Editeur de logiciel de sante : faut-il être agréé HDS soi-même ?

La confusion est fréquente : beaucoup pensent qu’écrire un logiciel manipulant des données de santé impose d’être agréé. Ce n’est pas mécanique. La règle calédonienne vise l’hébergement pour le compte d’autrui, pas l’acte d’éditer un programme. Comprendre cette frontière évite à un éditeur de s’imposer des contraintes inutiles, ou à l’inverse de croire qu’il en est dispensé alors qu’il héberge déjà les données de ses clients sans le savoir.

Éditer et héberger : deux métiers à ne pas confondre

Éditer, c’est concevoir, développer et maintenir un programme : un logiciel de gestion de cabinet, un dossier patient informatisé, un outil de prise de rendez-vous médical. Héberger, c’est mettre à disposition l’infrastructure technique qui stocke et fait tourner les données pour le compte d’un tiers. Un même acteur peut exercer les deux, ou un seul. En Nouvelle-Calédonie, l’agrément du gouvernement prévu par la loi du pays n° 2026-5 porte sur l’hébergement de données de santé pour le compte d’autrui. Il ne s’attache pas au fait d’écrire du code, mais au fait de détenir et conserver des données de santé sur ses propres serveurs pour d’autres que soi.

Un editeur de logiciel de sante doit-il être agréé ?

La réponse dépend du modèle de distribution. Deux situations se présentent couramment, et elles n’entraînent pas les mêmes obligations.

• Logiciel livré et installé chez le client (mode « sur site ») : l’éditeur fournit un programme qui s’exécute sur les machines du professionnel de santé ou sur l’hébergeur que ce dernier a retenu. Les données ne transitent pas par les serveurs de l’éditeur. Dans ce cas, l’obligation d’agrément repose sur celui qui héberge réellement les données, c’est-à-dire le client ou son prestataire d’hébergement.
• Logiciel proposé en ligne (mode hébergé, en abonnement) : l’éditeur met son outil à disposition via Internet et conserve les données de tous ses clients sur son infrastructure. Il devient alors hébergeur de fait. Lui-même, ou le sous-traitant technique sur lequel il s’appuie, doit être agréé en Nouvelle-Calédonie.

Beaucoup d’éditeurs se trouvent dans la seconde configuration sans toujours l’avoir formalisé. Dès lors que le service stocke des dossiers patients sur des serveurs gérés par l’éditeur ou pour son compte, la question de l’agrément se pose directement.

Le cas du logiciel en ligne : l’éditeur devient hébergeur de fait

Le modèle en ligne brouille volontiers la frontière. Un professionnel de santé s’abonne à un service, saisit ses dossiers, et ces données vivent désormais sur une infrastructure qu’il ne maîtrise pas. C’est exactement l’activité que la loi du pays n° 2026-5 encadre. Que l’éditeur possède ses propres serveurs ou qu’il loue ceux d’un tiers ne change rien au principe : quelqu’un héberge des données de santé pour le compte d’autrui, et cette personne doit être agréée. Deux montages sont alors possibles. Soit l’éditeur obtient lui-même l’agrément et porte la conformité de bout en bout. Soit il confie le stockage à un hébergeur déjà agréé et conserve uniquement la couche applicative. Cette seconde voie est souvent la plus réaliste pour une structure dont le métier est le développement, pas l’exploitation de centres de données.

S’appuyer sur un hébergeur agréé plutôt que tout porter seul

Obtenir et maintenir un agrément représente un effort considérable : audits, procédures documentées, infrastructure redondante, traçabilité des accès, contrôles réguliers. Pour un éditeur dont le cœur de métier est le logiciel, internaliser cette charge a rarement du sens. La voie courante consiste à séparer les rôles : l’éditeur garde la maîtrise du logiciel et de l’expérience utilisateur, tandis qu’un hébergeur agréé assure le stockage et la sécurité des données. Le professionnel de santé bénéficie alors d’un outil conforme sans que l’éditeur ait à devenir lui-même une entreprise d’hébergement. Cette répartition doit être clairement actée par contrat, sous peine de zones grises sur la responsabilité de chacun.

Sous-traitance et RGPD : ce que le contrat doit prévoir

Le Règlement général sur la protection des données s’applique en Nouvelle-Calédonie, et les données de santé y relèvent d’une catégorie particulière au titre de l’article 9, soumise à une protection renforcée. Lorsqu’un éditeur s’appuie sur un hébergeur, ou lorsqu’il héberge lui-même pour le compte de professionnels de santé, une relation de sous-traitance s’installe au sens du RGPD. L’article 28 exige un contrat écrit qui encadre cette relation : finalités, durée, sécurité, sort des données en fin de contrat. Le professionnel de santé reste responsable du traitement ; l’éditeur et l’hébergeur agissent comme sous-traitants, chacun pour la part qui le concerne. En cas de violation de données, le principe d’une notification à l’autorité compétente sous soixante-douze heures s’applique. Documenter qui fait quoi, et qui répond de quoi, n’est pas une précaution accessoire : c’est une obligation. Les bonnes pratiques de sécurisation des données de santé complètent ce socle contractuel.

Logiciel hébergé en Nouvelle-Calédonie ou ailleurs ?

La localisation des serveurs mérite réflexion. Héberger les données dans le périmètre calédonien rapproche le service de ses utilisateurs et facilite la relation contractuelle locale. La connectivité internationale du territoire repose sur un nombre réduit de câbles sous-marins et d’atterrissements, avec toutefois une redondance assurée par plusieurs liaisons : une infrastructure de proximité reste moins exposée aux aléas d’une liaison lointaine pour les usages quotidiens d’un cabinet. Pour un éditeur qui vise le marché de la santé en Nouvelle-Calédonie, proposer un hébergement agréé localement constitue souvent un argument de confiance auprès des professionnels, attachés à savoir où vivent les dossiers de leurs patients.

Ce qu’un éditeur devrait vérifier avant de se lancer

Avant de commercialiser un logiciel manipulant des données de santé en mode hébergé, quelques questions méritent une réponse écrite. Le service stocke-t-il réellement des données de santé pour le compte des clients, ou se limite-t-il à un programme installé chez eux ? Si les données sont hébergées, qui porte l’agrément : l’éditeur ou un partenaire ? Le contrat de sous-traitance prévu par le RGPD est-il signé et à jour ? Les accès sont-ils tracés, les sauvegardes organisées, le sort des données en fin d’abonnement défini ? Un éditeur qui répond clairement à ces points, et qui sait accompagner un cabinet médical dans sa mise en conformité, inspire une confiance que les seules fonctionnalités ne suffisent pas à établir.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — les données de santé.