Règlement d’exécution (UE) 2026/2083 de la Commission du 18 septembre 2026 sur MaSanté@UE (Texte présentant de l’intérêt pour l’EEE)

Article 1

Objet et champ d’application

1. Le présent règlement établit les règles concernant les exigences en matière de cybersécurité, d’interopérabilité technique, d’interopérabilité sémantique, d’opérations et de gestion des services en ce qui concerne le traitement par la Commission en qualité de sous-traitant pour MaSanté@UE et ses responsabilités à l’égard des responsables du traitement.

Il définit les mesures nécessaires au développement technique de MaSanté@UE, les règles détaillées concernant la sécurité, la confidentialité et la protection des données de santé électroniques à caractère personnel et les conditions applicables aux contrôles de conformité nécessaires pour adhérer et rester connecté à MaSanté@UE).

2. L’article 7, à l’exception du paragraphe 1, point a), et les articles 8 à 13 s’appliquent mutatis mutandis aux participants autorisés visés à l’article 24, paragraphes 2 et 3, du règlement (UE) 2025/327. Les contrôles de conformité et les essais techniques pour ces participants autorisés peuvent également couvrir des exigences supplémentaires qui les concernent.

Article 2

Définitions

Aux fins du présent règlement, on entend par:

1) «groupe de pilotage», le groupe de pilotage MaSanté@UE institué par l’article 95, paragraphe 1, du règlement (UE) 2025/327 pour l’infrastructure transfrontière prévue à l’article 23 dudit règlement;

2) «version majeure», une version du catalogue des exigences et des spécifications techniques qui n’est pas rétrocompatible avec la version précédente ou qui a une incidence substantielle sur l’échange de données de santé électroniques à caractère personnel par l’intermédiaire de MaSanté@UE;

3) «version mineure», une version du catalogue des exigences et des spécifications techniques et leur mise en œuvre qui n’est pas une version majeure;

4) la définition d’«incident» est celle qui figure à l’article 6, paragraphe 6, de la directive (UE) 2022/2555 du Parlement européen et du Conseil;

5) «incident important», un incident visé à l’article 23, paragraphe 3, de la directive (UE) 2022/2555.

Article 3

Plateforme centrale d’interopérabilité pour la santé numérique

1. La Commission fournit les services suivants de la plateforme centrale d’interopérabilité pour la santé numérique visée à l’article 23, paragraphe 1, du règlement (UE) 2025/327:

a) un logiciel de mise en œuvre de référence pour les points de contact nationaux pour la santé numérique;

b) un service central de terminologie;

c) un réseau de communication sécurisé;

d) un service central de configuration.

2. La Commission fournit les services visés au paragraphe 1 conformément au catalogue des exigences visé à l’article 4, paragraphe 2, et aux spécifications techniques visées à l’article 4, paragraphe 3.

3. Les points de contact nationaux pour la santé numérique peuvent utiliser la mise en œuvre de référence visée au paragraphe 1, point a), pour soutenir l’échange de données de santé électroniques à caractère personnel dans MaSanté@UE. Lorsqu’un point de contact national pour la santé numérique choisit d’utiliser d’autres solutions, celles-ci sont conformes au catalogue des exigences visé à l’article 4, paragraphe 2, et aux spécifications techniques visées à l’article 4, paragraphe 3.

4. Les points de contact nationaux pour la santé numérique peuvent utiliser le service central de terminologie visé au paragraphe 1, point b), pour soutenir la traduction et le recensement des systèmes et valeurs de codage à utiliser dans les ensembles de données contenant des données de santé électroniques à caractère personnel visés à l’article 15, paragraphe 1, premier alinéa, point b), du règlement (UE) 2025/327.

5. Les États membres sont responsables de la traduction et de la correspondance des systèmes de codage et des ensembles de valeurs pour l’échange de données de santé électroniques à caractère personnel, dans le format européen d’échange des dossiers médicaux électroniques visé à l’article 15, paragraphe 1, du règlement (UE) 2025/327. Les États membres tiennent à jour les traductions et les correspondances.

6. Les points de contact nationaux pour la santé numérique utilisent le réseau de communication sécurisé visé au paragraphe 1, point c), pour soutenir l’échange de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique. L’exploitation d’infrastructures nationales et de services nationaux à l’appui du réseau de communication sécurisé reste de la responsabilité des points de contact nationaux pour la santé numérique.

7. Les points de contact nationaux pour la santé numérique utilisent le service central de configuration visé au paragraphe 1, point d), pour mettre leurs coordonnées de configuration à la disposition de la Commission et de tous les autres points de contact nationaux pour la santé numérique.

Article 4

Catalogue des exigences et spécifications techniques

1. Lorsque les points de contact nationaux pour la santé numérique procèdent à des échanges transfrontières de données de santé électroniques à caractère personnel visés à l’article 23, paragraphe 3, du règlement (UE) 2025/327, ils les effectuent conformément au catalogue des exigences visé au paragraphe 2 et aux spécifications techniques visées au paragraphe 3.

2. La Commission, en coopération avec le groupe de pilotage, établit et tient à jour le catalogue des exigences pour l’échange transfrontière de données de santé électroniques à caractère personnel dans MaSanté@UE. Ce catalogue des exigences comprend au moins:

a) une description des cas d’utilisation mis en œuvre pour l’échange de données de santé électroniques à caractère personnel;

b) les exigences relatives à la mise en œuvre de l’échange de données de santé électroniques à caractère personnel;

c) les cadres et procédures pour les essais, le contrôle de la conformité, le fonctionnement et le suivi des incidents liés à l’échange de données de santé électroniques à caractère personnel.

3. La Commission, en coopération avec le groupe de pilotage, propose les spécifications techniques sur la base du catalogue des exigences visé au paragraphe 2.

4. Le catalogue des exigences visé au paragraphe 2 et les spécifications techniques visées au paragraphe 3 sont approuvés par le groupe de pilotage.

Article 5

Fonctionnement et gestion de MaSanté@UE

1. La Commission, en coopération avec le groupe de pilotage, mène les activités suivantes pour le fonctionnement et la gestion de MaSanté@UE:

a) l’élicitation, l’analyse et la gestion des exigences et des spécifications techniques;

b) la coordination du développement, des essais et du déploiement;

c) les modifications du catalogue des exigences;

d) la gestion des incidents;

e) l’assurance de la continuité des activités de la plateforme.

2. La Commission s’acquitte des missions suivantes:

a) elle procède à des essais techniques de l’échange transfrontière de données de santé électroniques à caractère personnel;

b) elle apporte un soutien aux services d’assistance des points de contact nationaux pour la santé numérique ou aux participants autorisés.

3. La Commission, en coopération avec le groupe de pilotage, propose un plan de travail annuel pour les activités visées aux paragraphes 1 et 2, pour approbation par le groupe de pilotage.

Article 6

Modifications du catalogue des exigences

1. À la demande de cinq membres ou plus du groupe de pilotage ou de sa propre initiative, la Commission peut soumettre au groupe de pilotage une proposition de modification majeure du catalogue des exigences. La proposition de la Commission contient au moins:

a) une description des modifications;

b) une justification des modifications;

c) un calendrier de mise en œuvre des modifications;

d) une version majeure pour tenir compte des modifications proposées.

2. Le groupe de pilotage est chargé d’approuver les modifications apportées au catalogue des exigences visé à l’article 4, paragraphe 2, le calendrier de mise en œuvre des modifications et la version majeure.

3. Une fois que les modifications visées au paragraphe 2 sont approuvées, la Commission, les points de contact nationaux pour la santé numérique et les participants autorisés les mettent en œuvre conformément au calendrier de mise en œuvre approuvé et à la version majeure.

4. Une version mineure n’est pas subordonnée à la présentation d’une proposition de modification. La Commission peut soumettre une modification en vue d’une version mineure au groupe de pilotage. Lorsqu’une telle modification est soumise, le groupe de pilotage est chargé, dès réception, d’approuver la proposition de version mineure, y compris son calendrier de mise en œuvre. Une fois la version mineure approuvée, la Commission, les points de contact nationaux pour la santé numérique et les participants autorisés la mettent en œuvre conformément au calendrier de mise en œuvre approuvé.

Article 7

Gestion de l’autorisation d’échange transfrontière de données de santé électroniques à caractère personnel

1. La Commission est chargée, pour le compte du groupe de pilotage, de gérer les procédures d’autorisation de l’échange de données de santé électroniques à caractère personnel. Ces procédures sont les suivantes:

a) autoriser un point de contact national pour la santé numérique à entamer l’échange de données de santé électroniques à caractère personnel;

b) autoriser un point de contact national pour la santé numérique ou un participant autorisé à poursuivre l’échange de données de santé électroniques à caractère personnel après une mise à niveau jusqu’à la version majeure la plus récente;

c) autoriser un point de contact national pour la santé numérique ou un participant autorisé à poursuivre l’échange de données de santé électroniques à caractère personnel après un contrôle de conformité opérationnelle visé à l’article 9, point b);

d) traiter les incidents importants dans l’échange de données de santé électroniques à caractère personnel.

2. La Commission, en collaboration avec le groupe de pilotage, propose la méthodologie relative aux procédures d’autorisation visées au paragraphe 1, pour approbation par le groupe de pilotage.

3. Le groupe de pilotage décide d’accorder ou non l’autorisation visée au paragraphe 1, points a), b) ou c), sur la base des exigences énoncées aux articles 10 à 12.

4. Lorsque le groupe de pilotage décide de ne pas accorder l’autorisation prévue au paragraphe 1, le point de contact national pour la santé numérique peut demander au groupe de pilotage de revoir sa décision.

Article 8

Conditions pour s’inscrire et rester connecté à MaSanté@UE, contrôles de conformité et essais techniques

1. La Commission effectue des contrôles de conformité et facilite les essais techniques afin d’évaluer la conformité de l’échange de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique avec le catalogue des exigences visé à l’article 4, paragraphe 2, et les spécifications techniques visées à l’article 4, paragraphe 3.

2. Un contrôle de conformité permet de recenser les constatations relatives à la sécurité, à la confidentialité et à la protection de l’échange de données de santé électroniques à caractère personnel par l’intermédiaire de MaSanté@UE. Les constatations sont qualifiées de «mineures», «moyennes» ou «critiques» en fonction des niveaux de conformité définis dans le cadre de contrôle de la conformité visé à l’article 4, paragraphe 2, point c).

3. Un essai technique évalue l’échange transfrontière de données de santé électroniques à caractère personnel entre les points de contact nationaux pour la santé numérique par l’intermédiaire de MaSanté@UE et leur conformité avec les spécifications techniques visées à l’article 4, paragraphe 3. Les constatations sont qualifiées de «mineures», «moyennes» ou «critiques» en fonction des niveaux de conformité définis dans le cadre d’essai visé à l’article 4, paragraphe 2, point c).

4. La Commission informe les points de contact nationaux pour la santé numérique des résultats des contrôles de conformité et des essais techniques visés au paragraphe 1. Ces informations contiennent, au minimum, les constatations, observations et recommandations fondées sur les résultats des contrôles de conformité et des essais techniques.

5. Lorsqu’un contrôle de conformité ou un essai technique a mis en évidence des constatations, quel que soit leur niveau, le point de contact national pour la santé numérique concerné prend des mesures pour clore les constatations après avoir reçu de la Commission des informations sur les résultats du contrôle de conformité ou de l’essai technique. Un plan d’action contenant des mesures visant à donner suite aux constatations est soumis à la Commission dans un délai de quinze jours ouvrables à compter de la réception des informations sur les constatations.

6. Après la mise en œuvre d’un plan d’action, le point de contact national pour la santé numérique en informe la Commission. La Commission évalue ensuite les éléments de preuve pertinents et décide s’il y a lieu de clore les constatations formulées.

7. La Commission communique régulièrement au groupe de pilotage les constatations ouvertes des contrôles de conformité et des essais techniques.

Article 9

Fréquence des contrôles de conformité

La Commission évalue la conformité de l’échange de données de santé électroniques à caractère personnel avec le catalogue des exigences visé à l’article 4, paragraphe 2, et les spécifications techniques visées à l’article 4, paragraphe 3:

a) avant le début de l’échange de données de santé électroniques à caractère personnel;

b) tous les cinq ans après le contrôle de conformité le plus récent;

c) lorsque la Commission estime qu’il existe un risque critique pour la sécurité, la confidentialité ou la protection des données de santé électroniques à caractère personnel.

Article 10

Autorisation d’entamer l’échange de données de santé électroniques à caractère personnel

Un point de contact national pour la santé numérique obtient l’autorisation visée à l’article 7, paragraphe 1, point a), avant de commencer l’échange de données de santé électroniques à caractère personnel. L’autorisation est fondée sur:

a) un résultat d’essai sans constatations critiques conformément à l’article 8, paragraphe 4;

b) un résultat de contrôle de conformité sans constatations critiques conformément à l’article 8, paragraphe 4;

c) les plans d’action visés à l’article 8, paragraphe 5.

Article 11

Autorisation de mise à niveau et de poursuite de l’échange de données de santé électroniques à caractère personnel à la suite d’une mise à niveau

1. Chaque point de contact national pour la santé numérique obtient l’autorisation visée à l’article 7, paragraphe 1, point b), au plus tard un mois avant la fin du délai visé à l’article 6, paragraphe 3. L’autorisation est fondée sur un résultat d’essai technique sans les constatations critiques visées à l’article 8, paragraphe 4.

2. Lorsqu’un point de contact national pour la santé numérique ne reçoit pas l’autorisation visée au paragraphe 1, le groupe de pilotage adopte des mesures d’atténuation, qui peuvent inclure la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.

3. Lorsque l’échange de données de santé électroniques à caractère personnel est suspendu conformément au paragraphe 2, le point de contact national pour la santé numérique prend les mesures suivantes:

a) remédier aux constatations à l’origine de la suspension;

b) obtenir l’autorisation visée à l’article 7, paragraphe 1, point b);

c) mettre en œuvre une mise à niveau de la dernière version majeure et rétablir l’échange de données de santé électroniques à caractère personnel.

Article 12

Poursuivre l’échange de données de santé électroniques à caractère personnel à la suite d’un contrôle de conformité opérationnelle

1. Chaque point de contact national pour la santé numérique obtient l’autorisation visée à l’article 7, paragraphe 1, point c), au plus tard deux mois après avoir reçu le résultat du contrôle de conformité visé à l’article 8, paragraphe 4. L’autorisation est fondée sur un résultat de contrôle de conformité sans constatations critiques.

2. Lorsqu’un point de contact national pour la santé numérique ne reçoit pas l’autorisation visée au paragraphe 1, le groupe de pilotage adopte des mesures d’atténuation, qui peuvent inclure la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.

3. Lorsque l’échange de données de santé électroniques à caractère personnel est suspendu conformément au paragraphe 2, le point de contact national pour la santé numérique prend les mesures suivantes:

a) clore les constatations à l’origine de la suspension;

b) obtenir l’autorisation visée à l’article 7, paragraphe 1, point c);

c) rétablir l’échange de données de santé électroniques à caractère personnel.

Article 13

Incidents importants

1. Un point de contact national pour la santé numérique, ou la Commission selon le cas, informe le président du groupe de pilotage, la Commission et tout point de contact national pour la santé numérique concerné dès que possible et, en tout état de cause, dans un délai de 24 heures après avoir eu connaissance d’un incident important.

2. À la suite de la notification visée au paragraphe 1, ou de sa propre initiative, la Commission, en accord avec le président du groupe de pilotage, traite l’incident important.

3. Le point de contact national pour la santé numérique dont l’échange transfrontière de données de santé électroniques à caractère personnel est affecté par l’incident important et le groupe de pilotage, si nécessaire, prennent les mesures requises pour atténuer cet incident. Ces mesures peuvent comprendre la suspension temporaire de l’échange de données de santé électroniques à caractère personnel.

4. Après approbation du groupe de pilotage, le point de contact national pour la santé numérique concerné rétablit l’échange transfrontière suspendu de données de santé électroniques à caractère personnel dès que possible après la résolution de l’incident important.

5. Le point de contact national pour la santé numérique dont l’échange transfrontière de données de santé électroniques à caractère personnel a été affecté par l’incident important ou la Commission, si un service visé à l’article 3, paragraphe 1, a été touché par l’incident important, fait rapport au groupe de pilotage au plus tard un mois après la soumission de la notification visée au paragraphe 1. Ce rapport comprend au moins les éléments suivants:

a) une description détaillée de l’incident important, y compris de sa gravité et de ses répercussions;

b) le type de menace ou la cause profonde qui a probablement déclenché l’incident important;

c) les mesures d’atténuation déjà prises et toujours en cours.

Article 14

Traitement des données à caractère personnel dans MaSanté@UE

Le traitement des données à caractère personnel dans MaSanté@UE se limite:

a) aux catégories prioritaires de données de santé électroniques à caractère personnel destinées à une utilisation primaire visées à l’article 14, paragraphe 1, premier alinéa, du règlement (UE) 2025/327;

b) aux catégories supplémentaires de données de santé électroniques à caractère personnel destinées à une utilisation primaire visées à l’article 14, paragraphe 1, troisième alinéa, du règlement (UE) 2025/327;

c) aux données à caractère personnel nécessaires pour gérer MaSanté@UE, y compris la gestion du service d’assistance.

Article 15

Responsabilités des points de contact nationaux pour la santé numérique en tant que responsables conjoints du traitement

1. En leur qualité de responsables conjoints du traitement, les points de contact nationaux pour la santé numérique assument les responsabilités énumérées ci-dessous.

a) Ils mettent en place un point de contact doté d’une boîte aux lettres fonctionnelle aux fins de la communication entre les responsables conjoints du traitement, ainsi qu’entre ces derniers et le sous-traitant.

b) Ils se coordonnent au sein du groupe de pilotage afin de fournir des instructions coordonnées à la Commission en tant que sous-traitant.

c) Ils envoient toutes les instructions nécessaires à la Commission, en tant que sous-traitant, par l’intermédiaire du groupe de pilotage, comme convenu avec les autres responsables conjoints du traitement au sein du groupe.

d) Ils sont chargés d’informer les personnes concernées du traitement des données à caractère personnel dans MaSanté@UE, conformément aux articles 13 et 14 du règlement (UE) 2016/679.

e) Ils répondent aux demandes des personnes concernées visant à exercer leurs droits prévus par le règlement (UE) 2016/679. Lorsqu’un responsable conjoint du traitement reçoit une demande qui ne relève pas de ses responsabilités en ce qui concerne MaSanté@UE, il transmet la demande au responsable conjoint du traitement concerné et en informe la personne concernée.

f) Ils prennent toutes les mesures de sécurité organisationnelles, physiques et logiques appropriées pour garantir que chaque point de contact national pour la santé numérique fonctionne de manière sécurisée et documente ces mesures. Ces mesures garantissent que:

i) les personnes autorisées à traiter les données à caractère personnel échangées par l’intermédiaire de MaSanté@UE sont soumises à une obligation légale appropriée de confidentialité ou se sont engagées à respecter la confidentialité;

ii) les échanges de données à caractère personnel par l’intermédiaire de MaSanté@UE sont consignés systématiquement afin de tenir un registre des échanges de données à caractère personnel, y compris l’identité des acteurs concernés, les catégories de données à caractère personnel et les finalités pour lesquelles elles ont été échangées.

g) Ils se prêtent mutuellement assistance pour détecter et traiter tout incident, y compris les violations de données à caractère personnel, lié au traitement dans MaSanté@UE. En particulier, les responsables conjoints du traitement s’informent mutuellement des éléments suivants, et en informent la Commission:

i) tout risque pour la sécurité des données à caractère personnel traitées dans MaSanté@UE;

ii) tout incident de sécurité lié aux opérations de traitement des données à caractère personnel dans MaSanté@UE;

iii) toute violation de données à caractère personnel, les conséquences probables de ladite violation et l’évaluation du risque pour les droits et libertés des personnes physiques, ainsi que toute mesure prise visant à remédier à la violation de données et à atténuer le risque pour ces droits et libertés;

iv) toute atteinte aux garanties techniques et/ou organisationnelles du processus de traitement dans MaSanté@UE.

h) Ils communiquent toute violation de données à caractère personnel liée au processus de traitement dans MaSanté@UE aux autorités de contrôle de la protection des données compétentes et, lorsqu’ils sont tenus de le faire, aux personnes concernées, conformément aux articles 33 et 34 du règlement (UE) 2016/679.

i) Ils participent aux analyses d’impact des opérations de traitement envisagées, conformément à l’article 35 du règlement (UE) 2016/679, le cas échéant.

2. Si, afin de s’acquitter des obligations qui lui incombent en vertu des articles 33 et 34 du règlement (UE) 2016/679, un responsable conjoint du traitement a besoin de s’informer auprès d’un autre responsable conjoint du traitement, il adresse une demande spécifique à la boîte fonctionnelle visée au paragraphe 1, point a). L’autre responsable conjoint du traitement met tout en œuvre pour fournir les informations demandées.

Article 16

Responsabilités de la Commission en tant que sous-traitant

En sa qualité de sous-traitant, la Commission assume les responsabilités énumérées ci-après. La Commission peut engager des tiers en tant que sous-traitants ultérieurs pour s’acquitter de ces responsabilités:

a) elle met en place et maintient un service de communication sécurisé et fiable pour les points de contact nationaux pour la santé numérique participant à MaSanté@UE («service central de communication sécurisé»);

b) elle configure une partie du service central de communication sécurisé de telle sorte que les points de contact nationaux pour la santé en ligne puissent échanger des informations de manière sécurisée, fiable et efficace;

c) elle prend des mesures pour faciliter l’interopérabilité et la communication entre le service central de communication sécurisé et les responsables conjoints du traitement de MaSanté@UE;

d) elle ne traite les données à caractère personnel que sur instruction des responsables conjoints du traitement de MaSanté@UE, à moins qu’elle ne soit tenue de le faire en vertu de la législation à laquelle elle est soumise. Dans ce cas, la Commission informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public. La Commission informe immédiatement les responsables conjoints du traitement si, selon elle, les instructions données enfreignent les dispositions applicables en matière de protection des données;

e) elle met en place les mesures nécessaires pour garantir un niveau de sécurité des données à caractère personnel traitées dans le service de communication sécurisé adapté aux risques. Ces mesures sont consignées dans un plan de sécurité, qui est tenu à jour. Ces mesures consistent notamment à:

i) mettre en place une procédure d’évaluation des risques, afin d’identifier et d’estimer les menaces potentielles pour le système;

ii) veiller à ce que les personnes autorisées à traiter les données à caractère personnel soient soumises à une obligation légale appropriée de confidentialité, telle que celle prévue à l’article 17 du statut des fonctionnaires des Communautés européennes, fixé par le règlement (CEE, Euratom, CECA) no 259/68 du Conseil, ou se soient engagées à respecter la confidentialité;

iii) prendre les mesures appropriées pour faire en sorte que son personnel et ses contractants comprennent leurs responsabilités en matière de sécurité de l’information et de protection des informations sensibles non classifiées;

iv) mettre en œuvre des mesures de sécurité d’ordre technique et organisationnel afin d’empêcher l’accès non autorisé aux données à caractère personnel;

v) garantir l’intégrité des informations transmises par l’intermédiaire du service de communication sécurisé;

vi) mettre en œuvre, chaque fois que cela est nécessaire, des mesures visant à bloquer l’accès non autorisé au service de communication sécurisé depuis le domaine des points de contact nationaux pour la santé numérique;

vii) veiller à ce que les données transportées au sein du service central de communication sécurisée soient chiffrées;

viii) prendre les mesures de sécurité physique appropriées, y compris:

1. contrôler l’accès aux installations et tenir un registre des visiteurs à des fins de suivi;

2. veiller à ce que les personnes extérieures auxquelles l’accès est accordé soient accompagnées par du personnel dûment autorisé.

f) elle met en œuvre une procédure de gestion des modifications et tient les responsables conjoints du traitement informés de tout changement susceptible d’avoir une incidence sur la communication avec d’autres infrastructures nationales ou sur la sécurité de ces infrastructures;

g) elle surveille en temps réel la performance de tous les éléments de son service de communication sécurisé, produit des statistiques régulières et tient des registres;

h) elle met en œuvre des procédures d’audit et de réexamen afin de:

i) vérifier la correspondance entre les mesures de sécurité mises en œuvre et le plan de sécurité visé au point e);

ii) contrôler régulièrement l’intégrité des fichiers système, les paramètres de sécurité et les autorisations accordées;

iii) assurer une surveillance afin de détecter les atteintes à la sécurité;

iv) appliquer des modifications afin de corriger les failles existantes en matière de sécurité;

v) établir une procédure de gestion des incidents de sécurité définissant le système de signalement et de remontée des incidents;

vi) informer les responsables conjoints du traitement concernés.

i) elle publie sur son site web des avis aux patients concernant le traitement des données à caractère personnel dans MaSanté@UE, après approbation de leur contenu par les responsables conjoints du traitement;

j) elle assiste les responsables conjoints du traitement en fournissant des informations sur le service de communication sécurisé de MaSanté@UE, afin de mettre en œuvre les obligations énoncées aux articles 32 à 36 du règlement (UE) 2016/679;

k) après la fin de l’échange de données, elle efface toutes les données à caractère personnel traitées pour le compte d’un responsable du traitement et certifie au responsable du traitement qu’elle l’a fait, à moins que le droit applicable n’exige la conservation des données à caractère personnel;

l) elle fournit aux responsables conjoints du traitement toutes les informations nécessaires pour démontrer qu’elle respecte ses obligations en tant que sous-traitant et consent, y compris à la demande des responsables du traitement, et contribue à la réalisation d’audits indépendants, y compris des inspections et des examens des mesures de sécurité, sous réserve de conditions conformes au protocole (no 7) du traité sur le fonctionnement de l’Union européenne sur les privilèges et immunités de l’Union européenne.

Article 17

Sécurité de MaSanté@UE

La Commission assure la sécurité de MaSanté@UE, conformément à la décision (UE, Euratom) 2017/46.

Article 18

Mesures transitoires

Les points de contact nationaux pour la santé en ligne qui ont échangé des données de santé électroniques à caractère personnel par l’intermédiaire de l’infrastructure de services numériques dans le domaine de la santé en ligne pour les services transfrontaliers d’information sur la santé en ligne conformément à la décision d’exécution (UE) 2019/1765 avant le 26 mars 2029 et qui ont été désignés comme points de contact nationaux pour la santé numérique en vertu de l’article 23, paragraphe 2, du règlement (UE) 2025/327 peuvent continuer à échanger ces données dans le cadre de MaSanté@UE et sont réputés satisfaire aux exigences en matière d’autorisation pour commencer l’échange de données de santé électroniques à caractère personnel énoncées dans le présent règlement.

Article 19

Entrée en vigueur et mise en application

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

Il est applicable à partir du 26 mars 2027.