Le verdict en trois phrases
Dès qu'une application métier stocke des données de santé pour le compte de patients ou de professionnels, l'hébergement chez un prestataire certifié HDS est obligatoire en France, pour 150 à 900 € par mois selon la volumétrie et la redondance. Il faut y ajouter une analyse d'impact (AIPD) de 2 000 à 6 000 € HT, la journalisation des accès et le chiffrement au repos. Le risque en cas de manquement est sérieux : la CNIL peut infliger jusqu'à 4 % du chiffre d'affaires mondial ou 20 M€.
Ce que recouvre la certification HDS
La certification Hébergeur de Données de Santé (référentiel aligné sur l'ISO 27001, mis à jour en 2024) couvre l'infrastructure physique, l'infrastructure virtuelle, l'infogérance et la sauvegarde. Un développeur d'application n'a pas besoin d'être certifié lui-même s'il s'appuie sur un hébergeur certifié pour toutes les activités d'hébergement, mais il doit le choisir avec le bon périmètre et signer un contrat conforme.
| Offre d'hébergement HDS | Contenu typique | Coût mensuel 2026 |
|---|---|---|
| Petite instance HDS | 1 serveur, sauvegarde quotidienne, données en France | 150 à 300 € |
| Instance haute disponibilité | 2 serveurs, base répliquée, PRA | 350 à 600 € |
| Infogérance HDS complète | Supervision 24/7, correctifs, astreinte | 600 à 900 € |
| Stockage de documents médicaux | 500 Go chiffrés, versionnage | 40 à 120 € |
| Sauvegarde externalisée HDS | Copie sur second site, rétention 30 jours | 50 à 150 € |
| Hébergement standard non HDS | Interdit pour ces données | Sans objet |
Les grands clouds (offres européennes de AWS, Azure, Google, OVHcloud, Scaleway, Outscale) proposent des régions certifiées HDS. Le surcoût par rapport à un hébergement classique tourne autour de 20 à 40 %.
Les obligations au-delà de l'hébergeur
L'hébergeur certifié ne règle qu'une partie de la conformité. L'application elle-même doit être conçue pour protéger les données : contrôle d'accès par rôle, traçabilité, chiffrement, durée de conservation.
| Obligation | Ce qu'il faut mettre en place | Coût indicatif 2026 (HT) |
|---|---|---|
| AIPD (analyse d'impact RGPD) | Cartographie des risques, mesures, avis du DPO | 2 000 à 6 000 € |
| Journalisation des accès | Qui a consulté quel dossier, quand, conservation 6 mois à 1 an | 1 500 à 4 000 € |
| Chiffrement au repos et en transit | Base et fichiers chiffrés, TLS 1.3 | 800 à 2 500 € |
| Authentification forte | MFA ou Pro Santé Connect pour les soignants | 1 500 à 5 000 € |
| Gestion des consentements et droits | Accès, rectification, export du dossier | 1 500 à 3 500 € |
| DPO externalisé | Si pas de DPO interne | 300 à 900 €/mois |
| Test d'intrusion annuel | Boîte grise avant mise en production | 6 000 à 15 000 € |
L'AIPD est obligatoire pour un traitement de données de santé à grande échelle. Elle doit être réalisée avant la mise en production et revue à chaque évolution significative.
Mini cas pratique
Julien, fondateur d'un réseau de 6 centres de rééducation en Pays de la Loire (4 200 patients suivis par an), lance une application de suivi des exercices et des bilans entre séances.
Budget de conformité : instance HDS haute disponibilité à 450 € par mois, soit 5 400 € par an ; AIPD à 3 500 € HT ; journalisation, chiffrement et MFA intégrés au développement pour 6 500 € HT ; DPO externalisé à 400 € par mois, soit 4 800 € par an. Première année : 20 200 € HT, puis environ 10 200 € par an. Comparé au risque d'une sanction ou d'une fuite (notification de 4 200 patients, expertise, image), ce coût représente environ 2,40 € par patient et par an en régime de croisière.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Une application de bien-être sans prescription doit-elle être hébergée en HDS ?
Tout dépend des données : des pas comptés seuls ne sont pas forcément des données de santé, mais des bilans de rééducation ou des pathologies le sont. En cas de doute, l'AIPD à 2 000 à 6 000 € HT tranche la question.
Peut-on héberger chez un cloud américain ?
Oui si la région et le service sont certifiés HDS et que les données restent dans l'Union européenne, mais le risque d'accès extraterritorial doit être analysé dans l'AIPD. Les marchés publics de santé privilégient de plus en plus les offres qualifiées SecNumCloud.
Combien de temps conserver les journaux d'accès ?
En général 6 mois à 1 an selon les recommandations de la CNIL, et ils doivent eux-mêmes être protégés contre la modification.
Quelle sanction en cas de manquement ?
Jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial ; en pratique, les sanctions récentes visant des acteurs de santé vont de quelques dizaines de milliers à plus de 1 M€.
Quel délai pour une mise en conformité ?
Comptez 6 à 10 semaines pour l'AIPD, la migration vers l'hébergeur HDS et les développements de traçabilité.
Parlons de votre projet. Nous concevons votre application de santé sur un hébergement HDS avec traçabilité, chiffrement et AIPD, budget indicatif et planning de 6 à 10 semaines à l'appui. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
