Analyse d'impact (AIPD) d'une application de santé : quand elle est obligatoire et combien elle coûte

Le verdict en trois phrases

Une application de santé qui suit des patients remplit presque toujours au moins deux des neuf critères du CEPD, ce qui rend l'AIPD obligatoire avant la mise en production. Avec un DPO externe et l'appui de l'équipe technique, le budget se situe entre 3 000 et 12 000 EUR HT pour 3 à 8 semaines de travail. La faire pendant la conception coûte nettement moins cher que de corriger l'architecture après un contrôle de la CNIL.

Quand l'AIPD est-elle obligatoire ?

L'article 35 du RGPD impose une analyse d'impact relative à la protection des données (AIPD, ou PIA en anglais) lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes. La CNIL publie une liste de traitements pour lesquels elle est requise, et les lignes directrices européennes retiennent neuf critères : dès que deux sont réunis, l'AIPD est en principe nécessaire.

La liste CNIL vise explicitement les traitements de données de santé mis en œuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes, et les traitements à grande échelle de données de santé. En pratique, un éditeur qui vend son application à des cliniques ou à des professionnels de santé doit la prévoir dès la conception.

Méthode PIA en 4 étapes et budget

La méthode de la CNIL, outillée par le logiciel gratuit PIA, se déroule en quatre temps : description du contexte, analyse du respect des principes fondamentaux, étude des risques sur la sécurité, plan d'action et validation.

Les tarifs journaliers d'un DPO externe ou d'un cabinet spécialisé varient de 700 à 1 200 EUR HT. Une petite application bien documentée tient sous 4 000 EUR HT, une plateforme avec IA et objets connectés dépasse souvent 10 000 EUR HT.

AIPD, hébergement HDS et risques de sanction

L'AIPD et la certification HDS sont deux obligations distinctes. L'hébergement de données de santé pour le compte d'un tiers impose un hébergeur certifié HDS (surcoût de 20 à 60 % par rapport à un cloud standard, soit souvent 300 à 1 500 EUR par mois pour une application en démarrage). L'AIPD documente ce choix comme mesure de sécurité, avec le chiffrement, la journalisation des accès et l'authentification forte des soignants.

En cas de contrôle, l'absence d'AIPD obligatoire peut être sanctionnée jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. La CNIL utilise aussi la procédure simplifiée pour des amendes de quelques milliers à 20 000 EUR, et les acheteurs hospitaliers demandent de plus en plus l'AIPD dans les appels d'offres.

Mini cas pratique

Thomas, fondateur d'une application de suivi post-opératoire à Bordeaux, prévoit un lancement auprès de 4 cliniques et 6 000 patients la première année. Son DPO externe facture 6 jours à 850 EUR HT, soit 5 100 EUR HT, et l'équipe technique y consacre 3 jours internes. L'AIPD révèle que les photos de cicatrices sont stockées en clair dans un bucket : la correction coûte 2 jours de développement, environ 1 200 EUR HT, au lieu d'une refonte estimée à 15 000 EUR si le problème avait été découvert après la mise en production. Le dossier AIPD permet aussi à Thomas de répondre en 48 heures au questionnaire sécurité de la première clinique.

FAQ

Une AIPD est-elle nécessaire pour un MVP en test avec 50 patients ?

Si le MVP traite de vraies données de santé, oui en pratique, car le critère des données sensibles et des personnes vulnérables est déjà réuni. Une version allégée à 2 000 ou 3 000 EUR HT reste possible et sera enrichie avant le passage à l'échelle.

Qui doit réaliser l'AIPD : l'éditeur ou la clinique ?

Le responsable de traitement, souvent l'établissement de santé. L'éditeur, en tant que sous-traitant, doit fournir les éléments techniques, et beaucoup d'éditeurs livrent une AIPD modèle pour accélérer les ventes.

Faut-il la refaire régulièrement ?

Oui, dès qu'un changement significatif intervient (nouvelle fonctionnalité d'IA, nouveau sous-traitant), et au minimum une revue tous les 3 ans. Une mise à jour coûte en général 30 à 50 % du coût initial.

Le logiciel PIA de la CNIL suffit-il ?

C'est un outil de structuration gratuit et reconnu, mais il ne remplace pas l'analyse. Sans compétence RGPD et sécurité, le risque est de produire un document déclaratif que la CNIL jugera insuffisant.

Quand faut-il consulter la CNIL ?

Si le risque résiduel reste élevé après les mesures prévues. La CNIL dispose alors de 8 semaines, prolongeables de 6, pour rendre son avis.

Parlons de votre projet. Nous concevons votre application de santé avec une architecture prête pour l'AIPD et l'hébergement HDS, et vous accompagnons avec un DPO partenaire pour un budget de 3 000 à 12 000 EUR HT. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.