Une healthtech française qui vend aux États-Unis se retrouve à gérer deux régimes de protection des données en même temps. Or RGPD et HIPAA ne se superposent pas : ils reposent sur des logiques opposées, et satisfaire l’un ne vous met pas en règle avec l’autre.
La réponse courte tient en une distinction. Le texte européen s’applique à toute donnée personnelle, quel que soit l’acteur. Le texte américain s’applique à certains acteurs seulement, quelle que soit la donnée qu’ils manipulent.
Cette asymétrie explique la plupart des erreurs que je vois. Détaillons-la.
RGPD et HIPAA ne protègent pas la même chose
Le règlement européen protège la personne. Dès qu’une donnée permet d’identifier quelqu’un, il s’applique, et les données de santé bénéficient d’un régime renforcé.
Le texte américain protège une catégorie d’informations détenues par une catégorie d’organisations. Il vise les établissements de santé, les organismes payeurs et leurs sous-traitants.
La conséquence est contre-intuitive et vaut d’être posée clairement.
Si vous vendez à un hôpital américain, vous êtes très probablement sous-traitant au sens du texte américain, et vous devrez signer un accord dédié avant tout accès aux données.
Si vous vendez directement au grand public américain, une application de suivi par exemple, vous n’entrez souvent pas du tout dans le champ de ce texte. Beaucoup d’équipes en concluent qu’elles sont libres. C’est une erreur coûteuse.
Le trou dans lequel tombent les modèles grand public
Les États ont comblé cette lacune, et certains l’ont fait avec sévérité.
Plusieurs législations d’État encadrent désormais les données de santé collectées hors du circuit médical traditionnel. Leur définition de la donnée de santé est souvent très large, incluant des informations que vous ne qualifieriez pas ainsi : recherches effectuées, géolocalisation à proximité d’un établissement de soins, achats liés au bien-être.
Un texte de l’État de Washington va plus loin encore en ouvrant aux particuliers un droit d’action directe. Autrement dit, vous ne risquez pas seulement une sanction administrative, mais un contentieux privé.
Ma recommandation pratique : ne raisonnez jamais par la seule question fédérale. Cartographiez les États où résident vos utilisateurs, puis vérifiez les textes locaux applicables.
Trois divergences qui compliquent la vie
Au-delà du champ d’application, RGPD et HIPAA s’écartent sur trois mécanismes que vos équipes produit rencontreront très vite.
Le consentement
Le régime européen exige, pour les données de santé, un consentement explicite, libre, spécifique et révocable à tout moment.
Le régime américain fonctionne autrement. Il autorise l’usage des informations pour le soin, le paiement et les opérations courantes de l’établissement, sans autorisation individuelle préalable.
Un même flux de données peut donc être parfaitement licite d’un côté et irrégulier de l’autre. Voilà pourquoi une simple traduction de votre politique de confidentialité ne suffit jamais.
Le droit à l’effacement
C’est la contradiction la plus concrète, et elle surprend les équipes techniques.
Le texte européen consacre un droit à l’effacement. Les règles américaines de conservation des dossiers médicaux imposent au contraire de garder certaines informations pendant des années.
Concevoir une fonction de suppression totale peut donc vous mettre en défaut vis-à-vis de votre client hospitalier. La solution passe par une architecture qui distingue les données que vous détenez pour votre propre compte de celles que vous hébergez pour le compte de l’établissement.
Les délais de notification
En cas de violation de données, l’Europe impose une notification à l’autorité de contrôle sous soixante-douze heures. Le cadre américain raisonne en dizaines de jours et distingue selon l’ampleur de l’incident.
Votre procédure d’incident doit donc retenir le délai le plus court, sans quoi vous serez toujours en retard quelque part.
Le transfert des données vers les États-Unis
Sujet sensible, et qui mérite une information à jour.
Un cadre d’adéquation permet aux entreprises américaines auto-certifiées de recevoir des données européennes. Le programme officiel est consultable sur le site du Data Privacy Framework, administré par l’administration américaine du commerce.
Ce cadre a été contesté devant la justice européenne. Le Tribunal de l’Union européenne a rejeté le recours en septembre 2025 et confirmé la décision d’adéquation. Un pourvoi a toutefois été formé devant la Cour de justice, et il reste pendant.
Je vous invite donc à la prudence architecturale. Le cadre est valide aujourd’hui, et il serait imprudent d’en faire votre unique fondement juridique. Prévoyez des clauses contractuelles types en second rideau, comme beaucoup de groupes le font déjà.
Comment j’organise la double conformité
Traiter RGPD et HIPAA séparément double la charge inutilement. Voici la méthode que je fais appliquer.
Prenez le plus exigeant comme socle. Sur la sécurité technique, le chiffrement, la gestion des accès et la journalisation, les deux régimes se rejoignent largement. Construisez une fois, au niveau le plus haut.
Séparez ce qui diverge. Le consentement, la conservation et les droits des personnes doivent être traités par juridiction. Ce sont des règles métier, pas des réglages d’infrastructure.
Cloisonnez par région dès la conception. Héberger les données européennes en Europe et les données américaines aux États-Unis simplifie considérablement la démonstration de conformité.
Documentez tout. Registre des traitements, analyses d’impact, accords de sous-traitance, journal des incidents. En cas de contrôle, ce qui n’est pas écrit n’a pas eu lieu.
Nommez un responsable unique. Deux personnes qui traitent chacune un régime finissent par produire des règles incompatibles.
Le lien avec vos autres obligations
Ces deux textes ne vivent pas isolément dans votre dossier américain.
Si votre produit poursuit une finalité médicale, une qualification réglementaire distincte s’ajoute, et je l’ai traitée dans logiciel dispositif médical et encadrement FDA.
Vos clients hospitaliers vous demanderont par ailleurs des preuves de sécurité indépendantes, sujet abordé dans certification SOC 2 pour un éditeur SaaS français.
Les obligations propres au texte américain, notamment l’accord de sous-traitance et ses clauses, sont détaillées dans conformité HIPAA pour un éditeur SaaS français.
Enfin, la façon dont tout cela s’insère dans un cycle de vente hospitalier est décrite dans le cycle de vente hospitalier américain.
Ce que je conseille de faire en premier
Répondez à une seule question avant tout le reste : qui sont vos clients américains, des établissements de santé ou des particuliers ?
Dans le premier cas, votre priorité est l’accord de sous-traitance et la sécurité technique qui va avec.
Si vous vendez au grand public, votre priorité devient la carte des lois d’État applicables, car le cadre fédéral ne vous couvrira pas.
Dans les deux cas, le règlement européen continue de s’appliquer à vos utilisateurs européens, sans exception.
Bien menée, la double conformité RGPD et HIPAA devient un argument de vente. Les acheteurs hospitaliers américains ont pris l’habitude de voir des fournisseurs européens arriver avec un dossier plus solide que la moyenne du marché. Autant en tirer parti.
Si vous structurez en ce moment votre offre santé pour les États-Unis, prenez rendez-vous avec moi et nous regarderons votre exposition réelle. Vous pouvez aussi découvrir la méthode que j’ai développée pour séquencer une entrée sur le marché américain.
Les informations présentées dans cet article sont fournies à titre informatif uniquement et ne constituent pas un conseil juridique. La réglementation sur la protection des données évolue régulièrement, et plusieurs décisions citées font l’objet de recours en cours. Je vous recommande de consulter un professionnel qualifié en droit de la protection des données pour votre situation spécifique.
