Hebergeur HDS hebergement web classique : pourquoi un mutualisé ne suffit pas

Beaucoup de structures de santé partent du serveur qu’elles connaissent déjà : un hébergement mutualisé, un cloud grand public, une offre vue chez un fournisseur généraliste. Sur le papier, le stockage est le même. En pratique, héberger des dossiers patients impose des règles qu’un hébergement ordinaire ne couvre pas, et l’écart se joue sur des points précis.

Hebergeur HDS hebergement web classique : deux logiques opposées

Un hébergement web classique vise un objectif simple : rendre un site accessible au plus grand nombre, au meilleur prix. Les ressources sont souvent partagées entre des centaines de clients sur un même serveur, et le fournisseur optimise le coût avant tout. Pour une page de présentation ou un blog, ce modèle convient parfaitement. Pour des données de santé, il atteint vite ses limites : la priorité devient la protection d’informations sensibles, loin devant le volume de visiteurs à servir. En Nouvelle-Calédonie, héberger ces données pour le compte d’un tiers suppose un agrément du gouvernement, prévu par la loi du pays n° 2026-5. Ce point à lui seul écarte la quasi-totalité des offres grand public.

La sécurité, premier point de rupture

Un hébergement standard applique des protections de base : un certificat de chiffrement pour le trafic, quelques sauvegardes, un pare-feu mutualisé. C’est suffisant pour un site commercial, beaucoup moins pour des dossiers médicaux. Les données de santé relèvent d’une catégorie particulière au sens du RGPD (article 9), qui impose une protection renforcée. Cela se traduit par des mesures concrètes : chiffrement des données au repos comme en transit, cloisonnement strict des accès, gestion fine des droits, journalisation des opérations. Ces dispositifs, détaillés dans nos repères sur la sécurisation des données de santé, ne figurent pas dans une offre mutualisée ordinaire, qui n’a jamais été pensée pour ce niveau d’exigence.

La traçabilité, une obligation absente du web standard

Sur un hébergement classique, personne ne sait précisément qui a consulté quoi, ni quand. Cette information n’a pas d’intérêt pour un site commercial. Pour des données de santé, elle devient centrale. Chaque accès doit être enregistré, horodaté et conservé, afin de pouvoir reconstituer l’historique en cas d’incident ou de contrôle. Cette traçabilité sert aussi à détecter un accès anormal et à réagir vite. Un hébergement grand public ne propose ni journaux d’accès détaillés ni conservation organisée de ces traces ; c’est une fonction qui caractérise un environnement agréé.

Disponibilité et redondance : tolérer une panne ou pas

Quand un site vitrine devient inaccessible quelques heures, la gêne reste limitée. Quand un cabinet ou un laboratoire ne peut plus ouvrir les dossiers de ses patients, l’activité s’arrête. Un hébergement mutualisé promet rarement plus qu’un effort de remise en route, sans garantie ferme de délai. Un hébergement de données de santé s’appuie sur des équipements redondants, des sauvegardes régulières et un plan de reprise pensé pour rétablir le service rapidement après un incident. La continuité de service appartient au socle d’un hébergement de données de santé, intégrée dès la conception de l’infrastructure. C’est l’un des écarts les plus tangibles entre les deux modèles.

L’agrément, la frontière que rien ne remplace

C’est la différence décisive. Un hébergement web classique, aussi sérieux soit-il, n’est pas habilité à recevoir des données de santé en Nouvelle-Calédonie. Le cadre local repose sur un agrément délivré par le gouvernement, créé par la loi du pays n° 2026-5. Ce dispositif est propre au territoire ; il se distingue des mécanismes en vigueur en métropole, qui relèvent d’un régime national distinct et ne décrivent pas la situation calédonienne. Confier des dossiers patients à un prestataire non agréé constitue donc un manquement, quelle que soit la qualité technique apparente de l’offre. Aucun rabais ni aucune performance ne compense l’absence de cet agrément, qui matérialise le contrôle exercé sur l’hébergeur.

Le contrat, un détail qui n’en est pas un

Au-delà de la technique, le cadre juridique diffère. Le RGPD, applicable en Nouvelle-Calédonie, exige un contrat de sous-traitance écrit entre le responsable de traitement et son hébergeur (article 28). Ce document précise les engagements de sécurité, les conditions de restitution des données et les responsabilités de chacun. Une offre web classique se contente le plus souvent de conditions générales standardisées, sans clause adaptée aux données de santé. En cas de violation de données, le responsable doit par ailleurs notifier l’autorité compétente, en principe sous 72 heures (article 33), ce qui suppose un hébergeur capable de détecter l’incident et de fournir les éléments nécessaires. Sur ce terrain aussi, l’écart entre les deux types d’offres se creuse.

Et la localisation des données ?

Un hébergement grand public stocke parfois les données dans des centres répartis sur plusieurs pays, sans visibilité claire pour le client. Pour des données de santé, savoir où résident les informations et qui peut y accéder devient une question de fond. La localisation des données détermine la juridiction applicable ; le RGPD encadre les transferts hors d’un territoire à protection équivalente, ce qui suppose des garanties contractuelles spécifiques. Héberger en Nouvelle-Calédonie place les données sous le droit calédonien et français. La Nouvelle-Calédonie est reliée au reste du monde par un nombre réduit de câbles sous-marins et d’atterrissements ; cette liaison internationale est donc plus exposée qu’une infrastructure de proximité, même si une redondance existe avec plusieurs câbles en service. Héberger localement les données de santé limite cette dépendance et rapproche les sauvegardes des utilisateurs. Ce paramètre n’a aucune importance pour un site vitrine ; il en a une réelle pour un dossier médical.

Quand l’apparence du bon marché coûte cher

La tentation de réutiliser un hébergement déjà payé, ou de souscrire une offre généraliste très peu chère, est compréhensible. Le risque, lui, est concret. Confier des données de santé à un hébergement non agréé expose à des sanctions, à une perte de données et à une atteinte à la confiance des patients. Avant tout choix, comparez les niveaux de garanties plutôt que les seuls tarifs : c’est sur les obligations couvertes que se joue la décision. Voici ce que recouvre chaque catégorie.

• Agrément : exigé et contrôlé pour les données de santé ; absent d’une offre web classique.
• Sécurité : chiffrement avancé, cloisonnement et journalisation d’un côté ; protections de base de l’autre.
• Traçabilité : journaux d’accès conservés pour l’hébergement agréé ; aucune trace organisée côté grand public.
• Continuité : redondance et plan de reprise garantis ; remise en route sans engagement ferme pour le mutualisé.
• Contrat : sous-traitance écrite et adaptée ; conditions générales standardisées pour le web ordinaire.

Lue ainsi, la comparaison change de sens : un hébergement agréé répond à des obligations qu’une offre standard ignore, et le surcoût finance précisément ces obligations. Pour situer ces deux familles d’offres et leurs usages respectifs, nos repères sur l’hébergement web en Nouvelle-Calédonie apportent un éclairage complémentaire.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — la protection des données de santé.