Obligations légales sur les données de santé

Qui est responsable de quoi ? Quelles clauses doivent figurer dans un contrat d’hébergement ? Quelles sanctions en cas de manquement ? Ce guide fait le tour des obligations légales applicables aux données de santé — avec les nuances propres à la Nouvelle-Calédonie.

Les données de santé sont des données sensibles

Le RGPD classe les données de santé parmi les catégories particulières de données (article 9). Leur traitement est en principe interdit, sauf à relever d’une exception encadrée : consentement explicite de la personne, nécessité des soins, obligation légale, recherche dans l’intérêt public, etc. Cette interdiction de principe est le point de départ de toutes les obligations.

L’obligation d’hébergement certifié

Dans le droit national, l’article L.1111-8 du Code de la santé publique impose que l’hébergement de données de santé à caractère personnel pour le compte de tiers soit confié à un hébergeur certifié HDS. En Nouvelle-Calédonie, ce socle ne s’applique pas tel quel (l’article L.1541-3 CSP en écarte certaines dispositions) : c’est la loi du pays n° 2026-5 qui pose désormais la règle locale — un agrément délivré par le gouvernement de la Nouvelle-Calédonie, avec localisation des données sur le territoire (ou dans un État à protection équivalente), certification par un organisme accrédité et siège social en NC. Le déroulé est détaillé dans le dossier « HDS en Nouvelle-Calédonie » ; sur la mécanique de certification, voir « Certification HDS ».

Le secret médical

Indépendamment du HDS, le secret médical (article 226-13 du code pénal et règles déontologiques) impose la confidentialité des informations relatives au patient. La numérisation ne supprime pas cette obligation : elle en déplace les enjeux vers la sécurité technique des systèmes.

La localisation des données

Une responsabilité partagée

La conformité ne repose pas sur un seul acteur. On distingue :

• le responsable de traitement (par exemple l’établissement ou le professionnel de santé), qui décide des finalités et des moyens ;
• l’hébergeur / sous-traitant, qui agit pour le compte du responsable et doit présenter des garanties suffisantes.

Le responsable de traitement engage sa responsabilité dans le choix de son prestataire : confier des données de santé à un hébergeur non certifié (là où la certification est requise) constitue un manquement.

Le contrat d’hébergement

Le contrat liant le client à l’hébergeur de données de santé doit comporter des clauses spécifiques : description des prestations de sécurité, conditions de réversibilité et de restitution des données en fin de contrat, mesures de confidentialité, gestion des incidents. C’est une pièce contractuelle à ne pas négliger.

Les sanctions

Socle national — dans le droit métropolitain dont s’inspire ce régime, l’article L.1115-1 du Code de la santé publique punit de 3 ans d’emprisonnement et 45 000 € d’amende (soit environ 5,4 millions F CFP) le fait d’héberger des données de santé sans le certificat requis ; le plafond peut être porté à 225 000 € (environ 26,8 millions F CFP) pour une personne morale.

À ces sanctions s’ajoute, dans tous les cas, le régime du RGPD : la CNIL — compétente y compris en Nouvelle-Calédonie — peut prononcer des sanctions administratives en cas de manquement à la protection des données.

En pratique : une check-list

• Identifier si l’on traite des données de santé et à quel titre (responsable ou sous-traitant).
• Vérifier l’agrément (en Nouvelle-Calédonie) ou le périmètre exact de certification HDS de son hébergeur — et savoir le contrôler.
• Encadrer la relation par un contrat comportant les clauses requises.
• Documenter les mesures de sécurité et la base légale du traitement (RGPD).
• En Nouvelle-Calédonie, faire valider le cadre applicable par un juriste.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 (art. Lp. 2111-1, Lp. 2113-1 et Lp. 2113-2) · Légifrance — art. L.1115-1 CSP · art. L.1111-8 CSP · article 9 du RGPD · article 226-13 du code pénal.