HDS cabinet medical : quand un medecin est-il concerne ?

Un médecin qui installe un logiciel sur son propre poste se sent rarement concerné par les obligations d’hébergement. Pourtant, dès que les dossiers quittent le cabinet pour un serveur distant, le cadre change. Savoir à quel moment cette bascule se produit, et ce qu’elle implique, évite à un praticien libéral de se retrouver en faute sans l’avoir cherché.

À quel moment l’externalisation des dossiers fait basculer un cabinet

La règle se résume à une question simple : où sont stockés les dossiers ? Tant que les données restent sur un ordinateur du cabinet, sans externalisation, le praticien gère un traitement interne. Dès qu’il confie ce stockage à un tiers, par exemple un service en ligne, un logiciel hébergé à distance ou une infrastructure de sauvegarde, il fait appel à un hébergeur de données de santé. En Nouvelle-Calédonie, cette activité d’hébergement pour le compte d’autrui relève de l’agrément du gouvernement institué par la loi du pays n° 2026-5. Le médecin n’a pas à demander cet agrément lui-même ; il doit en revanche s’assurer que le prestataire qu’il choisit le détient.

Ce qui déclenche concrètement l’obligation

Plusieurs situations courantes font basculer un cabinet vers l’hébergement externalisé, souvent sans que le praticien en ait pleinement conscience :

• Le logiciel métier en ligne : un outil de gestion de patientèle accessible depuis un navigateur stocke les dossiers sur les serveurs de l’éditeur, donc à l’extérieur du cabinet.
• La sauvegarde automatique : un service qui recopie chaque nuit les dossiers vers un espace distant constitue déjà une externalisation des données de santé.
• Le dossier partagé entre plusieurs sites : un médecin qui exerce sur deux lieux et synchronise ses données via un serveur central externalise ce stockage.
• L’archivage à long terme : confier d’anciens dossiers à un prestataire pour libérer de l’espace revient à lui en confier la garde.

Dans chacun de ces cas, le serveur qui héberge les données doit être couvert par l’agrément calédonien. Le critère n’est pas le format ni le volume, mais le simple fait qu’un tiers détienne les données pour le compte du praticien.

La responsabilité du médecin ne disparaît pas

Externaliser le stockage ne transfère pas la responsabilité. Au regard du RGPD, applicable en Nouvelle-Calédonie, le médecin reste responsable de traitement pour les données de ses patients ; l’hébergeur agit comme sous-traitant. Cette répartition a des conséquences pratiques. Le praticien doit pouvoir démontrer qu’il a choisi un prestataire offrant des garanties suffisantes, formaliser leur relation par un contrat écrit, et rester en mesure de répondre aux demandes des patients sur leurs données. En cas de violation de données, la notification à l’autorité de contrôle intervient en principe sous 72 heures (RGPD, article 33), une échéance que le contrat avec l’hébergeur doit anticiper en organisant l’alerte. Confier les données à un tiers agréé règle la partie technique ; la gouvernance, elle, reste entre les mains du cabinet.

Le contrat avec l’hébergeur, pièce maîtresse

Le lien entre le cabinet et son hébergeur se matérialise par un contrat, et non par un simple bon de commande. Ce document fixe les rôles : il précise que l’hébergeur traite les données uniquement pour le compte du médecin, dans les limites qu’il définit. Il décrit les mesures de sécurité, les modalités de sauvegarde, la durée de conservation et le sort des données à la fin de la relation. Un point mérite une attention particulière : la réversibilité. Si le praticien change de prestataire ou cesse son activité, il doit pouvoir récupérer l’intégralité de ses dossiers dans un format exploitable. Un contrat qui reste muet sur ce point expose le cabinet à un blocage le jour où il voudra partir.

Vérifier l’agrément avant de signer

Avant de confier le moindre dossier, le médecin a tout intérêt à contrôler que le prestataire est réellement agréé pour héberger des données de santé en Nouvelle-Calédonie. Un argument commercial ou une mention sur un site ne suffisent pas. Il s’agit d’un agrément local, délivré par le gouvernement : il ne faut pas le confondre avec des dispositifs métropolitains qui n’ont pas cours sur le territoire. Notre repère sur la façon de vérifier qu’un hébergeur est bien agréé détaille les points à demander. Cette vérification protège le praticien : en cas de contrôle ou d’incident, il devra prouver qu’il a confié les données à un acteur habilité.

Sécurité au cabinet : l’autre moitié du sujet

L’agrément de l’hébergeur couvre le serveur distant, pas le poste de travail du cabinet. Or, une grande partie des incidents commence côté utilisateur : mot de passe faible, session laissée ouverte, poste partagé sans verrouillage, courriel piégé. Le médecin garde la maîtrise de ces points et doit les traiter avec le même sérieux que le choix de son hébergeur. Des comptes nominatifs, une authentification robuste, des mises à jour régulières et une vigilance sur les messages frauduleux forment le socle minimal. Ces bonnes pratiques rejoignent celles que nous décrivons pour la sécurisation des données de santé. Un hébergement irréprochable ne compense jamais un poste de travail négligé.

Cabinet de groupe et exercice partagé

Lorsque plusieurs médecins exercent ensemble et partagent un même logiciel, la question de l’hébergement se pose à l’échelle de la structure. Le serveur qui centralise les dossiers de tous les praticiens doit être agréé, et chacun reste responsable des données de ses propres patients. La répartition des rôles gagne à être écrite : qui contractualise avec l’hébergeur, qui gère les accès, comment les départs et arrivées de praticiens sont traités. Une maison de santé qui grandit a intérêt à formaliser ces points tôt, plutôt que de découvrir des zones grises au moment d’un litige ou d’un contrôle. La logique reste la même que pour un médecin seul : externaliser le stockage impose un hébergeur agréé et une traçabilité des accès.

Coût et niveau de service HDS cabinet medical

Un cabinet libéral n’a pas les mêmes besoins qu’un grand établissement. Le volume de données reste modeste, le nombre d’utilisateurs limité, mais l’exigence de disponibilité demeure réelle : un médecin doit pouvoir consulter un dossier en consultation, sans interruption. La continuité compte d’autant plus que l’accès à un dossier hébergé à distance dépend de la liaison internationale du territoire (câble Gondwana) ; un cabinet a intérêt à vérifier que son hébergeur prévoit un fonctionnement dégradé en cas de latence ou de coupure, par exemple un accès local de secours aux dossiers en cours. Les offres adaptées à une petite structure existent et tiennent compte de cette échelle. Le bon réflexe consiste à demander un devis qui détaille ce qui est inclus, plutôt que de comparer des prix hors contexte. Sauvegardes, plan de reprise, traçabilité des accès et support connaissant le cadre calédonien (agrément local, prise en charge de la télémédecine depuis 2021, articulation avec la CAFAT) font partie des éléments à vérifier poste par poste, comme le rappellent nos repères sur le RGPD appliqué aux données de santé.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — données de santé.