Décret n° 2026-209 du 24 mars 2026 portant modification de certaines dispositions du code de la santé publique relatives à l'hébergement de données de santé à caractère personnel

Publics concernés : patients, personnes physiques ou morales responsables de traitements de données de santé à caractère personnel, prestataires qui concourent à la fourniture d'un service d'hébergement de données de santé à caractère personnel, organismes de certification. Objet : le décret modifie certaines dispositions du code de la santé publique relatives à l'hébergement de données de santé à caractère personnel. Il précise les obligations de l'hébergeur en matière de stockage des données de santé à caractère personnel sur le territoire d'un Etat membre de l'Union européenne ou partie à l'accord sur l'Espace économique européen, ainsi qu'en matière d'information de ses clients, actuels ou potentiels, concernant les mesures prises face aux risques de transfert de ces données ou d'accès non autorisé à celles-ci par des Etats tiers à l'Union européenne. Entrée en vigueur : le texte entre en vigueur le lendemain de sa publication, à l'exception des 2° et 3° de l'article 1er qui entrent en vigueur dans un délai de six mois suivant la date de cette publication. Application : le présent décret est pris pour l'application de l'article 32 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique. Le Premier ministre,

Sur le rapport de la ministre de la santé, des familles, de l'autonomie et des personnes handicapées,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;

Vu la directive 2015/1535 du Parlement européen et du Conseil du 9 septembre 2015 prévoyant une procédure d'information dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information ;

Vu le code de la santé publique, notamment son article L. 1111-8 ;

Vu la loi n° 2024-449 du 21 mai 2024 modifiée visant à sécuriser et à réguler l'espace numérique, notamment son article 32 ;

Vu le décret n° 2018-137 du 26 février 2018 relatif à l'hébergement de données de santé à caractère personnel ;

Vu l'avis du Conseil national de l'ordre des masseurs-kinésithérapeutes en date du 13 juin 2025 ;

Vu l'avis du Conseil national de l'ordre des pédicures-podologues en date du 13 juin 2025 ;

Vu l'avis du Conseil national de l'ordre des médecins en date du 28 juin 2025 ;

Vu l'avis du Conseil national de l'ordre des pharmaciens en date du 30 juin 2025 ;

Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 25 août 2025 ;

Vu la saisine du Conseil national de l'ordre des chirurgiens-dentistes en date du 13 mai 2025 ;

Vu la saisine du Conseil national de l'ordre des infirmiers en date du 13 mai 2025 ;

Vu la saisine du Conseil national de l'ordre des sages-femmes en date du 13 mai 2025 ;

Vu la notification n° 2025/0708/FR adressée le 25 novembre 2025 à la Commission européenne ;

Le Conseil d'Etat (section sociale) entendu,