Le verdict en trois phrases
Une donnée de santé est la catégorie la plus sensible qui soit : au Sénégal, elle relève de la loi 2008-12 sur la protection des données personnelles et de la surveillance de la CDP. Toute application de santé doit reposer sur quatre piliers non négociables : chiffrement (au repos et en transit), contrôle d'accès strict, hébergement sécurisé et journalisation des accès. Un audit initial coûte 1 500 000 à 4 000 000 FCFA, un investissement modeste face au coût d'une fuite de dossiers patients, qui se chiffre en dizaines de millions de FCFA et en perte de confiance irreparable.
Les mesures minimales pour une application de santé
Il ne s'agit pas de « bonnes intentions » mais de mesures techniques vérifiables. Voici le socle attendu en 2026 et son coût de mise en oeuvre.
| Mesuré | Description | Priorité | Coût estimé |
|---|---|---|---|
| Chiffrement en transit | HTTPS/TLS partout, HSTS | Critique | 100 000-300 000 FCFA |
| Chiffrement au repos | Base et sauvegardes chiffrées | Critique | 300 000-800 000 FCFA |
| Contrôle d'accès (RBAC) | Rôles, moindre privilege, MFA | Critique | 500 000-1 500 000 FCFA |
| Journalisation | Traces d'accès aux dossiers | Haute | 300 000-900 000 FCFA |
| Hébergement sécurisé | Serveur durci, pare-feu, sauvegardes | Critique | 400 000-1 200 000 FCFA/an |
| Audit de sécurité | Test d'intrusion + rapport | Haute | 1 500 000-4 000 000 FCFA |
Le coût d'une fuite de données de santé
Le risque n'est pas théorique : cabinets, cliniques et laboratoires sont des cibles privilégiées des rançongiciels. Voici l'échelle des conséquences d'une fuite ou d'un blocage.
| Type d'incident | Conséquence | Coût estimé |
|---|---|---|
| Accès non autorisé ponctuel | Notification CDP, remédiation | 2 000 000-5 000 000 FCFA |
| Rançongiciel (blocage) | Arrêt d'activité, restauration | 5 000 000-20 000 000 FCFA |
| Fuite massive de dossiers | Sanction CDP, perte de patients | 15 000 000-50 000 000+ FCFA |
| Absence de sauvegarde | Perte définitive de données | Incalculable |
Au-delà du chiffre, une structure de santé joue sa réputation : un patient dont le dossier fuite ne revient pas, et le bouche-à-oreille négatif se propage vite. Ordre de grandeur 2026, indicatif.
Conformité loi 2008-12 : les obligations concrètes
La loi sénégalaise impose une déclaration ou une demande d'autorisation auprès de la CDP pour les traitements de données de santé, une information claire des patients sur l'usage de leurs données, un droit d'accès et de rectification, et des mesures de sécurité proportionnées à la sensibilité. En pratique : nommer un référent données, tenir un registre, formaliser une politique de confidentialité et sécuriser techniquement l'application. La conformité est autant juridique que technique.
Mini cas pratique
Dr Sarr dirige un centre médical à Dakar qui numérise les dossiers de 8 000 patients via une application web. Avant mise en production, il commande un audit de sécurité à 2 200 000 FCFA qui révèle deux failles critiques : absence de MFA sur les comptes soignants et sauvegardes non chiffrées. La remédiation coûte 1 400 000 FCFA. Total investi : 3 600 000 FCFA. Six mois plus tard, une tentative de rançongiciel est bloquée par les nouvelles defenses, et une sauvegarde saine permet une reprise en 2 heures. Le coût évité d'un blocage complet était estimé entre 8 000 000 et 15 000 000 FCFA : l'audit a été rentabilisé plus de deux fois.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
La loi 2008-12 impose-t-elle un hébergement au Sénégal ?
Elle impose des garanties de sécurité et encadre les transferts hors du Sénégal, sans exiger systématiquement un hébergement local. Pour des données de santé, un hébergement sécurisé et maîtrisé, idéalement local ou dans une juridiction offrant des garanties équivalentes, est fortement recommandé.
Le MFA est-il vraiment indispensable ?
Oui. La majorité des accès frauduleux exploitent des mots de passe volés ou faibles. L'authentification multifacteur sur tous les comptes soignants est la mesure la plus rentable : faible coût, réduction drastique du risque de compromission de compte.
Combien coûte la mise en conformité complète ?
Pour une application de santé de taille moyenne, comptez 3 000 000 à 8 000 000 FCFA pour le socle technique et l'audit, plus 400 000 à 1 200 000 FCFA/an d'hébergement sécurisé et de supervision. Le montant dépend du volume de dossiers et du niveau d'exigence.
Que faire en cas de fuite avérée ?
Activer le plan de réponse : contenir l'incident, notifier la CDP dans les délais, informer les patients concernés si le risque est élevé, et documenter. Un plan de réponse pré-établi réduit fortement le coût et la durée de l'incident.
Un petit cabinet est-il vraiment concerné ?
Oui. La sensibilité de la donnée ne dépend pas de la taille de la structure. Un cabinet de quelques praticiens manipule des données de santé et doit appliquer chiffrement, contrôle d'accès et sauvegardes, même à une échelle plus modeste.
Parlons de votre projet. Décrivez votre application de santé (volume de dossiers, accès soignants, hébergement actuel), nous chiffrons l'audit et la mise en conformité loi 2008-12. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
