Secret medical hebergement externalise : ce que l’hebergeur peut voir

Beaucoup de soignants hésitent avant de placer leurs dossiers patients chez un tiers. La crainte est compréhensible : un dossier médical contient ce qu’une personne a de plus intime. La question mérite une réponse claire, sans détour technique inutile : qui voit quoi, et qu’est-ce qui empêche un prestataire de lire ces données ?

Secret médical et hébergement externalisé : deux notions compatibles

Le secret médical et l’hébergement externalisé ne s’opposent pas. Le secret reste attaché au professionnel et à l’établissement qui prennent en charge le patient ; l’hébergeur agit pour leur compte, comme un sous-traitant technique. Externaliser le stockage, c’est confier un espace sécurisé, pas déléguer le droit de consulter. Le prestataire héberge les fichiers chiffrés, en assure la disponibilité et la sauvegarde, mais n’a aucune raison légitime d’ouvrir le contenu d’un dossier. En Nouvelle-Calédonie, cet arrangement s’appuie sur un agrément du gouvernement prévu par la loi du pays n° 2026-5, qui impose à l’hébergeur un cadre strict de sécurité et de traçabilité.

Secret medical hebergement externalise : ce que l’hébergeur peut techniquement voir

Une idée fausse circule : puisque les données sont « chez quelqu’un d’autre », ce quelqu’un pourrait les lire. La réalité technique est différente. Plusieurs mécanismes empêchent un accès au contenu :

• Le chiffrement : les données sont rendues illisibles sans la clé adéquate, au repos sur les disques comme lors des transferts. Un fichier intercepté ou copié reste inexploitable. La confidentialité technique dépend de la garde de ces clés : lorsque leur gestion reste maîtrisée par le responsable de traitement ou strictement cloisonnée chez l’hébergeur, l’administrateur d’infrastructure ne dispose pas, à lui seul, des moyens de déchiffrer un dossier.
• Le cloisonnement des accès : chaque client dispose d’un espace isolé ; les droits sont attribués au plus juste, de sorte qu’un opérateur n’accède pas aux données d’un cabinet dont il n’a pas la charge.
• La séparation des rôles : administrer une infrastructure (serveurs, sauvegardes, réseau) ne suppose pas de lire les dossiers métier qui y sont stockés. Le personnel technique gère des contenants, pas des contenus.
• La journalisation : chaque action sur le système laisse une trace horodatée et conservée. Une consultation anormale serait visible et opposable.

L’hébergeur voit donc des volumes, des flux et des métadonnées techniques ; il ne voit pas, dans le cours normal de son activité, le détail clinique d’un patient. Ces garanties relèvent des bonnes pratiques décrites dans nos repères sur la sécurité des données de santé.

Le personnel de l’hébergeur est aussi tenu à la confidentialité

Au-delà des barrières techniques, une couche humaine compte. Le personnel d’un hébergeur sérieux est astreint à une obligation de confidentialité contractuelle, formé à la sensibilité des données de santé et soumis à des procédures encadrant la moindre intervention. Les opérations sensibles supposent souvent une habilitation nommée et une validation ; rien ne se fait sans laisser de trace. Cette discipline interne complète le chiffrement : même un employé techniquement capable d’approcher un système se heurte à des règles, des contrôles et une journalisation qui dissuadent et rendent tout écart détectable.

Qui reste responsable des données ?

L’externalisation ne transfère pas la responsabilité du secret. Le professionnel de santé ou l’établissement demeure responsable du traitement : c’est lui qui décide des finalités, des accès et de la durée de conservation. L’hébergeur intervient en sous-traitant, au sens du Règlement général sur la protection des données, applicable en Nouvelle-Calédonie. Les données de santé y constituent une catégorie particulière, dont le traitement bénéficie d’une protection renforcée. Le sous-traitant n’agit que sur instruction du responsable et dans les limites fixées au contrat. Cette répartition des rôles, examinée plus en détail dans notre dossier sur le RGPD appliqué aux données de santé, est ce qui permet de confier le stockage sans diluer la responsabilité.

Ce que le contrat doit prévoir

La confidentialité ne tient pas qu’à la technique ; elle s’écrit. Le RGPD exige un contrat de sous-traitance écrit entre le professionnel et son hébergeur. Ce document délimite précisément ce que le prestataire peut faire, et surtout ce qu’il ne peut pas faire. Quelques points méritent une attention particulière :

• L’objet et la finalité : l’hébergeur traite les données pour le seul besoin du stockage et de la sécurisation, à l’exclusion de tout autre usage.
• L’interdiction de consulter ou de réutiliser le contenu en dehors des instructions du responsable.
• Les mesures de sécurité : chiffrement, gestion des accès, journalisation, conditions de sauvegarde et de restauration.
• La gestion des incidents : en cas de violation de données, une notification à l’autorité compétente est attendue, en principe sous soixante-douze heures.
• Le sort des données en fin de contrat : restitution puis suppression sécurisée, sans copie résiduelle.

Un contrat précis sur ces points vaut mieux qu’une promesse commerciale. Il donne au professionnel un appui concret pour exiger, et au besoin prouver, le respect du secret.

Le risque d’une externalisation mal encadrée

Le danger ne vient pas de l’externalisation en elle-même, mais d’une externalisation conduite sans garanties. Confier des dossiers à un prestataire non agréé, sans contrat de sous-traitance, sans chiffrement sérieux ni traçabilité, expose à des fuites, à une perte de confiance des patients et à des sanctions. Avant de signer, il est prudent de vérifier que l’hébergeur est bien agréé et de lire attentivement les engagements de confidentialité. Un hébergement agréé encadre techniquement et juridiquement ce que le prestataire peut voir ; une solution improvisée laisse, elle, des zones d’ombre que personne ne contrôle.

Externaliser sans trahir le secret : ce qu’il faut retenir

Placer ses dossiers chez un hébergeur agréé n’affaiblit pas le secret médical dès lors que les garanties sont réunies. Le chiffrement rend le contenu illisible, le cloisonnement limite les accès, la séparation des rôles éloigne le personnel technique des données cliniques, la journalisation rend tout écart visible, et le contrat verrouille les usages autorisés. Le professionnel garde la main sur ses données et reste responsable de leur protection ; l’hébergeur se borne à les conserver en sécurité. C’est cette combinaison de mesures techniques, humaines et contractuelles qui permet d’externaliser en confiance.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 · CNIL — données de santé.