Une enquête de L’Œil du 20 heures sur France 2, diffusée jeudi, a mis au jour l’une des plus graves fuites de données personnelles et médicales jamais enregistrées en France. Des millions d’informations sur des patients circulaient librement sur le dark web. On vous explique tout.
Qui est concerné ?
Le ministère de la Santé a confirmé ce vendredi que la fuite touche environ 15 millions de Français. Les données proviennent du logiciel MonLogicielMedical (MLM) édité par Cegedim Santé et utilisé par environ 3.800 médecins libéraux en France.
Le ministère précise qu’aucun hôpital ou établissement public n’est concerné : la faille touche exclusivement un prestataire privé. Des personnalités politiques de premier plan, des hauts fonctionnaires et des responsables de la sécurité nationale figureraient parmi les patients concernés, selon les vérifications menées par France 2. Les investigations se poursuivent.
Quelles données ont été volées ?
La très grande majorité des victimes voit « uniquement » des informations administratives compromises : nom, prénom, numéro de téléphone, adresse postale. Pour une minorité, environ 169.000 personnes (soit 1 % environ), des annotations libres rédigées par les médecins ont également été extraites.
Ces notes, parfois très intimes ou stigmatisantes, contiennent des mentions comme « porteuse sida !!! », « serait homosexuelle d’après sa mère », « mère musulmane voilée », « catholique non pratiquante », selon les informations de France 2. Mais aussi de possibles addictions, antécédents suicidaires ou autres éléments sensibles.
Le ministère et Cegedim insistent : aucun dossier médical structuré n’a été touché. Ni ordonnances, ni résultats d’analyses, ni comptes rendus d’examens, ni diagnostics détaillés n’ont fuité. Seule la partie administrative du dossier patient était accessible aux hackers.
Comment la fuite s’est-elle produite ?
Fin 2025, une cyberattaque a visé environ 1.500 comptes de médecins utilisant le logiciel MLM. Cegedim a détecté un « comportement anormal de requêtes » sur ces comptes, signe d’une extraction illégale de données. L’entreprise affirme avoir circonscrit l’incident et avoir immédiatement alerté les autorités et la CNIL.
En 2024, Cegedim Santé avait déjà écopé d’une amende record de 800.000 euros infligée par la CNIL pour des manquements graves au règlement sur les données de santé.
La ministre de la Santé, Stéphanie Rist, a exigé des explications détaillées sur les causes de l’incident, les mesures correctives déjà prises et les garanties pour empêcher toute nouvelle fuite.
Qui sont les hackers ?
France 2 dit avoir identifié le pirate présumé. Celui-ci affirme n’avoir publié qu’une partie des données en sa possession et avoir prévenu Cegedim sans obtenir de réponse. Le ministère indique n’avoir, à ce stade, aucune information officielle sur son identité ou sa nationalité.
Le parquet de Paris a saisi la Brigade de lutte contre la cybercriminalité pour mener enquête « pour atteintes à un système automatisé de données » à la suite de la plainte déposée par Cegedim Santé le 27 octobre 2025.
« Une particulière attention est portée par la section de lutte contre la cybercriminalité à cette enquête en raison de la sensibilité des données personnelles en jeu », a souligné le parquet.