Règlement Omnibus : l'Europe rebat les cartes du RGPD santé

Présentée le 19 novembre 2025 par la Commission européenne, la proposition de règlement « Digital Omnibus » ambitionne de simplifier le cadre réglementaire numérique de l’Union. Pour le secteur de la santé numérique, les modifications envisagées sont structurantes — et contestées.

Ce que le règlement Omnibus propose de changer

La Commission souhaite modifier le RGPD sur trois points qui touchent directement aux données de santé :

1. Redéfinir la notion de « donnée personnelle » Le texte propose d’exclure les données pseudonymisées du champ d’application du RGPD. Une donnée à laquelle le responsable de traitement ne peut pas lui-même ré-identifier l’individu serait considérée comme hors périmètre — même si un tiers le pourrait techniquement.

2. Ouvrir l’intérêt légitime pour l’IA en santé Développer des systèmes d’intelligence artificielle pourrait désormais reposer sur l’intérêt légitime comme base légale, y compris lorsque des données sensibles de santé sont impliquées.

3. Créer des dérogations encadrées pour les données sensibles Des régimes dérogatoires permettraient de traiter des catégories particulières de données sous conditions définies par le texte.

Des effets en cascade sur le numérique santé français

Ces modifications ne sont pas des ajustements techniques : elles remettraient en cause l’architecture entière du traitement des données de santé en France.

Le SNDS (Système National des Données de Santé), les méthodologies de référence de la CNIL (MR-001 à MR-004), le référentiel Entrepôt de Données de Santé (EDS) et les régimes d’hébergement des données de santé (HDS) seraient tous affectés par une redéfinition du périmètre du RGPD.

Plus préoccupant encore : l’Espace Européen des Données de Santé (EHDS), adopté le 11 février 2025 et dont le déploiement est prévu à partir de 2029, pourrait être « transformé avant même d’être déployé ». Le règlement EHDS repose en effet sur le RGPD comme socle de gouvernance des données de santé.

Les autorités de protection des données disent non

Le Comité Européen de la Protection des Données (CEPD) et le Contrôleur Européen de la Protection des Données (CEPD/EDPS) ont adopté un avis conjoint le 11 février 2026 rejetant explicitement les modifications proposées concernant la définition des données personnelles.

Leur argument central : la pseudonymisation ne protège pas suffisamment les individus dès lors qu’un tiers peut procéder à une ré-identification. Exclure ces données du RGPD créerait un angle mort réglementaire aux conséquences imprévisibles.

Les États membres résistent aussi

Le compromis du Conseil de l’UE du 15 avril 2026 confirme que les États membres s’opposent eux aussi à :

• la redéfinition de la notion de donnée personnelle,
• le recours à l’intérêt légitime comme base légale pour développer des systèmes d’IA.

Cette double résistance — des autorités de contrôle et des États membres — rend peu probable une adoption du texte en l’état. Les négociations au Parlement européen devraient être âpres.

Ce que les acteurs de la santé numérique doivent surveiller

L’issue de ces négociations aura des répercussions concrètes sur :

• Les entrepôts de données hospitalières et leur gouvernance
• Les études en vie réelle (RWE) et les partenariats industrie-hôpitaux
• Le développement et la certification des dispositifs médicaux à base d’IA
• Le cadre de certification HDS pour les hébergeurs

Les débats se poursuivent à SantExpo 2026 (19-21 mai, Paris), où la Commission européenne, les États membres et les acteurs français de la santé numérique se rencontrent pour définir les contours de cette transformation réglementaire.

Sources

• Omnibus et numérique en santé : objectif de simplification et résistance des autorités et des États membres — DSIH, Marguerite Brac de La Perrière, 19 mai 2026
• Proposition Digital Omnibus — Commission européenne, 19 novembre 2025
• Avis conjoint CEPD/EDPS sur le Digital Omnibus — CEPD & EDPS, 11 février 2026
• EHDS — Espace Européen des Données de Santé — Adopté le 11 février 2025