Régulation du numérique en santé 2026 : le triptyque ANS–HAS–CNIL passe en mode coercitif

Situation

En l'espace de trois semaines, trois décisions majeures ont redessiné le paysage réglementaire du numérique en santé en France. Le décret ANS du 3 mars 2026 instaure un régime de sanctions financières pour les éditeurs de services numériques non conformes ; le partenariat HAS–CNIL du 10 mars 2026 aligne pour la première fois les exigences de qualité clinique et de protection des données ; et la procédure de migration du Health Data Hub vers un cloud souverain SecNumCloud, engagée en février 2026, fixe au 31 décembre 2026 une échéance de souveraineté des données nationales de santé. Ces trois mouvements forment un ensemble cohérent : l'ère de l'incitation volontaire au numérique en santé est close ; celle de la contrainte normative est ouverte.

Contexte

La transformation numérique du système de santé s'est accélérée depuis 2020, mais elle s'est accompagnée de défaillances structurelles persistantes : fragmentation des systèmes d'information, non-respect des standards d'interopérabilité, exposition aux incidents de cybersécurité, le secteur de la santé demeurant selon l'ANSSI l'un des trois plus touchés, et dépendance à des infrastructures cloud étrangères soumises au Cloud Act américain. L'ensemble de ces dispositions constitue la réponse réglementaire à cette accumulation de vulnérabilités.

Ce qui est confirmé

1, Décret ANS n° 2026-153 du 3 mars 2026 (sanctions éditeurs) Publié au Journal officiel le 4 mars 2026, ce texte donne une assise légale aux sanctions financières prévues par l'article L. 1470-6 du code de la santé publique. L'ANS peut désormais ouvrir des procédures de manquement et prononcer des amendes à l'encontre des éditeurs qui ne respectent pas les référentiels d'interopérabilité, de sécurité et d'éthique. Un portail de signalement est ouvert aux professionnels et utilisateurs.

2, Partenariat HAS–CNIL du 10 mars 2026 (gouvernance intégrée) Ce partenariat prévoit : la promotion conjointe de la protection des données personnelles de santé ; l'adaptation des exigences européennes au contexte français ; et l'intégration des critères de conformité numérique dans les processus de certification des établissements. Une recommandation commune sur le bon usage de l'intelligence artificielle en contexte clinique est annoncée pour le deuxième trimestre 2026.

3, Migration du Health Data Hub vers SecNumCloud (échéance fin 2026) Une procédure d'appel d'offres a été lancée le 9 février 2026 via le marché Nuage Public de l'UGAP. L'attribution du marché, prévue fin mars 2026, est en cours de finalisation à la date de cette publication. La migration complète doit être achevée avant le 31 décembre 2026. Le décret d'application de la loi SREN officialisant le référentiel HDS 2.0 est attendu dans les tout prochains jours.

Ce qui pose question

Chevauchement normatif HAS–CNIL : les professionnels et établissements devront satisfaire simultanément aux exigences cliniques de la HAS et aux obligations réglementaires de la CNIL, dont les référentiels peuvent diverger. L'absence de calendrier consolidé de mise en conformité et le manque de clarté sur les sanctions applicables créent une incertitude opérationnelle préjudiciable, en particulier pour les petites structures médico-sociales.

Risque calendrier Health Data Hub : moins de neuf mois séparent l'attribution du marché de l'échéance de migration. Les risques techniques sont élevés, interopérabilité, continuité des projets de recherche en cours, intégrité des données. Si la transition échoue ou accumule des retards, la plateforme pourrait rester exposée au Cloud Act bien au-delà du 31 décembre 2026. Le coût total de l'opération n'a pas été communiqué.

Risque de consolidation du marché : la charge de mise en conformité imposée aux éditeurs par le décret ANS pourrait accélérer l'élimination des acteurs les moins dotés, réduisant la diversité de l'offre de logiciels médicaux, sans garantie d'amélioration perceptible pour les utilisateurs finaux à court terme.

L'impact financier & organisationnel

Pour les éditeurs, le décret ANS crée un risque financier direct (amendes) et impose des coûts de développement supplémentaires, susceptibles d'être répercutés sur le prix des abonnements. Pour les directions des systèmes d'information des établissements, l'enjeu est triple : conduire des audits de conformité croisés HAS–CNIL, adapter les contrats fournisseurs en y intégrant des clauses de conformité, et vérifier la compatibilité de leurs hébergements avec le référentiel HDS 2.0. Pour les équipes de recherche et les structures utilisatrices du Health Data Hub, il convient d'anticiper des perturbations opérationnelles lors de la bascule au quatrième trimestre 2026.

Le regard du Cercle

L'année 2026 marque un tournant structurant : les trois institutions (ANS, HAS, CNIL) convergent vers une gouvernance intégrée et contraignante du numérique en santé. La cohérence de cette démarche est réelle, et la nécessité de sécuriser les données nationales de santé, incontestable. Son efficacité pratique dépendra cependant de la capacité des institutions à produire des référentiels harmonisés et accessibles, et d'éviter que la superposition normative ne devienne une charge administrative disproportionnée pour les structures de taille modeste. La fenêtre d'anticipation pour les professionnels est ouverte en 2026 ; les effets sur la qualité des systèmes se mesureront à partir de 2027.

Recommandations

Responsables des achats informatiques (établissements et cabinets) : Exiger de chaque fournisseur de logiciel médical une attestation de conformité aux référentiels ANS en vigueur, et intégrer une clause de conformité HAS–CNIL dans les appels d'offres et renouvellements de contrats, avec obligation de preuve documentaire.

Directions des systèmes d'information hospitaliers : Inscrire à l'agenda 2026 un audit croisé HAS–CNIL des outils numériques utilisés, en identifiant les zones de convergence et les points de friction, et vérifier la conformité des hébergements au référentiel HDS 2.0 dont le décret est imminent.

Équipes de recherche et structures utilisatrices du Health Data Hub : Anticiper des interruptions de service potentielles au quatrième trimestre 2026 ; sauvegarder localement les données critiques en cours d'analyse et formaliser un plan de continuité des projets. Tous utilisateurs de services numériques en santé : Signaler via le portail de l'ANS tout dysfonctionnement d'interopérabilité ou incident de sécurité, en documentant les circonstances et l'impact sur la pratique clinique.

Sources

Traçabilité : HAS, APM, TICsanté, CIO Online, Journal officiel (décret n° 2026-153), ANS