Référentiels de l’ANS : quels risques pour les éditeurs de logiciels de santé en cas de non-conformité ?

Ces dernières années, l’Agence du numérique en santé (ANS) a élaboré de nombreux référentiels afin de fixer un cadre commun au déploiement des systèmes d'information dans le secteur de la santé.

Néanmoins, tous ces textes n’ont pas la même portée juridique :

• Certains ont été approuvés par arrêté ministériel, les rendant ainsi pleinement opposables ;
• D’autres demeurent en attente d’une telle approbation réglementaire ;
• D’autres, enfin, conditionnent le bénéfice d’aides financières pour les établissements et professionnels de santé utilisateurs.

Par ailleurs, certains référentiels opposables peuvent également prévoir l’obligation d’obtenir un certificat de conformité.

Pour un éditeur, l’enjeu est donc d'identifier précisément les exigences immédiatement applicables à sa solution et celles qui s’inscrivent dans une trajectoire de mise en conformité future. Cette distinction est cruciale : tout manquement à une règle opposable expose l'entreprise à des sanctions de différentes natures.

À quels logiciels de santé les référentiels de l’ANS s’appliquent-ils ?

Tous les logiciels utilisés dans le secteur de la santé ne sont pas soumis aux référentiels de l’ANS. Ces exigences réglementaires ne s’appliquent qu’aux solutions qui répondent à la définition légale de service numérique en santé.

Le code de la santé publique définit ces services comme :
« les systèmes d'information ou les services ou outils numériques mis en œuvre par des personnes physiques ou morales de droit public ou de droit privé, y compris les organismes d'assurance maladie, proposés par voie électronique, qui concourent à des activités de prévention, de diagnostic, de soin ou de suivi médical ou médico-social, ou à des interventions nécessaires à la coordination de plusieurs de ces activités » (Art. L.1470-1 du Code de la santé publique).

Dans ce cadre, la loi distingue trois catégories d’utilisateurs de ces services :
• Les professionnels de santé, établissements et autres structures de santé ;
• Les établissements et services des secteurs sociaux et médico-sociaux ;
• Les usagers du système de santé.

Quels référentiels de l’ANS s’imposent aux éditeurs ?

Seuls les référentiels approuvés par arrêté ministériel présentent un caractère contraignant. La simple publication d’un référentiel sur le site de l’ANS ne suffit pas à lui conférer une force obligatoire.

C’est son approbation par arrêté ministériel qui emporte son opposabilité à l'égard des éditeurs dont les services entrent dans son champ d’application.

À défaut d'une telle approbation, le référentiel n'est pas juridiquement contraignant, bien que son respect permette d'anticiper les trajectoires de mise en conformité réglementaire.

Un certificat de conformité peut également être exigé pour attester du respect d'un référentiel rendu opposable. En pratique, l’obtention de ces certificats est requise pour ouvrir droit à une prise en charge par l’assurance maladie obligatoire.

Quels risques pour les éditeurs en cas de non-conformité ?

Les conséquences attachées au non-respect des référentiels de l’ANS opposables sont multiples et peuvent résulter de l’application de différentes réglementations.

1. Risque de sanction au titre de la réglementation des services numériques en santé

Cette première catégorie de risque ne concerne que les référentiels cumulativement :

• Rendus opposables par arrêté ministériel, et
• Assortis de l’obligation de disposer d’un certificat de conformité.

Lorsqu’en dépit du caractère obligatoire du certificat de conformité un éditeur méconnait un référentiel ou ne dispose pas dudit certificat, il s'expose à une pénalité financière pouvant aller jusqu’à 1% du chiffre d'affaires, hors taxes, réalisé en France par l'éditeur au titre du dernier exercice clos pour l'année précédente, dans la limite d'un million d'euros (Article L.1470-6 du Code de la santé publique).

Une telle sanction ne peut être prononcée qu'à l'issue d'une procédure stricte, précisée par le Décret n° 2026-153 du 3 mars 2026, qui se structure en deux étapes :

• La phase de contrôle : L’ANS peut procéder à des visites sur site, obtenir des démonstrations des outils concernés et exiger la communication des spécifications techniques afin de vérifier le respect des référentiels ou l'existence du certificat. Ce contrôle peut intervenir à la suite d’un signalement, dans le cadre d’un audit ou s’inscrire dans le cadre d’un programme de contrôle annuel. En cas de manquement constaté, l’éditeur est enjoint d’y remédier. En cas de manquement persistant, l’ANS propose au ministre de la Santé de déclencher la procédure de sanction.

• La phase de sanction : Après examen du dossier transmis par l’ANS (incluant une appréciation de la gravité du manquement, le montant de la pénalité proposée et, le cas échéant, une proposition d'astreinte) et à l’issue d’une procédure contradictoire, le ministre de la santé peut prononcer la sanction pécuniaire, accompagnée d’une mise en demeure de se conformer assortie, le cas échéant, d’une astreinte journalière.

2. Risque de sanction au titre de la réglementation sur la protection des données

Le non-respect d’un référentiel rendu opposable est également susceptible de caractériser un manquement à l’obligation de sécurité prévue par l’article 32 du RGPD.

C’est précisément ce que la CNIL a retenu dans sa Délibération SAN-2026-009 du 21 juillet 2026 à propos du référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé [Voir article Dossier patient informatisé (DPI) : quelles obligations de sécurité pour les établissements de santé ?].

Dans ce cadre, la qualité de l’éditeur (responsable de traitement ou sous-traitant) est indifférente dans la mesure où sa responsabilité peut être engagée sur ce fondement dans les deux cas. Un tel manquement expose l’éditeur, et le cas échéant l’utilisateur professionnel (professionnel ou établissement de santé), aux mesures correctrices et sanctions prévues par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

3. Risque sur la prise en charge du logiciel par l’assurance maladie obligatoire

Lorsqu’un service certifié n’est plus conforme au référentiel applicable, l’ANS met en demeure le titulaire du certificat de prendre des mesures correctrices. Le certificat peut être suspendu dans l’attente de la mise en conformité puis, si le manquement persiste à l’expiration du délai fixé, retiré (Article R. 1470-9 du Code de la santé publique).

Le retrait du certificat engendre des conséquences économiques directes majeures pour l’éditeur lorsque le modèle de sa solution repose structurellement sur l’agrément ou la prise en charge par l’Assurance maladie :

• Référentiel SI téléconsultation : Le retrait du certificat signifie que les conditions de l’agrément ne sont plus remplies. Dans ce cadre, l’agrément peut être suspendu puis retiré, et son renouvellement refusé. Les sociétés de téléconsultation ne sont plus autorisées à facturer à l’AMO les actes réalisés par les médecins salariés (Article D. 4081-7 du Code de la santé publique).

• Référentiel DMN : Le retrait du certificat de conformité constitue un motif de radiation du dispositif médical numérique de la liste des produits et prestations remboursables (LPPR) ou, s’il est utilisé pour une activité de télésurveillance, de la liste des activités de télésurveillance médicale (LATM) (Articles R. 165-5, II, 4°, et R. 162-85, II, 3° du Code de la sécurité sociale).

Comment sécuriser sa conformité réglementaire ?

Pour déterminer précisément l’étendue de ses obligations et prévenir tout risque , l’éditeur de logiciels doit procéder par étapes méthodiques. Il lui appartient de :

• Vérifier si le logiciel répond à la définition légale d’un service numérique en santé.

• Si tel est le cas, identifier les référentiels opposables à sa solution, en tenant compte de ses fonctionnalités spécifiques et du champ d’application de chaque texte.

Pour les éditeurs titulaires d’un certificat de conformité, l’obtention initiale d’un tel certificat ne dispense pas de vérifier que les exigences continuent d’être rigoureusement respectées, notamment après chaque évolution technique du logiciel ou mise à jour du référentiel.