La prestation d'hébergement de données de santé à caractère personnel recueillies auprès de professionnels ou d'établissements de santé ou directement auprès des personnes qu'elles concernent sans être titulaire de l'agrément prévu par l'article L. 1111-8 ou de traitement de ces données sans respecter les conditions de l'agrément obtenu est puni de trois ans d'emprisonnement et de 45 000 euros d'amende.

Les personnes morales peuvent être déclarées responsables, dans les conditions prévues à l'article 121-1 du code pénal, des infractions définies à l'article L. 1115-1.

Les peines encourues par les personnes morales sont :

1° L'amende, suivant les modalités prévues par l'article 131-38 du code pénal ;

2° Les peines prévues aux 2°, 3°, 4°, 5° et 9° de l'article 131-39 du même code. L'interdiction prononcée à ce titre porte sur l'activité dans l'exercice ou à l'occasion de laquelle l'infraction a été commise.