"We willen een host die aan de regels voldoet. » Deze zinsnede komt in bijna alle aanbestedingen voor. Het probleem: consistent met wat? De verkoper reageert vaak met een cocktail van acroniemen (AVG, HDS, SecNumCloud, ISO 27001) alsof ze onderling uitwisselbaar zijn. Dat zijn ze niet.
Deze gids wordt gebruikt om te beslissen voordat u de bladen vergelijkt. Voor elk project is slechts één vraag van belang: welke echte verplichting weegt op uw gegevens en welk bewijsniveau moet u van de dienstverlener eisen?
Alle drie de lagen, in één minuut
| Bewaarplaats | Wat het omvat | Wie heeft het echt nodig |
|---|---|---|
| AVG | Persoonlijke gegevens in Europa | Bijna iedereen |
| HDS | Persoonlijke gezondheidsgegevens (Frankrijk) | Gezondheid, medisch-sociaal, patiëntendossiereditors |
| SecNumCloud | Wolk van vertrouwen in het licht van extraterritoriale wetten | Staat, OIV, zeer gevoelige aanklachten |
De AVG is de basis. Het ‘certificeert’ een host niet: het legt verwerkings-, uitbestedings- en documentatieregels op. Een goede Europese gastheer moet een duidelijk onderaannemingscontract, datalokalisatie en een antwoord op de rechten van mensen kunnen opstellen.
De HDS is een Franse sectorale certificering. Zonder de juiste gecertificeerde reikwijdte kunt u persoonlijke gezondheidsgegevens niet legaal hosten. Het lezen van de badge is niet voldoende: u moet het certificaat lezen. Onze enquête Waar worden uw gezondheidsgegevens werkelijk opgeslagen? beschrijft deze valstrik.
SecNumCloud, geleverd door ANSSI, richt zich voornamelijk op het risico van extraterritoriale toegang (Cloud Act en equivalenten). Handig voor bepaalde publieke of strategische ladingen; nutteloos als vervanging voor HDS, en vaak overdreven voor een klassieke e-commercesite.
Case 1 — Showcasesite, blog, kleine winkel
Je verzamelt klantaccounts, nieuwsbrieven, logs. Geen medische dossiers, geen aanklacht van de staat.
Wat je nodig hebt: een host die de AVG dagelijks kan handhaven: DPA (onderaannemingsovereenkomst), dataregio, vermelde onderaannemers, incidentprocedure. Vraag deze documenten op voor dat u ondertekent, niet nadat u live gaat.
Wat je niet nodig hebt: HDS, SecNumCloud. Door ze ‘uit voorzichtigheid’ te betalen, wordt het project duurder zonder het werkelijke risico te verkleinen als uw blootstelling dezelfde blijft als die van een klassieke website.
Om uw vragen te structureren voordat u ondertekent, zie ook AVG: de juiste vragen die u moet stellen voordat u ondertekent.
Geval 2 — Gezondheidsgegevens
Patiëntendossier, teleconsultatie, verrijkt medisch dagboek, gezondheidsdatawarehouse, aanvraag tot vaststelling: zodra persoonlijke gezondheidsgegevens worden gehost, is het HDS-framework in principe van toepassing.
Wat je nodig hebt:
- Een geldig HDS-certificaat
- Een scope die uw stack omvat (applicatie, database, bestanden, backups, eventuele outsourcing)
- Expliciete locatie en toeleveringsketen
Wat niet genoeg is: “wij zijn GDPR”, “datacenter in Frankrijk”, “ISO 27001”, of een SecNumCloud zonder HDS op het juiste product.
Hier is de beslissing niet langer “welke host de mooiste badge heeft”, maar “welk gecertificeerd product past bij mijn architectuur”. Vergelijk vervolgens de spelers in de overzicht door de gezondheidsnaleving te filteren.
Zaak 3 — Openbare of zeer gevoelige aanklacht
Gemeenschap, operator van vitaal belang, applicatie blootgesteld aan het risico van extraterritoriale interferentie, cruciaal industrieel geheim: SecNumCloud kan relevant worden – soms opgelegd door de opzet van het project.
Wat u moet controleren: de kwalificatie heeft betrekking op welke exacte service, welke omkeerbaarheid, welke beheerderstoegang, welke jurisdictie van onderaannemers. Een speciale gids: SecNumCloud: voor wie biedt deze kwalificatie een echt antwoord?.
Als er ook gezondheidsgegevens op het spel staan, stelt SecNumCloud geen vrijstelling van HDS. De twee lagen worden gecombineerd.
Het beslissingsraster
Voordat u een prijs-prestatievergelijking start, moet u deze vijf vragen schriftelijk beantwoorden:
- Welke gegevens verwerkt u (persoonlijk, gezondheidsgegevens, gevoelig, geanonimiseerd)?
- Wie is de gegevensbeheerder en wie is de onderaannemer?
- Waar moeten de productie, back-ups en logbestanden zich bevinden?
- Is extraterritoriale toegang een reëel bedrijfsrisico of een marketingangst?
- Heeft u outsourcing nodig, of alleen infrastructuur?
| Dominante reactie | Vereist niveau |
|---|---|
| “Klassieke” persoonlijke gegevens | AVG + contractuele bewijzen |
| Gezondheidsgegevens | HDS op de exacte omtrek |
| Openbare kosten/kritieke buitenlandse toegang | SecNumCloud (vaak + AVG) |
| Gezondheid en hoge soevereiniteit | HDS + SecNumCloud, zonder bewijsmateriaal te vermengen |
Hoe je een aanbieding leest zonder voor de gek gehouden te worden
Wanneer een offerte meerdere labels vermeldt, vraag dan één regel per label aan:
- AVG → onderaannemingscontract, lijst van onderaannemers, locatie, bewaartermijn log
- HDS → certificaatnummer, datum, technische reikwijdte, betrokken producten
- SecNumCloud → repository/niveau, gekwalificeerde services, omkeerbaarheidsvoorwaarden
Als de verkoper de drie samenvoegt tot één zin (“gezondheidsconforme soevereine cloud”), vraag dan om de documenten. Niet de glijbanen.
Om Europese hosts concreet te vergelijken op basis van deze criteria, begint u bij de overzicht en de gidsen. En als uw centrale onderwerp de werkelijke locatie van gezondheidsgegevens is, blijft de enquête health data & HDS de natuurlijke aanvulling op deze gids.
Veelgestelde vragen
Heeft een showcasesite HDS nodig?
Nee, tenzij het persoonlijke gezondheidsgegevens verwerkt. Een bedrijfssite, een blog of een traditionele winkel valt onder de AVG, niet onder de HDS.
Vervangt SecNumCloud HDS?
Nee. SecNumCloud is vooral bedoeld om te beschermen tegen extraterritoriale toegang. De HDS blijft verplicht zodra u persoonlijke gezondheidsgegevens host in Frankrijk.
Vereist de AVG een Franse host?
Nee. Het legt garanties op de verwerking, onderaanneming en overdrachten. Een goed gedocumenteerde Europese host kan voldoende zijn – op voorwaarde dat de contract- en datastromen stand houden.
Waar moet ik beginnen als mijn project “een beetje gevoelig” is?
Schrijf eerst op welke gegevens u verwerkt, voor wie en waar deze circuleren. Kies dan alleen de repository: alleen GDPR, HDS, SecNumCloud of een combinatie.
De volgende keer dat een citaat 'conform' zegt, vraag dan: voldoet aan welke normen, over welke reikwijdte, met welk bewijs? Als het antwoord een slogan is, is het nog geen aanbod.