Un paysage réglementaire en expansion
Le paysage mondial de la protection des données est devenu remarquablement complexe. En 2018, le Règlement général sur la protection des données de l'Union européenne a posé un nouveau standard en matière de droits à la vie privée. Depuis, plus de 140 pays ont adopté ou mis à jour leur législation en matière de protection des données, nombre d'entre eux s'inspirant explicitement des mécanismes de consentement, des droits des personnes concernées et des restrictions de transfert transfrontalier du RGPD. Pour les organisations de santé opérant à l'international, cette situation crée une mosaïque dense d'obligations qui se chevauchent.
Les données de santé occupent une position singulièrement sensible dans pratiquement tout cadre réglementaire. Le RGPD les désigne comme une « catégorie particulière » nécessitant un consentement explicite ou une base juridique spécifique pour leur traitement. La loi HIPAA applique des normes de protection des informations médicales aux entités couvertes et à leurs sous-traitants aux États-Unis. La LGPD brésilienne, la loi DPDP indienne de 2023 et la PIPA sud-coréenne introduisent chacune leurs propres définitions des informations de santé sensibles, leurs bases licites de traitement et leurs délais de notification en cas de violation.
La prolifération n'est pas seulement législative. L'application des sanctions s'intensifie. Le Comité européen de la protection des données a signalé une augmentation de 40 pour cent des mesures d'exécution transfrontalières entre 2022 et 2023, les entreprises du secteur de la santé et de l'industrie pharmaceutique figurant parmi les secteurs les plus fréquemment investigués. Aux États-Unis, l'Office for Civil Rights a conclu des accords pour violation de la HIPAA totalisant plus de 4 millions de dollars au premier semestre 2024. Les organisations qui traitent la conformité comme un simple exercice de case à cocher plutôt que comme une discipline opérationnelle sont de plus en plus exposées aux sanctions financières, aux atteintes à la réputation et aux perturbations opérationnelles.
L'évolution du RGPD : ce qui a changé en 2025
Le RGPD n'est pas un instrument statique. Au cours de ses sept années d'application, les autorités de contrôle ont progressivement clarifié son application aux données de santé par le biais de lignes directrices, de décisions et de jurisprudence. En 2025, plusieurs évolutions ont remodelé le paysage de la conformité pour les fournisseurs de technologies de santé.
Premièrement, le Comité européen de la protection des données a publié des orientations actualisées sur les analyses d'impact relatives à la protection des données pour les dispositifs médicaux pilotés par l'IA. Ces orientations imposent que les AIPD traitent du biais algorithmique, de l'explicabilité des modèles et des droits des personnes concernées à contester les décisions cliniques automatisées en vertu de l'article 22. Cela a des implications concrètes pour toute plateforme SaaS intégrant de l'aide à la décision clinique.
Deuxièmement, l'application du cadre de protection des données UE-États-Unis est entrée dans une phase plus rigoureuse. Bien que ce cadre fournisse un mécanisme d'adéquation pour les transferts transatlantiques de données, les autorités de contrôle ont examiné de près les entreprises de technologies de santé pour insuffisance de mesures complémentaires, en particulier lorsque les sous-traitants opèrent dans des juridictions ne disposant pas de protections équivalentes. Le recours Schrems III, déposé fin 2024, ajoute une incertitude supplémentaire.
Troisièmement, l'articulation entre le RGPD et le règlement sur l'Espace européen des données de santé redéfinit l'utilisation secondaire des données de santé. L'EEDS introduit un cadre obligatoire d'accès aux données de santé anonymisées et pseudonymisées à des fins de recherche et d'innovation, mais impose des conditions strictes aux détenteurs de données et aux organismes d'accès. Les fournisseurs de SaaS de santé doivent désormais architecturer leurs pipelines de données pour prendre en charge à la fois les obligations de soins primaires au titre du RGPD et les exigences d'utilisation secondaire au titre de l'EEDS.
Les organisations ayant investi dans une gestion granulaire du consentement, des pipelines de pseudonymisation robustes et une traçabilité documentée des données sont les mieux positionnées pour naviguer dans ces exigences évolutives.
La modernisation de la HIPAA et le cadre américain
La HIPAA, promulguée en 1996, a fait l'objet d'une modernisation incrémentale pour répondre aux menaces et technologies contemporaines. L'évolution récente la plus significative est la proposition de mise à jour de la règle de sécurité HIPAA publiée par le HHS fin 2024, qui introduit l'authentification multifacteur obligatoire, le chiffrement au repos et en transit pour toutes les informations médicales protégées sous forme électronique, ainsi qu'une notification de violation au Secrétaire dans les 72 heures — se rapprochant ainsi des délais du RGPD.
La règle aborde également explicitement le cloud computing pour la première fois, exigeant des entités couvertes qu'elles maintiennent un inventaire de toutes les données de santé protégées stockées dans des environnements cloud et qu'elles réalisent des tests d'intrusion annuels des systèmes hébergés. Les accords avec les sous-traitants doivent désormais spécifier les exigences de résidence des données et les procédures de coordination en cas d'incident.
Au-delà de la HIPAA, le paysage réglementaire américain se fragmente au niveau des États. La loi My Health My Data de l'État de Washington, en vigueur depuis mars 2024, étend la protection aux données de santé des consommateurs hors du champ de la HIPAA, y compris les données collectées par les applications de bien-être, les objets connectés et les plateformes de santé en accès direct. Des lois similaires ont été adoptées ou proposées dans le Connecticut, le Nevada et l'Oregon. Pour les entreprises de technologies de santé proposant des produits à la fois cliniques et grand public, naviguer dans ce maillage exige une architecture de conformité à plusieurs niveaux.
La Federal Trade Commission a également renforcé son contrôle des pratiques relatives aux données de santé au titre de la Section 5 du FTC Act, poursuivant des entreprises partageant des informations de santé avec des régies publicitaires sans communication adéquate. La convergence de la modernisation de la HIPAA, des lois étatiques sur la confidentialité des données de santé des consommateurs et de l'application par la FTC crée un défi de conformité multicouche que peu d'organisations peuvent se permettre de traiter isolément.
Cadres de protection des données en Asie-Pacifique
La région Asie-Pacifique représente l'un des marchés de la santé à la croissance la plus rapide et l'un des environnements réglementaires les plus diversifiés en matière de protection des données. La compréhension des cadres clés est indispensable pour toute organisation ayant des ambitions transfrontalières.
La loi thaïlandaise sur la protection des données personnelles (PDPA), pleinement appliquée depuis juin 2022, classe les données de santé comme des données personnelles sensibles nécessitant un consentement explicite. La PDPA accorde aux personnes concernées des droits largement analogues au RGPD, notamment l'accès, la rectification, l'effacement et la portabilité des données. Les actions de la Commission de protection des données personnelles se sont concentrées sur les prestataires de santé n'ayant pas mis en place des mécanismes de consentement adéquats pour le partage de dossiers patients entre établissements affiliés.
La loi chinoise sur la protection des informations personnelles (PIPL) est sans doute le cadre majeur le plus restrictif. Elle impose la localisation des données de santé, rend obligatoires les évaluations de sécurité gouvernementales pour les transferts transfrontaliers dépassant certains seuils, et engage la responsabilité personnelle des délégués à la protection des données en cas de manquement. Les entreprises de santé opérant en Chine maintiennent généralement des infrastructures de données entièrement séparées pour satisfaire ces exigences.
La loi japonaise sur la protection des informations personnelles (APPI), amendée en 2022, a introduit des règles plus strictes pour les « informations nécessitant une attention particulière », incluant les dossiers médicaux, les données génomiques et les situations de handicap. L'amendement a également renforcé les restrictions de transfert transfrontalier, exigeant que les destinataires étrangers fournissent des protections équivalentes aux normes de l'APPI.
La réforme de la loi australienne sur la vie privée, dont la finalisation est attendue en 2025, propose un délit civil statutaire pour les atteintes graves à la vie privée et des protections renforcées pour les informations de santé. La PIPA sud-coréenne continue d'évoluer avec une application rigoureuse, y compris des amendes substantielles pour les violations de données impliquant des dossiers médicaux.
Le fil conducteur de tous ces cadres est la reconnaissance que les données de santé justifient une protection renforcée, mais les mécanismes — modèles de consentement, restrictions de transfert, exigences de localisation et approches d'application — varient considérablement.
Construire une stratégie de conformité unifiée
Tenter de se conformer à chaque réglementation de manière indépendante est insoutenable. Les organisations traitant des données de santé dans plusieurs juridictions ont besoin d'une architecture de conformité unifiée satisfaisant les exigences les plus strictes applicables tout en restant adaptable aux variations locales.
La protection des données dès la conception est le principe fondateur. La minimisation des données, la limitation des finalités et la limitation de la conservation doivent être intégrées dans l'architecture du système dès sa conception, et non ajoutées rétroactivement comme des mesures réglementaires correctrices. La pseudonymisation et le chiffrement doivent être appliqués de manière cohérente à toutes les couches de données, avec des pratiques de gestion des clés prenant en charge les exigences spécifiques à chaque juridiction en matière de résidence et d'accès souverain.
La gestion du consentement requiert une sophistication particulière dans le domaine de la santé. Une plateforme de consentement unifiée doit capturer, stocker et respecter les préférences de consentement granulaires pour les cas d'usage liés aux soins, à la recherche et à l'analytique. Elle doit accommoder les différentes bases juridiques reconnues par les différents cadres — consentement explicite au titre du RGPD, autorisation au titre de la HIPAA et intérêt légitime le cas échéant — tout en offrant une expérience cohérente à l'utilisateur final.
Les mécanismes de transfert transfrontalier de données exigent une structuration minutieuse. Les clauses contractuelles types, les règles d'entreprise contraignantes, les décisions d'adéquation et les évaluations de sécurité gouvernementales desservent chacun des corridors juridictionnels différents. Une méthodologie d'analyse d'impact des transferts, appliquée systématiquement à chaque flux de données, garantit que les mesures complémentaires sont proportionnées et documentées.
Les pistes d'audit sont le tissu conjonctif de la conformité. Chaque accès, modification et transfert de données de santé doit être journalisé de manière immuable avec un contexte suffisant pour reconstituer le cycle de vie complet de tout enregistrement. Ces journaux servent un double objectif : démontrer la responsabilité envers les régulateurs et soutenir la gouvernance interne par une surveillance continue.
Enfin, la conformité n'est pas un problème uniquement technologique. Elle exige une collaboration transversale entre les équipes juridiques, cliniques, d'ingénierie et de sécurité de l'information, soutenue par des formations régulières, des exercices de simulation et une responsabilité au niveau de la direction. Les organisations qui investissent dans cette infrastructure ne se contentent pas d'éviter les sanctions — elles construisent la confiance qui sous-tend une croissance durable en santé numérique.