La prestation d'hébergement de données de santé à caractère personnel recueillies auprès de professionnels ou d'établissements de santé ou directement auprès des personnes qu'elles concernent sans être titulaire de l'agrément prévu par l'article L. 1111-8 ou de traitement de ces données sans respecter les conditions de l'agrément obtenu est puni de trois ans d'emprisonnement et de 45 000 euros d'amende.

Les personnes morales déclarées responsables pénalement, dans les conditions prévues par l'article 121-2 du code pénal, des infractions définies à l'article L. 1115-1 encourent, outre l'amende suivant les modalités prévues par l'article 131-38 du code pénal, les peines prévues par les 2°, 3°, 4°, 5° et 9° de l'article 131-39 du même code.L'interdiction prononcée à ce titre porte sur l'activité dans l'exercice ou à l'occasion de laquelle l'infraction a été commise.