Application mobile santé : conformité et obligations spécifiques

Une application mobile santé est un logiciel installé sur smartphone ou tablette. Sa finalité est liée à la santé des utilisateurs. Cela peut être un diagnostic, un suivi, ou une coordination). Elle est notamment soumise à trois obligations spécifiques : 

• L’hébergement HDS (Hébergeur de Données de Santé)
• La qualification MDR si elle est considérée comme dispositif médical
• Et un RGPD renforcé applicable aux données sensibles. 

Ces contraintes ajoutent en moyenne 20 à 40 % au coût et au délai d’un projet mobile standard. 

Le marché de la e-santé connaît une croissance sans précédent. En effet, il est porté par le besoin de suivi à distance. A cela s’ajoute la digitalisation des parcours de soins. Pourtant, de nombreux projets mobiles échouent ou subissent des retards importants. En effet, les obligations réglementaires sont découvertes trop tardivement. Pour un DSI, l’enjeu est de taille : comment anticiper ces contraintes dès le cadrage du projet mobile pour éviter de bloquer la mise en production ? Alors, détaillons les trois piliers de la conformité, leur impact budgétaire et les bons réflexes à adopter. AquilApp, agence experte en développement sur mesure à Nantes, accompagne les décideurs dans la sécurisation de ces projets critiques. 

Qu’est-ce qu’une application mobile santé ?

Une application mobile santé est tout logiciel mobile. Sa finalité première est liée à la santé. Cela peut être le diagnostic, la thérapie, la surveillance, la coordination de soins ou le bien-être médical. Il est crucial de distinguer trois catégories d’applications pour déterminer les obligations applicables : 

1. L’application de bien-être simple : elle ne traite pas de pathologie et n’a pas de finalité médicale (ex: podomètre). Elle est hors du champ réglementaire spécifique santé.
2. L’application de santé non-dispositif médical (non-DM) : elle facilite le parcours de soin sans agir directement sur la santé (ex: prise de RDV). Elle impose le RGPD renforcé et l’hébergement HDS. 
3. Le dispositif médical numérique (DMN) : l’application a une finalité médicale propre, comme l’aide au diagnostic. Elle est soumise au MDR en plus du HDS et du RGPD pour application mobile. 

Tableau synthétique des obligations par catégorie :

Pourquoi la qualification en amont est critique ?

La qualification en tant que Dispositif Médical (MDR) change le budget et le calendrier du projet. Prenez cette décision stratégique lors de la phase de cadrage et non pendant le développement de l’application mobile santé. 

En France, l’ANSM (Agence Nationale de Sécurité du Médicament) est l’autorité compétente pour arbitrer cette qualification. Ignorer ce statut peut conduire à une interdiction de mise sur le marché. Dans certains cas, vous devez faire une refonte technique totale extrêmement coûteuse. 

Quid de l’hébergement HDS : obligation, coût et acteurs

L’hébergement HDS (Hébergeur de Données de Santé) est une certification française obligatoire. Elle s’applique pour tout prestataire hébergeant des données de santé à caractère personnel pour le compte d’un tiers. Cette certification garantit un niveau de sécurité et de confidentialité supérieur à l’ISO 27001 classique. Elle est notamment basée sur l’article L.1111-8 du Code de la santé publique. Pour le DSI, cela signifie que le choix de l’hébergeur est une décision structurante. Vous devez vérifier la certification effective du partenaire avant toute signature de contrat. 

Combien coûte un hébergement HDS ?

L’infrastructure certifiée HDS représente un surcoût lié aux audits et à la maintenance spécifique.

• Fourchette tarifaire : comptez entre 200 et 1 500 euros par mois. Tout dépend de la complexité et le volume de données. 
• Acteurs certifiés : en France, les solutions dominantes incluent OVHcloud, Outscale, Microsoft Azure (offre santé) et AWS. Il est impératif de demander le certificat HDS à jour couvrant les activités spécifiques de votre projet (hébergement physique et/ou infogérance). 

Qu’est-ce que l’HDS impose au projet mobile ?

La conformité HDS ne se limite pas au choix du serveur. Elle impacte l’architecture logicielle :

• Zéro stockage hors périmètre : aucune donnée de santé ne doit transiter par des logs ou des backups non certifiés. 
• Cartographie des flux : documentez chaque transfert de donnée dès le cadrage. 
• Clauses contractuelles : signez un contrat d’hébergement spécifique. Précisez notamment les responsabilités de chaque partie. 

MDR : quand une application mobile devient un dispositif médical numérique

Un dispositif médical numérique respecte le règlement UE 2017/745. C’est donc un logiciel destiné à des fins médicales. Il peut diagnostiquer, prévenir, surveiller ou traiter une maladie ou un handicap. 

• Exemples DM : algorithme de détection d’arythmie via la caméra, calcul de dose d’insuline, application de suivi de cancer avec alertes cliniques. 
• Exemples Non-DM : une annuaire de santé, une application de rappels de prise de médicaments sans calcul. 

Quelles sont les classes de dispositifs médicaux et leur impact ? 

Le niveau de contrainte dépend de la dangerosité potentielle pour le patient. La majorité des applications de santé tombent en classe I ou IIa. 

Qu’impose concrètement le MDR au projet mobile ? 

Entrer dans le champ du MDR impose une rigueur industrielle :

1. SMQ : mise en place d’un Système de Management de la Qualité conforme à l’ISO 13485. 
2. Dossier Technique : rédaction de l’analyse des risques, de l’évaluation clinique et des instructions d’utilisation. 
3. Enregistrement : déclaration dans la base européenne EUDAMED. 
4. Impact calendrier : le marquage CE via un organisme notifié ajoute 3 à 12 mois de délai incompressible. 

Pourquoi les règles de RGPD sont-elles renforcées pour les données de santé ? 

Selon l’article 9 du RGPD, les données de santé sont « sensibles ». D’ailleurs, leur traitement est interdit par défaut, sauf exceptions strictes. Donc : un consentement explicite, un intérêt public et une recherche. En tant que DSI, vous engagez votre responsabilité : toute violation peut entraîner des sanctions lourdes de la CNIL. Ce qui peut impacter la réputation de l’établissement. 

Quelles sont les obligations RGPD spécifiques à une app mobile santé ? 

Pour être conforme, le projet doit respecter ces étapes clés :

1. AIPD (Analyse d’Impact) : obligatoire pour tout traitement de données de santé à grande échelle. 
2. Consentement explicite : doit être granulaire et libre (pas de pré-cochage).
3. Registre des traitements : tenir à jour les flux, notamment avec les sous-traitants et l’hébergeur.
4. DPO (Data Protection Officer) : sa désignation est obligatoire pour les organismes publics et fortement recommandée pour les éditeurs d’apps santé. 

Quelles sont les décisions à prendre au cadrage concernant le RGPD et l’architecture technique de l’application mobile santé ? 

La conformité se traduit par des choix techniques dès le premier sprint :

• Pseudonymisation : séparer l’identité de l’utilisateur de ses données de santé.
• Chiffrement : utiliser systématiquement de protocoles robustes (TLS 1.3, AES-256).
• Conservation : purger automatiquement des données selon les durées légales. 

Voir aussi notre guide RGPD pour application mobile. 

Comment la sécurité impacte-t-elle le budget et le délai du projet d’application mobile santé ? 

La sécurité et la réglementation ne sont pas des options gratuites. Voici l’impact estimé :

Pourquoi anticiper coûte moins cher que corriger ? 

Découvrir un besoin de conformité MDR en phase de recette est une catastrophe financière. Une reprise d’architecture et de documentation a posteriori coûte généralement entre 30 000 et 80 000 euros. 

La règle d’or d’un projet réussi : valider le statut HDS/MDR lors de l’atelier de méthode de cadrage projet mobile. 

Quels sont les bons réflexes dès le démarrage du projet ? 

Vous souhaitez sécuriser votre lancement de votre application mobile santé ? Suivez ces 5 actions dès le cadrage :

1. Qualifier le statut réglementaire : bien-être, Santé non-DM ou Dispositif Médical ? 
2. Sélectionner un hébergeur certifié : vérifiez le certificat sur le registre officiel de l’ANS. 
3. Mandater un DPO ou conseil RGPD : pour piloter l’AIPD dès le départ. 
4. Prévoir un budget dédié : la conformité doit être un poste de dépense identifié, pas une surprise. 
5. Choisir un partenaire technique expert : privilégiez une agence ayant déjà livré des projets soumis à HDS et MDR. 

Ce qu’AquilApp retient de ces projets

Chez AquilApp, agence de développement web à Nantes, nous interventions pour des structures variées. Exemple : les startups, les ETI et institutionnels. A travers nos années d’expérience, nous avons appris que la conformité n’est pas un frein. C’est plutôt un gage de qualité industrielle. Les projets les plus performants sont ceux où le DSI et le partenaire technique collaborent dès le premier jour sur la cartographie des risques. Alors, nous intégrons ces exigences dans notre sécurité d’une application mobile pour garantir un time-to-market maîtrisé et une sérénité juridique totale.

Conclusion

Développer une application mobile santé est un investissement rentable. Du moins, c’est le cas à condition de maîtriser les trois piliers : HDS, MDR et RGPD renforcé. Anticipez ces contraintes dès le cadrage. Ainsi, vous transformez un risque réglementaire en un avantage compétitif solide. 

Cadrez votre projet mobile santé avec nos experts. Contacter AquilAppPour aller plus loin, consultez notre guide sur l’application mobile finance.