Agrément calédonien pour héberger des données de santé : les 5 conditions (loi 2026-5)

Pendant des années, la question est restée dans un angle mort juridique : aucun texte n’encadrait spécifiquement l’hébergement des données de santé en Nouvelle-Calédonie. La loi du pays n° 2026-5 a refermé ce vide. Pour un établissement, un éditeur de logiciel ou un prestataire calédonien, la règle est désormais claire. Encore faut-il savoir ce qu’elle exige concrètement.

Pourquoi un agrément « calédonien », et pas la certification HDS nationale ?

En Nouvelle-Calédonie, la santé relève de la collectivité, pas de l’État. C’est une compétence ancienne, et c’est elle qui permet au Congrès d’adopter ses propres lois du pays en matière sanitaire. Conséquence directe : le dispositif national de certification HDS (Hébergeur de Données de Santé) ne s’appliquait pas « de plein droit » sur le territoire. La règle de la spécialité législative voulait qu’un texte l’étende expressément, ce qui n’avait pas été fait pour cet aspect.

Plutôt que d’attendre une extension hypothétique, le législateur calédonien a bâti son propre cadre. La loi du pays n° 2026-5 crée, dans le code de la santé applicable en Nouvelle-Calédonie, un régime d’agrément local qui s’inspire du modèle national tout en fixant ses propres exigences. Pour comprendre l’arrière-plan et la place du droit national comme socle, lisez notre dossier « HDS en Nouvelle-Calédonie ».

Les 5 conditions de l’agrément (article Lp. 2111-1)

L’article Lp. 2111-1 pose le principe : l’activité d’hébergement de données de santé à caractère personnel (celles recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social) est conditionnée à un agrément du gouvernement, sous cinq conditions cumulatives. Aucune n’est facultative.

1. Le respect d’un référentiel technique défini par arrêté du gouvernement de la Nouvelle-Calédonie. C’est le socle de sécurité (organisation, traçabilité, sauvegarde, continuité) ; son contenu exact sera précisé par l’arrêté à paraître, mais l’esprit rejoint les standards reconnus de sécurité de l’information.
2. La localisation des données hébergées en Nouvelle-Calédonie, ou dans un État assurant une protection équivalente à la loi Informatique et Libertés applicable au territoire. C’est la condition de souveraineté : on ne peut pas déposer les données de santé des Calédoniens n’importe où sur la planète.
3. Une certification délivrée par un organisme accrédité. L’agrément ne se déclare pas : il s’appuie sur un audit mené par un tiers compétent, ce qui en fait une garantie vérifiable plutôt qu’une promesse commerciale.
4. Des garanties d’assurance couvrant la responsabilité civile liée à l’activité d’hébergement. Héberger des données de santé, c’est assumer un risque ; la loi exige qu’il soit couvert.
5. L’implantation du siège social de l’hébergeur en Nouvelle-Calédonie. Un ancrage territorial qui rattache l’opérateur, et sa responsabilité, au droit et aux juridictions du pays.

Lues ensemble, ces cinq conditions dessinent un profil précis : un opérateur local, audité, assuré, qui garde les données sur le territoire. L’agrément repose ainsi sur des éléments vérifiables : audit, certification, assurance et ancrage local.

Combien de temps l’agrément est-il valable ?

L’agrément est délivré pour une durée de trois ans (article Lp. 2111-1, II). Ce n’est donc pas un acquis définitif : il s’inscrit dans un cycle, à l’image de la plupart des dispositifs de certification, où le maintien dans le temps compte autant que l’obtention initiale.

Qui doit s’en préoccuper, et à partir de quand ?

Deux acteurs sont concernés, et il est utile de ne pas les confondre.

D’un côté, l’hébergeur lui-même, qui doit obtenir l’agrément pour exercer. De l’autre, le responsable de traitement (l’établissement, le cabinet, l’éditeur ou la structure qui confie ses données à un tiers) : l’article Lp. 2111-3 lui impose de s’assurer que ce tiers est bien agréé. Autrement dit, choisir un prestataire non agréé engage la responsabilité du donneur d’ordre, au même titre que celle de l’hébergeur.

La loi a prévu une transition réaliste. Les opérateurs déjà en activité disposent de trois mois à compter de l’entrée en vigueur pour solliciter l’agrément (article 76), et celui-ci peut leur être délivré même si toutes les prescriptions du référentiel et la certification ne sont pas encore réunies, à charge pour eux de se mettre en pleine conformité sous trois ans, sous peine de retrait. La fenêtre est donc ouverte, mais elle n’est pas indéfinie : c’est maintenant que les démarches se préparent.

Que risque-t-on à héberger sans agrément ?

À cette sanction propre au régime calédonien s’ajoute, dans tous les cas, le RGPD : la loi Informatique et Libertés s’applique en Nouvelle-Calédonie depuis le 1^er juin 2019, et la CNIL y est compétente. Une non-conformité sur les données de santé se joue donc sur deux tableaux à la fois. Le détail des responsabilités et des sanctions figure dans notre guide « Obligations légales sur les données de santé ».

Comment se préparer concrètement

Sans attendre la publication des arrêtés, plusieurs chantiers peuvent être engagés dès aujourd’hui :

• Cartographier ses données de santé : savoir où elles sont, qui les héberge, et à quel titre on agit (responsable de traitement ou sous-traitant).
• Vérifier la localisation de l’hébergement actuel : les données sont-elles en Nouvelle-Calédonie, ou dans un environnement à protection équivalente ?
• Exiger des preuves vérifiables auprès de son prestataire (agrément, certification, périmètre exact) plutôt qu’une simple mention commerciale. Notre panorama des acteurs du numérique en santé détaille comment contrôler l’agrément et la certification.
• Anticiper le contrat : la loi renvoie à un contrat de prestation dont le contenu minimal sera fixé par arrêté (réversibilité, restitution des données, confidentialité, gestion des incidents).

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 (art. 18, Lp. 2111-1 à Lp. 2121-1, art. 76) · CNIL — RGPD outre-mer.