points de contact nationaux pour l’utilisation secondaire et le service d’accès aux données de santé de l’Union facilitent l’accès transfrontière aux données de santé électroniques à des fins d’utilisation secondaire de différents participants autorisés à DonnéesDeSanté@UE (HealthData@EU). Les points de contact nationaux pour l’utilisation secondaire coopèrent étroitement entre eux et avec la Commission.

4 Les infrastructures de recherche dans le domaine de la santé ou les infrastructures similaires dont le fonctionnement est fondé sur le droit de l’Union et qui favorisent l’utilisation de données de santé électroniques à des fins de recherche, d’élaboration de politiques, de statistiques, de sécurité des patients ou de réglementation peuvent devenir des participants autorisés à DonnéesDeSanté@UE (HealthData@EU) et s’y connecter.

5 Les pays tiers ou les organisations internationales peuvent devenir des participants autorisés à DonnéesDeSanté@UE (HealthData@EU) lorsqu’ils respectent les règles du présent chapitre et qu’ils donnent aux utilisateurs de données de santé situés dans l’Union l’accès, selon des modalités et à des conditions équivalentes, aux données de santé électroniques dont disposent leurs organismes responsables de l’accès aux données de santé, sous réserve du respect du chapitre V du règlement (UE) 2016/679. La Commission peut déterminer, par voie d’actes d’exécution, qu’un point de contact national pour une utilisation secondaire d’un pays tiers ou un système établi à l’échelon international par une organisation internationale respecte les exigences de DonnéesDeSanté@UE (HealthData@EU) aux fins de l’utilisation secondaire des données de santé, respecte le présent chapitre et donne aux utilisateurs de données de santé situés dans l’Union l’accès aux données de santé électroniques auxquelles il a accès, selon des modalités et à des conditions équivalentes à celles de DonnéesDeSanté@UE (HealthData@EU). Le respect de ces exigences juridiques, organisationnelles, techniques et de sécurité, y compris des exigences applicables aux environnements de traitement sécurisés prévus à l’article 73, est vérifié sous le contrôle de la Commission. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2. La Commission met la liste des actes d’exécution adoptés en vertu du présent paragraphe à la disposition du public.

6 Chaque point de contact national pour l’utilisation secondaire et chaque participant autorisé à DonnéesDeSanté@UE (HealthData@EU) acquiert la capacité technique requise pour se connecter et participer à DonnéesDeSanté@UE (HealthData@EU). Ils se conforment aux exigences et aux spécifications techniques nécessaires pour exploiter DonnéesDeSanté@UE (HealthData@EU) et pour pouvoir s’y connecter.

7 Les États membres et la Commission mettent en place DonnéesDeSanté@UE (HealthData@EU) afin de soutenir et de faciliter l’accès transfrontière aux données de santé électroniques à des fins d’utilisation secondaire, en assurant la connexion entre les points de contact nationaux pour l’utilisation secondaire et les participants autorisés à DonnéesDeSanté@UE (HealthData@EU) ainsi que la plateforme centrale visée au paragraphe 8.

8 La Commission met au point, déploie et exploite une plateforme centrale pour DonnéesDeSanté@UE (HealthData@EU) en fournissant les services informatiques nécessaires afin de soutenir et de faciliter l’échange d’informations entre les organismes responsables de l’accès aux données de santé dans le cadre de DonnéesDeSanté@UE (HealthData@EU). La Commission ne traite les données de santé électroniques que pour le compte des responsables du traitement, en tant que sous-traitant.

9 À la demande d’au moins deux points de contact nationaux pour l’utilisation secondaire, la Commission peut prévoir un environnement de traitement sécurisé qui respecte les exigences de l’article 73 pour les données provenant de plus d’un État membre. Lorsqu’au moins deux points de contact nationaux pour l’utilisation secondaire ou participants autorisés à DonnéesDeSanté@UE (HealthData@EU) introduisent des données de santé électroniques dans l’environnement de traitement sécurisé géré par la Commission, ils sont les responsables conjoints du traitement, et la Commission est le sous-traitant aux fins du traitement des données dans cet environnement.

10 Les points de contact nationaux pour l’utilisation secondaire agissent en qualité de responsables conjoints des opérations de traitement effectuées dans DonnéesDeSanté@UE (HealthData@EU) auxquelles ils sont associés, et la Commission agit en qualité de sous-traitant pour le compte de ces points de contact nationaux pour l’utilisation secondaire, sans que cela n’ait d’incidence sur les tâches des organismes responsables de l’accès aux données de santé avant et après ces opérations de traitement.

11 Les États membres et la Commission s’efforcent de garantir que DonnéesDeSanté@UE (HealthData@EU) est interopérable avec les autres espaces européens communs des données pertinents visés dans les règlements (UE) 2022/868 et (UE) 2023/2854.

12 Au plus tard le 26 mars 2027, la Commission, par voie d’actes d’exécution, établit: a) les exigences, les spécifications techniques et l’architecture informatique de DonnéesDeSanté@UE (HealthData@EU), qui assurent un niveau optimal de sécurité des données, de confidentialité et de protection des données de santé électroniques dans DonnéesDeSanté@UE (HealthData@EU); b) les conditions et les contrôles de conformité exigés pour pouvoir adhérer et rester connecté à DonnéesDeSanté@UE (HealthData@EU), ainsi que les conditions de déconnexion temporaire ou d’exclusion définitive de DonnéesDeSanté@UE (HealthData@EU), y compris les dispositions spécifiques en cas de faute grave ou de violations répétées; c) les critères minimaux que doivent remplir les points de contact nationaux pour l’utilisation secondaire et les participants autorisés à DonnéesDeSanté@UE (HealthData@EU); d) les responsabilités des responsables du traitement et des sous-traitants participant à DonnéesDeSanté@UE (HealthData@EU); e) les responsabilités des responsables du traitement et des sous-traitants en ce qui concerne l’environnement de traitement sécurisé géré par la Commission; f) les spécifications communes applicables à l’architecture de DonnéesDeSanté@UE (HealthData@EU) et à son interopérabilité avec d’autres espaces européens communs des données. Les actes d’exécution visés au premier alinéa du présent paragraphe sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

13 En cas de résultat positif d’un contrôle de conformité visé au paragraphe 5 du présent article, la Commission peut, par voie d’actes d’exécution, prendre des décisions visant à connecter des participants autorisés individuels à DonnéesDeSanté@UE (HealthData@EU). Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Dans le cas de registres et de bases de données transfrontières, l’organisme responsable de l’accès aux données de santé auprès duquel le détenteur de données de santé pour le registre ou la base de données spécifique est enregistré est compétent pour statuer sur les demandes d’accès aux données de santé visant à donner accès aux données de santé électroniques en vertu d’une autorisation de traitement de données. Lorsque les registres ou les bases de données ont des responsables conjoints du traitement, l’organisme responsable de l’accès aux données de santé qui statue sur les demandes d’accès aux données de santé à utiliser pour donner accès aux données de santé électroniques est l’organisme responsable de l’accès aux données de santé de l’État membre dans lequel un des responsables conjoints du traitement est établi.

2 Lorsque des registres ou des bases de données d’un certain nombre d’États membres s’organisent en un réseau unique de registres ou de bases de données à l’échelle de l’Union, les registres ou bases de données associés peuvent désigner un coordonnateur pour assurer la fourniture de données du réseau de registres ou de bases de données à des fins d’utilisation secondaire. L’organisme responsable de l’accès aux données de santé de l’État membre dans lequel est établi le coordonnateur du réseau est compétent pour statuer sur les demandes d’accès aux données de santé à utiliser pour donner accès aux données de santé électroniques pour le réseau de registres ou de bases de données.

1 Les organismes responsables de l’accès aux données de santé fournissent, au moyen d’un catalogue des ensembles de données normalisé, accessible au public et lisible par machine, une description sous la forme de métadonnées, des ensembles de données disponibles et de leurs caractéristiques. La description de chaque ensemble de données comprend des informations concernant la source, la portée, les caractéristiques principales et la nature des données de santé électroniques dans l’ensemble de données et les conditions de mise à disposition de ces données.

2 Les descriptions des ensembles de données figurant dans le catalogue des ensembles de données national sont disponibles, dans au moins une langue officielle de l’Union. Le catalogue des ensembles de données pour les institutions, organes et organismes de l’Union fourni par le service d’accès aux données de santé de l’Union est disponible dans toutes les langues officielles de l’Union.

3 Le catalogue des ensembles de données est mis à la disposition des points d’information uniques établis ou désignés en vertu de l’article 8 du règlement (UE) 2022/868.

4 Au plus tard le 26 mars 2027, la Commission détermine, par voie d’actes d’exécution, les éléments minimaux que les détenteurs de données de santé doivent fournir concernant les ensembles de données et les caractéristiques de ces éléments. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Les ensembles de données mis à disposition par l’intermédiaire des organismes responsables de l’accès aux données de santé peuvent être accompagnés d’un label de qualité et d’utilité des données de l’Union apposé par les détenteurs de données de santé.

2 Les ensembles de données contenant des données de santé électroniques collectées et traitées avec le soutien d’un financement public national ou de l’Union sont accompagnés d’un label de qualité et d’utilité des données couvrant les éléments énoncés au paragraphe 3.

3 Le label de qualité et d’utilité des données couvre, le cas échéant, les éléments suivants: a) pour la documentation des données: les métadonnées, la documentation d’appui, le dictionnaire de données, le format et les normes utilisés, la source des données et, le cas échéant, le modèle de données; b) pour l’évaluation de la qualité technique: l’exhaustivité, l’unicité, l’exactitude, la validité, l’actualité et la cohérence des données; c) pour les processus de gestion de la qualité des données: le niveau de maturité des processus de gestion de la qualité des données, dont les processus d’examen et d’audit, et l’examen des biais; d) pour l’évaluation de la couverture: la période, la population couverte et, le cas échéant, la représentativité de la population échantillonnée et la période moyenne dans laquelle une personne physique apparaît dans un ensemble de données; e) pour les informations sur l’accès et la fourniture: le délai entre la collecte des données de santé électroniques et leur ajout à l’ensemble de données et le temps nécessaire pour la fourniture de données de santé électroniques à la suite de la délivrance d’une autorisation de traitement de données ou de l’approbation d’une demande de données de santé; f) pour les informations sur les modifications de données: la fusion et l’ajout de données à un ensemble de données existant, les liens avec d’autres ensembles de données.

4 Lorsqu’un organisme responsable de l’accès aux données de santé a des raisons de croire qu’un label de qualité et d’utilité des données pourrait être inexact, il évalue si l’ensemble de données couvert par le label satisfait aux exigences de qualité faisant partie des éléments du label de qualité et d’utilité des données visés au paragraphe 3 et, dans le cas où l’ensemble de données ne satisfait pas aux exigences de qualité, révoque le label.

5 La Commission est habilitée à adopter des actes délégués conformément à l’article 97 pour modifier le présent règlement en modifiant les éléments que doit couvrir le label de qualité et d’utilité des données prévus au paragraphe 3 du présent article, ou en ajoutant ou en supprimant de tels éléments.

6 Au plus tard le 26 mars 2027, la Commission détermine, par voie d’actes d’exécution, les caractéristiques visuelles et les spécifications techniques du label de qualité et d’utilité des données, sur la base des éléments visés au paragraphe 3 du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2, du présent règlement. Ces actes d’exécution tiennent compte des exigences énoncées à l’article 10 du règlement (UE) 2024/1689 et de toutes spécifications communes ou normes harmonisées adoptées qui soutiennent ces exigences, le cas échéant.

1 La Commission établit un catalogue des ensembles de données de l’UE mettant en relation les catalogues des ensembles de données nationaux établis par les organismes responsables de l’accès aux données de santé dans chaque État membre ainsi que les catalogues des ensembles de données des participants autorisés à DonnéesDeSanté@UE (HealthData@EU).

2 Le catalogue des ensembles de données de l’UE, les catalogues des ensembles de données nationaux et les catalogues des ensembles de données des participants autorisés à DonnéesDeSanté@UE (HealthData@EU) sont rendus publics.

La Commission peut, par voie d’actes d’exécution, déterminer les spécifications minimales applicables aux ensembles de données ayant une incidence majeure sur l’utilisation secondaire, en tenant compte des infrastructures, normes, lignes directrices et recommandations existantes de l’Union. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Sans préjudice de tout autre recours administratif ou juridictionnel, les personnes physiques et les personnes morales ont le droit d’introduire une réclamation en lien avec les dispositions du présent chapitre, individuellement ou, le cas échéant, collectivement, auprès d’un organisme responsable de l’accès aux données de santé, pour autant que leurs droits ou intérêts soient lésés.

2 L’organisme responsable de l’accès aux données de santé auprès duquel la réclamation a été introduite informe l’auteur de la réclamation des progrès réalisés dans le traitement de la réclamation et de la décision prise au sujet de la réclamation.

3 Les organismes responsables de l’accès aux données de santé mettent à disposition des outils facilement accessibles pour introduire des réclamations.

4 Lorsque la réclamation concerne les droits de personnes physiques en vertu de l’article 71 du présent règlement, la réclamation est transmise à l’autorité de contrôle compétente au titre du règlement (UE) 2016/679. L’organisme responsable de l’accès aux données de santé compétent fournit les informations nécessaires dont elle dispose à cette autorité de contrôle en vertu du règlement (UE) 2016/679 afin de faciliter l’évaluation et l’enquête portant sur la réclamation.

La Commission soutient la mise en commun des bonnes pratiques et de l’expertise en vue de renforcer la capacité au sein des États membres à développer les systèmes de santé numériques en ce qui concerne l’utilisation primaire et l’utilisation secondaire, en tenant compte des situations spécifiques des différentes catégories de parties prenantes concernées. Afin de soutenir le renforcement des capacités, la Commission, en étroite collaboration et concertation avec les États membres, élabore des indicateurs d’autoévaluation pour l’utilisation primaire et l’utilisation secondaire.

1 Les États membres élaborent et mettent en œuvre des programmes de formation pour les professionnels de la santé, ou leur donnent accès à de tels programmes, et leur donnent accès à des informations, afin qu’ils comprennent et remplissent efficacement leur rôle en ce qui concerne l’utilisation primaire des données de santé électroniques et l’accès à ces données, notamment en lien avec les articles 11, 13 et 16. La Commission soutient les États membres à cet égard.

2 Les programmes de formation et les informations sont accessibles et abordables pour tous les professionnels de la santé, sans préjudice de l’organisation des systèmes de soins de santé au niveau national.

1 Les États membres promeuvent et soutiennent la maîtrise des outils de santé numérique et le développement des compétences et aptitudes pertinentes pour les patients. La Commission soutient les États membres à cet égard. Les campagnes ou programmes de sensibilisation visent en particulier à informer les patients et le grand public sur l’utilisation primaire et l’utilisation secondaire dans le cadre de l’EEDS, y compris sur les droits qui en découlent, ainsi que sur les avantages, les risques et les bienfaits potentiels pour la science et la société de l’utilisation primaire et de l’utilisation secondaire.

2 Les campagnes et programmes de sensibilisation visés au paragraphe 1 sont adaptés aux besoins de groupes spécifiques et sont développés, réexaminés et, le cas échéant, mis à jour.

3 Les États membres promeuvent l’accès à l’infrastructure nécessaire à la gestion efficace des données de santé électroniques des personnes physiques, tant à des fins d’utilisation primaire que d’utilisation secondaire.

1 Les pouvoirs adjudicateurs, dont les autorités de santé numérique et les organismes responsables de l’accès aux données de santé, ainsi que les institutions, organes et organismes de l’Union, font référence aux spécifications techniques, aux normes et aux profils applicables visés aux articles 15, 23, 36, 73, 75 et 78 pour les procédures de marchés publics et lors de la formulation de leurs dossiers d’appels d’offres ou d’appels à propositions, ainsi que lors de la fixation des conditions d’obtention d’un financement de l’Union concernant le présent règlement, y compris les conditions favorisantes pour ce qui est des Fonds structurels et des fonds de cohésion.

2 Les critères d’obtention d’un financement de l’Union tiennent compte des exigences élaborées dans le cadre des chapitres II, III et IV.

Conformément aux principes généraux du droit de l’Union, qui comprennent les droits fondamentaux consacrés aux articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, les États membres assurent la mise en place d’un niveau particulièrement élevé de protection et de sécurité lors du traitement des données de santé électroniques à caractère personnel à des fins d’utilisation primaire, au moyen de mesures techniques et organisationnelles appropriées. À cet égard, le présent règlement ne fait pas obstacle à ce que le droit national, compte tenu du contexte national, exige que, dans les cas où des données de santé électroniques à caractère personnel sont traitées par des prestataires de soins de santé aux fins de la fourniture de soins de santé ou par les points de contact nationaux pour la santé numérique connectés à MaSanté@UE (MyHealth@EU), la conservation des données de santé électroniques à caractère personnel visées à l’article 14 du présent règlement à des fins d’utilisation primaire soit situé dans l’Union, en conformité avec le droit de l’Union et les engagements internationaux.

1 Les organismes responsables de l’accès aux données de santé, les détenteurs de données de santé de confiance et le service d’accès aux données de santé de l’Union conservent et traitent les données de santé électroniques à caractère personnel dans l’Union lorsqu’ils effectuent des opérations de pseudonymisation, d’anonymisation et toute autre opération de traitement de données à caractère personnel visée aux articles 67 à 72, au moyen d’environnements de traitement sécurisés au sens de l’article 73 et de l’article 75, paragraphe 9, ou au moyen de DonnéesDeSanté@UE (HealthData@EU). Cette exigence s’applique à toute entité accomplissant ces tâches au nom de ces organismes, ces détenteurs ou ce service.

2 Par dérogation au paragraphe 1 du présent article, les données visées audit paragraphe peuvent être conservées et traitées dans un pays tiers, ou un territoire ou un ou plusieurs secteurs déterminés dans ce pays tiers lorsque ce pays, territoire ou secteur est couvert par une décision d’adéquation adoptée en vertu de l’article 45 du règlement (UE) 2016/679.

1 Les données de santé électroniques à caractère non personnel mises à la disposition d’un utilisateur de données de santé dans un pays tiers par les organismes responsables de l’accès aux données de santé au titre d’une autorisation de traitement de données délivrée en vertu de l’article 68 du présent règlement ou d’une demande de données approuvée en vertu de l’article 69 du présent règlement, ou mises à la disposition de participants autorisés dans un pays tiers ou d’une organisation internationale, et fondées sur les données de santé électroniques d’une personne physique qui relèvent de l’une des catégories visées à l’article 51 du présent règlement, sont considérées comme hautement sensibles au sens de l’article 5, paragraphe 13, du règlement (UE) 2022/868, lorsque le transfert de telles données électroniques à caractère non personnel vers des pays tiers présente un risque de réidentification par des moyens allant au-delà de ceux raisonnablement susceptibles d’être utilisés, compte tenu en particulier du nombre limité de personnes physiques auxquelles ces données se rapportent, du fait que ces personnes physiques sont géographiquement dispersées ou des évolutions technologiques attendues dans un avenir proche.

2 Les mesures de protection pour les catégories de données visées au paragraphe 1 du présent article sont détaillées dans un acte délégué comme visé à l’article 5, paragraphe 13, du règlement (UE) 2022/868.

1 Les autorités de santé numérique, les organismes responsables de l’accès aux données de santé, les participants autorisés aux infrastructures transfrontières prévues aux articles 23 et 75 et les utilisateurs de données de santé prennent toutes les mesures techniques, juridiques et organisationnelles raisonnables, y compris des arrangements contractuels, afin d’empêcher le transfert de données de santé électroniques à caractère non personnel détenues dans l’Union vers un pays tiers ou une organisation internationale, ou l’accès des autorités publiques d’un pays tiers à de telles données, lorsque ce transfert risque d’être en conflit avec le droit de l’Union ou le droit national de l’État membre concerné.

2 Toute décision d’une juridiction d’un pays tiers et toute décision d’une autorité administrative d’un pays tiers exigeant d’une autorité de santé numérique, d’un organisme responsable de l’accès aux données de santé ou d’utilisateurs de données de santé qu’ils transfèrent des données de santé électroniques à caractère non personnel relevant du champ d’application du présent règlement détenues dans l’Union, ou qu’ils donnent accès à de telles données, ne sont reconnues ou exécutoires de quelque manière que ce soit que si elles sont fondées sur un accord international, tel qu’un traité d’entraide judiciaire, en vigueur entre le pays tiers demandeur et l’Union, ou sur tout accord de ce type entre le pays tiers demandeur et un État membre.

3 En l’absence d’un accord international comme visé au paragraphe 2, lorsqu’une autorité de santé numérique, un organisme responsable de l’accès aux données de santé ou un utilisateur de données de santé est destinataire d’une décision d’une juridiction d’un pays tiers ou d’une décision d’une autorité administrative d’un pays tiers, exigeant qu’ils transfèrent des données à caractère non personnel relevant du champ d’application du présent règlement détenues dans l’Union, ou qu’ils donnent accès à de telles données, et lorsque le respect d’une telle décision risquerait de mettre le destinataire en conflit avec le droit de l’Union ou avec le droit national de l’État membre concerné, le transfert de ces données vers cette juridiction ou cette autorité administrative d’un pays tiers n’a lieu ou l’accès à ces données par cette même juridiction ou autorité n’est donné que si: a) le système juridique du pays tiers exige que les motifs et la proportionnalité d’une telle décision soient exposés et que cette décision revête un caractère spécifique, par exemple en établissant un lien suffisant avec certaines personnes suspectées ou avec des infractions; b) l’objection motivée du destinataire fait l’objet d’un examen par une juridiction compétente du pays tiers; et c) la juridiction compétente du pays tiers qui rend la décision ou contrôle la décision d’une autorité administrative est habilitée par le droit national du pays tiers à prendre dûment en compte les intérêts juridiques concernés du fournisseur des données protégés par le droit de l’Union ou par le droit national de l’État membre concerné.

4 Si les conditions énoncées au paragraphe 2 ou 3 sont remplies, une autorité de santé numérique, un organisme responsable de l’accès aux données de santé ou une organisation altruiste en matière de données fournit le volume minimal de données admissible en réponse à une demande, sur la base d’une interprétation raisonnable de la demande.

5 Les autorités de santé numérique, les organismes responsables de l’accès aux données de santé et les utilisateurs de données de santé informent le détenteur de données de l’existence d’une demande d’accès à ses données émanant d’une autorité administrative d’un pays tiers avant de donner suite à cette demande, sauf si la demande sert des fins répressives et aussi longtemps que donner suite à cette demande est nécessaire pour préserver l’efficacité de l’action répressive.

Le transfert de données de santé électroniques à caractère personnel vers un pays tiers ou une organisation internationale est octroyé conformément au chapitre V du règlement (UE) 2016/679. Les États membres peuvent maintenir ou introduire d’autres conditions relatives à l’accès international aux données de santé électroniques à caractère personnel et au transfert de ces données, y compris des limitations, conformément à l’article 9, paragraphe 4, du règlement (UE) 2016/679, en plus des exigences fixées à l’article 24, paragraphe 3, et à l’article 75, paragraphe 5, du présent règlement et au chapitre V du règlement (UE) 2016/679.

1 Sans préjudice des articles 67, 68 et 69, les demandes d’accès aux données de santé et les demandes de données de santé présentées par un demandeur de données de santé établi dans un pays tiers sont prises en considération par les organismes responsables de l’accès aux données de santé et le service d’accès aux données de santé de l’Union si le pays tiers concerné: a) est un participant autorisé en raison du fait qu’il dispose d’un point de contact national pour l’utilisation secondaire couvert par un acte d’exécution visé à l’article 75, paragraphe 5; ou b) permet aux demandeurs de données de santé de l’Union d’accéder aux données de santé électroniques dans ce pays tiers à des conditions qui ne sont pas plus restrictives que celles prévues par le présent règlement et que cet accès est dès lors couvert par un acte d’exécution visé au paragraphe 2 du présent article.

2 La Commission peut, par voie d’actes d’exécution, déterminer qu’un pays tiers satisfait à l’exigence énoncée au paragraphe 1, point b), du présent article. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2. La Commission met la liste des actes d’exécution adoptés en vertu du présent paragraphe à la disposition du public.

3 La Commission suit les évolutions dans les pays tiers et les organisations internationales qui pourraient avoir une incidence sur l’application des actes d’exécution adoptés en vertu du paragraphe 2, et elle prévoit un réexamen périodique de l’application du présent article. Lorsque la Commission estime qu’un pays tiers ne satisfait plus à l’exigence prévue au paragraphe 1, point b), du présent article, elle adopte un acte d’exécution abrogeant l’acte d’exécution visé au paragraphe 2 du présent article concernant ce pays tiers qui bénéficie d’un accès. Cet acte d’exécution est adopté en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Il est institué un comité de l’espace européen des données de santé (ci-après dénommé «comité de l’EEDS») afin de faciliter la coopération et l’échange d’informations entre les États membres et la Commission. Le comité de l’EEDS est composé de deux représentants par État membre, à savoir un représentant pour l’utilisation primaire et un représentant pour l’utilisation secondaire, désignés par chaque État membre. Chaque État membre dispose d’une voix. Les membres du comité de l’EEDS s’engagent à agir dans l’intérêt public et de manière indépendante.

2 Un représentant de la Commission et l’un des représentants des États membres visés au paragraphe 1 coprésident les réunions du comité de l’EEDS.

3 Les autorités de surveillance du marché visées à l’article 43, le comité européen de la protection des données et le Contrôleur européen de la protection des données, l’Agence européenne des médicaments, le Centre européen de prévention et de contrôle des maladies et l’Agence de l’Union européenne pour la cybersécurité (ENISA) sont invités à assister aux réunions lorsque le comité de l’EEDS l’estime pertinent.

4 Le comité de l’EEDS peut inviter des autorités nationales, des experts et des observateurs ainsi que des institutions, organes et organismes de l’Union, outre ceux visés au paragraphe 3, et des infrastructures de recherche et d’autres infrastructures similaires à assister à ses réunions.

5 Le comité de l’EEDS peut, le cas échéant, coopérer avec des experts externes.

6 Selon les fonctions liées à l’utilisation des données de santé électroniques, le comité de l’EEDS peut travailler en sous-groupes pour certains sujets, dans lesquels les autorités de santé numérique ou les organismes responsables de l’accès aux données de santé sont représentés. Ces sous-groupes soutiennent le comité de l’EEDS en apportant une expertise spécifique et peuvent tenir des réunions conjointes, en tant que de besoin.

7 Le comité de l’EEDS adopte son règlement intérieur et un code de conduite, sur proposition de la Commission. Ce règlement intérieur prévoit la composition, l’organisation, le fonctionnement et la coopération des sous-groupes visés au paragraphe 6 du présent article, ainsi que la coopération du comité de l’EEDS avec le forum des parties prenantes visé à l’article 93. Le comité de l’EEDS adopte ses décisions par consensus dans la mesure du possible. S’il est impossible de parvenir à un consensus, le comité de l’EEDS adopte ses décisions à la majorité des deux tiers des États membres.

8 Le comité de l’EEDS coopère avec d’autres organismes, entités et experts concernés, tels que le comité européen de l’innovation dans le domaine des données institué par l’article 29 du règlement (UE) 2022/868, les autorités compétentes désignées conformément à l’article 37 du règlement (UE) 2023/2854, les organes de contrôle désignés conformément à l’article 46 ter du règlement (UE) no 910/2014, le comité européen de la protection des données institué par l’article 68 du règlement (UE) 2016/679, les organes de cybersécurité, dont l’ENISA, et le nuage européen pour la science ouverte, en vue de parvenir à des solutions avancées pour l’utilisation de données faciles à trouver, accessibles, interopérables et réutilisables (FAIR) dans la recherche et l’innovation.

9 Le comité de l’EEDS est assisté par un secrétariat assuré par la Commission.

10 Le comité de l’EEDS publie les dates de ses réunions et les comptes rendus de ses débats, ainsi qu’un rapport de ses activités tous les deux ans.

11 La Commission adopte, par voie d’actes d’exécution, les mesures nécessaires à la création et au fonctionnement du comité de l’EEDS. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 98, paragraphe 2.

1 Un forum des parties prenantes est institué afin de faciliter l’échange d’informations et de promouvoir la coopération entre les parties prenantes dans le cadre de la mise en œuvre du présent règlement.

2 Le forum des parties prenantes présente une composition équilibrée, est composé des parties prenantes concernées, notamment des représentants des organisations de patients, des professionnels de la santé, des entreprises, des organisations de consommateurs, des chercheurs scientifiques et du monde universitaire, et représente leurs points de vue. Lorsque des intérêts commerciaux sont représentés au sein du forum des parties prenantes, la représentation de ces intérêts est fondée sur une combinaison équilibrée de grandes entreprises, de petites et moyennes entreprises et de start-up. Les tâches du forum des parties prenantes portent de manière égale sur l’utilisation primaire et l’utilisation secondaire.

3 Les membres du forum des parties prenantes sont nommés par la Commission à l’issue d’un appel public à manifestation d’intérêt et d’une procédure de sélection transparente. Les membres du forum des parties prenantes font une déclaration annuelle d’intérêts, qui est rendue publique et mise à jour le cas échéant.

4 Le forum des parties prenantes peut créer des sous-groupes permanents ou temporaires, selon qu’il convient, afin d’examiner des questions spécifiques liées aux objectifs du présent règlement. Le forum des parties prenantes adopte son règlement intérieur.

5 Le forum des parties prenantes se réunit régulièrement et un représentant de la Commission préside les réunions.

6 Le forum des parties prenantes prépare un rapport annuel sur ses activités. Ce rapport est rendu public.

1 Le comité de l’EEDS est chargé des tâches ci-après relatives à l’utilisation primaire conformément aux chapitres II et III: a) aider les États membres à coordonner les pratiques des autorités de santé numérique; b) fournir des contributions écrites et échanger de bonnes pratiques sur les questions liées à la coordination de la mise en œuvre, à l’échelon des États membres en tenant compte de l’échelon régional et local, du présent règlement et des actes délégués et d’exécution adoptés en vertu de celui-ci, notamment en ce qui concerne: i) les dispositions des chapitres II et III; ii) la mise au point de services en ligne facilitant l’accès sécurisé, y compris l’identification électronique sécurisée, aux données de santé électroniques pour les professionnels de la santé et les personnes physiques; iii) d’autres aspects de l’utilisation primaire; c) faciliter la coopération entre les autorités de santé numérique par le renforcement des capacités, la mise en place du cadre pour l’élaboration des rapports d’activité visés à l’article 20 et l’échange d’informations; d) échanger des informations entre ses membres concernant les risques présentés par les systèmes de DME et les incidents graves ainsi que la gestion de ces risques et incidents; e) faciliter l’échange de vues sur l’utilisation primaire avec le forum des parties prenantes visé à l’article 93, ainsi qu’avec les autorités de réglementation et les décideurs dans le secteur de la santé.

2 Le comité de l’EEDS est chargé des tâches ci-après relatives à l’utilisation secondaire conformément au chapitre IV: a) aider les États membres à coordonner les pratiques des organismes responsables de l’accès aux données de santé dans la mise en œuvre des dispositions énoncées au chapitre IV, afin d’assurer une application cohérente du présent règlement; b) fournir des contributions écrites et échanger de bonnes pratiques sur les questions liées à la coordination de la mise en œuvre, à l’échelon des États membres, du présent règlement et des actes délégués et d’exécution adoptés en vertu de celui-ci, notamment en ce qui concerne: i) la mise en œuvre des règles relatives à l’accès aux données de santé électroniques; ii) les spécifications techniques ou les normes existantes se rapportant aux exigences énoncées au chapitre IV; iii) les incitations visant à promouvoir l’amélioration de la qualité des données et de l’interopérabilité; iv) les politiques relatives aux redevances à percevoir par les organismes responsables de l’accès aux données de santé et les détenteurs de données de santé; v) les mesures destinées à protéger les données à caractère personnel des professionnels de la santé intervenant dans le traitement de personnes physiques; vi) d’autres aspects de l’utilisation secondaire; c) créer, en concertation et en coopération avec les parties prenantes concernées, dont les représentants des patients, des professionnels de la santé et des chercheurs, des lignes directrices afin d’aider les utilisateurs de données de santé à remplir leurs obligations au titre de l’article 61, paragraphe 5, et en particulier en vue de déterminer si leurs constatations sont cliniquement significatives ou non; d) faciliter la coopération entre les organismes responsables de l’accès aux données de santé par le renforcement des capacités, mettre en place le cadre pour l’élaboration des rapports d’activité visés à l’article 59, paragraphe 1, et l’échange d’informations; e) échanger des informations concernant les risques et les incidents ayant trait à l’utilisation secondaire et gérer ces risques et incidents; f) faciliter l’échange de vues sur l’utilisation secondaire avec le forum des parties prenantes visé à l’article 93, ainsi qu’avec les détenteurs de données de santé, les utilisateurs de données de santé, les autorités de réglementation et les décideurs dans le secteur de la santé.

1 Le groupe de pilotage MaSanté@UE (MyHealth@EU) et le groupe de pilotage DonnéesDeSanté@UE (HealthData@EU) (ci-après dénommés «groupes de pilotage») sont établis pour les infrastructures transfrontières prévues aux articles 23 et 75. Chaque groupe de pilotage est composé d’un représentant par État membre désigné parmi les points de contact nationaux concernés.

2 Les groupes de pilotage prennent des décisions opérationnelles concernant le développement et l’exploitation de MaSanté@UE (MyHealth@EU) et DonnéesDeSanté@UE (HealthData@EU).

3 Les groupes de pilotage prennent leurs décisions par consensus. Lorsqu’il n’est pas possible de parvenir à un consensus, une décision est adoptée à la majorité des deux tiers des membres. Pour l’adoption des décisions, chaque État membre dispose d’une voix.

4 Les groupes de pilotage adoptent un règlement intérieur, fixant la composition, l’organisation, le fonctionnement et la coopération desdits groupes de pilotage.

5 D’autres participants autorisés peuvent être invités à échanger des informations et des points de vue sur des questions pertinentes liées à MaSanté@UE (MyHealth@EU) et DonnéesDeSanté@UE (HealthData@EU). Lorsque ces participants autorisés sont invités, ils ont un rôle d’observateur.

6 Les parties prenantes et les tiers concernés, dont les représentants des patients, des professionnels de la santé, des consommateurs et des entreprises, peuvent être invités à assister aux réunions des groupes de pilotage en qualité d’observateurs.

7 Les groupes de pilotage élisent des présidents pour leurs réunions.

8 Les groupes de pilotage sont assistés par un secrétariat assuré par la Commission.

1 Outre son rôle dans la mise à disposition des données de santé électroniques détenues par les institutions, organes ou organismes de l’Union, conformément à l’article 55, à l’article 56 et à l’article 75, paragraphe 2, et les tâches qui lui incombent au titre du chapitre III, en particulier de l’article 40, la Commission développe, maintient, héberge et exploite les infrastructures et les services centraux nécessaires pour soutenir le fonctionnement de l’EEDS, pour toutes les entités connectées concernées, par le biais: a) d’un mécanisme interopérable et transfrontière d’identification et d’authentification pour les personnes physiques et les professionnels de la santé, conformément à l’article 16, paragraphes 3 et 4; b) des services centraux et des infrastructures de santé numérique de MaSanté@UE (MyHealth@EU), conformément à l’article 23, paragraphe 1; c) de contrôles de conformité pour connecter les participants autorisés à MaSanté@UE (MyHealth@EU), conformément à l’article 23, paragraphe 9; d) des services et infrastructures transfrontières de santé numérique supplémentaires visés à l’article 24, paragraphe 1; e) dans le cadre de DonnéesDeSanté@UE (HealthData@EU), d’un service auquel présenter des demandes d’accès aux données de santé visant à demander l’accès aux données de santé électroniques détenues par des détenteurs de données de santé dans plus d’un État membre ou par d’autres participants autorisés à DonnéesDeSanté@UE (HealthData@EU), et permettant de transmettre automatiquement les demandes d’accès aux demandes de santé aux points de contact concernés, conformément à l’article 67, paragraphe 3; f) des services centraux et des infrastructures de DonnéesDeSanté@UE (HealthData@EU), conformément à l’article 75, paragraphes 7 et 8; g) d’un environnement de traitement sécurisé, conformément à l’article 75, paragraphe 9, dans lequel les organismes responsables de l’accès aux données de santé peuvent décider de mettre des données à disposition, conformément à l’article 68, paragraphe 8; h) de contrôles de conformité pour connecter les participants autorisés à DonnéesDeSanté@UE (HealthData@EU), conformément à l’article 75, paragraphe 5; i) d’un catalogue fédéré des ensembles de données de l’UE reliant les catalogues d’ensembles de données nationaux, conformément à l’article 79; j) d’un secrétariat pour le comité de l’EEDS, conformément à l’article 92, paragraphe 9; k) d’un secrétariat pour les groupes de pilotage, conformément à l’article 95, paragraphe 8.

2 Les services visés au paragraphe 1 du présent article répondent à des normes de qualité suffisante en matière de disponibilité, de sécurité, de capacité, d’interopérabilité, de maintenance, de suivi et de développement pour garantir le bon fonctionnement de l’EEDS. La Commission fournit ces services conformément aux décisions opérationnelles des groupes de pilotage établis à l’article 95.

3 La Commission prépare un rapport sur les infrastructures et les services qui soutiennent l’EEDS qu’elle fournit conformément au paragraphe 1 tous les deux ans et met ce rapport à la disposition du public.

1 Le pouvoir d’adopter des actes délégués conféré à la Commission est soumis aux conditions fixées au présent article.

2 Le pouvoir d’adopter des actes délégués visé à l’article 14, paragraphe 2, à l’article 49, paragraphe 4, et à l’article 78, paragraphe 5, est conféré à la Commission pour une durée indéterminée du 25 mars 2025.

3 La délégation de pouvoir visée à l’article 14, paragraphe 2, à l’article 49, paragraphe 4, et à l’article 78, paragraphe 5, peut être révoquée à tout moment par le Parlement européen ou le Conseil. La décision de révocation met fin à la délégation de pouvoir qui y est précisée. La révocation prend effet le jour suivant celui de la publication de ladite décision au Journal officiel de l’Union européenne ou à une date ultérieure qui est précisée dans ladite décision. Elle ne porte pas atteinte à la validité des actes délégués déjà en vigueur.

4 Avant l’adoption d’un acte délégué, la Commission consulte les experts désignés par chaque État membre, conformément aux principes définis dans l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer».

5 Aussitôt qu’elle adopte un acte délégué, la Commission le notifie au Parlement européen et au Conseil simultanément.

6 Un acte délégué adopté en vertu de l’article 14, paragraphe 2, de l’article 49, paragraphe 4, ou de l’article 78, paragraphe 5, n’entre en vigueur que si le Parlement européen ou le Conseil n’a pas exprimé d’objections dans un délai de trois mois à compter de la notification de cet acte au Parlement européen et au Conseil ou si, avant l’expiration de ce délai, le Parlement européen et le Conseil ont tous deux informé la Commission de leur intention de ne pas exprimer d’objections. Ce délai est prolongé de trois mois à l’initiative du Parlement européen ou du Conseil.

1 La Commission est assistée par un comité. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2 Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) no 182/2011 s’applique.

Les États membres déterminent le régime des sanctions applicables aux violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues aux articles 63 et 64, et prennent toutes les mesures nécessaires pour assurer la mise en œuvre de ces sanctions. Ces sanctions doivent être effectives, proportionnées et dissuasives. Les États membres informent la Commission, au plus tard le 26 mars 2027, du régime ainsi déterminé et des mesures ainsi prises, et lui communiquent sans retard toute modification apportée ultérieurement à ce régime ou à ces mesures. Les États membres tiennent compte, le cas échéant, des critères indicatifs et non exhaustifs suivants pour l’imposition de sanctions en cas de violation du présent règlement: a) la nature, la gravité, l’ampleur et la durée de la violation; b) toute mesure prise par l’auteur de la violation pour atténuer ou réparer le dommage causé par la violation; c) toute violation antérieure commise par l’auteur de la violation; d) les avantages financiers obtenus ou les pertes évitées par l’auteur de la violation en raison de la violation, si ces avantages ou pertes peuvent être établis de manière fiable; e) toute autre circonstance aggravante ou atténuante applicable au cas concerné; f) le chiffre d’affaires annuel réalisé dans l’Union par l’auteur de la violation au cours de l’exercice précédent.

Toute personne physique ou morale ayant subi un préjudice matériel ou moral résultant de la violation du présent règlement a le droit d’obtenir réparation conformément au droit de l’Union et au droit national.

Lorsqu’une personne physique estime que les droits que lui confère le présent règlement ont été violés, elle a le droit de mandater un organisme, une organisation ou une association à but non lucratif, constitués conformément au droit national, dont les objectifs statutaires sont d’intérêt public et qui sont actifs dans le domaine de la protection des données à caractère personnel, pour qu’ils introduisent une réclamation en son nom ou exercent les droits visés aux articles 21 et 81.

1 Au plus tard le 26 mars 2033, la Commission procède à une évaluation ciblée du présent règlement, et présente au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions un rapport exposant ses principales conclusions, accompagné, s’il y a lieu, d’une proposition de modification. Cette évaluation couvre les éléments suivants: a) les possibilités d’étendre davantage l’interopérabilité entre les systèmes de DME et les services d’accès aux données de santé électroniques autres que ceux mis en place par les États membres; b) la nécessité de mettre à jour les catégories de données visées à l’article 51 et les finalités énumérées à l’article 53, paragraphe 1; c) la mise en œuvre et l’utilisation par les personnes physiques des mécanismes de refus en ce qui concerne l’utilisation secondaire visés à l’article 71, notamment en ce qui concerne l’incidence de ces mécanismes sur la santé publique, la recherche scientifique et les droits fondamentaux; d) l’utilisation et la mise en œuvre de toutes mesures plus strictes introduites en vertu de l’article 51, paragraphe 4; e) l’exercice et la mise en œuvre du droit visé à l’article 8; f) une évaluation du cadre de certification des systèmes de DME établi au chapitre III et la nécessité de mettre en place d’autres outils en matière d’évaluation de la conformité; g) une évaluation du fonctionnement du marché intérieur pour les systèmes de DME; h) une évaluation des coûts et des avantages découlant de la mise en œuvre des dispositions relatives à l’utilisation secondaire énoncées au chapitre IV; i) l’application des redevances visées à l’article 62.

2 Au plus tard le 26 mars 2035, la Commission procède à une évaluation globale du présent règlement, et présente au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions un rapport exposant ses principales conclusions, accompagné, s’il y a lieu, d’une proposition de modification ou d’autres mesures appropriées. Cette évaluation comprend une appréciation de l’efficacité et du fonctionnement des systèmes permettant l’accès aux données de santé électroniques en vue d’un traitement ultérieur, effectué sur la base du droit de l’Union ou du droit national visé à l’article 1er, paragraphe 7, pour ce qui est de leur incidence sur la mise en œuvre du présent règlement.

3 Les États membres fournissent à la Commission les informations nécessaires à l’établissement des rapports visés aux paragraphes 1 et 2, et la Commission tient dûment compte de ces informations dans ces rapports.

4 Chaque année après le 25 mars 2025 et jusqu’à la fin de l’année durant laquelle toutes les dispositions du présent règlement s’appliquent comme prévu à l’article 105, la Commission présente au Conseil un rapport d’avancement sur les préparatifs en vue de la pleine mise en œuvre du présent règlement. Ce rapport d’avancement contient des informations sur le degré d’avancement et de préparation des États membres en ce qui concerne la mise en œuvre du présent règlement, y compris une évaluation de la possibilité de respecter les délais fixés à l’article 105, et peut également contenir des recommandations à l’intention des États membres afin qu’ils soient mieux préparés à l’application du présent règlement.

L’article 14 de la directive 2011/24/UE est supprimé avec effet au 26 mars 2031.

«4 Lorsqu’il met sur le marché un produit comportant des éléments numériques, le fabricant inclut l’évaluation des risques de cybersécurité visée au paragraphe 3 du présent article dans la documentation technique requise conformément à l’article 31 et à l’annexe VII. Pour les produits comportant des éléments numériques mentionnés à l’article 12 et à l’article 32, paragraphe 5 bis, qui relèvent aussi d’autres actes juridiques de l’Union, l’évaluation des risques de cybersécurité peut faire partie de l’évaluation des risques prévue par ces actes juridiques de l’Union. Lorsque certaines exigences essentielles en matière de cybersécurité ne sont pas applicables au produit comportant des éléments numériques, le fabricant fait figurer une justification claire dans cette documentation technique.».

«3 Pour les produits comportant des éléments numériques visés à l’article 12 et à l’article 32, paragraphe 5 bis, qui relèvent aussi d’autres actes juridiques de l’Union prévoyant une documentation technique, une seule documentation technique est établie, contenant les informations visées à l’annexe VII ainsi que les informations requises en vertu de ces actes juridiques de l’Union.».

«5 bis Les fabricants de produits comportant des éléments numériques qui sont classés comme systèmes de DME en vertu du règlement (UE) 2025/327 du Parlement européen et du Conseil démontrent la conformité aux exigences essentielles énoncées à l’annexe I du présent règlement en suivant la procédure d’évaluation de la conformité pertinente prévue au chapitre III du règlement (UE) 2025/327.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne. Le présent règlement est applicable à partir du 26 mars 2027. Cependant, les articles 3 à 15, l’article 23, paragraphes 2 à 6, et les articles 25, 26, 27, 47, 48 et 49 s’appliquent comme suit: a) à partir du 26 mars 2029 aux catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14, paragraphe 1, points a), b) et c), et aux systèmes de DME destinés par le fabricant à traiter ces catégories de données; b) à partir du 26 mars 2031 aux catégories prioritaires de données de santé électroniques à caractère personnel visées à l’article 14, paragraphe 1, points d), e) et f), et aux systèmes de DME destinés par le fabricant à traiter ces catégories de données; c) à partir d’un an à compter de la date fixée dans un acte délégué à adopter en vertu de l’article 14, paragraphe 2, pour chaque modification des principales caractéristiques des données de santé électroniques à caractère personnel figurant à l’annexe I, à condition que cette date soit postérieure à la date d’application visée aux points a) et b) du présent alinéa pour les catégories de données de santé électroniques à caractère personnel concernées. Le chapitre III s’applique aux systèmes de DME mis en service dans l’Union visés à l’article 26, paragraphe 2, à partir du 26 mars 2031. Le chapitre IV s’applique à partir du 26 mars 2029. Cependant, l’article 55, paragraphe 6, l’article 70, l’article 73, paragraphe 5, l’article 75, paragraphes 1 et 12, l’article 77, paragraphe 4, et l’article 78, paragraphe 6, s’appliquent à partir du 26 mars 2027. L’article 51, paragraphe 1, points b), f), g), m) et p), s’applique à partir du 26 mars 2031, et l’article 75, paragraphe 5, s’applique à partir du 26 mars 2035. Les actes d’exécution visés à l’article 13, paragraphe 4, à l’article 15, paragraphe 1, à l’article 23, paragraphe 4, et à l’article 36, paragraphe 1, s’appliquent à partir des dates visées au troisième alinéa du présent article en fonction des catégories de données de santé électroniques à caractère personnel visées à l’article 14, paragraphe 1, points a), b) et c), ou à l’article 14, paragraphe 1, points d), e) et f), respectivement. Les actes d’exécution visés à l’article 70, à l’article 73, paragraphe 5, à l’article 75, paragraphe 12, à l’article 77, paragraphe 4, et à l’article 78, paragraphe 6, s’appliquent à partir du 26 mars 2029.