Le décret n°2026-209 du 24 mars 2026 donne aux pharmaciens exactement six mois pour vérifier que leurs prestataires numériques stockent les données de santé exclusivement dans l'Union européenne, délai butoir fixé au 27 septembre 2026. Ce texte, pris en application de la loi SREN du 21 mai 2024, élève au rang réglementaire des exigences jusqu'ici portées par le seul référentiel de certification HDS : localisation EU obligatoire, transparence contractuelle sur les transferts hors EEE, cartographie publique des risques. Ce que l'article révèle : le pharmacien titulaire est lui-même responsable de traitement au sens du RGPD, et peut être mis en cause par la CNIL ou l'Ordre si son LGO ou son hébergeur cloud ne satisfait pas aux nouvelles règles.
27 septembre 2026 : la date que vos prestataires ne vous ont pas encore signalée
Le décret est entré en vigueur dès le 27 mars 2026, lendemain de sa publication au Journal officiel. Mais ses dispositions les plus contraignantes, la règle de territorialité du stockage, le renforcement des clauses contractuelles et la cartographie des transferts, ne s'appliquent qu'à compter du 27 septembre 2026. Six mois qui peuvent sembler longs. Six mois qui, dans les faits, ne le sont pas.
Le texte modifie plusieurs articles du Code de la santé publique (CSP). L'article R. 1111-9 est réécrit : l'activité de sauvegarde inclut désormais explicitement l'archivage électronique. Conséquence directe pour l'officine : tout prestataire assurant l'archivage de vos ordonnances numérisées, de vos bilans de médication ou de vos données de dispensation doit détenir un certificat de conformité HDS. Le nouvel article R. 1111-9-1 du CSP est plus radical encore : il impose que tout stockage réalisé dans le cadre d'une activité HDS soit effectué exclusivement dans l'Union européenne ou l'Espace économique européen. La CNIL, dans sa délibération n°2025-098 du 16 octobre 2025, précise que cette mesure vise à réduire les risques d'accès extra-européens liés aux législations extraterritoriales, le Cloud Act américain en tête, plutôt qu'à imposer un opérateur européen spécifique. Le message reste clair : un hébergeur certifié HDS qui synchronise ses sauvegardes vers des datacenters hors EEE sans garanties appropriées n'est plus conforme.
Pour les officines, la chaîne de responsabilité est directe. Le LGO stocke des données relevant de l'article 9 du RGPD : ordonnances, numéros de sécurité sociale, résultats de tests, historiques de dispensation, bilans de médication. Le titulaire est responsable de traitement. Les éditeurs de logiciels (Winpharma, LGPI, Smart-Rx, LEO Officine, Pharmony One…) et les concentrateurs de tiers-payant sont ses sous-traitants. Si leur hébergement n'est pas en UE/EEE au 27 septembre 2026, c'est le titulaire qui s'expose.
Pourquoi l'officine est une cible, et pourquoi ça coûte
Le secteur de la santé a concentré 11 % des cyberattaques en France en 2023 (ANSSI). En 2024, la CNIL a reçu 5 629 notifications de violations de données personnelles, soit +20 % par rapport à 2023, avec un doublement des violations touchant plus d'un million de personnes. La sanction de Cegedim Santé, 800 000 euros d'amende prononcée le 5 septembre 2024 pour traitement de données de santé sans autorisation, montre que les éditeurs de logiciels médicaux sont dans le viseur. Plus près du comptoir : en octobre 2025, la pharmacie des Alizés en Martinique a été victime d'une cyberattaque ayant extrait 80 gigabits de données, assortie d'une demande de rançon de 50 000 €. Le Moniteur des Pharmacies a rapporté qu'une officine touchée peut perdre jusqu'à 8 % de sa clientèle après déclaration de violation de données à ses patients.
La double exposition est réelle. D'un côté, le risque cyber : des vols de données ont été rapportés via des opérateurs se faisant passer pour des éditeurs de LGO. De l'autre, le risque réglementaire : 87 sanctions CNIL ont été prononcées en 2024, pour un montant total de 55,2 millions d'euros, et la CNIL a explicitement ciblé le secteur santé dans son Plan stratégique 2025-2028. Des professionnels de santé figuraient parmi les sanctionnés. La CNIL et la HAS ont par ailleurs signé une convention de partenariat le 10 mars 2026 pour accompagner les professionnels de santé sur les bonnes pratiques numériques, signal que la pression réglementaire va s'accentuer, pas s'alléger.
Ce que le décret change concrètement dans vos contrats et vos flux numériques
Trois obligations nouvelles s'imposent à partir du 27 septembre 2026. Première obligation : la localisation EU/EEE du stockage. Votre hébergeur doit pouvoir attester que les données sont physiquement stockées dans l'Union ou l'EEE. Un transfert vers un pays tiers, même sous forme d'accès à distance par un technicien américain pour maintenance, n'est autorisé que s'il repose sur une décision d'adéquation de la Commission européenne (article 45 du RGPD) ou des garanties appropriées (article 46). Deuxième obligation : les clauses contractuelles renforcées. Le contrat HDS doit désormais mentionner l'ensemble des droits RGPD des personnes concernées (articles 15 à 21), les informations relatives à tout transfert hors EEE, et, si l'hébergeur ou l'un de ses sous-traitants est soumis à une législation extra-européenne, la liste de ces réglementations, les mesures d'atténuation prises et les risques résiduels. Troisième obligation : la cartographie publique des transferts. L'hébergeur devra rendre accessible et maintenir à jour une carte des flux de données de santé vers des États non-membres de l'UE/EEE, ainsi que des accès distants éventuels. Cette transparence n'est plus bilatérale : elle devient publique.
| Obligation | Avant le décret | À compter du 27/09/2026 | Qui est concerné |
|---|---|---|---|
| Localisation du stockage | Recommandée par le référentiel HDS | Obligatoire : UE/EEE exclusivement (R. 1111-9-1 CSP) | Hébergeur + titulaire (responsable de traitement) |
| Clauses contractuelles | Périmètre certificat, lieux d'hébergement | + Droits RGPD Art. 15-21, risques extra-européens, mesures d'atténuation | Hébergeur + éditeur LGO (sous-traitant) |
| Archivage électronique | Non soumis à certification HDS | Soumis à certification HDS (R. 1111-9 CSP modifié) | Tout prestataire de sauvegarde/archivage |
| Cartographie des transferts | Document interne bilatéral | Publication publique obligatoire par l'hébergeur | Hébergeur certifié HDS |
| Accès distant hors EEE | Non explicitement réglementé | Encadré par décision d'adéquation ou garanties Art. 46 RGPD | Hébergeur + sous-traitants techniques |
| Sources : Décret n°2026-209 du 24 mars 2026 (JO du 26 mars 2026) ; CNIL, délibération n°2025-098 du 16 octobre 2025 ; Légifrance, art. R. 1111-9 et R. 1111-9-1 CSP. | |||
"Il verrouille la localisation du stockage dans l'UE/EEE, encadre plus explicitement les accès distants depuis les pays tiers et renforce le rôle du contrat HDS en vecteur de transparence sur les dépendances juridiques extra-européennes."
Ce que vous devez faire, et dans quel ordre
Action 1 : Auditer vos prestataires numériques avant le 30 juin 2026
Dressez la liste exhaustive de vos sous-traitants traitant des données de santé : éditeur LGO, hébergeur cloud, concentrateur de tiers-payant, plateforme de téléconsultation, prestataire de sauvegarde, solution de prise de rendez-vous. Pour chacun, exigez par écrit : (1) le numéro de certificat HDS en cours de validité, (2) la localisation physique des datacenters (UE/EEE obligatoire), (3) la liste des sous-traitants auxquels il recourt et leur propre certification. Vérifiez les certifications en cours de validité sur le site de l'ANS (esante.gouv.fr). Un hébergeur dont le certificat expire avant le 27 septembre 2026 doit déjà avoir engagé sa recertification, demandez-lui la date prévue de renouvellement. Si votre LGO fonctionne en mode client lourd avec synchronisation cloud vers un opérateur non certifié HDS, vous êtes en situation de non-conformité dès maintenant. Alertez votre éditeur et demandez une réponse écrite sous 15 jours.
Action 2 : Faire amender vos contrats avant le 27 septembre 2026
Le décret impose des clauses contractuelles nouvelles. Envoyez un courrier recommandé (ou email avec accusé de réception) à chaque prestataire pour demander un avenant incluant : la mention des droits RGPD articles 15 à 21, l'identification de tout flux hors UE/EEE, les mesures d'atténuation si un prestataire est soumis à une législation extra-européenne, et les risques résiduels documentés. Conservez une copie de chaque réponse. En l'absence de réponse sous 30 jours, constituez un dossier écrit de vos demandes : il pourra servir de preuve de diligence en cas de contrôle CNIL ou de mise en cause ordinale. PharmaPex, hébergé dans l'Union européenne, intègre nativement ces exigences contractuelles et peut vous fournir les éléments de documentation nécessaires à votre dossier de conformité.
Action 3 : Documenter et suivre votre conformité en continu
La conformité HDS n'est pas un acte unique : c'est un processus documenté. Mettez à jour votre registre des traitements RGPD en y intégrant la certification HDS de chaque sous-traitant, la localisation de leurs datacenters et la date de validité de leur certificat. Planifiez une revue annuelle. L'indicateur à surveiller : la liste des hébergeurs certifiés HDS publiée par l'ANS, toute sortie de liste d'un de vos prestataires déclenche une action contractuelle immédiate. En cas de violation de données, le RGPD vous oblige à notifier la CNIL sous 72 heures et vos patients si leurs droits sont susceptibles d'être affectés. Préparez ce processus de notification avant qu'un incident survienne.