HDS ou RGPD : quelle différence pour les données de santé ?

« Puisque je respecte le RGPD, ai-je encore besoin de HDS ? » C'est l'une des confusions les plus fréquentes dès qu'il s'agit de données de santé. Les deux ne jouent pas le même rôle, et ils s'additionnent.

Deux cadres, deux objets

Le RGPD encadre le traitement de toutes les données personnelles : comment vous les collectez, sur quelle base, combien de temps vous les gardez, quels droits pour les personnes. Il s'applique à tout le monde.

La certification HDS encadre spécifiquement l'hébergement des données de santé. C'est une exigence technique et organisationnelle, ciblée sur un type de données et une activité précise : héberger de la donnée de santé pour le compte d'un tiers.

En clair : le RGPD dit comment traiter les données, HDS dit comment les héberger quand ce sont des données de santé.

Les données de santé, des données « sensibles »

Le lien entre les deux passe par la notion de données sensibles. Le RGPD classe les données de santé parmi les données sensibles, soumises à une protection renforcée : leur traitement est en principe interdit, sauf exceptions encadrées (soins, consentement explicite, etc.). HDS vient concrétiser cette protection côté hébergement, avec un référentiel détaillé.

Pourquoi l'un ne suffit pas sans l'autre

Respecter le RGPD sans HDS : vous traitez peut-être les données correctement, mais si vous les hébergez pour autrui sans certification, vous êtes en infraction. Être certifié HDS sans respecter le RGPD : votre hébergement est sécurisé, mais vos traitements (bases légales, information, droits des personnes) restent illégaux. Les deux sont nécessaires, chacun sur son terrain.

Comment ils s'articulent en pratique

Prenons un éditeur de logiciel de télémédecine. Le RGPD l'oblige à définir une base légale, à tenir un registre des traitements, à respecter les droits des patients, à notifier les violations. HDS s'assure, en parallèle, que l'hébergement de ces données patient répond aux exigences santé. Le premier encadre l'usage, le second l'infrastructure.

En résumé

RGPD et HDS ne se remplacent pas, ils se complètent. Le RGPD encadre le traitement de toutes les données personnelles ; HDS encadre l'hébergement des données de santé, classées données sensibles par le RGPD. Respecter l'un ne dispense jamais de l'autre : il faut les deux dès qu'on manipule et héberge des données de santé.

FAQ

Si je respecte le RGPD, ai-je besoin de HDS ? Oui, si vous hébergez des données de santé pour le compte d'un tiers. Le RGPD ne remplace pas la certification HDS, qui reste obligatoire.

Les données de santé sont-elles des données sensibles ? Oui, au sens du RGPD. Leur traitement est en principe interdit sauf exceptions encadrées, et leur protection est renforcée.

HDS dispense-t-il des obligations RGPD ? Non. Vous restez tenu aux obligations RGPD (bases légales, registre, droits des personnes) en plus des exigences d'hébergement HDS.