La prestation d'hébergement de données de santé à caractère personnel recueillies auprès de personnes physiques ou morales à l'origine de la production ou du recueil de ces données ou directement auprès des personnes qu'elles concernent sans être titulaire de l'agrément ou du certificat de conformité prévu par l'article L. 1111-8 ou de traitement de ces données sans respecter les conditions de l'agrément obtenu est puni de trois ans d'emprisonnement et de 45 000 euros d'amende.

Les personnes morales déclarées responsables pénalement, dans les conditions prévues par l'article 121-2 du code pénal, des infractions définies à l'article L. 1115-1 encourent, outre l'amende suivant les modalités prévues par l'article 131-38 du code pénal, les peines prévues par les 2°, 3°, 4°, 5° et 9° de l'article 131-39 du même code. L'interdiction prononcée à ce titre porte sur l'activité dans l'exercice ou à l'occasion de laquelle l'infraction a été commise.