La plus grande fuite de données de santé jamais révélée en France porte un nom : Cegedim. Le 26 février 2026, un reportage de France 2 a mis au jour l’accès illégal à la base de données du logiciel MonLogicielMedical (MLM), édité par la filiale Cegedim Santé. Dès le lendemain, le ministère de la Santé confirmait que la base contenait les coordonnées de 15 millions de personnes. Pour près de 169 000 patients, des notes médicales en texte libre, parfois extrêmement sensibles, ont pu être exposées.
L’affaire Cegedim dépasse le simple incident technique. Elle touche au cœur du secret médical, met la CNIL face à un dossier à 15 millions de victimes potentielles, et rappelle que le secteur français de la santé reste la cible privilégiée des cybercriminels. Cet article fait le point sur les faits vérifiés, l’analyse juridique, l’impact pour les patients et les médecins, et les leçons à retenir.
Cegedim : une fuite de données de santé d’une ampleur inédite
Cegedim Santé édite MonLogicielMedical.com, une solution de gestion de cabinet utilisée par 3 800 médecins en France. L’éditeur a confirmé que les comptes de 1 500 médecins avaient été touchés par l’accès frauduleux. À travers ces seuls comptes, les attaquants ont pu atteindre les fichiers administratifs de millions de patients agrégés dans la base centrale.
Le chiffre communiqué par le ministère de la Santé donne la mesure du choc : la base concernée renfermait des informations de contact sur 15 millions de personnes. À titre de comparaison, cela représente près d’un Français sur cinq. La fuite Cegedim s’inscrit ainsi parmi les trois plus grandes violations de données de santé de l’histoire récente du pays, derrière la seule affaire Viamedis et Almerys de 2024 qui avait exposé environ 33 millions d’assurés.
Cegedim a tenu à préciser un point essentiel dans son communiqué : les dossiers médicaux structurés des patients, c’est-à-dire les diagnostics codés, les prescriptions et les résultats d’examens rangés dans des champs dédiés, sont restés intacts. Les données dérobées proviennent du fichier administratif et de zones de commentaires libres. Cette distinction, technique en apparence, change la nature du risque pour les victimes.
Ce que contient la base MonLogicielMedical piratée
Selon Cegedim Santé, les données illégalement consultées ou extraites proviennent de la fiche administrative du patient. Cette fiche regroupe des informations d’identité et de contact qui, prises isolément, semblent banales, mais qui deviennent dangereuses dès lors qu’elles sont reliées à un professionnel de santé précis.
- Nom et prénom du patient
- Sexe et date de naissance
- Numéro de téléphone
- Adresse postale
- Adresse e-mail
- Commentaires administratifs en texte libre saisis par le médecin
Le simple fait de savoir qu’une personne est patiente d’un médecin donné constitue déjà une donnée de santé au sens du Règlement général sur la protection des données. Un cardiologue, un oncologue ou un service de santé sexuelle révèlent, par leur spécialité, une information médicale. C’est pourquoi la CNIL traite ce type de fuite avec la plus grande sévérité, même quand les diagnostics détaillés n’ont pas fuité.
Le véritable point noir se situe dans les champs de commentaires libres. Ces zones, prévues pour des notes pratiques, ont parfois servi à consigner des informations bien plus intimes. Pour une fraction des patients, ces notes pouvaient contenir des éléments relevant des catégories particulières protégées par l’article 9 du RGPD.
Chronologie : de la détection fin 2025 à la révélation de février 2026
La séquence des événements éclaire la gestion de crise de l’éditeur. Cegedim affirme avoir détecté un comportement anormal des requêtes applicatives sur les comptes de médecins dès la fin de l’année 2025, avant de contenir l’incident et d’engager les démarches légales obligatoires.
| Date | Événement |
|---|---|
| Fin 2025 | Cegedim détecte un comportement anormal des requêtes sur des comptes de médecins |
| Fin 2025 | L’incident est contenu, dépôt de plainte auprès du procureur de la République |
| Fin 2025 | Notification de la violation à la CNIL au titre des obligations légales |
| 26 février 2026 | Un reportage de France 2 révèle publiquement l’affaire |
| 26 février 2026 | Cegedim publie un communiqué confirmant l’incident |
| 27 février 2026 | Le ministère de la Santé confirme 15 millions de personnes concernées |
Un détail interroge les défenseurs des patients : entre la détection à la fin 2025 et la révélation publique fin février 2026, plusieurs semaines se sont écoulées. La notification à l’autorité de contrôle relève d’une obligation stricte sous 72 heures, mais l’information du grand public obéit à des règles différentes. Le décalage nourrit le débat sur la transparence des éditeurs de logiciels médicaux.
169 000 patients : les données sensibles au cœur du scandale
Le ministère de la Santé a apporté la précision la plus lourde de conséquences. Dans moins de 1 % des cas, soit environ 169 000 personnes, les médecins avaient inscrit dans les commentaires libres des éléments susceptibles de relever d’informations sensibles. D’après les premiers comptes rendus médiatiques, ces notes pouvaient mentionner un statut sérologique VIH, l’orientation sexuelle ou d’autres détails profondément personnels.
Cette poignée de dossiers, minoritaire en proportion, concentre l’essentiel du préjudice moral. Une adresse e-mail qui fuite se change. Un statut sérologique exposé, lui, ne se reprend pas. Pour ces patients, la fuite Cegedim crée un risque durable de discrimination, de chantage ou de stigmatisation sociale.
« Pour un nombre très limité de patients, les commentaires en texte libre pouvaient contenir des notes personnelles du médecin portant sur des informations sensibles », a reconnu Cegedim Santé dans sa communication. Cette formule prudente ne masque pas l’enjeu : 169 000 personnes, ce n’est pas une marge d’erreur, c’est l’équivalent de la population d’une ville comme Montreuil ou Caen.
Comment l’attaque a visé les comptes des 1 500 médecins
Le vecteur de l’attaque, tel que décrit par l’éditeur, ne relève pas d’une vulnérabilité logicielle spectaculaire mais d’un abus de comptes légitimes. Les attaquants ont exploité des accès de médecins pour interroger massivement la base via l’application, générant ce « comportement anormal des requêtes » qui a fini par déclencher l’alerte.
Ce mode opératoire est devenu la norme. Plutôt que de forcer une porte, les cybercriminels récupèrent des identifiants valides, souvent grâce à des infostealers qui siphonnent les mots de passe enregistrés dans les navigateurs, puis se fondent dans le trafic normal. Une fois connectés sous l’identité d’un professionnel de confiance, ils aspirent les données sans déclencher d’alerte immédiate. L’absence de plafonnement du nombre de requêtes par compte a probablement amplifié l’ampleur de l’extraction.
Pourquoi l’authentification forte aurait limité la casse
Une authentification à deux facteurs généralisée sur tous les comptes médecins aurait rendu l’usage d’identifiants volés bien plus difficile. De même, une détection des anomalies en temps réel, couplée à des quotas de requêtes par utilisateur, aurait pu interrompre l’exfiltration avant qu’elle n’atteigne des millions d’enregistrements. Ces contrôles, classiques en cybersécurité, restent inégalement déployés chez les éditeurs de logiciels de santé.
La réponse de Cegedim Santé et le dépôt de plainte
Face à la crise, Cegedim a déroulé le protocole attendu d’un acteur du traitement de données. L’éditeur a déposé plainte auprès du procureur de la République, notifié la CNIL et engagé l’information des professionnels concernés. Il a également insisté sur le caractère circonscrit de l’atteinte, soulignant que les dossiers médicaux structurés n’avaient pas été touchés.
« Les données du dossier médical structuré des patients sont restées intactes », a martelé l’éditeur. La nuance vise à rassurer, mais elle déplace la responsabilité sur l’usage des champs libres par les praticiens. Or, ces champs font partie intégrante du produit fourni par Cegedim. La question de la sécurité par défaut de la base entière, et non du seul dossier structuré, restera centrale dans l’instruction.
Pour les 1 500 médecins affectés, le coût n’est pas seulement réputationnel. Chaque praticien reste, au regard de ses patients, le garant du secret médical. Beaucoup ont dû informer leur patientèle, gérer les inquiétudes et, parfois, envisager leur propre exposition juridique en tant que responsables de traitement.
CNIL et RGPD : quelles sanctions pour Cegedim ?
Les données de santé constituent une catégorie particulière au sens de l’article 9 du RGPD. Leur traitement obéit à des exigences renforcées, et leur fuite expose à des sanctions au sommet de l’échelle prévue par le règlement. La CNIL dispose ici d’un arsenal calibré pour les manquements les plus graves.
| Type de manquement | Plafond de l’amende RGPD |
|---|---|
| Manquement grave (responsable de traitement) | 20 millions € ou 4 % du chiffre d’affaires mondial annuel |
| Manquement aux obligations du sous-traitant et à la sécurité | 10 millions € ou 2 % du chiffre d’affaires mondial annuel |
| Critère retenu pour le plafond | Le montant le plus élevé des deux |
| Nature des données concernées | Catégorie particulière, article 9 (données de santé) |
Le précédent Dedalus Biologie sert de boussole. En 2022, la CNIL avait sanctionné cet éditeur de 1,5 million d’euros après la fuite de 491 840 dossiers médicaux. Le montant, calculé pour un sous-traitant, illustre que l’autorité ne plafonne pas systématiquement au maximum théorique mais module en fonction de la gravité, de la coopération et des mesures de sécurité en place.
Avec 15 millions de personnes concernées et près de 169 000 dossiers potentiellement sensibles, l’affaire Cegedim change d’échelle par rapport à Dedalus. La présidente de la CNIL, Marie-Laure Denis, défend de longue date l’idée que la protection des données de santé doit constituer une priorité absolue de l’autorité. L’instruction déterminera si Cegedim avait déployé des mesures de sécurité « appropriées » au regard de la sensibilité des données traitées, critère décisif pour fixer la sanction.
Le secteur de la santé, cible prioritaire des cybercriminels
La fuite Cegedim ne tombe pas du ciel. Elle s’inscrit dans une vague continue d’attaques visant le système de santé français. Hôpitaux, laboratoires, mutuelles et éditeurs de logiciels forment une chaîne où la moindre faille expose des volumes colossaux de données particulièrement convoitées sur les marchés criminels.
La logique économique est implacable. Un dossier médical complet se revend bien plus cher qu’un numéro de carte bancaire, car il ne s’annule pas et permet des fraudes durables : usurpation d’identité, faux remboursements, chantage ciblé. L’ANSSI place de manière constante le secteur de la santé parmi ses priorités de défense, et son directeur général, Vincent Strubel, rappelle régulièrement que les établissements de soins figurent parmi les cibles les plus exposées du pays.
Le modèle Cegedim, où un éditeur centralise les données de milliers de praticiens, crée un point de concentration du risque. Compromettre une seule plateforme revient à atteindre la patientèle de tout un pan de la médecine de ville. Cette centralisation, qui apporte de vrais gains de productivité aux cabinets, multiplie aussi l’impact d’une intrusion réussie.
Cegedim dans l’historique des fuites de santé françaises
Pour saisir l’ampleur de l’affaire, il faut la replacer dans la série noire des dernières années. La France a connu plusieurs violations massives de données de santé, chacune ayant marqué un palier dans la prise de conscience collective.
| Incident | Année | Personnes concernées | Suite réglementaire |
|---|---|---|---|
| Viamedis et Almerys | 2024 | Environ 33 millions d’assurés | Enquête CNIL |
| Cegedim Santé (MonLogicielMedical) | 2026 | 15 millions (dont ~169 000 sensibles) | Plainte et notification CNIL |
| AP-HP (Hôpitaux de Paris) | 2021 | 1,4 million de personnes | Déclaration CNIL |
| Dedalus Biologie | 2021 | 491 840 dossiers médicaux | Amende CNIL de 1,5 million € |
Le classement parle de lui-même. En deux ans, la France a enregistré coup sur coup la fuite Viamedis et Almerys puis l’affaire Cegedim, deux incidents qui, additionnés, touchent un volume de personnes supérieur à la population du pays. La répétition de ces événements installe une forme de banalisation préoccupante, là où chaque dossier de santé devrait rester sanctuarisé.
Impact pour les patients et les médecins concernés
Pour les 15 millions de personnes dont les coordonnées ont fuité, le premier risque s’appelle hameçonnage. Munis du nom, de l’adresse e-mail et du fait qu’une personne est patiente d’un médecin précis, les escrocs peuvent forger des messages d’une crédibilité redoutable, imitant l’Assurance Maladie, le cabinet médical ou une pharmacie.
- Hameçonnage ciblé usurpant l’identité de l’Assurance Maladie ou du médecin traitant
- Usurpation d’identité à partir des données d’état civil exposées
- Démarchage frauduleux par téléphone à partir des numéros fuités
- Chantage visant les 169 000 patients aux notes sensibles
Pour les médecins, l’impact est triple. Réputationnel d’abord, car la confiance du patient repose sur la confidentialité. Juridique ensuite, puisqu’ils restent responsables de traitement pour les données de leurs patients. Opérationnel enfin, car ils doivent assurer l’information de leur patientèle et répondre aux inquiétudes, sans toujours disposer du détail technique de l’incident.
Les réactions des experts et des autorités
L’affaire a provoqué une vague de réactions dans le milieu de la cybersécurité et de la protection des données. Les institutions rappellent leurs doctrines, les spécialistes pointent les défaillances structurelles.
Du côté de l’autorité de contrôle, la CNIL réaffirme une ligne constante : les données de santé exigent le plus haut niveau de protection et toute défaillance de sécurité expose à des sanctions proportionnées à la gravité du risque pour les personnes. Cette doctrine, portée publiquement par sa présidente Marie-Laure Denis, place la sécurité par conception au centre des obligations des éditeurs.
Du côté de la défense nationale, l’ANSSI inscrit le secteur de la santé parmi ses priorités opérationnelles. Son directeur général, Vincent Strubel, souligne régulièrement que les attaquants ciblent en priorité les maillons où la donnée est la plus dense et la sécurité la plus hétérogène, profil que l’écosystème des éditeurs de logiciels médicaux incarne parfaitement.
Les spécialistes sectoriels insistent sur un point commun à Dedalus, Viamedis et désormais Cegedim : la concentration des données chez un prestataire technique transforme chaque éditeur en cible stratégique. Tant que l’authentification forte, le chiffrement et la détection d’anomalies ne seront pas la norme par défaut, ces incidents se répéteront à intervalle régulier.
Que faire si vous êtes concerné par la fuite Cegedim
Si vous êtes patient d’un médecin utilisant MonLogicielMedical, quelques réflexes limitent le risque. La vigilance s’impose sur tous les canaux où vos coordonnées ont pu circuler.
- Méfiez-vous de tout message se réclamant de l’Assurance Maladie ou de votre médecin et demandant des informations ou un paiement.
- Ne cliquez jamais sur un lien reçu par SMS ou e-mail non sollicité, même crédible. Saisissez l’adresse officielle directement dans le navigateur.
- Activez l’authentification à deux facteurs sur vos comptes sensibles, notamment votre messagerie et votre espace Ameli.
- Signalez toute tentative de fraude sur la plateforme officielle Cybermalveillance et déposez plainte le cas échéant.
- Exercez vos droits RGPD auprès de votre médecin ou de la CNIL pour savoir si vos données figurent dans la base concernée.
Les patients dont les notes sensibles ont pu être exposées peuvent légitimement demander un accompagnement spécifique. La CNIL met à disposition des ressources sur la gestion des violations de données et sur les recours ouverts aux personnes concernées.
Cinq prédictions pour la cybersécurité santé en France
L’affaire Cegedim agira comme un catalyseur. Voici cinq évolutions probables pour les mois à venir.
- Une sanction CNIL d’ampleur. Au vu de la sensibilité des données et du volume, l’amende dépassera probablement le précédent Dedalus de 1,5 million d’euros si des manquements de sécurité sont établis.
- L’authentification forte rendue obligatoire de fait. Les éditeurs de logiciels médicaux généraliseront la double authentification sur les comptes praticiens pour réduire leur exposition.
- Un durcissement réglementaire. La certification HDS et les exigences issues de NIS2 seront renforcées et mieux contrôlées pour les hébergeurs et éditeurs de santé.
- La multiplication des recours collectifs. Des actions de groupe portées par des associations de patients viseront les éditeurs après les grandes fuites de santé.
- Une vague d’audits. Les cabinets et établissements réévalueront leurs prestataires logiciels, faisant de la sécurité un critère de choix au même titre que le prix.
Foire aux questions sur la fuite de données Cegedim
Qu’est-ce que Cegedim et MonLogicielMedical ?
Cegedim est un groupe technologique français spécialisé dans les services et logiciels pour le secteur de la santé. Sa filiale Cegedim Santé édite MonLogicielMedical.com (MLM), un logiciel de gestion de cabinet utilisé par 3 800 médecins en France. C’est la base de données de ce logiciel qui a été illégalement consultée.
Combien de personnes sont touchées par la fuite Cegedim ?
Le ministère de la Santé a confirmé que la base contenait les coordonnées de 15 millions de personnes. Pour moins de 1 % d’entre elles, soit environ 169 000 patients, des commentaires en texte libre pouvaient contenir des informations sensibles.
Quelles données ont fuité exactement ?
Les données proviennent de la fiche administrative : nom, prénom, sexe, date de naissance, téléphone, adresse postale, e-mail et commentaires administratifs. Selon Cegedim, les dossiers médicaux structurés (diagnostics codés, prescriptions, résultats) sont restés intacts.
Cegedim risque-t-elle une amende de la CNIL ?
C’est probable. Les données de santé relèvent de l’article 9 du RGPD et leur fuite peut entraîner une amende allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial. En 2022, la CNIL avait sanctionné l’éditeur Dedalus de 1,5 million d’euros pour une fuite plus limitée.
Comment savoir si mes données sont concernées ?
Si votre médecin utilise MonLogicielMedical, vos données administratives peuvent figurer dans la base. Vous pouvez interroger votre médecin ou exercer votre droit d’accès auprès de la CNIL. Restez vigilant face aux tentatives d’hameçonnage qui pourraient exploiter ces informations.
La fuite Cegedim est-elle la plus grande de France ?
Elle figure parmi les plus importantes. Avec 15 millions de personnes, elle se classe juste derrière la fuite Viamedis et Almerys de 2024, qui avait exposé environ 33 millions d’assurés, et loin devant les affaires Dedalus et AP-HP de 2021.
Quels recours pour les patients dont les données sensibles ont fuité ?
Les patients peuvent déposer une réclamation auprès de la CNIL, signaler toute fraude sur Cybermalveillance et, le cas échéant, se joindre à une éventuelle action collective. La surveillance de leurs comptes et la prudence face aux sollicitations restent les premières lignes de défense.
Pour aller plus loin
- Fuite de données France 2026 : 250 M exposés
- Sanction CNIL Free : 42 M€, 24 M comptes
- Cybermenace 2025 : l’ANSSI traite 1 366 incidents
- Ransomware en Europe : +44,5 % de victimes
- Cyber Resilience Act : 15 M€ d’amende
- Cyberattaque ANTS : 11,7 millions de comptes
Sources et références externes : CNIL, protection des données de santé, CNIL, les violations de données personnelles, RGPD, article 9 (catégories particulières), Cybermalveillance.gouv.fr, ANSSI.
