Le verdict en trois phrases
Une application qui stocke des données de patients pour le compte d'établissements ou de professionnels de santé doit être hébergée chez un hébergeur certifié HDS, faute de quoi aucun contrat sérieux ne sera signé. En ordre de grandeur 2026, l'hébergement HDS coûte 300 à 2 500 EUR HT par mois selon la volumétrie, à quoi s'ajoutent une analyse d'impact RGPD de 2 000 à 5 000 EUR, le chiffrement et la journalisation, pour 4 à 8 semaines de mise en conformité. Le surcoût de 20 à 40 % par rapport à un hébergement classique est réel, mais il pèse peu face à un seul contrat signé avec un groupe de cliniques.
Ce que l'obligation HDS couvre vraiment
L'article L.1111-8 du Code de la santé publique impose la certification à tout prestataire qui héberge, pour le compte d'un tiers, des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi. Le référentiel HDS révisé en 2024 renforce les exigences et impose notamment la localisation des données dans l'Espace économique européen, avec une transparence sur les accès possibles depuis des pays tiers.
Pour un éditeur, la question pratique est double. Il faut d'abord choisir un hébergeur certifié pour les bonnes activités : infrastructure physique, hébergement de machines virtuelles, plateforme managée, voire infogérance. Il faut ensuite vérifier qui administre quoi : si votre équipe exploite elle-même les serveurs sur une offre d'infrastructure, faites valider avec votre DPO et l'hébergeur si un infogérant certifié est nécessaire pour la couche d'administration. Cette répartition doit figurer noir sur blanc dans le contrat.
Comparatif des hébergeurs et des coûts mensuels
Trois acteurs français dominent les appels d'offres des établissements : OVHcloud, Scaleway et Outscale, ce dernier étant aussi qualifié SecNumCloud. Les grands clouds américains proposent des régions certifiées HDS en France, mais de plus en plus d'acheteurs publics demandent un hébergeur soumis au seul droit européen.
| Profil de l'application | Hébergement classique (par mois) | Hébergement HDS (par mois) | Surcoût |
|---|---|---|---|
| Pilote, 1 à 2 établissements, moins de 5 000 patients | 230 à 470 EUR | 300 à 600 EUR | 25 à 30 % |
| Croissance, 10 établissements, 50 000 patients | 600 à 1 150 EUR | 800 à 1 500 EUR | 30 % environ |
| Échelle, plusieurs groupes hospitaliers, haute disponibilité | 1 150 à 1 900 EUR | 1 500 à 2 500 EUR et plus | 30 à 40 % |
| Hébergeur | Point fort | Offre typique pour un éditeur | |
| OVHcloud | Large catalogue HDS, cloud public et privé | Instances et bases managées sur périmètre HDS | |
| Scaleway | Tarification simple, services managés | Instances, Kubernetes et bases sur zone HDS | |
| Outscale | HDS et SecNumCloud, apprécié du secteur public | Cloud privé et instances sur périmètre qualifié | |
| Cloud américain, région France | Écosystème de services très riche | Régions certifiées HDS, questionnée par certains acheteurs |
Le surcoût vient surtout des options obligatoires en pratique : sauvegardes chiffrées et répliquées, journalisation conservée, réseau privé, support renforcé et engagement contractuel de l'hébergeur.
Le budget de mise en conformité, au-delà de l'hébergeur
Changer d'hébergeur ne suffit pas. Les établissements demandent un dossier de sécurité, et leur DPO lira votre analyse d'impact ligne par ligne.
| Poste | Contenu | Coût HT (ordre de grandeur 2026) |
|---|---|---|
| Analyse d'impact RGPD (AIPD) | Cartographie des traitements, risques, mesures | 2 000 à 5 000 EUR |
| Chiffrement au repos et en transit | Bases, fichiers, sauvegardes, gestion des clés | 3 000 à 6 000 EUR |
| Journalisation des accès | Qui a consulté quel dossier patient, conservation | 2 000 à 4 000 EUR |
| Authentification des professionnels | Double facteur, connexion Pro Santé Connect | 3 000 à 6 000 EUR |
| Test d'intrusion | Audit externe avant ouverture aux établissements | 4 000 à 10 000 EUR |
| Contrats et annexes | Contrat HDS, sous-traitance RGPD, plan d'assurance sécurité | 1 000 à 3 000 EUR |
Le délai de 4 à 8 semaines correspond à la migration, aux développements de sécurité et à la rédaction des documents. Un éditeur qui a conçu son application proprement dès le départ reste dans le bas de la fourchette.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, fondateur d'une application de suivi post-opératoire, négocie avec un groupe de 3 cliniques qui suivent 8 000 patients par an. Son hébergement classique coûte 500 EUR par mois ; l'équivalent HDS chez un hébergeur français revient à 650 EUR, soit +30 % et 1 800 EUR de plus par an. La première année, il ajoute une AIPD à 3 500 EUR, 6 000 EUR de chiffrement et de journalisation, un test d'intrusion à 6 000 EUR et 2 000 EUR de contrats : avec 7 800 EUR d'hébergement, le total atteint 25 300 EUR. Le contrat visé rapporte 1 200 EUR par clinique et par mois, soit 43 200 EUR par an. La conformité est donc remboursée en 7 mois environ, et sans elle le contrat n'existe tout simplement pas.
FAQ
Une application de bien-être doit-elle être hébergée en HDS ?
Pas forcément : l'obligation vise les données recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social. Une application de coaching sportif sans lien avec un professionnel de santé n'y est généralement pas soumise, mais l'avis du DPO est indispensable avant de trancher.
Combien de temps pour migrer vers un hébergeur HDS ?
Comptez 4 à 8 semaines, dont 1 à 2 semaines de migration technique proprement dite. Le reste est consacré aux développements de sécurité, aux tests et aux documents contractuels.
Faut-il obtenir soi-même la certification HDS ?
Si vous vous contentez d'éditer le logiciel hébergé chez un prestataire certifié, non. Si vous hébergez ou infogérez pour vos clients, la certification peut être requise, avec un audit qui coûte souvent 15 000 à 40 000 EUR.
Le surcoût de 20 à 40 % est-il négociable ?
En partie : un engagement sur 12 ou 36 mois réduit souvent la facture de 10 à 20 %. En revanche, renoncer aux sauvegardes répliquées ou à la journalisation pour économiser vous exposerait à un refus lors des audits des établissements.
Que demandent les établissements avant de signer ?
Généralement l'attestation HDS de l'hébergeur, l'AIPD, un plan d'assurance sécurité et le rapport du dernier test d'intrusion. Les groupes hospitaliers publics ajoutent souvent un questionnaire de sécurité de 100 à 200 questions.
Parlons de votre projet. Présentez-nous votre application, vos données et vos futurs clients, nous cadrons la migration HDS et la mise en conformité, étape par étape. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
