ACTUALITÉS

La Commission européenne a présenté, le 19 novembre 2025, deux projets de règlements regroupés sous l’appellation de « Digital Omnibus ». Ils visent à faire évoluer le cadre juridique applicable aux données, aux traitements numériques et à l’intelligence artificielle. Ces propositions introduisent des ajustements notables du RGPD et de l’AI Act.

Avec le Data Act, l’Union européenne poursuit l’encadrement du numérique après le RGPD, l’IA Act et le Data Governance Act, en fixant un cadre harmonisé pour l’accès, l’usage et le partage des données des objets connectés et services numériques.

À la croisée du droit de la santé et du droit du numérique, l’accès aux informations médicales constitue aujourd’hui une garantie essentielle pour les patients. Inscrit dans le Code de la santé publique, il s’articule également avec le RGPD.

Le droit de se taire a fait l’objet de nombreuses applications ces derniers temps. Ce droit trouve son fondement dans l’article 9 de la Déclaration des droits de l’homme et du citoyen de 1789[1]. S’il a d’abord été cantonné à la procédure pénale – et notamment à la garde à vue – il connaît, depuis plusieurs années, une extension significative vers les procédures administratives et disciplinaires dotées d’un caractère répressif. L’année 2025 illustre particulièrement ce mouvement, avec plusieurs décisions du Conseil constitutionnel et du Conseil d’État venues préciser les contours de cette garantie, notamment dans le champ des sanctions prononcées par la Commission

La CNIL met en consultation un projet de recommandation sur la sécurité du dossier patient informatisé (DPI) dans un contexte où les accès, l’hébergement et les habilitations demeurent des enjeux critiques pour les établissements de santé.

Dans un rapport publié le 3 janvier 2025, la Cour des comptes dresse un état des lieux préoccupant de la sécurité informatique des établissements de santé en France.

Un fichier contenant des nombreuses données, y compris sensibles, de près de 750 000 patients aurait été mis en vente sur un forum de pirate, l’occasion de revenir sur les obligations des différents acteurs en matière de violations de données.

Dans une décision du 12 septembre 2024, le Conseil constitutionnel s’est prononcé sur la conformité du dossier médical partagé à la Constitution.

La CJUE a rendu une décision interprétant la notion de données de santé et statuant sur les imbrications du RGPD avec le droit de la concurrence, et plus précisément sur les actes de concurrence déloyale.

Dans un arrêt du 3 septembre 2024, la chambre criminelle de la Cour de cassation rappelle que seuls les tribunaux administratifs peuvent se prononcer sur la responsabilité d’un agent public.

Par délibération du 5 septembre 2024, la CNIL a sanctionné la société CEGEDIM d’une amende de 800.000 euros aux motifs de l’absence d’autorisation nécessaire aux fins de traitement de données de santé et de manquement au principe de licéité.

Dans un arrêt du 9 juillet 2024, le tribunal administratif de Strasbourg a retenu la responsabilité de l’Université et les hôpitaux universitaires de Strasbourg ayant utilisé, sans le consentement de sa patiente, ses photos à des fins d’enseignement.

Par un arrêt du 12 juillet 2024, le Conseil d’État rappelle la marge d’appréciation dont dispose la CNIL dans le choix des mesures correctrices en cas de manquement au RGPD, en l’occurence, le défaut de recueil effectif du consentement pour le traitement de données de santé.