Contrat hebergement de donnees de sante : les clauses a exiger

Signer avec un hébergeur de données de santé ne se résume pas à choisir une offre technique. Le document qui lie les deux parties fixe des responsabilités précises, et certaines clauses ne devraient jamais manquer. Les passer en revue avant la signature évite des angles morts coûteux le jour où survient un incident ou une fin de contrat.

Contrat hebergement de donnees de sante : le socle juridique

Quand un professionnel de santé confie ses données à un prestataire, il reste le responsable de traitement ; l’hébergeur devient son sous-traitant au sens du RGPD, applicable en Nouvelle-Calédonie. L’article 28 du règlement impose alors un contrat écrit qui définit l’objet, la durée, la nature et la finalité du traitement, ainsi que les obligations de chaque partie. Les données de santé relèvent en outre des catégories particulières de l’article 9, ce qui justifie une protection renforcée. Le contrat n’est donc pas une formalité administrative : il constitue la pièce qui répartit clairement les rôles et permet de démontrer la conformité en cas de contrôle. À cela s’ajoute, sur le territoire, l’agrément du gouvernement prévu par la loi du pays n° 2026-5, dont le contrat doit faire mention.

Finalités et périmètre : ce que l’hébergeur a le droit de faire

La première clause à examiner délimite ce pour quoi les données sont confiées. Un hébergeur agréé héberge ; il n’exploite pas les informations pour son propre compte, ne les revend pas et n’en tire aucun usage secondaire. Le contrat doit l’écrire noir sur blanc : le prestataire agit uniquement sur instruction documentée du responsable de traitement, et pour les seules finalités d’hébergement et de continuité de service. Le périmètre couvre les types de données concernés, les traitements autorisés (stockage, sauvegarde, restitution) et ceux qui sont exclus. Une stipulation interdisant tout usage non prévu, et imposant une remontée d’information si une instruction paraît contraire au cadre applicable, ferme une porte que des offres floues laissent parfois ouverte.

Mesures de sécurité : du général au vérifiable

Une clause de sécurité qui se contente de promettre des « moyens appropriés » n’engage à pas grand-chose. Le contrat gagne à détailler les dispositifs concrets attendus, dans l’esprit des bonnes pratiques de protection des données. Plusieurs points méritent d’y être énoncés explicitement :

• Le chiffrement des données au repos et en transit, avec une gestion des clés maîtrisée.
• Le cloisonnement et la gestion des accès, fondés sur le moindre privilège et une authentification robuste.
• La journalisation des accès et des opérations, conservée et exploitable en cas d’enquête.
• Les sauvegardes régulières, testées, et un plan de reprise après incident.
• Le contrôle régulier du dispositif, par des audits ou des revues dont les résultats sont partagés.

Le contrat peut renvoyer à une annexe technique décrivant ces mesures, plus facile à mettre à jour que le corps de l’accord. L’essentiel est qu’elles soient opposables, et non laissées à la seule appréciation du prestataire. Nos repères sur la sécurité des données de santé détaillent ces exigences.

Sous-traitants ultérieurs : savoir qui touche vraiment aux données

Un hébergeur s’appuie souvent sur d’autres prestataires : maintenance, supervision, services d’infrastructure. Ces sous-traitants ultérieurs accèdent potentiellement aux données ou à leur environnement. Le RGPD encadre cette chaîne : un sous-traitant ne peut recruter un autre sous-traitant sans autorisation écrite du responsable de traitement, et il doit lui imposer les mêmes obligations de protection que celles qu’il a souscrites. La clause à exiger prévoit donc une information préalable sur tout recours envisagé, la possibilité de s’y opposer, et la responsabilité pleine de l’hébergeur pour les manquements de ses propres sous-traitants. Une liste tenue à jour des intervenants, annexée au contrat, donne au responsable de traitement la visibilité dont il a besoin pour garder la main sur sa chaîne de traitement.

Localisation des données : où elles résident et quel droit s’applique

La clause de localisation indique où les données sont effectivement stockées et traitées, y compris pour les sauvegardes. Cet emplacement détermine la juridiction applicable et conditionne, le cas échéant, les garanties à prévoir pour un transfert hors du territoire. En Nouvelle-Calédonie, un hébergement de proximité limite la dépendance aux liaisons internationales. Le territoire est relié au monde par un nombre réduit de câbles sous-marins, avec une redondance assurée par plusieurs atterrissements ; cette configuration reste plus exposée qu’une infrastructure locale, même si la continuité est organisée. Le contrat doit nommer les lieux d’hébergement, encadrer tout changement, et préciser ce qui se passe si les données venaient à quitter la Nouvelle-Calédonie. La question de la souveraineté des données se joue en grande partie dans cette stipulation.

Réversibilité et sort des données en fin de contrat

La fin de la relation se prépare au moment de la signer. Sans clause de réversibilité claire, un responsable de traitement peut se retrouver prisonnier d’un format propriétaire ou d’un délai imposé. Le contrat doit prévoir la restitution des données dans un format exploitable, sous un délai défini et à un coût connu d’avance, puis leur suppression certifiée chez l’hébergeur une fois le transfert vérifié. La période de transition, pendant laquelle l’ancien et le nouveau prestataire coexistent, mérite elle aussi d’être encadrée pour éviter toute interruption de service ou perte de données. Cette anticipation distingue un engagement durable d’une dépendance subie. Pour aller plus loin sur les points à vérifier avant de s’engager, voir nos questions à poser à un hébergeur.

Notification d’incident : un délai à tenir

En cas de violation de données, le responsable de traitement doit en principe notifier l’autorité compétente sous 72 heures (article 33 du RGPD). Pour tenir ce délai, il dépend entièrement de la rapidité avec laquelle son hébergeur l’alerte. La clause d’incident doit donc imposer au prestataire une notification sans délai injustifié, accompagnée des informations utiles : nature de la violation, données et personnes concernées, mesures prises pour y remédier. Un canal d’alerte identifié, un interlocuteur désigné et une obligation de coopération à l’investigation complètent ce dispositif. Sans engagement précis sur ce point, le délai légal devient impossible à respecter, et la responsabilité du professionnel de santé se trouve exposée.

Audit, durée et responsabilités : les clauses qui ferment le contrat

Quelques stipulations transversales achèvent de sécuriser l’accord. Le droit d’audit permet au responsable de traitement de vérifier, par lui-même ou via un tiers, que les engagements sont tenus. La clause de durée et de renouvellement fixe l’horizon de la relation et les conditions de sortie. La répartition des responsabilités et le régime de réparation précisent qui assume quoi en cas de manquement, et dans quelle limite. Enfin, l’engagement de confidentialité du personnel de l’hébergeur, et la mise à disposition des éléments prouvant la conformité, donnent au contrat sa cohérence d’ensemble. Prises isolément elles semblent accessoires ; ensemble, elles fixent la solidité de l’engagement.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — la sécurité des données personnelles (citée à titre de référence de bonnes pratiques de sécurité, non comme cadre applicable en Nouvelle-Calédonie).