La transmission à la Commission Européenne ouvre une période de statu quo de 3 mois. Incompressible.

Prévu pour la fin de l’été, l’arrêté ne passera donc pas au Journal Officiel avant début décembre.
Les hébergeurs disposeront alors de 3 mois pour se mettre en conformité.

Ce qui change

Exigence 23-1 (ancienne 23, complétée) : Le contrat doit décrire les informations relatives aux transferts hors UE / EEE.
👉 Logiquement, cela devrait déjà être couvert du fait du RGPD.

Exigence 23-2 (adapte l’ancienne 30) : Le contrat doit :
Lister les réglementations extra-européennes en vertu desquelles l’hébergeur ou l’un de ses sous-traitants est tenu de permettre un transfert ou un accès non autorisé aux données de santé
👉 Il s’agit ici de reprendre le contenu de l’ancienne EXI 30 et de la reporter dans le contrat
❗Champ plus large que l’ancienne EXI 30, car elle concerne tout pays hors UE/EEE.

Viser la décision d’adéquation justifiant le transfert
👉 Logiquement, cela devrait déjà être couvert du fait du RGPD.

A défaut de décision d’adéquation:
1️⃣ Enumérer les mesures pour atténuer les risques induits par ces réglementations extra-européennes
2️⃣ Décrire les risques résiduels

Exigence 23-3 : Le contrat doit préciser expressément qu’aucune législation d’un pays tiers lui imposant un transfert de données de santé à caractère personnel ne s’applique.

Exigence 29 : Le transfert basé sur l’article 46 RGPD suppose que les personnes concernées disposent de droits opposables et de voies de droit effectives. Le contrat doit apporter des précisions sur ce sujet.

Point juridiquement intéressant : L’arrêté consacre le principe selon lequel l’accès aux données depuis un pays tiers vaut transfert.

Bonne nouvelle : si les mentions sur la souveraineté numérique figuraient déjà dans votre contrat, au titre de l’obligation d’information, le chantier est léger.

La difficulté reste l’énumération des législations étrangères… ou la façon d’affirmer qu’aucun texte extra européen ne vient s’appliquer. Mais cela résultait déjà, en pratique, de la v2.0.

Une question reste ouverte : le projet d’arrêté prévoit l’application immédiate de la v2.1 aux hébergeurs certifiés en 2.0. Cela implique-t-il de présenter un avenant aux clients actuels?

La réponse varie, selon la teneur de chaque contrat type. Chacun est rédigé de façon différente.