Un patient peut être concerné sans avoir jamais entendu parler de MonLogicielMedical.com. Le nom, abrégé en MLM, désigne un logiciel utilisé par des cabinets médicaux pour gérer leurs rendez-vous, leur facturation et les dossiers de leurs patients.
À la fin de 2025, Cegedim Santé dit avoir détecté des requêtes anormales effectuées depuis des comptes de médecins utilisant ce logiciel. L'entreprise affirme que 1 500 des 3 800 praticiens équipés de MLM ont été touchés et que des données personnelles ont été consultées ou extraites illégalement. Elle dit avoir averti les cabinets concernés au début de janvier 2026, notifié la Commission nationale de l'informatique et des libertés, la CNIL, et déposé plainte auprès du procureur de la République.
Un fichier administratif, avec 165 000 annotations potentiellement sensibles
Les données énumérées par Cegedim proviennent de la partie administrative des dossiers : nom, prénom, sexe, date de naissance, numéro de téléphone, adresse postale, adresse électronique et commentaire libre saisi par le médecin. Les catégories présentées publiquement par l'entreprise ne comprennent ni mot de passe de patient ni donnée bancaire.
Dans une mise au point publiée le 4 mars, Cegedim a évalué le contenu du fichier diffusé par l'auteur de l'attaque à 15,8 millions de dossiers administratifs après dédoublonnage. L'entreprise a compté 165 000 dossiers comportant une annotation personnelle susceptible de contenir une information sensible, liée ou non à la santé.
Il ne s'agit donc pas, selon Cegedim, de 15,8 millions de dossiers médicaux complets. L'entreprise assure que les données concernées provenaient exclusivement de la partie administrative et écrit que le fichier publié « ne comporte aucun dossier médical de patients ». Cette délimitation repose toutefois sur les investigations communiquées par Cegedim : aucune analyse technique détaillée de l'incident n'a été rendue publique.
Le champ de commentaire libre change la nature du risque. Une adresse électronique ou une date de naissance peut faciliter une fraude ciblée. Une annotation évoquant la santé, la vie familiale ou une autre information intime peut avoir des conséquences plus durables. Tous les dossiers ne présentent donc pas nécessairement le même niveau de gravité.
Le médecin reste en première ligne
Dans son communiqué du 26 février, Cegedim indique avoir accompagné les médecins dans leurs démarches auprès de la CNIL et dans l'information de leurs patients. L'entreprise les désigne comme les responsables du traitement au sens du règlement général sur la protection des données, le RGPD.
Dans un cabinet libéral, le médecin est en principe responsable du traitement lorsqu'il décide pourquoi le dossier est constitué, quelles données y sont inscrites et comment elles sont utilisées pour soigner ses patients. L'éditeur qui fournit le logiciel agit généralement comme sous-traitant lorsqu'il traite ces informations pour le compte du praticien.
Cette répartition ne dépend toutefois pas du seul vocabulaire choisi dans un contrat ou un communiqué. La CNIL précise qu'un acteur est responsable du traitement lorsqu'il décide de ses objectifs et de ses moyens essentiels. Un prestataire peut dépasser le rôle de sous-traitant s'il prend lui-même certaines de ces décisions. La qualification doit donc être examinée à partir du fonctionnement réel du service.
MG France a saisi la CNIL le 27 février, au lendemain de la révélation, pour lui demander jusqu'où pouvait aller la responsabilité d'un médecin qui confie la gestion technique de son logiciel à un éditeur. Le syndicat conteste que les cabinets supportent seuls les conséquences pratiques d'un incident qu'ils n'ont pas directement géré.
Une autorité publique s'est exprimée sur ce point. Le 28 février, la ministre déléguée chargée de la Santé, Stéphanie Rist, a indiqué que l'incident « relève d'un prestataire privé, responsable du traitement des données, et n'a pas de lien avec les systèmes de l'État ». La formule désigne l'éditeur, là où l'entreprise renvoie cette qualité aux médecins.
À ce stade, aucune décision publique propre à l'incident MLM ne permet d'affirmer que Cegedim et les médecins sont juridiquement responsables conjoints, ni que l'éditeur serait déchargé de toute responsabilité.
L'éditeur conserve des obligations propres
Être sous-traitant ne signifie pas être extérieur à l'affaire. Le RGPD impose au prestataire de protéger les données avec des mesures adaptées, d'informer rapidement ses clients lorsqu'une violation survient et de leur transmettre les éléments nécessaires pour en évaluer les conséquences.
La CNIL souligne qu'en cas de cyberattaque chez un sous-traitant, celui-ci est généralement le mieux placé pour établir la méthode utilisée, le périmètre de l'accès et les catégories de données compromises. Il doit donc aider chacun de ses clients à accomplir ses propres démarches.
Le médecin conserve la maîtrise de la décision de notifier la violation ou d'informer les patients, mais il peut charger son prestataire d'effectuer matériellement ces démarches en son nom. Le droit n'impose donc pas nécessairement que 1 500 cabinets rédigent et expédient seuls tous les courriers.
La responsabilité d'informer ne dit pas non plus qui a causé la fuite. Ce sont deux questions différentes. Un médecin peut devoir prévenir ses patients sans avoir commis de faute technique. Un éditeur peut, de son côté, engager sa responsabilité s'il n'a pas respecté les obligations de sécurité ou d'assistance qui lui incombaient.
Tous les patients ne doivent pas nécessairement recevoir le même courrier
Le RGPD distingue le signalement à la CNIL de l'information directe des personnes.
Lorsqu'une violation ne présente pas de risque pour les droits et libertés des personnes, le responsable du traitement doit la documenter en interne. Lorsqu'un risque existe, il doit la notifier à la CNIL. L'information individuelle des patients devient obligatoire lorsque le risque est considéré comme élevé.
L'analyse doit tenir compte de la nature des données, de leur sensibilité, du nombre de personnes concernées, de la possibilité de les identifier et des conséquences prévisibles. Un dossier contenant seulement des coordonnées administratives ne sera donc pas nécessairement évalué de la même façon qu'un dossier comportant une annotation intime.
Il serait ainsi imprécis d'affirmer que les 15,8 millions de dossiers doivent tous donner lieu à un courrier identique. Il serait tout aussi prématuré de conclure qu'aucune information n'est nécessaire. La décision dépend de l'analyse menée pour chaque catégorie de données et des éléments techniques que Cegedim a fournis aux médecins.
Lorsque l'information est obligatoire, elle doit être rédigée en termes clairs. Elle doit notamment indiquer la nature de la violation, ses conséquences possibles, le contact permettant d'obtenir des renseignements et les mesures prises pour limiter les risques.
Le délai de 72 heures ne peut pas être contrôlé avec les dates disponibles
Cegedim situe la détection de l'incident à la fin de 2025 et l'information des médecins au début de janvier 2026. L'entreprise affirme avoir notifié la CNIL, mais ne donne pas publiquement la date exacte de la détection, celle à laquelle l'extraction a été confirmée ni celle de la notification.
Ces éléments ne suffisent pas à déterminer si le délai réglementaire a été respecté.
Le délai de 72 heures ne part pas nécessairement de la première anomalie informatique. Selon la CNIL, il commence lorsque le responsable du traitement possède un degré raisonnable de certitude qu'un incident a touché des données personnelles. Une notification initiale peut ensuite être complétée au fur et à mesure des investigations.
La date du reportage de France 2, le 26 février, n'est pas non plus le point de départ ou d'arrivée prévu par le RGPD. La révélation publique d'une affaire et l'information individuelle des personnes répondent à des logiques différentes.
Comment savoir si son dossier est concerné
La première démarche consiste à interroger son médecin. Deux questions doivent être distinguées :
- le cabinet utilisait-il MLM au moment de l'incident ?
- faisait-il partie des 1 500 comptes signalés par Cegedim ?
Le patient peut ensuite demander quelles informations figuraient dans son dossier, notamment dans le commentaire libre. Le médecin connaît le contenu du dossier qu'il a constitué. Il ne dispose pas nécessairement, en revanche, des traces techniques permettant de savoir si chaque donnée a été consultée ou copiée. Cette partie de la réponse dépend des informations fournies par Cegedim.
Un patient peut demander directement une copie de son dossier médical. Les documents datant de moins de cinq ans doivent normalement lui être communiqués après un délai minimal de 48 heures et au plus tard dans les huit jours. Lorsque les informations remontent à plus de cinq ans, le délai peut atteindre deux mois.
Une demande plus large fondée sur le RGPD peut porter sur les données détenues, leur origine, leur utilisation et leurs destinataires. Le responsable du traitement doit en principe répondre dans un délai d'un mois, avec une prolongation possible lorsque la demande est complexe.
En cas d'absence de réponse ou de réponse insuffisante, le patient peut déposer gratuitement une plainte auprès de la CNIL en joignant ses échanges avec le cabinet.
Se méfier surtout des messages trop bien renseignés
La CNIL classe le hameçonnage ciblé et l'usurpation d'identité parmi les principaux risques associés à une fuite de données. Un courriel ou un appel devient plus crédible lorsqu'il reprend un nom, une date de naissance, une adresse ou une information liée à la santé.
Il ne faut pas cliquer sur un lien reçu dans un message inattendu ni transmettre un mot de passe, un code de validation ou des coordonnées bancaires à la suite d'un appel. L'organisme concerné doit être joint à partir de son site ou de son numéro officiel, et non à partir des coordonnées fournies par le message.
Les informations rendues publiques par Cegedim ne mentionnent pas de mots de passe de patients parmi les catégories extraites. Changer tous ses mots de passe n'est donc pas la première réponse à cette fuite, sauf lorsqu'un identifiant a été communiqué à un fraudeur, compromis dans une autre attaque ou réutilisé sur plusieurs services.
Une personne qui subit un dommage matériel ou moral peut enfin demander réparation devant le juge. Le RGPD permet de mettre en cause le responsable du traitement ou le sous-traitant selon les manquements établis. La CNIL peut contrôler et sanctionner un organisme, mais elle n'accorde pas elle-même de dommages et intérêts.
