Découvrez en 30 minutes comment Dipeeo prend en charge votre conformité RGPD et AI Act.
Pour traiter votre demande, nous devons traiter vos données personnelles. Plus d’informations sur le traitement de vos données personnelles ici.
–
L’article en bref : qu’est-ce qu’un entrepôt de données de santé, qui peut en créer un, les obligations réglementaires à respecter (CNIL, RGPD, HDS, AIPD, DPO) et la méthode concrète pour mener votre projet en conformité.
Chaque jour, des milliers d’actes médicaux génèrent des données précieuses : consultations, hospitalisations, résultats d’analyses, prescriptions. Dans la plupart des établissements, ces données restent enfermées dans des systèmes cloisonnés, sans jamais être valorisées.
Un entrepôt de données de santé permet de transformer ces informations en véritable levier stratégique et médical. Mais sa mise en place s’inscrit dans un cadre réglementaire exigeant, encore mal compris par de nombreux acteurs du secteur : hôpitaux, cliniques, startups ou équipes de recherche.
Ce guide est fait pour vous si vous êtes directeur d’établissement, médecin porteur d’un projet data, DSI, fondateur de startup e-santé, ou investisseur en santé numérique. En moins de 10 minutes, vous saurez exactement ce qu’est un EDS, si vous êtes concerné, ce que vous avez le droit de faire et comment construire votre projet sans vous exposer.
Un entrepôt de données de santé est une base de données centralisée et sécurisée, conçue pour collecter, conserver et structurer sur une longue durée (généralement au moins 10 ans) un volume important de données de santé. Selon la définition retenue par la CNIL, l’EDS est une base destinée à être utilisée notamment à des fins de recherche, d’études ou d’évaluations dans le domaine de la santé.
La particularité d’un EDS est qu’il regroupe des données issues de sources multiples : dossiers patients informatisés (DPI), prescriptions, examens biologiques, imagerie médicale, données administratives, parfois aussi données issues d’objets connectés ou de recherches antérieures. Ces données sont organisées pour permettre des réutilisations secondaires : recherche médicale, pilotage hospitalier, développement d’algorithmes d’intelligence artificielle, pharmacovigilance, etc.
Mais ce n’est pas une simple base de données. C’est un dispositif à part entière, avec une gouvernance propre, des règles d’accès précises et un cadre réglementaire exigeant. Il se distingue d’une étude de recherche ponctuelle par sa vocation à être réutilisé sur le long terme, par des équipes différentes, pour des finalités multiples dans le domaine de la santé.
Chiffres clés : Au 1er septembre 2025, la CNIL recense 125 entrepôts de données de santé en France, portés par 102 acteurs différents : 45 publics, 32 privés à but non lucratif, 25 privés. Ce chiffre est en forte croissance depuis 2017, porté par les enjeux d’innovation dans le domaine de la santé en France.
La CNIL publie et met à jour régulièrement la cartographie des entrepôts de données de santé autorisés en France. Elle recense les 125 EDS actifs ou en cours de mise en œuvre, avec pour chaque acteur le secteur d’appartenance et le statut de la démarche. C’est la référence pour savoir qui porte un EDS dans le domaine de la santé en France et sous quel cadre réglementaire.
Un EDS dépasse largement le cadre de la recherche académique. Il ouvre la voie à ce que certains médecins appellent déjà la « médecine 4P » : prédictive, préventive, personnalisée et participative.
Les usages les plus courants parmi les acteurs qui ont déployé un EDS en France :
La différence entre un entrepôt et un simple système d’information hospitalier tient précisément à cette capacité de réutilisation : les données ne sont pas collectées pour un usage unique, elles sont structurées pour servir des projets multiples et successifs.
La distinction entre un EDS et un projet de recherche en santé fait partie des interrogations les plus fréquentes dans les organisations qui lancent un projet data santé.
| EDS | Étude / recherche ponctuelle | |
| Objectif | Stocker des données pour les réutiliser dans plusieurs projets | Répondre à une question scientifique précise |
| Durée | Longue au moins 10 ans | Limitée et définie à l’avance |
| Données | Collectées en continu, au fil du soin | Collectées spécifiquement pour l’étude |
| Réutilisation | Oui, par différents projets successifs | Non, une étude = une autorisation |
La règle à retenir Les porteurs de projets qui souhaitent réutiliser les données d’un EDS à des fins de recherche doivent déposer une demande spécifique auprès du comité scientifique et éthique. Indépendamment des formalités initiales liées à la création de l’entrepôt.
Créer un EDS ne dispense donc pas de déclarer séparément chaque projet de recherche qui utilisera ensuite ces données : ce sont deux démarches bien distinctes, avec chacune leur propre responsable de traitement et leurs propres obligations réglementaires.
Les entrepôts de données de santé sont souvent associés aux grands CHU et aux instituts de recherche. Pourtant, leur mise en place concerne aujourd’hui une diversité d’acteurs du secteur de la santé : Peuvent créer un EDS :
Oui, mais avec des règles renforcées. Une entreprise privée qui n’exerce pas de mission d’intérêt public ne peut pas bénéficier du cadre simplifié prévu par la CNIL. Elle devra soit obtenir une autorisation individuelle de la CNIL, soit recueillir le consentement explicite de chaque patient concerné.
Il est par ailleurs formellement interdit de collecter des données de patients dans le seul but de constituer un EDS, sans finalité clairement définie au départ. Les conséquences peuvent être sévères : mise en demeure, amende, obligation de supprimer les données déjà collectées.
Les données de santé sont des données « sensibles » au sens de l’article 9 du RGPD. Leur traitement est interdit par principe, sauf dans des cas précis définis par la loi.
Données de santé : Toutes les informations relatives à l’état de santé physique ou mentale d’une personne, passé, présent ou futur y compris les données génétiques et biométriques lorsqu’elles permettent l’identification. Leur traitement est soumis à des règles spécifiques plus strictes que les données ordinaires.
Ces usages doivent s’inscrire dans une méthodologie de référence reconnue et documentée, c’est l’une des conditions posées par la CNIL pour valider la conformité d’un projet EDS. Pour un EDS, les usages autorisés sont :
| Autorisé | Interdit |
| Recherche médicale et études en santé | Promotion commerciale de médicaments ou dispositifs médicaux |
| Évaluation des pratiques et des politiques de santé | Ajustement de garanties ou de primes d’assurance |
| Production d’indicateurs et le pilotage de l’activité d’un établissement | Tout usage à des fins purement commerciales ou marketing |
| Amélioration de la qualité et de la sécurité des soins | Revente des données à des tiers |
Les données personnelles en général (coordonnées, identifiants, données administratives) collectées dans le cadre d’un EDS sont également soumises au RGPD et relèvent des obligations du responsable de traitement, au même titre que les données de santé stricto sensu. C’est précisément pour cette raison que la conformité RGPD est le socle indispensable de tout projet EDS : sans elle, aucune des étapes suivantes ne peut être valablement accomplie.
C’est une question que se posent systématiquement les porteurs de projets au démarrage, et la confusion entre les deux notions a des conséquences directes sur la base légale de votre projet et les obligations du responsable de traitement.
Les données pseudonymisées, où le nom du patient est remplacé par un identifiant, restent des données personnelles soumises au RGPD : une réidentification reste théoriquement possible. Les données anonymisées ne permettent plus aucune réidentification et sortent du champ du RGPD.
Dans un EDS, les données sont en général pseudonymisées, pas anonymisées. Cela signifie que toutes les obligations RGPD continuent de s’appliquer pleinement. En tant que responsable de traitement, vous devez documenter explicitement dans votre AIPD les mesures de pseudonymisation retenues et justifier pourquoi une anonymisation complète n’est pas possible ou pertinente pour votre projet.
Un EDS ne repose pas sur un texte unique. Son cadre juridique résulte d’un empilement de normes qu’il faut maîtriser ensemble :
Maîtriser ce cadre est le point de départ de toute conformité RGPD sérieuse et c’est précisément ce que Dipeeo prend en charge pour vous.
Quel que soit le régime applicable, un EDS doit respecter les principes fondamentaux du RGPD. Ce sont les mêmes principes qui structurent toute démarche de conformité RGPD appliqués ici à un contexte particulièrement exigeant :
Dans son rôle de régulateur, la CNIL contrôle la mise en œuvre effective de ces obligations, elle peut à tout moment demander des compléments, diligenter un contrôle sur place ou prononcer une mise en demeure si le dossier est incomplet ou si les pratiques s’écartent du cadre déclaré. Deux voies existent selon votre situation, et choisir la mauvaise expose votre organisation à des sanctions directes.
| Déclaration de conformité au référentiel | Autorisation individuelle CNIL | |
| Condition | Projet conforme au référentiel relatif aux traitements de données de santé + mission d’intérêt public | Projet qui s’écarte du référentiel, EDS avec données du Système National des Données de Santé, ou entreprise privée sans mission d’intérêt public |
| Délai | Immédiat après déclaration | 2 à 4 mois de traitement CNIL |
| Documents requis | AIPD, registre, documentation complète | Dossier complet incluant AIPD et formulaire d’autorisation |
| Contrainte | Respect du référentiel obligatoire tout écart doit être identifié et justifié auprès de la CNIL | Aucune collecte possible avant autorisation. La CNIL exigera dans tous les cas le respect du référentiel, ou à défaut une justification explicite de chaque point de non-conformité. |
Cas particulier SNDS : toute inclusion de données du Système National des Données de Santé nécessite une autorisation individuelle, même si le consentement des personnes a été recueilli par ailleurs.
Oui, et c’est souvent l’étape que les organisations négligent le plus. La base légale conditionne tout le reste : la voie réglementaire choisie, le contenu de l’AIPD, les modalités d’information des patients et les obligations du responsable de traitement. Une base légale mal définie est la première cause de refus ou de demande de complément par la CNIL.
Oui, et c’est souvent l’étape que les organisations négligent le plus. La base légale conditionne tout le reste : la voie réglementaire choisie, le contenu de l’AIPD, les modalités d’information des patients et les obligations du responsable de traitement. Une base légale mal définie est la première cause de refus ou de demande de complément par la CNIL.
Oui, la désignation d’un Délégué à la Protection des Données (DPO) est légalement obligatoire pour tous les établissements publics de santé et pour tout organisme traitant des données de santé à grande échelle.
Pour un EDS, le DPO doit être impliqué dès la conception pas au moment de rédiger le dossier CNIL. Si votre organisation n’a pas de DPO en interne, c’est exactement là qu’un DPO externalisé déclaré à la CNIL comme Dipeeo intervient.
Oui, sans exception. Les données de santé doivent obligatoirement être hébergées chez un prestataire certifié HDS (Hébergeur de Données de Santé), conformément à l’article L.1111-8 du Code de la santé publique. Vérifiez la validité de la certification HDS de votre prestataire auprès de l’Agence du numérique en santé (ANS), qui délivre et tient à jour la liste des hébergeurs certifiés, avant tout choix d’infrastructure.
À ne pas confondre : EDS ≠ HDS : L’EDS est le dispositif de traitement et de gouvernance des données. La certification HDS concerne l’infrastructure technique qui héberge ces données. Les deux sont obligatoires, mais ils répondent à des exigences différentes.
Le référentiel relatif aux traitements de données de santé imposé par la CNIL prévoit deux instances distinctes :
Un EDS exige une gouvernance robuste :
Vos patients ont des droits sur leurs données dans l’EDS : droit d’information, droit d’accès, droit de rectification, et droit d’opposition qui doit pouvoir s’exercer facilement, dès le premier contact. La CNIL vérifie la mise en œuvre effective de ces droits, ces droits ne sont pas optionnels.
Un EDS conforme ne repose pas uniquement sur un dossier réglementaire bien ficelé. Il repose aussi sur un socle technique exigeant, dont chaque élément découle directement des principes de sécurité imposés par le RGPD et le référentiel CNIL.
📌 Cas réel de sanction CNIL contre IQVIA (2025)
IQVIA est une multinationale américaine spécialisée dans les données et les technologies de santé. Dans le cadre de ses activités en France, la société avait constitué un entrepôt de données de santé alimenté par des données issues de pharmacies partenaires à des fins d’analyse et de valorisation commerciale des données patients. En 2025, la CNIL a prononcé une sanction à son encontre, retenant deux manquements majeurs :
Chez Dipeeo, nous vérifions systématiquement que les obligations déléguées à vos partenaires sont non seulement prévues contractuellement, mais effectivement exécutées et traçables.
Parce que le RGPD ne sépare pas les deux. L’article 32 du RGPD impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Dans le contexte d’un EDS qui traite des données de santé à grande échelle ce niveau d’exigence est particulièrement élevé.
Un dossier CNIL irréprochable ne suffit pas si l’infrastructure sous-jacente présente des failles. C’est pourquoi Dipeeo intervient à la fois sur la conformité réglementaire et sur l’évaluation des mesures de sécurité, pour que les deux soient alignés.
Pour quoi faire, pour qui, sur quelle durée ? Ces réponses déterminent directement votre voie réglementaire, le contenu de votre AIPD et les obligations du responsable de traitement.
En pratique : listez les cas d’usage envisagés, identifiez les catégories de données concernées et vérifiez que chaque usage s’inscrit dans ce que la CNIL autorise. Une finalité mal formulée est la première cause de refus ou de demande de complément.
L’analyse d’impact est le document socle. Elle documente les risques pour les droits des patients, les mesures techniques et organisationnelles prévues (dont la pseudonymisation), et justifie la proportionnalité du traitement. Elle est obligatoire sans exception et doit être finalisée avant toute collecte.
En pratique : l’AIPD d’un EDS couvre le dispositif dans sa globalité, comptez plusieurs semaines de travail, avec l’implication d’un DPO et des équipes techniques.
Constituer le comité de pilotage et le comité scientifique et éthique, rédiger les chartes d’accès, définir les règles de traçabilité et les procédures d’habilitation. Cette gouvernance doit être opérationnelle avant que les premières données soient chargées.
En pratique : constituer un comité scientifique et éthique indépendant et crédible prend du temps il faut l’anticiper.
L’infrastructure doit être certifiée HDS par un organisme accrédité. Vérifiez la validité et le périmètre exact de la certification auprès de l’Agence du numérique en santé (ANS) certains prestataires sont certifiés uniquement pour certaines activités d’hébergement. Ne choisissez pas votre infrastructure avant d’avoir défini vos finalités et votre architecture de données. Vérifiez également l’exposition au Cloud Act si votre prestataire est une entreprise américaine ou une filiale d’un groupe américain.
Déclaration de conformité au référentiel relatif aux traitements de données de santé, ou dépôt d’une demande d’autorisation individuelle selon votre situation. Dans les deux cas, le dossier doit être complet avant toute collecte. Une demande d’autorisation individuelle implique un délai de 2 à 4 mois, intégrez-le dans votre planning dès le départ.
Mettre en place les dispositifs d’information et les procédures permettant aux patients d’exercer leur droit d’opposition simplement. La CNIL vérifie systématiquement ce point. L’information doit être claire et accessible, faites-la relire par un DPO expérimenté avant diffusion.
Un EDS n’a pas de date de fin. La conformité se maintient : registre à jour, AIPD révisée à chaque évolution significative, formalités spécifiques pour chaque nouveau projet de réutilisation des données. Prévoyez une revue annuelle avec votre DPO et des sessions de formation régulières pour vos équipes car les exigences réglementaires dans le domaine de la santé évoluent, et les erreurs de manipulation restent l’une des premières causes de non-conformité.
À retenir : Les organisations qui sautent les étapes 1 à 3 se retrouvent soit bloquées par la CNIL, soit contraintes de supprimer des données déjà collectées avec les conséquences opérationnelles et juridiques que cela implique pour le responsable de traitement.
Le règlement européen sur l’Espace Européen des Données de Santé EHDS, pour European Health Data Space est entré en vigueur le 26 mars 2025. C’est une évolution majeure pour tous les acteurs qui gèrent des données de santé en France et en Europe.
Pour aller plus loin sur l’EHDS et ses implications pratiques pour votre conformité RGPD, consultez le support complet du webinar Dipeeo
Non. L’EHDS ne remplace pas les EDS nationaux ni le cadre CNIL existant. Il les fait entrer dans un écosystème européen harmonisé. Son application est progressive :
Pour les détenteurs de données (dont les responsables d’EDS) l’EHDS signifie qu’à terme, une partie de leurs données devra être mise à disposition d’un cadre européen de réutilisation à des fins de recherche, d’innovation et de politique publique.
Concrètement, anticiper dès maintenant l’EHDS c’est :
L’EHDS ne crée pas d’obligation immédiate pour votre EDS aujourd’hui. Mais les organisations qui construisent leur EDS sans en tenir compte devront vraisemblablement revoir leur architecture et leur documentation dans les prochaines années. C’est un coût évitable si l’anticipation est faite dès maintenant.
Un projet EDS déclenche simultanément des obligations qui s’articulent entre elles. Chacune des étapes précédemment citées a ses propres exigences, ses propres délais, ses propres risques. Et c’est exactement ce que Dipeeo prend en charge à votre place.
Dipeeo a déjà accompagné des établissements de santé, des cliniques et des porteurs de projets dans le domaine de la santé à toutes les étapes d’un projet EDS de la définition des finalités jusqu’à l’obtention des formalités CNIL à l’utilisation des données dans l’EDS. Nous connaissons les points de blocage, les questions que pose la CNIL, et ce qui permet d’avancer vite sans prendre de risques ni perdre du temps.
En pratique, voici ce que nous faisons pour vous :
Autrement dit : Si votre organisation travaille déjà sur sa conformité RGPD avec Dipeeo, vous avez déjà accompli une grande partie du chemin. Nous capitalisons sur ce travail pour avancer plus vite sur votre projet EDS sans repartir de zéro.
Oui, sous conditions. Les données de santé sont des données sensibles dont le traitement est encadré strictement. Pour les réutiliser dans le cadre d’un EDS, votre projet doit reposer sur une base légale valide (mission d’intérêt public ou consentement explicite), respecter le référentiel CNIL ou faire l’objet d’une autorisation individuelle, et garantir les droits des patients.
Oui, mais avec des obligations renforcées. Une startup qui n’exerce pas de mission d’intérêt public ne peut pas bénéficier du cadre simplifié du référentiel CNIL. Elle doit obtenir une autorisation individuelle ou recueillir le consentement explicite de chaque patient. Une expertise spécialisée est indispensable avant de lancer le projet, les porteurs de projets qui sous-estiment le cadre réglementaire s’exposent à des blocages coûteux.
Ce sont deux notions complémentaires mais distinctes. L’EDS est le dispositif de traitement et de gouvernance des données de santé. La certification HDS concerne l’infrastructure technique qui héberge physiquement ces données. Tout EDS doit être hébergé chez un prestataire certifié HDS, mais la certification HDS seule ne rend pas un EDS conforme.
Non. Tout usage commercial des données de santé, promotion de médicaments, ajustement de primes d’assurance, revente à des tiers, est formellement interdit par le référentiel CNIL et le Code de la santé publique.
Oui, dans la quasi-totalité des cas. Tous les établissements publics de santé ont l’obligation légale de désigner un DPO. Pour les autres structures, dès lors que l’EDS implique un traitement de données de santé à grande échelle, la désignation d’un DPO est obligatoire. Si vous n’en avez pas en interne, un DPO externalisé comme Dipeeo peut assumer ce rôle.
Cela dépend de votre situation de départ. Si votre projet est conforme au référentiel CNIL, la déclaration peut être rapide, mais la constitution du dossier de conformité (AIPD, gouvernance, documentation) prend plusieurs mois. Si une autorisation individuelle est nécessaire, comptez 2 à 4 mois supplémentaires de traitement par la CNIL, pendant lesquels aucune collecte ne peut débuter.
Pas encore dans sa totalité. Le règlement EHDS est entré en vigueur le 26 mars 2025, mais son application est progressive. Les règles relatives à l’utilisation secondaire des données de santé s’appliqueront à partir du 26 mars 2029. Anticiper dès maintenant est néanmoins recommandé notamment en s’assurant que votre conformité RGPD est solide, car elle constitue le socle de la conformité EHDS.
Un entrepôt de données de santé est une opportunité réelle pour votre organisation dans le domaine de la santé en France, à condition de le construire sur des bases solides. Dans ce cadre, la conformité RGPD n’est pas un obstacle : elle couvre déjà une grande partie des exigences réglementaires d’un EDS, et c’est souvent là que le travail le plus structurant a déjà été fait.
Chez Dipeeo, nous prenons en charge l’ensemble de votre conformité, du diagnostic initial jusqu’au suivi continu, pour que vous puissiez vous concentrer sur votre cœur de métier.
Prendre rendez-vous avec un expert Dipeeo → Si votre organisation envisage un projet EDS, contactez-nous : nous vous dirons rapidement où vous en êtes et ce qu’il reste à faire.
