Les 10 questions a poser a un hebergeur avant de lui confier vos donnees de sante

Choisir où héberger des données de santé engage un professionnel pour des années. Un entretien commercial bien mené vaut mieux qu’un comparatif de tarifs : ce sont les réponses précises, vérifiables et écrites qui distinguent un hébergeur agréé d’un fournisseur générique. Voici les dix questions à poser, et ce qu’une bonne réponse doit contenir.

Pourquoi préparer ses questions à poser à un hébergeur

En Nouvelle-Calédonie, héberger des données de santé pour le compte d’un tiers suppose un agrément du gouvernement, prévu par la loi du pays n° 2026-5. Ce cadre est local et autonome ; il ne se confond pas avec les dispositifs métropolitains. Un commercial bien rodé sait rassurer en quelques minutes, mais la conformité se mesure à des engagements concrets, pas à des formules. Préparer ses questions à l’avance évite de signer sur une bonne impression et oblige le prestataire à documenter ce qu’il avance. Les bonnes réponses tiennent en une phrase claire ; les mauvaises se réfugient dans le flou ou renvoient à un autre interlocuteur.

1. L’agrément est-il en cours de validité ?

C’est la première barrière. Demandez le justificatif de l’agrément du gouvernement de la Nouvelle-Calédonie et sa date de validité. Un hébergeur agréé fournit cette preuve sans hésiter. Méfiez-vous des réponses qui invoquent une certification étrangère ou une démarche métropolitaine ; le régime calédonien repose sur cet agrément local, et lui seul. Pour aller plus loin sur ce point, notre guide explique comment vérifier qu’un hébergeur est bien agréé.

2. Où sont physiquement stockées mes données ?

La localisation des serveurs détermine la juridiction applicable et la latence d’accès. Demandez dans quel pays se trouvent les centres de données et leurs copies de sauvegarde. Un hébergement de proximité, relié au reste du monde par le câble sous-marin desservant la Nouvelle-Calédonie, réduit les temps de réponse pour les usages quotidiens. Si les données quittent le territoire, exigez des précisions sur le pays d’accueil et les garanties contractuelles associées.

3. Quelles sont les sauvegardes et le plan de reprise ?

Une donnée de santé perdue ne se reconstitue pas. Posez des questions précises : à quelle fréquence les sauvegardes sont-elles réalisées, où sont-elles conservées, et en combien de temps un service peut-il redémarrer après un incident ? Un plan de reprise d’activité chiffré, avec un délai de remise en service annoncé, vaut mieux qu’une mention vague de « sauvegardes régulières ». Demandez aussi si les restaurations sont testées périodiquement, car une sauvegarde jamais vérifiée n’est qu’une promesse.

4. Comment la traçabilité des accès est-elle assurée ?

Chaque consultation d’un dossier patient doit laisser une trace. Demandez comment les accès sont journalisés, combien de temps les journaux sont conservés et qui peut les consulter. Cette traçabilité protège autant le patient que le professionnel : en cas de litige ou de contrôle, elle prouve qui a vu quoi, et quand. Un hébergeur sérieux décrit son dispositif de journalisation sans détour.

5. Que se passe-t-il si je change de prestataire ?

La réversibilité est souvent oubliée au moment de signer, puis cruellement absente le jour du départ. Demandez sous quel format vos données vous seront restituées, dans quel délai, et à quel coût. Un contrat clair prévoit une restitution dans un format exploitable et la suppression certifiée des données chez l’ancien hébergeur. Sans cette clause, vous risquez de rester captif d’un prestataire par la seule difficulté de récupérer vos propres dossiers.

6. Le support connaît-il le cadre calédonien ?

Un incident à 8 heures du matin à Nouméa ne doit pas attendre l’ouverture d’un centre d’appel à l’autre bout du monde. Demandez où se trouve le support, dans quelle langue et sur quels horaires il répond, et s’il maîtrise les particularités locales : régime CAFAT, projets du cadre calédonien de santé numérique, fuseau horaire. Un interlocuteur joignable aux heures locales et familier du contexte fait gagner un temps précieux quand un problème survient.

7. Comment les données sont-elles chiffrées ?

Le chiffrement protège les données au repos comme en transit. Demandez si les informations sont chiffrées sur les serveurs, lors des échanges, et qui détient les clés. Un hébergeur qui sépare la gestion des clés du stockage des données ajoute une couche de protection appréciable. Une réponse précise sur ce point distingue un prestataire qui maîtrise sa technique d’un revendeur qui se contente de relayer une offre.

8. Faites-vous appel à des sous-traitants ?

Beaucoup d’hébergeurs s’appuient sur d’autres fournisseurs pour une partie de leur infrastructure. Ce n’est pas un défaut en soi, à condition que la chaîne soit connue et encadrée. Demandez la liste des sous-traitants qui touchent à vos données, leur localisation et les engagements qui les lient. Le RGPD, applicable en Nouvelle-Calédonie, impose à l’hébergeur une responsabilité sur ses sous-traitants ; il doit pouvoir vous dire à qui vos données sont éventuellement confiées.

9. Combien de temps les données sont-elles conservées ?

La durée de conservation répond à des obligations légales et déontologiques, mais elle ne peut pas être indéfinie. Demandez quelles règles s’appliquent à vos données, ce qu’il advient des dossiers en fin de durée légale, et comment l’archivage puis la suppression sont organisés. Un hébergeur qui pratique une conservation maîtrisée, avec des règles écrites, vous évite de garder indéfiniment des données dont vous n’avez plus l’usage et qui deviennent une charge de sécurité.

10. Quels audits et notifications en cas d’incident ?

La sécurité se vérifie dans le temps. Demandez à quelle fréquence l’infrastructure est auditée, par qui, et selon quelles modalités vous seriez prévenu d’une violation de données. Le RGPD prévoit en principe une notification de la violation à l’autorité compétente sous 72 heures ; votre contrat doit préciser comment l’hébergeur vous alerte et vous accompagne dans ce délai. Un prestataire qui décrit clairement sa procédure d’incident en dit long sur son sérieux.

La liste des questions a poser a un hebergeur, en un coup d’oeil

Pour préparer un entretien ou comparer deux propositions, voici les dix points regroupés. Chacun appelle une réponse écrite et vérifiable :

• Agrément : justificatif de l’agrément du gouvernement et date de validité.
• Localisation : pays où sont stockées les données et leurs sauvegardes.
• Sauvegardes et reprise : fréquence, lieu, délai de redémarrage, tests de restauration.
• Traçabilité : journalisation des accès, durée de conservation des journaux.
• Réversibilité : format de restitution, délai, coût, suppression certifiée.
• Support local : localisation, langue, horaires, connaissance du cadre calédonien.
• Chiffrement : données chiffrées au repos et en transit, gestion des clés.
• Sous-traitance : liste des sous-traitants, localisation, engagements.
• Conservation : durées appliquées, archivage et suppression organisés.
• Audits et incidents : fréquence des audits, procédure de notification d’une violation.

Lire entre les lignes des réponses

Au-delà des dix questions, c’est la qualité des réponses qui compte. Un engagement écrit pèse plus qu’une assurance orale, et un délai chiffré en dit plus long qu’un adverbe rassurant. Si un prestataire élude, renvoie systématiquement à plus tard ou répond à côté, ce sont des signaux à prendre au sérieux. Le prix entre évidemment en jeu, et nos repères sur le coût d’un hébergement agréé aident à le replacer dans son contexte : un tarif anormalement bas cache souvent l’absence d’une des garanties listées ici. Une offre sérieuse répond à ces dix points par écrit, sans se faire prier.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — la sécurité des données personnelles.