Le RGPD et les données de santé en Nouvelle-Calédonie

On entend souvent que « le RGPD, c’est l’Europe, ça ne nous concerne pas vraiment ici ». L’idée est fausse, et elle peut coûter cher. En Nouvelle-Calédonie, la protection des données personnelles est une obligation de droit positif depuis 2019 ; pour les données de santé, elle se conjugue avec le secret médical et, désormais, avec un régime d’agrément local.

Le RGPD s’applique-t-il vraiment en Nouvelle-Calédonie ?

Oui. L’ordonnance n° 2018-1125 du 12 décembre 2018 a rendu la loi Informatique et Libertés, qui met en œuvre le RGPD, applicable en Nouvelle-Calédonie depuis le 1^er juin 2019. La CNIL est l’autorité compétente sur le territoire : elle peut être saisie, contrôler et sanctionner. Le statut particulier de la collectivité ne crée donc aucune zone franche en matière de données personnelles.

Cette application vaut pour toute organisation calédonienne qui traite des données : entreprise, profession libérale, association, établissement de santé, collectivité. Dès qu’il y a collecte, enregistrement, conservation ou partage d’informations sur des personnes identifiables, le RGPD encadre l’opération.

Pourquoi les données de santé sont « sensibles » au sens de l’article 9

Le RGPD range les données de santé parmi les catégories particulières de données (article 9). Leur traitement est, en principe, interdit. On ne peut le mettre en œuvre qu’en s’appuyant sur une exception expressément prévue : le consentement explicite de la personne, la nécessité liée aux soins et à la prise en charge, une obligation légale, la sauvegarde des intérêts vitaux, ou encore la recherche dans l’intérêt public.

Cette interdiction de principe change la logique de conformité. Pour une donnée ordinaire, on cherche une base légale parmi six possibilités. Pour une donnée de santé, il faut en plus une exception de l’article 9. Le niveau d’exigence monte d’un cran, sur la base légale comme sur la sécurité.

RGPD et secret médical : deux protections qui se cumulent

Le RGPD ne remplace pas le secret médical ; il s’y ajoute. Le secret, prévu notamment par l’article 226-13 du code pénal et par la déontologie des professions de santé, protège la confidentialité des informations relatives au patient. Avec la numérisation, l’enjeu se déporte vers la sécurité technique des systèmes et vers le choix des prestataires qui manipulent ces données. Un manquement peut ainsi se jouer à la fois sur le terrain pénal (secret) et sur le terrain administratif (RGPD).

Ce que le RGPD impose concrètement à une organisation calédonienne

Au-delà des principes, la conformité se traduit par des actions vérifiables :

• Identifier une base légale et, pour la santé, une exception de l’article 9 pour chaque traitement.
• Minimiser : ne collecter que les données utiles à la finalité, et pas davantage.
• Sécuriser : chiffrement, contrôle des accès nominatifs, traçabilité, sauvegardes testées.
• Tenir un registre des traitements et, le cas échéant, désigner un délégué à la protection des données.
• Encadrer les sous-traitants par contrat, en exigeant des garanties suffisantes.
• Savoir réagir à une violation de données et notifier l’autorité compétente dans les délais.
• Respecter les droits des personnes : information, accès, rectification, effacement, opposition.

Le lien avec l’hébergement : RGPD et agrément calédonien se complètent

Confier l’hébergement de ses données de santé à un tiers fait entrer en jeu un second cadre. Le RGPD fixe les règles générales de protection ; l’agrément créé par la loi du pays n° 2026-5 fixe, lui, les conditions pour héberger ces données pour le compte d’autrui en Nouvelle-Calédonie. Les deux se complètent : la conformité RGPD du responsable de traitement, et l’agrément de l’hébergeur. Le détail des responsabilités respectives figure dans notre guide « Obligations légales sur les données de santé ».

Que risque une organisation en cas de manquement ?

La CNIL peut prononcer des mesures correctrices et des sanctions administratives en cas de manquement à la protection des données, dans les limites prévues par le RGPD. À ce volet européen s’ajoute, sur le territoire, le régime de la loi du pays n° 2026-5 : recourir à un hébergeur de données de santé non agréé expose à une amende administrative pouvant atteindre 1 000 000 F CFP. Ces deux risques se cumulent : à la sanction financière s’ajoute l’atteinte à la réputation, et la remise en conformité après un contrôle coûte plus cher qu’une mise en conformité anticipée.

Sources : CNIL — RGPD et loi Informatique et Libertés outre-mer · article 9 du RGPD · article 226-13 du code pénal · Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5.