Un champ texte libre dans un logiciel médical. Une zone où les médecins notaient en quelques mots ce que le dossier structuré ne prévoyait pas : un statut sérologique, une addiction, des violences subies, un état psychologique. Ce champ, présent dans le logiciel MonLogicielMédical (MLM) édité par Cegedim Santé, a fuité sur le dark web.
Pour 164 000 patients, il contenait des informations cliniques sensibles. Et les données administratives — noms, dates de naissance, adresses, téléphones, e-mails — de 11 à 15 millions de Français ont été exposées avec. Plusieurs mois après la révélation publique, les patients n'ont toujours pas été individuellement informés, et aucune compensation n'a été annoncée. Restent deux questions concrètes : que risquez-vous, et que pouvez-vous faire ?
Ce qui a fuité : 15 millions d'administratifs, 164 000 sensibles
La distinction est essentielle. L'écrasante majorité des données exposées sont administratives : nom, prénom, date de naissance, téléphone, adresse, e-mail. Elles concernent entre 11 et 15 millions de personnes, selon le ministère de la Santé. Cegedim Santé a précisé que les dossiers médicaux structurés — prescriptions, résultats d'analyses, comptes rendus — n'ont pas été compromis.
Mais pour environ 164 000 patients, le champ « commentaire libre » contenait des informations cliniques sensibles : pathologies, traitements, statut sérologique, addictions, orientation sexuelle, violences subies. La frontière entre administratif et médical, inexistante dans la pratique, a transformé une zone censée être anodine en données de santé de fait. Les fichiers ont été mis en vente sur un forum du dark web, après l'échec d'une tentative d'extorsion contre Cegedim.
Le champ « commentaire libre » : la faille structurelle
Le logiciel MLM est utilisé par environ 3 800 cabinets médicaux. 1 500 ont été compromis, soit près de 40 % des utilisateurs. L'attaque n'est pas due à une faille spectaculaire, mais à l'aspiration progressive de données via des comptes médecins compromis, après un « comportement anormal de requêtes » détecté fin octobre 2025. Le mode opératoire est banal — et c'est précisément ce qui le rend dangereux.
La cause profonde tient à la conception : un champ de saisie libre, sans typage strict, dans lequel des informations de santé se sont retrouvées faute de case adaptée dans le dossier structuré. La fuite ne révèle pas seulement une défaillance de sécurité, mais un défaut de conception des logiciels médicaux.
Plusieurs mois de silence
La chronologie, établie par l'enquête de France Télévisions, interroge. Cegedim détecte l'anomalie fin octobre 2025, dépose plainte auprès du parquet de Paris et notifie la CNIL le 27 octobre. Les 1 500 médecins concernés ne reçoivent un e-mail que le 19 janvier 2026, près de trois mois plus tard. Et c'est France 2 qui révèle l'ampleur de la fuite au journal de 20 heures, fin février 2026. La ministre de la Santé, Stéphanie Rist, a déclaré n'en avoir été informée que la veille au soir.
Le RGPD impose pourtant de notifier la CNIL sous 72 heures (article 33) et, en cas de risque élevé, d'informer « dans les meilleurs délais » les personnes concernées (article 34). Plusieurs mois après la détection, aucune notification individuelle n'avait été déclenchée pour des données incluant statut sérologique et violences sexuelles. Un généraliste, cité par Medscape, résume le malaise : « À peine un e-mail. Il n'est pas normal que le médecin ait la responsabilité de contacter les patients. »
Ce que des criminels peuvent en faire
Les données administratives alimentent le hameçonnage ciblé, l'usurpation d'identité et le démarchage frauduleux — le lien avec les arnaques à la carte Vitale qui se multiplient en France est direct. Les données sensibles ouvrent des risques plus graves.
Chantage : un statut sérologique, une addiction ou une orientation sexuelle non rendue publique sont autant de leviers d'extorsion. Discrimination : un employeur, un assureur ou un bailleur qui croiserait ces informations avec un nom pourrait discriminer sans que la victime le sache — c'est interdit, mais difficile à prouver. Exploitation : des informations sur des violences subies ou un état psychiatrique permettent de cibler des personnes vulnérables. Comme le résume l'expert en cybersécurité Jérôme Billois (Wavestone), une donnée de santé, contrairement à un mot de passe, ne se change pas.
Comment savoir si vous êtes concerné
La première étape est de demander à votre médecin traitant s'il utilisait le logiciel MLM de Cegedim Santé, et, le cas échéant, ce que contenait le champ libre de votre dossier. En parallèle, quelques gestes utiles : vérifier sur haveibeenpwned.com l'adresse e-mail associée à votre cabinet ; changer les mots de passe des comptes liés à cette adresse ; activer l'authentification à deux facteurs sur la banque, la messagerie et l'espace Ameli ; et se méfier de tout appel ou message inattendu citant des informations médicales précises. Tout contact suspect peut être signalé sur Cybermalveillance.gouv.fr.
Vos recours : RGPD, CNIL, action de groupe
Le RGPD ouvre trois recours concrets. Le droit d'accès (article 15) permet de demander à Cegedim le détail des données vous concernant qui ont été exposées, avec réponse sous un mois. Le droit à l'effacement (article 17) permet d'exiger la suppression de vos données, sauf obligation légale de conservation. Le droit à réparation (article 82) permet de réclamer un dédommagement : la Cour de justice de l'Union européenne a précisé qu'un préjudice, même moral, doit être prouvé, et la jurisprudence accorde le plus souvent entre 500 et 3 000 euros pour une fuite standard — davantage, potentiellement, pour les 164 000 dossiers sensibles.
Une action de groupe est juridiquement possible en France depuis 2016, mais aucune n'a été lancée à ce jour pour la fuite Cegedim. La plainte individuelle auprès de la CNIL, elle, reste gratuite et se dépose en ligne en quelques minutes : l'autorité n'attribue pas de compensation, mais peut sanctionner administrativement le responsable.
Cegedim, déjà sanctionné en 2024
Ce n'est pas le premier accroc. Le 5 septembre 2024, la CNIL avait infligé à Cegedim Santé une amende de 800 000 euros pour traitement illicite de données de santé : la société collectait, sans autorisation, des informations médicales reliées à des identifiants patients non réellement anonymes, utilisées dans des études statistiques vendues à des clients. La société avait saisi le Conseil d'État pour contester cette sanction. Quelques mois plus tard éclatait la fuite MLM.
Convoqué à Bercy le 5 mars 2026 par les ministres de la Santé et du Numérique, Cegedim s'est vu imposer une mise en conformité accélérée avec la directive européenne NIS2 et le Cyber Resilience Act, ainsi que le renforcement immédiat de l'authentification multi-facteurs. Son action a chuté de 9 % le jour de la révélation publique.
Ce que la fuite révèle sur la santé numérique
Le cas Cegedim n'est pas isolé. Dans son Panorama de la cybermenace 2025, publié en mars 2026, l'ANSSI classe la santé au troisième rang des secteurs les plus ciblés en France (10 % des incidents), derrière l'éducation et la recherche (34 %) et les administrations (24 %). L'agence a recensé 128 attaques par rançongiciel et 196 cas d'exfiltration de données sur l'année.
La France avait déjà connu la fuite Dedalus en 2021 (environ 500 000 dossiers de laboratoire, 1,5 million d'euros d'amende), ou le vol de 1,4 million de dossiers de tests Covid à l'AP-HP. Le secteur de la santé publique, déjà sous tension budgétaire, reste structurellement exposé : selon la Cour des comptes, l'investissement numérique des hôpitaux plafonne à 1,7 % de leur budget de fonctionnement, contre environ 9 % dans la banque. La santé numérique française avance vite côté services — dossier médical partagé, prise de rendez-vous en ligne, ordonnance numérique — mais reste fragile côté sécurité, à l'image des risques pesant sur les infrastructures critiques. Une donnée de santé, une fois dans la nature, y reste.
