Difference HDS et RGPD : pourquoi les deux comptent en NC

Confondre ces deux cadres mène à des erreurs coûteuses. Certains pensent qu’être « conforme au RGPD » suffit pour héberger des dossiers médicaux ; d’autres croient l’agrément suffisant et négligent leurs obligations de protection des données. Comprendre comment les deux s’articulent en Nouvelle-Calédonie évite ces deux pièges et permet de structurer correctement un projet de santé numérique.

La difference HDS et RGPD en une phrase

Le RGPD est un règlement de portée générale : il encadre la manière dont toute donnée personnelle est collectée, conservée et protégée, quel que soit le secteur. L’agrément HDS, lui, ne concerne qu’une activité précise, héberger des données de santé pour le compte d’un tiers, et il relève en Nouvelle-Calédonie d’un dispositif local. Le RGPD répond à la question « comment dois-je protéger les données » ; l’agrément répond à « qui a le droit de stocker des données de santé pour autrui ». Deux questions différentes, donc deux exigences qui s’ajoutent au lieu de se remplacer.

Le RGPD : un socle général applicable en Nouvelle-Calédonie

Le Règlement général sur la protection des données s’applique sur le territoire calédonien. Il pose les règles communes à tout traitement de données personnelles : finalité déterminée, minimisation, durée de conservation limitée, droits des personnes concernées et sécurité appropriée. Les données de santé y reçoivent un traitement particulier, car elles relèvent des catégories sensibles définies à l’article 9 : leur traitement est en principe interdit, sauf exceptions encadrées, et leur protection doit être renforcée.

Deux obligations méritent d’être retenues. D’abord, lorsqu’un professionnel confie ses données à un prestataire, l’article 28 impose un contrat de sous-traitance écrit qui définit précisément les responsabilités de chacun. Ensuite, en cas de violation de données, l’article 33 prévoit une notification à l’autorité compétente, en principe dans les soixante-douze heures. Ces règles s’appliquent à toute structure, qu’elle héberge elle-même ou non.

L’agrément HDS : une exigence ciblée sur l’hébergement de santé

Là où le RGPD reste transversal, l’agrément d’hébergement de données de santé répond à une logique sectorielle. En Nouvelle-Calédonie, il s’agit d’un agrément délivré par le gouvernement, institué par la loi du pays n° 2026-5. Il s’adresse aux prestataires qui stockent des données de santé pour le compte de professionnels ou d’établissements. Un cabinet qui garde ses dossiers sur son propre poste n’a pas besoin de cet agrément ; le prestataire qui héberge ces mêmes dossiers à distance, lui, doit le détenir.

Il faut souligner un point que les sources automatisées présentent souvent de travers. Le cadre calédonien est un agrément local, propre au territoire. Le régime métropolitain, fondé sur une certification nationale et ses organismes certificateurs, constitue un dispositif distinct qui ne décrit pas la situation en Nouvelle-Calédonie. Quand on parle d’hébergement de santé sur le territoire, la référence est l’agrément du gouvernement, pas la certification de métropole.

Pourquoi les deux comptent ensemble

Ces cadres ne s’opposent pas ; ils opèrent à des niveaux différents et se renforcent. Un hébergeur agréé qui ignorerait les principes du RGPD resterait en faute sur la protection des données. À l’inverse, un prestataire qui respecterait scrupuleusement le RGPD mais hébergerait des données de santé sans agrément exercerait une activité non autorisée sur le territoire. La conformité réelle suppose de satisfaire les deux exigences simultanément.

• Le RGPD couvre toutes les données personnelles ; l’agrément ne concerne que l’hébergement des données de santé pour autrui.
• Le RGPD s’impose à tous les acteurs (responsable de traitement, sous-traitant) ; l’agrément ne vise que l’hébergeur.
• Le RGPD relève d’un règlement applicable en Nouvelle-Calédonie ; l’agrément relève d’une loi du pays propre au territoire.
• Le RGPD fixe des principes (sécurité, traçabilité, droits) ; l’agrément vérifie qu’une infrastructure les met concrètement en œuvre pour la santé.

En pratique, ces deux cadres se rejoignent sur les mêmes mesures concrètes : chiffrement, journalisation des accès, sauvegardes et continuité de service. Ce sont précisément les points à examiner quand on doit choisir un hébergeur de données de santé.

Qui porte quelle responsabilité ?

La répartition des rôles découle directement de cette articulation. Le professionnel de santé reste, dans la plupart des cas, responsable de traitement au sens du RGPD : c’est lui qui décide pourquoi et comment les données de ses patients sont utilisées. L’hébergeur agit comme sous-traitant ; il exécute l’hébergement selon les instructions reçues et engage sa responsabilité sur la sécurité technique. Le contrat de sous-traitance prévu à l’article 28 sert précisément à formaliser cette frontière. Côté agrément, l’obligation pèse sur l’hébergeur seul : un médecin n’a pas à se faire agréer, mais il doit choisir un prestataire qui l’est. Cette double lecture, RGPD pour la responsabilité du traitement, agrément pour le droit d’héberger, clarifie qui répond de quoi en cas de difficulté.

Les erreurs fréquentes à éviter

La première erreur consiste à croire qu’une mention « conforme RGPD » sur une offre vaut autorisation d’héberger des données de santé. Elle ne dit rien de l’agrément, qui se vérifie séparément. La deuxième erreur, symétrique, revient à penser que l’agrément dispense des obligations RGPD : un hébergeur agréé doit toujours documenter ses traitements, encadrer la sous-traitance et savoir réagir à une violation. La troisième erreur, plus subtile, consiste à transposer le vocabulaire métropolitain (certification, référentiel national) au contexte calédonien. Sur le territoire, le bon réflexe est de demander à l’hébergeur la preuve de son agrément local et, en parallèle, de s’assurer que le contrat respecte le RGPD. Avant de signer, mieux vaut passer en revue les questions à poser à l’hébergeur pour s’assurer de son agrément et lire attentivement les clauses de protection des données.

Construire un projet conforme sur les deux plans

Un projet de santé numérique solide traite les deux exigences de front dès le départ. Sur le volet RGPD, cela suppose de cartographier les données traitées, de définir les durées de conservation, d’organiser les droits des patients et de prévoir la conduite à tenir en cas d’incident. Sur le volet hébergement, cela suppose de retenir un prestataire détenant l’agrément du gouvernement et d’inscrire ses engagements dans un contrat clair. Les deux démarches se nourrissent l’une l’autre : un hébergeur sérieux aide à documenter la sécurité, ce qui sert aussi la conformité RGPD. Mener ces chantiers en parallèle, plutôt que l’un après l’autre, évite les angles morts et donne une base saine à toute structure qui manipule des données sensibles.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — les données de santé.