Comment vérifier qu’un hébergeur est réellement agréé pour les données de santé

« Nous sommes conformes HDS. » La formule rassure, mais elle n’engage à rien tant qu’elle n’est pas documentée. Avant de confier des données de santé à un prestataire, un responsable de traitement calédonien a tout intérêt à demander les pièces, à lire le périmètre, et à recouper. Voici comment procéder, concrètement.

Pourquoi c’est à vous de vérifier

Le choix de l’hébergeur n’est pas neutre pour le donneur d’ordre. En Nouvelle-Calédonie, l’article Lp. 2111-3 de la loi du pays n° 2026-5 impose au responsable de traitement de s’assurer que le tiers à qui il confie ses données de santé est bien agréé. Autrement dit, l’établissement, le cabinet ou l’éditeur qui externalise reste comptable de ce contrôle. La vérification relève de vos propres obligations, au même titre que de celles de l’hébergeur.

En Nouvelle-Calédonie : demandez l’agrément du gouvernement

Depuis la loi du pays n° 2026-5, héberger des données de santé pour le compte d’autrui sur le territoire suppose un agrément délivré par le gouvernement de la Nouvelle-Calédonie. La première question à poser est donc directe : « Disposez-vous de cet agrément, et pouvez-vous me le présenter ? » L’agrément repose sur des conditions cumulatives (référentiel technique, localisation des données, certification par un organisme accrédité, assurance, siège social en NC), détaillées dans notre dossier sur les 5 conditions de l’agrément calédonien.

Pour le socle national : le certificat HDS et la liste de l’ANS

Le dispositif calédonien s’inspire du socle national de certification HDS. Quand un prestataire invoque la certification HDS, deux vérifications s’imposent. D’abord, demander le certificat lui-même, daté, et noter sa durée de validité (la certification HDS se maintient dans le temps sous réserve d’audits de surveillance). Ensuite, recouper avec la source officielle : l’Agence du Numérique en Santé publie la liste des hébergeurs certifiés. Si le prestataire ne figure pas dans une source vérifiable, la prudence est de mise.

Lire le périmètre exact (les 6 activités)

Une certification HDS ne couvre pas forcément tout. Le référentiel distingue six activités d’hébergement (de la mise à disposition de locaux physiques jusqu’à l’infogérance et la sauvegarde). Un prestataire peut être certifié pour certaines de ces activités et pas pour celles dont vous avez besoin. La bonne pratique consiste à vérifier que le périmètre couvre précisément votre cas d’usage, et non une activité voisine. Pour le détail des activités et de la mécanique, voyez notre guide « Certification HDS : comment ça marche ».

La check-list à dérouler avec votre prestataire

• Le document : agrément (NC) ou certificat HDS, fourni et daté.
• Le périmètre : les activités couvertes correspondent à votre besoin réel.
• La validité : dates d’effet et de renouvellement, audits de surveillance.
• La localisation : où les données sont effectivement stockées (Nouvelle-Calédonie, ou État à protection équivalente).
• Les sous-traitants : si l’hébergeur s’appuie sur des tiers, leur statut est-il, lui aussi, vérifiable ?
• Le contrat : clauses de sécurité, de réversibilité et de restitution des données en fin de relation.

Les signaux à ne pas confondre

Plusieurs mentions ressemblent à une garantie sans en être une. « Datacenter en Nouvelle-Calédonie » renseigne sur la localisation, pas sur l’agrément. « Hébergement web local » ou « serveurs sécurisés » relèvent d’un autre métier que l’hébergement de données de santé. Proposer de l’hébergement web localement ne confère aucune habilitation pour les données de santé : ce sont deux métiers et deux cadres distincts. La même distinction vaut pour vos propres choix d’infrastructure : sur l’hébergement web et la localisation des données en NC, voir notre panorama des acteurs.

Gardez une trace de votre vérification

Le RGPD repose sur un principe d’accountability : il ne suffit pas d’être en règle, il faut pouvoir le démontrer. Conserver les preuves de votre vérification s’inscrit dans cette logique. Archivez une copie de l’agrément ou du certificat fourni, notez la date à laquelle vous l’avez obtenu, le périmètre couvert et l’échéance de renouvellement. Si un contrôle survient, ou si un incident interroge la chaîne de responsabilité, ces éléments montrent que le choix du prestataire a été fait avec diligence.

Cette traçabilité a une portée concrète. En cas de mise en cause, elle atteste que le choix du prestataire a été fait avec diligence, un élément qui pèse dans l’appréciation de la responsabilité du donneur d’ordre. Elle a aussi une utilité de pilotage, puisqu’un agrément ou une certification ont une durée de validité : programmer un point de contrôle avant l’échéance évite qu’un prestataire devenu non conforme passe inaperçu. La vérification est ainsi un réflexe à entretenir sur toute la durée de la relation, et non un contrôle réglé une fois pour toutes à la signature.

Sources : Congrès de la Nouvelle-Calédonie — loi du pays n° 2026-5 (art. Lp. 2111-3) · Agence du Numérique en Santé — certification HDS et liste des hébergeurs.