Vous découvrez qu’un médecin que vous n’avez jamais consulté, un service où vous n’avez jamais été admis, voire un simple curieux travaillant dans un établissement de santé, a ouvert votre dossier médical. Sur Mon Espace Santé, l’historique des accès affiche une consultation que vous ne vous expliquez pas. À l’hôpital, une information couverte par le secret a circulé jusqu’à un tiers. La question n’est pas seulement morale : en droit français, l’accès à votre dossier de santé obéit à un cercle fermé. Hors de ce cercle, la consultation constitue un accès indus, et la révélation peut relever du délit. Encore faut-il savoir qui avait le droit de voir quoi, comment le prouver, puis quels recours actionner dans quel ordre. Cet article expose la règle, ses conditions et ses exceptions, la méthode de preuve pas à pas, puis les quatre voies de recours : demande d’accès et de traçabilité, référé sous astreinte, plainte devant la CNIL et action pénale et civile en réparation. Chaque affirmation déterminante renvoie au texte applicable et à des décisions rendues sur ces questions.
I. Seuls les professionnels associés à votre prise en charge peuvent ouvrir votre dossier
A. Un cercle fermé : secret, équipe de soins et consentement préalable
Le point de départ se trouve à l’article L. 1110-4 du code de la santé publique, qui dispose que « ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel, de tout membre du personnel de ces établissements, services ou organismes et de toute autre personne en relation, de par ses activités, avec ces établissements ou organismes ». Le secret ne protège donc pas seulement ce que vous avez confié : il couvre tout ce que le professionnel a vu, entendu ou compris dans l’exercice de sa mission, y compris les informations détenues par les personnels administratifs et techniques de l’établissement. La cour d’appel de Chambéry l’a rappelé le 8 avril 2025 : « Le secret professionnel institué dans l’intérêt des patients s’impose à tout médecin dans les conditions établies par la loi », et « La violation du secret médical se trouve par ailleurs pénalement incriminée à l’article 226-13 du code pénal ».
À l’intérieur de ce secret, la loi organise un partage strictement borné. Un professionnel peut échanger avec un ou plusieurs professionnels identifiés des informations relatives à une même personne prise en charge, « à condition qu’ils participent tous à sa prise en charge et que ces informations soient strictement nécessaires à la coordination ou à la continuité des soins ». Deux conditions cumulatives, donc : participation effective à votre prise en charge et stricte nécessité. Quand les professionnels appartiennent à la même équipe de soins, les informations sont réputées confiées à l’ensemble de l’équipe. En revanche, « Le partage, entre des professionnels ne faisant pas partie de la même équipe de soins, d’informations nécessaires à la prise en charge d’une personne requiert son consentement préalable ». Un médecin d’un autre service, un établissement où vous n’êtes pas suivi, un professionnel qui n’intervient ni dans vos soins ni dans leur coordination : aucun d’eux n’entre dans le cercle sans votre accord préalable.
Le même verrou vaut pour votre espace numérique de santé. L’article L. 1111-13-1 du code de la santé publique prévoit que « L’espace numérique de santé est ouvert automatiquement, sauf opposition de la personne ou de son représentant légal ». L’Agence du numérique en santé précise, dans une page mise à jour le 20 août 2026, que seuls les professionnels de santé impliqués dans votre prise en charge peuvent consulter votre dossier médical, selon l’Agence du numérique en santé, qui précise qu’ils doivent vous informer au préalable et que vous avez le droit de refuser, et que les droits d’accès par profession sont fixés dans une matrice d’habilitation : un médecin, un infirmier ou un dentiste ne sont pas autorisés à accéder aux mêmes types de documents. Autrement dit, même muni d’une carte de professionnel de santé, un soignant hors de votre parcours ne peut pas légalement feuilleter votre dossier par curiosité, pour renseigner un proche ou pour préparer un contentieux qui ne vous concerne pas.
Précision importante sur le périmètre du partage autorisé : la notion d’équipe de soins ne se présume pas du seul fait de travailler dans le même bâtiment. L’article L. 1110-4 distingue le partage au sein d’une même équipe de soins, où les informations sont réputées confiées à l’ensemble de l’équipe, et le partage entre professionnels d’équipes différentes, qui requiert votre consentement préalable, recueilli par tout moyen y compris de façon dématérialisée. En pratique, le médecin traitant, le chirurgien et l’anesthésiste qui vous opèrent forment une équipe ; le praticien d’un autre pôle qui ouvre votre dossier sans participer à vos soins n’en fait pas partie. Si l’établissement vous oppose que « tout le service » serait habilité, demandez l’écrit qui définit l’équipe de soins et la matrice des habilitations du logiciel : une habilitation informatique large ne vaut pas autorisation juridique, et c’est le juge qui appréciera, au vu de votre parcours réel, qui participait à votre prise en charge.
B. Ce que l’établissement peut vous opposer, et ce qu’il ne peut pas vous opposer
Le symétrique de ce cercle fermé, c’est votre propre droit d’accès, que personne ne peut vous refuser sans motif légal. L’article L. 1111-7 du code de la santé publique dispose que « Toute personne a accès à l’ensemble des informations concernant sa santé » détenues par les professionnels et établissements, et que la communication intervient « au plus tard dans les huit jours suivant sa demande et au plus tôt après qu’un délai de réflexion de quarante-huit heures aura été observé ». Ce délai est porté à deux mois lorsque les informations datent de plus de cinq ans. La CNIL résume la règle sur sa page dédiée : la communication doit être faite au plus tard dans les huit jours, au plus tôt dans les quarante-huit heures, et le délai passe à deux mois si les informations remontent à plus de cinq ans. Seules exceptions prévues par le texte : les informations recueillies auprès de tiers n’intervenant pas dans votre prise en charge ou concernant un tel tiers, et les notes personnelles du praticien qui ne seraient ni formalisées ni échangées par écrit entre professionnels.
L’établissement ne peut pas non plus subordonner votre accès à des conditions inventées. Il ne peut pas exiger le paiement d’une facture de soins pour vous remettre votre dossier, ni vous imposer la présence d’un tiers si vous la refusez : la CNIL rappelle que la présence d’une tierce personne peut être recommandée par le médecin mais ne peut empêcher un accès direct en cas de refus du patient. En psychiatrie sans consentement, le régime est aménagé mais pas supprimé : la communication peut passer par un médecin que vous désignez, et si vous refusez d’en désigner un, la commission départementale des soins psychiatriques est saisie et son avis s’impose. Dans tous les cas, un refus doit être motivé par écrit. Un silence, une promesse reportée de semaine en semaine ou un renvoi vers un guichet qui ne répond pas équivalent à un refus et ouvrent les mêmes recours.
Troisième verrou utile : la conservation. L’article R. 1112-7 du code de la santé publique impose aux établissements de conserver les informations de santé et organise leur garde. La Cour de cassation a eu à trancher, le 14 juin 2023, le cas d’un hôpital privé qui soutenait n’être tenu à aucune obligation de conservation pour un dossier constitué avant l’entrée en vigueur du décret du 4 janvier 2006, le dossier ayant été détruit en 2015. La première chambre civile a cassé l’arrêt d’appel qui ordonnait la communication sous astreinte, au motif que la cour d’appel avait tranché une contestation sérieuse sur l’existence même de l’obligation de conservation, en violation de l’article 835 du code de procédure civile : « CASSE ET ANNULE, en ce qu’il ordonne la communication sous astreinte du dossier médical ». La leçon pratique est double : l’établissement doit conserver et pouvoir produire, mais quand la destruction est alléguée avec un fondement daté précis, le juge des référés ne peut pas trancher la contestation sérieuse et l’affaire bascule au fond. Vérifiez donc toujours la date de vos derniers documents avant d’agir : moins de cinq ans, le délai est de huit jours ; au-delà, comptez deux mois et préparez un dossier plus étoffé.
II. Prouver l’accès indus, puis agir dans le bon ordre
A. Tracer les accès et constituer la preuve avant toute plainte
Commencez par figer ce que vous savez. Sur Mon Espace Santé, l’Agence du numérique en santé indique que l’intégralité des accès et actions sur votre profil sont tracés et visibles sur Mon espace santé, et qu’une notification est envoyée sur votre boîte mail personnelle lors du premier accès d’un professionnel de santé à votre dossier. Capturez l’historique des accès avec la date, l’heure, l’identité du professionnel ou de la structure et la nature des documents consultés. Conservez les notifications reçues par courriel. Si un document a été versé ou masqué sans votre intervention, notez-le également : l’alimentation par les professionnels et l’Assurance Maladie est automatique, mais la consultation reste réservée aux professionnels impliqués dans votre prise en charge. Ces captures constituent le socle de tout recours ultérieur, devant la CNIL comme devant le juge.
Adressez ensuite une demande écrite à l’établissement ou au professionnel concerné. Deux demandes distinctes, deux fondements. D’abord, la copie de votre dossier sur le fondement de l’article L. 1111-7 : courrier recommandé ou courriel conservé, identité justifiée, périmètre demandé, rappel du délai de huit jours. Ensuite, sur le fondement de l’article 15 du règlement général sur la protection des données, la confirmation que des données vous concernant sont traitées, l’accès à ces données et les informations qui les accompagnent : la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, d’y accéder avec les informations qui les accompagnent, comme le prévoit l’article 15 du règlement européen, qui vise notamment les destinataires des données et la fourniture d’une copie. Cette seconde demande vise précisément ce que la première ne donne pas toujours : la liste de ceux à qui votre dossier a été communiqué et la trace des consultations. La CNIL l’explique en pratique : la CNIL indique que l’organisme doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois, délai qui peut être porté à trois mois pour une demande complexe, à charge pour l’organisme de vous en informer dans le mois. L’accès est en principe gratuit, des frais raisonnables ne pouvant être exigés que pour une copie supplémentaire.
Quand vous formulez votre demande fondée sur le règlement européen, soignez sa forme autant que son fond. L’article 15 prévoit que le responsable fournit une copie des données traitées, et que lorsque vous présentez votre demande par voie électronique, les informations sont fournies sous une forme électronique d’usage courant, sauf demande contraire de votre part. Demandez donc expressément la communication des journaux de connexion de votre dossier sous un format lisible : identifiant du consultant, date et heure, service, nature des pièces ouvertes. Si l’établissement répond qu’il ne conserve pas ces journaux, consignez la réponse par écrit : un établissement de santé qui tracerait insuffisamment les accès à des données aussi sensibles s’expose, devant la CNIL, sur le terrain de la sécurité et de la minimisation autant que sur celui des droits des personnes. Et si la réponse invoque la complexité pour prolonger le délai, exigez la notification motivée de la prolongation dans le mois : à défaut, le dépassement non notifié constitue un manquement distinct, que vous ajouterez à votre plainte.
Si l’établissement refuse ou garde le silence, le juge des référés peut ordonner la communication. L’article 835, alinéa 2, du code de procédure civile permet au président du tribunal judiciaire d’ordonner l’exécution d’une obligation même s’il s’agit d’une obligation de faire, dès lors que son existence n’est pas sérieusement contestable. Le tribunal judiciaire de Lille l’a appliqué le 18 mars 2025 à une patiente qui, après un soin dentaire et malgré des demandes réitérées, n’avait pas récupéré son dossier : le juge a ordonné à l’association de soins de communiquer une copie du dossier médical sous astreinte provisoire de 100 euros par jour de retard, passé le délai de huit jours après la signification, l’astreinte courant pendant 60 jours, et condamné la structure aux dépens et à 1 000 euros de frais irrépétibles. Retenez le mode d’emploi : assignation en référé, visa de l’article L. 1111-7, demande d’astreinte chiffrée et bornée dans le temps, pièces prouvant les demandes préalables. Et retenez aussi la limite posée le même jour par le même juge : la patiente demandait 2 000 euros de préjudice moral, mais le tribunal l’en a déboutée faute du moindre élément sur l’existence et le quantum du préjudice allégué. En référé comme au fond, la réparation ne se présume pas : certificats, attestations, captures de l’historique d’accès, courriers restés sans réponse, tout doit être versé.
Pour les établissements publics, ajoutez un recours spécifique : la commission d’accès aux documents administratifs. Service-public.fr rappelle que la CADA doit être saisie dans un délai de deux mois suivant le refus ou l’absence de réponse pendant plus d’un mois, et qu’elle dispose ensuite d’un mois pour rendre son avis. L’avis ne vaut pas injonction, mais un avis favorable suivi d’un refus persistant pèse lourd devant le juge administratif comme devant la CNIL. Si vous relevez déjà du contentieux indemnitaire contre un hôpital public, portez l’avis au dossier : il établit le manquement sans discussion possible sur le droit d’accès lui-même.
B. Sanctionner l’accès indus et obtenir réparation
Une fois la preuve figée, quatre leviers s’articulent. Le premier est la plainte devant la CNIL, qui suppose des démarches préalables attestées : copie de vos demandes, accusés de réception, captures de l’historique, réponse ou silence de l’organisme. La CNIL peut contrôler, mettre en demeure et sanctionner, y compris des établissements de santé : elle a déjà sanctionné des acteurs de santé pour des manquements au droit d’accès et à la sécurité des données, avec des amendes atteignant plusieurs centaines de milliers d’euros. La plainte ne vous indemnise pas directement, mais la mise en demeure ou la sanction établit le manquement et prépare l’action en réparation. Si votre demande portait sur l’exercice de vos droits et que l’organisme n’a pas répondu dans le mois, la CNIL l’indique elle-même : vous pouvez la saisir avec les éléments attestant de vos démarches.
Le deuxième levier est pénal. L’article 226-13 du code pénal punit « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire » d’un an d’emprisonnement et de 15 000 euros d’amende. La plainte vise la personne qui a révélé ou consulté hors de tout cadre de soins, et l’enquête permet d’obtenir ce que vous ne pouvez pas exiger seul : l’audition du professionnel, la saisie des journaux de connexion du logiciel hospitalier, la vérification de l’habilitation réelle au jour des faits. Distinguez bien les situations : un soignant de votre équipe qui partage avec un confrère participant à votre prise en charge agit dans le cadre légal ; un agent qui ouvre votre dossier par curiosité, pour renseigner votre employeur ou votre famille, ou qui transmet des pièces à un tiers sans votre accord, sort du cadre. La cour d’appel de Chambéry illustre cette frontière dans l’autre sens : la transmission du dossier à un expert judiciaire désigné, avec l’accord de la victime ou de ses ayants droit, est régulière et même nécessaire à l’expertise, tandis que la communication à un assureur ou à tout tiers suppose la renonciation de l’intéressé au bénéfice du secret, sous le contrôle du juge en cas de désaccord.
Le troisième levier est civil. L’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». L’accès indus constitue la faute ; il reste à démontrer le dommage et le lien causal. L’ordonnance de Lille est un avertissement : sans pièce sur le préjudice, même un manquement avéré ne donne lieu à aucune indemnité. Documentez donc le préjudice moral (anxiété liée à la diffusion d’une pathologie, rupture de confiance avec votre équipe soignante, démarches répétées), le préjudice matériel (frais de courriers, d’avocat, de déplacement pour reconstituer le dossier) et, le cas échéant, les conséquences professionnelles ou familiales concrètes de la révélation. Chiffrez chaque poste et produisez les justificatifs : le juge indemnise un dossier, pas une indignation.
Le quatrième levier, souvent négligé, consiste à fermer la porte pour l’avenir. Sur Mon Espace Santé, exercez votre droit de refuser l’accès d’un professionnel non impliqué dans votre prise en charge, vérifiez les paramètres de confidentialité et, si un versement automatique vous expose, opposez-vous à l’alimentation ou demandez le masquage des documents sensibles selon les modalités prévues par la plateforme. Si vous changez d’établissement, signalez par écrit que vous n’autorisez aucune transmission hors de votre nouvelle équipe de soins sans votre consentement préalable exprès. Et si vous êtes déjà engagé dans une procédure où votre dossier doit être produit, comme une expertise médicale, donnez un accord écrit, daté et périmétré : la cour d’appel de Chambéry valide la communication à l’expert « avec l’accord de la victime ou de ses ayants droits », ce qui protège à la fois la mesure d’instruction et vos droits. Pour approfondir la méthode générale quand un organisme ne répond pas à une demande d’accès, vous pouvez utilement lire notre analyse du droit d’accès RGPD quand l’organisme ne répond pas, de la plainte CNIL à l’action du juge.
Un dossier de santé ouvert par un soignant hors de votre parcours n’est jamais un simple incident informatique. C’est une atteinte au secret qui vous protège, et la loi vous donne les moyens de la faire constater : historique des accès tracé, demande de copie à huit jours, demande RGPD aux destinataires à un mois, référé sous astreinte, CADA pour le public, CNIL, pénal et civil. L’ordre compte : écrivez d’abord, figez les preuves, saisissez le juge pour obtenir les pièces, puis faites sanctionner et réparer. Un accès indus bien documenté se répare ; un soupçon sans pièce s’éteint.
Besoin d’un avis rapide sur votre dossier
Un professionnel de santé hors de votre parcours a consulté votre dossier médical ou votre Mon Espace Santé, et vous voulez faire tracer cet accès puis agir. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles lors d’une consultation téléphonique : historique des accès, demandes à l’établissement, plainte CNIL et action en réparation. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.