EEDS (EHDS) : ce que le règlement européen change pour les éditeurs e-santé, calendrier 2027-2031

Le règlement sur l'Espace européen des données de santé (EEDS, ou EHDS en anglais) est en vigueur depuis le 26 mars 2025 et s'applique à partir du 26 mars 2027. Pour la plupart des éditeurs, les vraies échéances tombent en 2029 et 2031. Trois à cinq ans, c'est l'horizon d'une roadmap produit : les choix d'architecture faits cette année devront tenir jusque-là.

La France prépare sa mise en œuvre. Un cadre national est soumis à concertation sur la plateforme participez.esante.gouv.fr, du 8 octobre au 19 novembre 2026. C'est le moment où un éditeur peut encore peser sur la façon dont le texte sera appliqué chez nous.

Ce guide se limite à ce qui concerne une entreprise qui développe un logiciel de santé : est-ce que votre produit entre dans le champ, quelles obligations s'appliquent à quelle date, et ce qu'il est utile de dire dans la concertation.

Le calendrier, article 105 du règlement

Le règlement (UE) 2025/327 a été adopté le 11 février 2025 et publié au Journal officiel de l'Union européenne le 5 mars 2025. Son entrée en application est étalée selon les catégories de données.

Date	Ce qui s'applique
26 mars 2027	Application générale du règlement, dont la mise en place des autorités nationales. La Commission doit avoir fixé le format européen d'échange par acte d'exécution
26 mars 2029	Droits des patients et obligations sur les résumés de dossiers patients, les prescriptions et les dispensations électroniques, avec les systèmes de DME qui traitent ces données. Chapitre sur l'usage secondaire des données
26 mars 2031	Même chose pour l'imagerie médicale, les résultats d'examens (dont la biologie) et les lettres de sortie d'hôpital. Règles des systèmes de DME mis en service : logiciels proposés en SaaS ou développés et utilisés par un établissement

Le point qui surprend : pour un logiciel vendu en SaaS à des établissements ou à des professionnels établis dans l'Union, l'article 26 considère qu'il est « mis en service », et les règles du chapitre III s'appliquent à ces systèmes à partir du 26 mars 2031. Un logiciel installé chez le client, et qui traite des résumés patients ou des prescriptions, est concerné dès 2029.

Votre logiciel est-il un « système de DME » ?

C'est la question centrale du volet produit. Le règlement définit un système de dossiers médicaux électroniques (DME) comme tout logiciel qui permet de stocker, transmettre, exporter, importer, convertir, éditer ou consulter des données appartenant aux six catégories prioritaires, et qui est destiné par son fabricant à être utilisé :

par des professionnels de santé pour soigner des patients ;
ou par des patients pour accéder à leurs propres données de santé.

Les six catégories prioritaires (article 14) sont les résumés de dossiers patients, les prescriptions électroniques, les dispensations électroniques, l'imagerie médicale et ses comptes rendus, les résultats d'examens (biologie comprise) et leurs comptes rendus, et les rapports de sortie d'hôpital.

La définition est large. Un dossier patient informatisé hospitalier, un logiciel de gestion de cabinet, un logiciel d'officine, un système de laboratoire, un RIS ou un PACS en relèvent. Un portail ou une application patient qui affiche des résultats d'analyses aussi, puisqu'il permet à un patient de consulter des données prioritaires.

Sont exclus les logiciels à usage général utilisés dans un environnement de soins (article 25). Une messagerie ou un tableur ne deviennent pas des systèmes de DME parce qu'un hôpital s'en sert.

Deux cas particuliers à connaître (article 27) : un dispositif médical ou un système d'IA à haut risque qui revendique son interopérabilité avec les systèmes de DME doit prouver qu'il respecte les exigences des deux composants européens décrits plus bas. Revendiquer l'interopérabilité engage donc le fabricant.

Ce que le règlement impose aux éditeurs de DME

Tout système de DME doit intégrer deux composants logiciels harmonisés (article 25) :

un composant d'interopérabilité européen, qui permet d'échanger les données dans le format européen d'échange (EEHRxF), dont la Commission doit fixer les spécifications par acte d'exécution au plus tard le 26 mars 2027 (article 15) ;
un composant de journalisation européen, qui trace les accès aux données.

Pour mettre le logiciel sur le marché, le fabricant doit (article 30) :

Respecter les exigences essentielles de l'annexe II et les spécifications communes.
Tester les deux composants dans l'environnement d'essai numérique européen ou national (article 40), avant la mise sur le marché. Les résultats vont dans la documentation technique.
Rédiger la documentation technique, une fiche d'information (destination, catégories de données traitées, normes et versions supportées) et une notice d'utilisation.
Établir la déclaration UE de conformité et apposer le marquage CE.
Enregistrer le système dans la base de données européenne des systèmes de DME, avant sa mise sur le marché ou sa mise en service (article 49).

Il s'agit d'une auto-certification : pas d'organisme notifié, c'est le fabricant qui déclare la conformité et en porte la responsabilité. Une autorité nationale de surveillance du marché contrôle ensuite, et peut imposer des mesures correctives, un retrait ou un rappel.

L'article 28 interdit aussi les allégations trompeuses : attribuer au logiciel des fonctions qu'il n'a pas, taire les limites de son interopérabilité, ou suggérer des usages hors de sa destination déclarée. Une page produit qui promet « compatible EHDS » devra pouvoir le prouver.

Pour un éditeur français, ce travail ne part pas de zéro. Les référencements Ségur, le DMP et la trajectoire FHIR de l'ANS préparent déjà l'interopérabilité et la traçabilité. Notre guide FHIR pour les développeurs et notre article sur le Ségur Vague 2 détaillent ces chantiers.

Les applications de bien-être

Une application de bien-être, au sens du règlement, est un logiciel destiné à une personne pour traiter des données de santé à des fins autres que la prestation de soins : suivi d'activité, sommeil, nutrition, cycle menstruel.

Elle n'a aucune obligation de certification tant qu'elle ne revendique pas son interopérabilité avec les systèmes de DME. Si elle le fait (articles 47 et 48) :

elle doit respecter les mêmes spécifications communes et exigences essentielles ;
elle porte un label, délivré par le fabricant lui-même, d'une validité de trois ans au plus, qui indique les catégories de données concernées ;
elle est enregistrée dans la base européenne ;
l'interopérabilité ne vaut jamais partage automatique : la transmission vers un DME suppose le consentement de la personne, qui choisit les catégories de données partagées.

L'usage secondaire : votre entreprise devient « détenteur de données »

C'est le volet le moins connu, et il concerne beaucoup de startups. Le règlement organise la réutilisation des données de santé pour la recherche, l'innovation, les politiques publiques ou les statistiques, via des organismes responsables de l'accès aux données de santé désignés par chaque État.

La définition du détenteur de données de santé (article 2) vise explicitement toute personne morale qui développe des produits ou des services destinés aux secteurs de la santé ou qui développe des applications de bien-être, dès lors qu'elle traite des données de santé en tant que responsable de traitement. Parmi les catégories à mettre à disposition (article 51) figurent les données issues des DME, des dispositifs médicaux et des applications de bien-être.

Concrètement, un détenteur de données doit (article 60) :

décrire les jeux de données qu'il détient, pour le catalogue national, et vérifier cette description au moins une fois par an ;
mettre les données demandées à la disposition de l'organisme d'accès dans un délai de trois mois après la demande, prolongeable de trois mois.

Les données protégées par la propriété intellectuelle ou le secret des affaires ne sont pas exclues, mais le détenteur peut signaler les parties concernées, et l'organisme d'accès doit les protéger, voire refuser l'accès si le risque ne peut pas être maîtrisé (article 52).

L'exemption qui compte pour les startups : les micro-entreprises (moins de 10 personnes et un chiffre d'affaires ou un total de bilan annuel d'au plus 2 millions d'euros) sont exemptées des obligations des détenteurs de données (article 50). Mais le même article permet à chaque État membre de lever cette exemption dans son droit national, avec une notification à la Commission au plus tard le 26 mars 2029. C'est un des choix que la France doit faire.

Ce chapitre s'applique à partir du 26 mars 2029. Certaines catégories (données génétiques et omiques, données d'essais cliniques, cohortes de recherche, déterminants de santé) suivent en 2031.

Ce que la France met en concertation

Le document soumis à concertation, dans sa version du 5 octobre 2026, couvre les deux volets. Côté usage primaire : Mon espace santé comme service d'accès des citoyens, les services socles nationaux, le format européen d'échange, l'harmonisation des systèmes de DME, les échanges transfrontaliers et la trajectoire collective de l'écosystème. Côté usage secondaire : la gouvernance nationale, les procédures de demande d'accès, les obligations liées à l'usage secondaire et les garanties pour les acteurs.

Le règlement laisse à chaque pays la désignation de deux autorités : une autorité de santé numérique, chargée des droits des patients et de l'usage primaire, et une autorité de surveillance du marché pour les systèmes de DME. L'ANS indique que ce peut être la même. En France, l'ANS est déjà le point de contact national pour MaSanté@UE et opère Sesali, le service qui permet aux professionnels de consulter la synthèse médicale d'un patient venu d'un autre pays de l'Union.

Pourquoi un éditeur a intérêt à contribuer avant le 19 novembre

La plupart des contributions viendront des institutions, des fédérations et des grands éditeurs. Les points qui pèsent le plus sur une jeune entreprise risquent d'être tranchés sans elle. Trois sujets méritent une contribution :

L'exemption des micro-entreprises. Si la France la lève, une startup de cinq personnes devra décrire ses jeux de données et répondre aux demandes d'accès dès 2029.
L'articulation avec le Ségur. Un éditeur référencé Ségur voudra savoir si ses travaux d'interopérabilité comptent pour la conformité européenne, ou s'il devra tout refaire pour l'auto-certification.
L'accès à l'environnement d'essai. Les tests sont obligatoires avant la mise sur le marché. Leur disponibilité, leur coût et leurs délais conditionnent votre calendrier de sortie.

Les contributions se déposent sur participez.esante.gouv.fr. La plateforme demande de préciser la partie et le chapitre du document visés par chaque contribution.

Ce qu'une startup e-santé peut faire dès maintenant

Qualifier votre produit. Traite-t-il une des six catégories prioritaires, pour des soignants ou pour des patients ? Si oui, c'est un système de DME, et la date dépend de votre mode de distribution (installé ou SaaS) et des catégories traitées.
Relire vos promesses commerciales. Toute mention d'interopérabilité ou de conformité EHDS devra être prouvée. Si votre application de bien-être parle d'interopérabilité avec les dossiers médicaux, elle entre dans le régime du label.
Structurer vos données dans des formats standard. Les composants européens reposent sur un format d'échange commun. Un modèle de données propriétaire sans correspondance avec les standards coûtera cher à convertir.
Journaliser les accès dès maintenant. Le composant de journalisation européen viendra, mais tracer qui accède à quelle donnée et pourquoi est déjà exigé par l'hébergement de données de santé. Notre guide sur l'activité 5 de la certification HDS détaille ce point.
Cartographier vos jeux de données. Si vous êtes ou devenez détenteur de données, vous devrez les décrire pour le catalogue national. C'est aussi un bon exercice de conformité RGPD.
Suivre les actes d'exécution. Les spécifications du format européen, des composants harmonisés et de l'environnement d'essai sortiront par actes d'exécution de la Commission. Ce sont eux qui fixeront le travail technique réel.

Faire le point avec nous

Chez Bob le développeur, nous concevons et développons des logiciels de santé : dossiers patients, applications patients, outils pour les établissements. Nous intégrons l'interopérabilité et la traçabilité dès l'architecture, pour que la conformité européenne ne devienne pas un chantier de réécriture en 2029. Voir notre offre e-santé.

FAQ

Quand le règlement EEDS s'applique-t-il ?

Le règlement (UE) 2025/327 est en vigueur depuis le 26 mars 2025 et applicable à partir du 26 mars 2027. Les obligations sur les résumés patients, les prescriptions et les dispensations électroniques, ainsi que le chapitre sur l'usage secondaire, s'appliquent à partir du 26 mars 2029. L'imagerie, les résultats d'examens et les lettres de sortie suivent le 26 mars 2031, comme les règles applicables aux systèmes de DME proposés en SaaS.

Qu'est-ce qu'un système de DME au sens de l'EEDS ?

C'est un logiciel qui stocke, transmet, exporte, importe, convertit, édite ou affiche des données des six catégories prioritaires (résumés patients, prescriptions, dispensations, imagerie, résultats d'examens, lettres de sortie), et qui est destiné à des professionnels de santé pour soigner ou à des patients pour accéder à leurs données. Les logiciels à usage général en sont exclus.

Faut-il un organisme notifié pour certifier un système de DME ?

Non. Le fabricant teste les composants harmonisés dans l'environnement d'essai numérique, rédige la documentation technique, établit la déclaration UE de conformité, appose le marquage CE et enregistre le système dans la base européenne. Une autorité nationale de surveillance du marché contrôle ensuite.

Une application de bien-être est-elle concernée ?

Seulement si elle revendique son interopérabilité avec les systèmes de DME. Elle doit alors respecter les mêmes exigences, porter un label délivré par le fabricant, valable trois ans au plus, et être enregistrée dans la base européenne. Ses données font aussi partie des catégories que les détenteurs de données doivent mettre à disposition pour l'usage secondaire.

Une startup doit-elle partager ses données pour l'usage secondaire ?

Une entreprise qui développe des produits ou services de santé et traite des données de santé est un détenteur de données. Les micro-entreprises (moins de 10 personnes, chiffre d'affaires ou bilan d'au plus 2 millions d'euros) sont exemptées, sauf si la France lève cette exemption dans son droit national, ce qu'elle doit décider d'ici le 26 mars 2029.

Comment contribuer à la concertation française sur l'EEDS ?

Le cadre de mise en œuvre du règlement en France est en concertation sur participez.esante.gouv.fr du 8 octobre au 19 novembre 2026. Chaque contribution doit indiquer la partie (usage primaire ou secondaire) et le chapitre du document qu'elle vise.

Sources

Règlement (UE) 2025/327 du 11 février 2025 relatif à l'espace européen des données de santé, JO de l'UE du 5 mars 2025, articles 2, 14, 25 à 30, 36 à 41, 47 à 52, 60 et 105
Ministère de la Santé, Concertation sur le cadre de mise en œuvre du règlement EEDS en France, du 8 octobre au 19 novembre 2026
Agence du numérique en santé, Espace européen des données de santé (EEDS)