Le verdict en trois phrases
Les données de santé sont des données sensibles au sens du RGPD : leur traitement impose un hébergement certifié HDS, une analyse d'impact (DPIA) et un chiffrement fort. La mise en conformité d'une application métier existante coûte entre 8 000 et 25 000 EUR HT sur 6 à 12 semaines. Le risque de non-conformité n'est pas théorique : une sanction CNIL peut atteindre plusieurs centaines de milliers d'euros pour une PME.
Ce que le RGPD impose sur les données de santé
Au-delà du consentement, l'article 9 du RGPD encadre strictement les données de santé. Voici les obligations et leur coût de mise en oeuvre en 2026.
| Obligation | Contenu | Coût HT | Délai |
|---|---|---|---|
| Hébergement HDS | Migration vers hébergeur certifié | 2 000 - 6 000 EUR + surcoût mensuel | 2-4 semaines |
| DPIA (analyse d'impact) | Cartographie risques, mesurés | 2 500 - 5 000 EUR | 2-3 semaines |
| Chiffrement au repos + transit | AES-256, TLS 1.3 | 1 500 - 3 500 EUR | 1-2 semaines |
| Journalisation des accès | Logs horodatés, traçabilité | 1 500 - 4 000 EUR | 2 semaines |
| Registre + politique de rétention | Documentation, purge auto | 1 000 - 3 000 EUR | 1-2 semaines |
| Gestion des droits (accès, effacement) | Portail utilisateur | 2 000 - 4 500 EUR | 2-3 semaines |
Le surcoût d'un hébergement HDS certifié est réel : comptez 150 à 600 EUR/mois supplémentaires selon la volumétrie, contre un hébergement standard.
Coût d'une sanction CNIL et TMA conformité
La non-conformité coûte bien plus cher que la mise en conformité. Voici les ordres de grandeur 2026 des sanctions et le budget de maintien.
| Poste | Ordre de grandeur 2026 |
|---|---|
| Sanction CNIL PME (manquement sécurité) | 20 000 - 150 000 EUR |
| Sanction majeure (données santé exposées) | jusqu'à 4 % du CA mondial |
| Notification de violation (délai légal) | 72 h obligatoires |
| TMA conformité continue | 500 - 1 200 EUR/mois |
| Contre-audit / revue annuelle | 3 000 - 6 000 EUR/an |
| Formation DPO / équipe | 1 500 - 3 000 EUR/an |
Une TMA conformité de 500 à 1 200 EUR/mois couvre la mise à jour du registre, la veille réglementaire, la revue des sous-traitants et le renouvellement de la DPIA quand le traitement évolue.
Mini cas pratique
Dr. Lefèvre dirige un éditeur de logiciel de téléconsultation à Nantes, 12 salariés, traitant les données de 8 000 patients. Mise en conformité complète : hébergement HDS (4 000 EUR + 350 EUR/mois), DPIA (3 500 EUR), chiffrement et journalisation (5 000 EUR), portail droits (3 000 EUR), soit 15 500 EUR HT + 350 EUR/mois. Il ajoute une TMA à 800 EUR/mois. Budget an 1 : 15 500 + (1 150 x 12) = 29 300 EUR HT. Une sanction CNIL suite à une fuite de dossiers patients estimée à 80 000 - 150 000 EUR, plus la perte de son agrément commercial, rendait l'investissement non négociable.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
L'hébergement HDS est-il obligatoire ?
Oui, dès qu'une application héberge des données de santé à caractère personnel pour le compte d'un tiers, l'hébergeur doit être certifié HDS. Comptez 150 à 600 EUR/mois de surcoût.
Qu'est-ce qu'une DPIA et combien coûte-t-elle ?
L'analyse d'impact sur la protection des données est obligatoire pour les traitements de santé à risque. Son coût se situe entre 2 500 et 5 000 EUR HT et elle prend 2 à 3 semaines.
Combien de temps pour être conforme ?
Entre 6 et 12 semaines pour une application existante, selon l'ampleur de la migration HDS et du chiffrement à rattraper.
Quel est le risque financier réel ?
Une sanction CNIL pour une PME va de 20 000 à 150 000 EUR ; pour un manquement grave sur données de santé, elle peut atteindre 4 % du chiffre d'affaires mondial.
Faut-il journaliser tous les accès ?
Oui. La journalisation horodatée des accès aux données de santé est une exigence de traçabilité : budget 1 500 à 4 000 EUR HT à l'implémentation.
Parlons de votre projet. Précisez votre volumétrie patients, l'état actuel de l'hébergement et le délai réglementaire vise, on cadre la mise en conformité HDS/RGPD. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
