Piratage Cegedim / MonLogicielMedical (février 2026) : fuite de données de 15 millions de patients, vos droits et comment obtenir réparation

En février 2026, la France a été frappée par la plus grave fuite de données médicales jamais documentée sur son territoire. Le piratage du logiciel MonLogicielMedical (MLM) de Cegedim Santé, révélé au 20h de France 2 le 26 février, a exposé les données personnelles de jusqu'à 15 millions de patients. Pour environ 169 000 d'entre eux, des annotations médicales intimes — séropositivité, orientation sexuelle, addictions, traumatismes — figuraient dans les données volées et circulent désormais sur le dark web. Si vous avez consulté un médecin généraliste en France au cours des 15 dernières années, vous êtes peut-être concerné. Cet article vous explique ce qui s'est passé, ce que vous risquez concrètement, et comment agir pour vous protéger et obtenir réparation.

Le piratage Cegedim MLM : ce qui s'est passé

Chronologie d'un silence de 4 mois

La cyberattaque a débuté le 25 octobre 2025. Cegedim dépose plainte auprès du parquet de Paris le 27 octobre 2025, déclenchant l'ouverture d'une enquête le 3 novembre. Les 1 500 médecins concernés ne sont notifiés qu'en janvier 2026 — par un email arrivé dans les spams pour beaucoup d'entre eux. Les patients, eux, n'ont toujours pas été directement informés lorsque France 2 révèle l'affaire au grand public le 26 février 2026, soit 4 mois après les faits.

Ce délai est susceptible de constituer une violation caractérisée de l'article 34 du RGPD, qui impose d'informer les personnes concernées "dans les meilleurs délais" lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits. Des données de santé sensibles constituent indiscutablement un tel risque — et l'absence de notification directe aux patients renforce considérablement la crédibilité d'une action en responsabilité.

Les chiffres clés

Nature des données exposées : comprendre ce qui a vraiment fuité

Les données administratives (tous les patients concernés)

Pour l'ensemble des 15 millions de patients potentiellement touchés :

• Nom, prénom, sexe, date de naissance
• Numéro de téléphone, adresse postale, adresse email
• Commentaire administratif en texte libre saisi par le médecin

Le point critique : le champ texte libre

C'est ici que réside la gravité particulière et unique de cette fuite. Le chercheur en cybersécurité SaxX (Clément Domingo) a analysé un échantillon de plus de 22 millions d'entrées et documenté des annotations d'une sensibilité extrême :

• « porteuse sida !!! !!! »
• « serait homosexuelle d'après sa mère »
• « mère musulmane voilée »
• « catholique non pratiquante car ses 2 frères sont suicidés »
• « viol incestueux »

Ces annotations constituent des données de catégorie spéciale au sens de l'article 9 du RGPD — c'est-à-dire la catégorie de données bénéficiant de la protection la plus élevée en droit européen. Leur exposition ne se compare pas à une fuite de coordonnées bancaires : le préjudice potentiel est durable, intime, et peut affecter la vie professionnelle, sociale et familiale des victimes pour des années.

Ce que vous ne pouvez pas savoir sans agir

Les patients n'ont aucun moyen de savoir ce que leur médecin avait inscrit dans le champ texte libre de leur dossier. Seule une démarche active auprès du médecin ou de Cegedim permet de le découvrir. La base de données couvrant jusqu'à 15 ans d'historique, même des patients n'ayant pas consulté récemment peuvent être concernés.

Les risques concrets selon votre profil

Pour les 15 millions de patients dont les données administratives ont été exposées :

• Usurpation d'identité : nom + prénom + date de naissance + adresse = profil complet exploitable immédiatement
• Phishing ultra-ciblé : les cybercriminels peuvent se faire passer pour votre médecin, votre mutuelle ou la CNIL avec des informations précises vous concernant
• Vente sur le dark web : chaque dossier médical complet peut valoir entre 250 et 1 000 dollars sur les marchés cybercriminels

Pour les 169 000 patients dont des annotations sensibles ont été exposées :

• Chantage : exploitation des informations les plus intimes (séropositivité, orientation sexuelle, addictions)
• Stigmatisation professionnelle ou sociale : divulgation à l'entourage, à l'employeur, à la famille
• Discrimination : exploitation des données religieuses, ethniques ou relatives à l'état de santé
• Préjudice psychologique durable : la simple conscience que ces informations circulent constitue en soi un préjudice indemnisable

Le cadre juridique : responsabilité de Cegedim et vos droits

Les manquements de Cegedim susceptibles d'engager sa responsabilité

Plusieurs éléments constituent des violations potentielles du RGPD de nature à fonder une action en indemnisation :

Défaut de sécurité (article 32 RGPD) : Cegedim était tenu de mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données. L'ampleur de la fuite — 19 millions de lignes extraites — suggère une défaillance structurelle. Ce n'est pas le premier manquement : la CNIL avait déjà sanctionné Cegedim d'une amende de 800 000 euros en septembre 2024 pour traitement illicite de données de santé, confirmée par le Conseil d'État le 13 février 2026 — soit 13 jours avant la révélation publique de la fuite.

Délai de notification (articles 33 et 34 RGPD) : l'incident a été détecté fin octobre 2025. Les médecins n'ont été notifiés qu'en janvier 2026. Les patients n'ont toujours pas été directement informés. L'article 34 impose une notification "dans les meilleurs délais" pour les violations à risque élevé — et des données de santé sensibles constituent indiscutablement un risque élevé.

Responsabilité aggravée pour données de catégorie spéciale : l'article 9 du RGPD impose un niveau de protection renforcé pour les données de santé, d'orientation sexuelle, de religion, d'origine ethnique. Leur exposition constitue une violation particulièrement grave dont la réparation peut être supérieure aux cas standard.

Votre droit à indemnisation : l'article 82 RGPD

La jurisprudence française est établie : la simple perte de contrôle sur ses données personnelles constitue un préjudice moral indemnisable, sans qu'il soit nécessaire de prouver une fraude ou un dommage concret (CJUE, 14 décembre 2023, Natsionalna agentsia).

Les indemnisations accordées par les tribunaux français varient généralement entre 500 € et 3 000 € par personne pour des données administratives standards. Pour les 169 000 patients dont des données de catégorie spéciale ont été exposées, le préjudice est d'une gravité nettement supérieure et justifie une indemnisation bien au-delà de cette fourchette standard — d'autant plus si la victime peut démontrer un préjudice concret (chantage, stigmatisation, préjudice psychologique documenté).

Démarches pas à pas : se protéger et obtenir réparation

Étape 1 — Vérifiez si votre médecin est concerné

Contactez directement votre médecin et demandez-lui s'il utilise ou utilisait le logiciel MonLogicielMedical (MLM) de Cegedim Santé. S'il est parmi les 1 500 médecins touchés, demandez-lui ce que contenait votre fiche dans le champ texte libre — c'est le seul moyen de savoir si des données sensibles vous concernant ont été exposées.

Étape 2 — Exercez vos droits auprès de Cegedim

Adressez un courrier recommandé avec accusé de réception au DPO (délégué à la protection des données) de Cegedim Santé pour exercer votre droit d'accès (article 15 RGPD) — liste exacte de vos données exposées — et votre droit à l'effacement (article 17 RGPD) si le traitement n'est plus justifié. Cegedim est tenu de répondre dans un délai d'un mois.

Étape 3 — Signalez à la CNIL

Déposez un signalement sur signal.cnil.fr. La CNIL peut prononcer des sanctions allant jusqu'à 4 % du chiffre d'affaires mondial de Cegedim et contraindre l'entreprise à indemniser les victimes ou à prendre des mesures correctives.

Étape 4 — Sécurisez vos comptes immédiatement

• Changez vos mots de passe sur tous les services utilisant le même email que celui communiqué à votre médecin
• Activez la double authentification sur vos comptes bancaires et messagerie
• Vérifiez si votre adresse email est compromise sur haveibeenpwned.com
• Signalez toute tentative de contact suspect sur Cybermalveillance.gouv.fr

Étape 5 — Portez plainte si vous subissez une fraude ou un chantage

En cas d'usurpation d'identité, tentative de chantage ou utilisation frauduleuse de vos données, déposez plainte immédiatement auprès de la police ou de la gendarmerie. Conservez toutes les preuves (emails, captures d'écran, relevés).

Étape 6 — Consultez un avocat pour obtenir réparation

Si des données sensibles vous concernent ou si vous subissez un préjudice, consultez un avocat spécialisé en droit du numérique ou en dommage corporel. Une action individuelle sur le fondement de l'article 82 RGPD est possible. Des actions collectives sont susceptibles d'être initiées — un avocat peut vous informer des procédures en cours et évaluer votre situation.

Cegedim : un antécédent CNIL qui aggrave sa responsabilité

L'affaire s'inscrit dans un contexte de manquements répétés. La CNIL avait sanctionné Cegedim Santé d'une amende de 800 000 euros en septembre 2024 pour avoir traité sans autorisation des données de santé non anonymisées de millions de patients (affaire Crossway). Le Conseil d'État a confirmé cette sanction le 13 février 2026 — treize jours avant la révélation de la fuite MLM. Cette récidive dans les manquements à la protection des données de santé constitue un élément aggravant pour toute action en responsabilité engagée par les victimes.

Par ailleurs, des salariés de Cegedim ont reçu des courriels d'extorsion revendiquant la cyberattaque, illustrant la pression exercée sur l'entreprise. Un ancien membre du groupe DumpSec aurait décidé de revendre une partie des données volées sur des marchés du dark web — un mode opératoire qui maximise l'exposition des victimes dans le temps et rend la maîtrise de la diffusion quasi impossible.

Conclusion

Le piratage Cegedim MLM est sans précédent dans l'histoire de la cybersécurité médicale en France. Avec jusqu'à 15 millions de patients concernés, 169 000 dont des informations médicales intimes ont été exposées, et un silence de 4 mois de l'éditeur, les conditions d'une responsabilité civile caractérisée sont réunies. N'attendez pas d'être victime d'une fraude pour agir : vérifiez votre situation, exercez vos droits et consultez un professionnel si vous figurez parmi les personnes les plus exposées.