Fuite de données de santé : que faire, quels recours ?

Un courrier de votre médecin, un e-mail de votre hôpital, un titre d’actualité : on apprend parfois qu’une fuite de données de santé vous concerne peut-être. En février 2026, l’affaire Cegedim a rappelé que ces fuites touchent aussi les logiciels des médecins de ville. Voici comment savoir ce qui a fuité, que faire dans les premiers jours, ce que l’organisme doit vous dire et les recours qui existent, de la CNIL au juge.

Comment savoir si une fuite de données de santé vous concerne ?

L’organisme responsable de vos données doit vous prévenir dans les meilleurs délais lorsque la fuite vous expose à un risque. Attendez son message, ou interrogez-le directement. La CNIL ne peut pas vérifier pour vous et déconseille les sites qui prétendent le faire, rappelle sa fiche sur les fuites de données.

Une précision utile. C’est souvent votre médecin ou l’hôpital, et non l’éditeur du logiciel, qui vous écrit. Dans l’affaire Cegedim, l’éditeur indique que les médecins concernés ont été contactés début janvier et accompagnés dans la notification à la CNIL et l’information de leurs patients, car ils sont responsables de traitement au sens du RGPD. Le prestataire doit, lui, prévenir ce responsable sans attendre.

Méfiez-vous des faux messages de notification. Un courriel qui annonce une fuite est une aubaine pour les escrocs. N’utilisez jamais le lien du message et retrouvez l’organisme par son site officiel ou son numéro habituel.

Quelles données ont fuité, et que risque-t-on vraiment ?

Tout dépend de ce qui figure dans le fichier. Une fuite d’identité et de coordonnées ouvre la porte à l’hameçonnage, une fuite d’identifiants permet d’entrer dans vos comptes, une fuite d’annotations médicales touche à votre vie privée. Lisez la notification, qui doit décrire la nature de la violation et ses conséquences probables.

Dans l’affaire Cegedim, d’après l’éditeur, les informations venaient du dossier administratif : nom, prénom, sexe, date de naissance, téléphone, adresse, e-mail et un commentaire libre rédigé par le médecin. Ce commentaire a pu contenir, pour un nombre limité de patients, des annotations sensibles. Les dossiers médicaux structurés seraient restés intègres. Selon l’enquête de France 2, relayée par France Assos Santé, les données de 15 millions de patients seraient exposées.

Données exposées	Risque principal	Premier réflexe
Identité, téléphone, e-mail, adresse	Hameçonnage et appels frauduleux qui citent votre médecin ou votre caisse	Ne cliquer sur aucun lien, retrouver le service par son adresse officielle
Mot de passe, identifiant	Accès à vos comptes, y compris ceux où le mot de passe est réutilisé	Changer le mot de passe partout où il sert, activer la double authentification
IBAN, coordonnées bancaires	Prélèvements non autorisés, faux conseiller bancaire	Prévenir la banque, surveiller les comptes
Pièce d’identité, numéro de sécurité sociale	Usurpation d’identité	Déposer plainte, consulter Cybermalveillance.gouv.fr
Annotations médicales, diagnostic	Atteinte à la vie privée	Demander le retrait des contenus publiés, saisir la CNIL

Le CERT Santé, équipe de l’Agence du numérique en santé, observe que les fuites entraînent quasi systématiquement une hausse des tentatives d’hameçonnage ciblé et d’usurpation d’identité. Les messages gagnent en crédibilité quand ils citent un vrai médecin ou un vrai établissement.

Que faire dans les premiers jours après une fuite de données de santé ?

Cinq gestes couvrent l’essentiel, dans cet ordre. Lire la notification, se méfier des sollicitations, changer ses mots de passe, protéger ses comptes bancaires si nécessaire, conserver les preuves.

1. Lire la notification Repérez les données concernées et le contact indiqué. Au besoin, écrivez à l’organisme pour confirmer ce qui a fuité.
2. Se méfier des messages Ne répondez pas aux courriels ou SMS suspects, n’ouvrez pas les pièces jointes, ne cliquez sur aucun lien. L’Assurance maladie rappelle qu’elle ne demande jamais vos identifiants ni vos coordonnées bancaires complètes.
3. Changer les mots de passe Commencez par le service concerné, puis par tous ceux où vous utilisiez le même. Un mot de passe différent par service, et la double authentification dès qu’elle est proposée.
4. Protéger les comptes bancaires Seulement si votre IBAN ou vos références bancaires ont fuité. Informez la banque, surveillez régulièrement vos comptes et contestez tout prélèvement non autorisé.
5. Conserver les preuves Notification, courriels, captures d’écran, dates. Elles serviront à une plainte ou à une demande d’indemnisation.

Si des informations qui vous concernent sont publiées en ligne, signalez-les aux plateformes concernées et demandez leur suppression, puis le déréférencement aux moteurs de recherche, détaille la fiche de Cybermalveillance.gouv.fr. Si, un mois après, vos données restent accessibles, la CNIL peut être saisie.

Par précaution, vous pouvez aussi vérifier qui a consulté votre profil Mon Espace Santé. Le menu « Gérer le profil » donne accès à l’historique d’activité, qui sépare vos actions de celles de vos professionnels de santé, d’après la FAQ du service.

Pensez enfin à vos proches. La CNIL invite à leur demander s’ils ont reçu l’information obligatoire et à partager les bons réflexes, surtout avec les personnes âgées ou peu à l’aise avec Internet, et celles pour qui la divulgation d’informations de santé pose un risque personnel.

Que doit faire l’organisme en cas de piratage de dossiers médicaux ?

L’organisme doit consigner l’incident, notifier la CNIL dans les 72 heures si la violation crée un risque, et vous informer dans les meilleurs délais si le risque est élevé. Il est dispensé de vous informer si les données étaient illisibles pour un tiers, par exemple grâce à un chiffrement fort, ou si le risque élevé n’est plus probable.

Le délai de 72 heures court à partir du moment où l’organisme a une certitude raisonnable que des données ont été touchées. Son information doit décrire la nature de la violation, ses conséquences probables, un contact et les mesures prises, précise la CNIL. Un prestataire, comme un éditeur de logiciel, doit prévenir le responsable de traitement dès qu’il constate la violation.

Pour les hôpitaux et autres établissements, s’ajoute l’obligation de signaler les incidents graves au CERT Santé. Ces mécanismes sont détaillés dans notre article sur les cyberattaques à l’hôpital.

Quels recours avez-vous : CNIL, plainte, indemnisation ?

Quatre voies, qui ne se remplacent pas. Interroger l’organisme, saisir la CNIL, porter plainte au pénal en cas d’usage frauduleux, et demander réparation à un juge. Chacune répond à un besoin différent.

Démarche	Ce qu’elle permet	Ce qu’elle ne fait pas
Demande à l’organisme (droit d’accès)	Savoir quelles données vous concernant sont touchées et ce qui a été fait. L’organisme répond sous un mois, délai prolongeable de deux mois si la demande est complexe	Ne vous donne pas de réparation
Plainte à la CNIL	Faire examiner un manquement, par exemple une sécurité insuffisante. La CNIL peut prendre des mesures correctrices ou une sanction	Ne vous indemnise pas et ne peut pas être votre mandataire
Plainte pénale	Signaler un usage frauduleux de vos données, comme une usurpation d’identité ou une escroquerie	Ne remplace pas la saisine de la CNIL
Action en réparation	Demander des dommages et intérêts devant le tribunal judiciaire (organisme privé) ou administratif (organisme public)	N’aboutit pas automatiquement, car un préjudice personnel doit être prouvé

Pour saisir la CNIL, il faut d’abord avoir contacté l’organisme et attendu un mois ou reçu une réponse insatisfaisante, puis passer par son téléservice de plainte, qui demande de créer un compte. La plainte doit être précise et rédigée en français, avec les documents utiles.

Pour une indemnisation, la CNIL décrit trois conditions cumulatives : une violation du RGPD, un préjudice réel, matériel ou moral, et un lien de causalité entre les deux. Elle précise que la simple constatation d’une violation ne suffit pas, et conseille de conserver toutes les preuves. Depuis la loi du 30 avril 2025, une action de groupe unifiée peut aussi être menée par des associations habilitées.

Face à une fuite de données de santé, l’essentiel se joue dans les premiers jours. Il faut lire la notification, protéger ses comptes et garder les preuves. Les recours restent ouverts ensuite, si l’organisme a manqué à ses obligations.

Questions fréquentes sur les fuites de données de santé

Je n’ai rien reçu alors qu’on parle d’une fuite dans la presse, suis-je concerné ?

Pas nécessairement. L’organisme doit informer les personnes exposées à un risque, et son analyse peut ne pas être terminée. Vous pouvez lui poser la question par écrit, en gardant une trace de votre demande.

Faut-il porter plainte même sans usurpation d’identité ?

Ce n’est pas obligatoire. La plainte est recommandée en cas d’usurpation ou d’usage frauduleux. Sans usage frauduleux, la saisine de la CNIL est la voie adaptée si vous estimez que l’organisme n’a pas assez protégé vos données.

Serai-je indemnisé automatiquement ?

Non. Il faut démontrer une violation, un préjudice qui vous est propre et un lien entre les deux, devant le juge compétent. La CNIL, elle, ne peut pas accorder de dommages et intérêts.

Comment protéger un proche peu à l’aise avec le numérique ?

Demandez-lui s’il a reçu l’information de l’organisme, expliquez-lui de ne cliquer sur aucun lien et de taper lui-même l’adresse des services officiels. La CNIL recommande une attention particulière envers les personnes âgées.