HDS obligatoire en Nouvelle-Caledonie : qui, depuis quand ?

« Suis-je vraiment obligé de passer par un hébergeur agréé ? » La question revient chez les professionnels de santé calédoniens depuis l’entrée en vigueur du nouveau cadre. La réponse dépend d’un critère précis : héberge-t-on des données pour soi, ou pour le compte d’un tiers ? De cette distinction découle l’application, ou non, de l’agrément prévu par la loi du pays.

HDS obligatoire en Nouvelle-Caledonie : ce que dit la loi

Le cadre repose sur la loi du pays n° 2026-5, qui a créé un agrément du gouvernement de la Nouvelle-Calédonie pour l’hébergement de données de santé. Il s’agit d’un dispositif strictement local, propre au territoire ; il ne reprend ni la certification ni le régime appliqués en métropole. L’obligation est née de ce texte : au sens de l’article Lp. 2111-1, toute entité qui héberge des données de santé à caractère personnel pour le compte d’un tiers doit désormais détenir cet agrément. C’est l’hébergement pour le compte d’autrui qui déclenche l’obligation, indépendamment de la nature médicale de l’activité.

Qui est concerné par cette obligation

La frontière se trace autour de la notion d’hébergement « pour le compte d’un tiers ». Plusieurs cas se présentent en pratique :

• L’hébergeur ou prestataire technique : une société qui stocke, exploite ou maintient les données de santé de clients sur ses serveurs est directement soumise à l’obligation d’agrément.
• L’éditeur de logiciel en mode hébergé : un service qui héberge les données de cabinets ou de laboratoires sur son infrastructure entre dans le champ, même si son métier premier est l’édition.
• Le professionnel de santé qui externalise : un cabinet, un laboratoire ou une clinique qui confie ses données à un prestataire doit s’assurer que ce dernier est agréé. L’obligation pèse alors sur le choix du prestataire.
• L’établissement et le groupement : une structure qui mutualise l’hébergement pour plusieurs entités relève également du dispositif.

À l’inverse, le praticien qui conserve uniquement les dossiers de ses propres patients, sur son matériel, n’héberge pas pour autrui ; il reste tenu aux règles de sécurité et de confidentialité, mais pas à l’agrément d’hébergeur. La distinction est utile pour ne pas confondre obligation d’hébergeur agréé et devoirs généraux qui s’imposent à tout détenteur de données de santé.

Depuis quand l’agrément est-il requis

L’obligation découle de la loi du pays n° 2026-5. Le besoin d’un encadrement local répondait à une situation où les données de santé des Calédoniens pouvaient être hébergées sans cadre territorial dédié. La loi a donc posé le principe d’un agrément délivré sur place, adapté au régime de protection sociale autonome qu’est la CAFAT et aux outils en cours de déploiement sur le territoire. Deux situations doivent ici être distinguées. Un hébergeur déjà en activité au moment de l’entrée en vigueur se trouve dans une logique de mise en conformité, qui suppose un délai d’adaptation ; un nouvel entrant, lui, doit en principe détenir l’agrément avant de débuter l’activité. La durée de ce délai d’adaptation relève des textes d’application, lesquels ne sont pas encore publiés à la date de cet article ; elle s’apprécie donc, pour l’heure, au cas par cas auprès de l’administration compétente.

Ce que l’obligation implique concrètement

L’agrément engage un véritable socle technique, vérifiable et opposable. Il suppose un niveau de sécurité, de disponibilité et de traçabilité élevé : chiffrement des données, cloisonnement des accès, journalisation des opérations, sauvegardes et plan de reprise après incident. Ces exigences rejoignent les bonnes pratiques décrites dans nos repères sur la sécurisation des données de santé. Le RGPD, applicable en Nouvelle-Calédonie, s’ajoute à ce socle : en cas de violation de données, le responsable de traitement doit en principe notifier l’incident dans un délai de 72 heures. Pour une structure de soins, choisir un prestataire agréé revient donc à déléguer une part de cette charge technique à un acteur qui en porte la responsabilité.

Externaliser ou héberger soi-même : où se place le curseur

L’obligation se déclenche à partir du moment où des données de santé quittent le périmètre du professionnel pour être confiées à un tiers. Un cabinet qui installe son logiciel métier sur son propre poste, sans hébergement externe, n’entre pas dans le champ de l’agrément d’hébergeur. Dès qu’il opte pour une solution en ligne où les données reposent sur les serveurs d’un fournisseur, ce fournisseur doit être agréé. Beaucoup de logiciels de gestion de cabinet fonctionnent aujourd’hui en mode hébergé ; il est donc prudent de vérifier où sont stockées les données avant de souscrire. Notre repère sur le contrôle de l’agrément d’un hébergeur détaille la marche à suivre.

Un cadre qui s’inscrit dans un système en construction

L’obligation HDS s’inscrit dans un ensemble plus large. Elle accompagne la montée en charge du système d’information de santé calédonien, piloté depuis 2020 par le GIP SI2S. La même loi du pays n° 2026-5 a institué un dossier médical partagé, dont l’identité patient repose sur un numéro calédonien de santé encore en construction. La télémédecine, déployée depuis 2021 et prise en charge par la CAFAT, repose elle aussi sur des échanges de données qui doivent être hébergés dans les règles. Quant à la généralisation de la feuille de soins électronique, elle fait l’objet d’un projet de délibération déposé au Congrès en mai 2026, sa mise en oeuvre effective étant projetée à plus long terme (le papier restant la solution de secours). L’agrément d’hébergeur constitue la brique de confiance sur laquelle ces services peuvent s’appuyer.

Les risques d’un hébergement non agréé

Confier des données de santé à un prestataire qui ne dispose pas de l’agrément expose à plusieurs conséquences. Sur le plan réglementaire, le non-respect du cadre peut entraîner des sanctions. Sur le plan opérationnel, un hébergement sans les garanties exigées augmente le risque de perte, de fuite ou d’indisponibilité des données, avec un impact direct sur la continuité des soins. Sur le plan de la confiance, une atteinte aux données médicales de patients fragilise durablement la relation avec eux. Concrètement : demander la référence de l’agrément au prestataire avant signature, et la vérifier auprès de l’administration.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — la santé.