Un SMS vous annonce un rendez-vous chez un spécialiste que vous n’avez jamais consulté, puis un second message confirme l’annulation d’une consultation que vous n’avez jamais prise. En ouvrant votre compte Doctolib, vous découvrez une adresse électronique de récupération qui n’est pas la vôtre, des rendez-vous passés dont vous n’avez jamais entendu parler et, parfois, des documents de santé qui ne vous concernent pas. Quelqu’un utilise votre identité sur une plateforme qui gère vos données de santé : nom, date de naissance, numéro de téléphone, historique de consultations, motifs médicaux, ordonnances. Ce guide explique comment reprendre la main sur le compte en une heure, quelles preuves conserver pour le juge, quand déposer plainte, comment saisir la CNIL, obtenir l’effacement de vos données et chiffrer votre demande de réparation en 2026.
I. Reprendre la main sur le compte et figer les preuves
A. Comment sécuriser un compte Doctolib piraté en une heure ?
La première heure décide de la suite. Un compte de prise de rendez-vous médicaux concentre des informations que le droit protège avec une sévérité particulière : l’identité du patient et ses données de santé. Tant que le tiers garde l’accès, chaque connexion peut créer un nouveau rendez-vous à votre nom, exposer vos consultations passées ou utiliser votre identité auprès d’un praticien. La méthode consiste à reprendre l’accès, à couper les portes d’entrée secondaires, puis à alerter la plateforme et les praticiens concernés.
Commencez par tenter de modifier le mot de passe depuis la fonction prévue à cet effet, puis vérifiez immédiatement les coordonnées de récupération associées au compte : adresse électronique et numéro de téléphone. Si le pirate a substitué les siennes, la réinitialisation classique ne suffit plus et il faut passer par le support de la plateforme. Activez ensuite la double authentification si elle est proposée, et déconnectez toutes les sessions ouvertes sur d’autres appareils. Contrôlez enfin les rendez-vous à venir et l’historique : annulez les rendez-vous frauduleux à venir et notez par écrit chaque rendez-vous passé que vous n’avez pas pris, avec la date, l’heure, le nom du praticien et le motif affiché. Cette liste servira de colonne vertébrale à votre plainte.
La plateforme Doctolib elle-même invite les patients qui pensent avoir été victimes d’un acte de cyber malveillance à suivre une procédure dédiée, décrite dans son centre d’aide consacré aux actes de cyber malveillance. Dans une page consacrée aux tentatives frauduleuses, elle rappelle les réflexes de vérification : les SMS authentiques proviennent uniquement de l’expéditeur Doctolib et jamais d’un numéro personnel, tandis que les messages relatifs aux rendez-vous sont envoyés depuis l’adresse [email protected]. Si le message qui vous a alerté provient d’une autre adresse ou vous invite à saisir vos identifiants sur une page inconnue, conservez-le tel quel : il s’agit peut-être d’une tentative d’hameçonnage, et ce message constitue une pièce.
Prévenez ensuite chaque praticien concerné par un rendez-vous frauduleux, par écrit. Le praticien tient votre dossier médical et doit savoir que des informations ont pu être consultées ou créées par un tiers sous votre nom. Cette démarche présente un triple intérêt : elle évite qu’un compte rendu erroné s’ajoute à votre dossier, elle permet au praticien de vérifier ses propres traces, et elle établit votre bonne foi si un rendez-vous non honoré vous est facturé. Demandez au praticien de vous confirmer par écrit les rendez-vous enregistrés à votre nom et les documents versés à votre dossier pendant la période du piratage. Parallèlement, changez les mots de passe des comptes qui partagent le même identifiant, en particulier votre messagerie : la plupart des prises de contrôle de comptes commencent par une boîte électronique compromise, qui permet ensuite de réinitialiser tous les autres accès.
Sur le plan juridique, cette phase correspond à l’obligation de limiter le dommage. Le juge qui chiffrera plus tard votre préjudice vérifiera ce que vous avez fait pour stopper l’hémorragie : signalement rapide à la plateforme, annulation des rendez-vous, changement des accès. Conservez chaque accusé de réception, chaque numéro de ticket de support, chaque capture d’écran datée. Un dossier qui montre une réaction en quelques heures se défend mieux qu’un dossier qui montre trois mois d’attente.
B. Quelles preuves conserver pour établir le piratage devant le juge ?
Un piratage de compte se prouve comme tout fait juridique : par écrits, par constats et par témoignages, réunis avant qu’ils ne disparaissent. Les données de connexion, en particulier, ont une durée de vie limitée. Les opérateurs conservent les données techniques permettant d’identifier la source d’une connexion pendant un an à compter de la connexion, et les informations d’identité civile jusqu’à cinq ans après la fin du contrat. Chaque semaine perdue réduit donc les chances d’identifier l’auteur. La constitution du dossier de preuve commence le jour même de la découverte.
Le premier réflexe consiste à figer ce qui s’affiche à l’écran : captures datées du compte avec les coordonnées de récupération modifiées, liste des rendez-vous inconnus, messages de confirmation reçus par SMS ou par courrier électronique, relevés de l’historique des rendez-vous. Ces captures valent comme commencements de preuve et orientent tout le reste. Le deuxième niveau consiste à faire établir un constat par un commissaire de justice, qui décrit de manière neutre le contenu du compte, les rendez-vous litigieux et les messages reçus. Le constat coûte quelques centaines d’euros mais transforme des impressions d’écran contestables en preuve difficile à discuter. Le troisième niveau concerne les témoignages : attestation du praticien qui confirme que vous ne vous êtes jamais présenté au rendez-vous litigieux, attestation d’un proche qui a reçu un appel du secrétariat médical, relevés téléphoniques montrant les SMS de confirmation.
La plainte pénale constitue à la fois un recours et une preuve. Déposez-la rapidement au commissariat, à la gendarmerie ou en ligne, en visant les bons textes : l’article 323-1 du code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de « trois ans d’emprisonnement et de 100 000 € d’amende », et l’article 226-4-1 du code pénal punit « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération » d’« un an d’emprisonnement et de 15 000 € d’amende », en précisant que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». Demandez que ces deux qualifications figurent dans votre dépôt de plainte et conservez le récépissé : il prouve la date de votre réaction et ouvre la voie aux investigations sur les adresses de connexion.
Si des données de santé ont été consultées par le tiers, une troisième qualification entre en jeu. L’article 226-13 du code pénal punit « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire » d’« un an d’emprisonnement et de 15 000 euros d’amende ». Par ailleurs, l’article 226-16 du code pénal sanctionne les traitements de données personnelles mis en œuvre en violation de la loi. Ces textes ne visent pas le pirate anonyme dans tous les cas, mais ils cadrent la gravité des faits et justifient que l’enquête aille chercher les données d’identification.
L’identification de l’auteur suit deux chemins complémentaires. D’un côté, la voie civile permet de demander au juge d’ordonner à la plateforme de communiquer les données d’identité du titulaire du compte frauduleux : le tribunal judiciaire de Paris a ainsi enjoint à un hébergeur de communiquer les noms, prénoms et adresses des personnes à l’origine d’un site usurpant une identité (ordonnance de référé du 7 mai 2024, RG 24/50725), puis ordonné à un opérateur mondial de communiquer l’identité civile, les adresses, les numéros de téléphone et les données de paiement liés à un compte litigieux dans un délai de dix jours (ordonnance de référé du 17 avril 2026, RG 26/52518). De l’autre, la voie pénale permet d’obtenir les données techniques de connexion que le juge civil ne peut pas toujours ordonner : dans une ordonnance du 7 octobre 2024 (RG 24/53208), le juge des référés parisien a reconnu le motif légitime d’une victime de piratage de messagerie tout en rejetant la communication des adresses IP et de la géolocalisation sur le fondement de l’article 145 du code de procédure civile, au motif que ces données techniques relèvent des finalités pénales encadrées. La leçon est claire : l’article 145 du code de procédure civile, selon lequel « S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé », ouvre la porte civile pour l’identité déclarative, mais seule la plainte pénale permet d’exploiter les journaux techniques de connexion. Déposez donc les deux fers au feu : demande civile d’identification et plainte pénale.
II. Déclencher les recours et obtenir réparation
A. Quand saisir la CNIL et comment obtenir votre dossier médical ?
Une fois le compte sécurisé et la plainte déposée, le deuxième front est administratif : faire reconnaître la violation de vos données et récupérer l’intégralité des informations détenues sur vous. Deux guichets distincts répondent à deux questions différentes. La CNIL contrôle le respect du règlement européen sur la protection des données. Le praticien détient votre dossier médical. Ne mélangez pas les deux démarches : adressez à chacun la demande qui relève de sa compétence.
Avant de saisir la CNIL, écrivez au responsable du traitement. Pour le compte en ligne, il s’agit de la plateforme qui gère votre compte patient ; pour le dossier médical, du praticien ou de l’établissement. Exercez votre droit d’accès : l’article 15 du règlement (UE) 2016/679 reconnaît à « La personne concernée » « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes », parmi lesquelles « les finalités du traitement », « les catégories de données à caractère personnel concernées », « les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées » et « lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ». Demandez la liste des connexions à votre compte, les rendez-vous créés, modifiés ou annulés, et les destinataires auxquels vos données ont été communiquées pendant la période du piratage. Le responsable doit vous répondre dans un délai d’un mois. L’absence de réponse ou une réponse incomplète ouvre la voie de la plainte devant la CNIL, qui se dépose en ligne avec les copies de vos demandes préalables.
Le dossier médical suit un régime propre, plus rapide et plus contraignant pour le professionnel. L’article L. 1111-7 du code de la santé publique dispose que « Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé », et que la communication intervient « au plus tard dans les huit jours suivant sa demande et au plus tôt après qu’un délai de réflexion de quarante-huit heures aura été observé », en précisant que « Ce délai est porté à deux mois lorsque les informations médicales datent de plus de cinq ans ». Le juge des référés applique ce texte avec fermeté : le tribunal judiciaire de Lille a ordonné à un cabinet dentaire de communiquer à une patiente la copie de son dossier médical sous astreinte provisoire de 100 euros par jour de retard passé un délai de huit jours, l’astreinte courant pendant soixante jours, tout en condamnant le cabinet à 1 000 euros de frais irrépétibles (ordonnance de référé du 18 mars 2025, RG 25/00168). Notez la nuance : dans cette affaire, le juge a rejeté la demande de dommages et intérêts pour préjudice moral, faute de préjudice démontré. L’accès s’obtient vite, mais l’argent exige une preuve du dommage.
À Paris et en Île-de-France, ces démarches suivent les mêmes délais, avec des guichets identifiés. La plainte pénale se dépose dans tout commissariat ou par la plateforme en ligne du ministère de l’intérieur, quel que soit votre arrondissement. La plainte auprès de la CNIL, dont le siège se trouve 3 place de Fontenoy à Paris, se fait en ligne après l’expiration du délai d’un mois sans réponse satisfaisante. Si la plateforme oppose son siège européen, comme dans les affaires Yahoo ou Google jugées à Paris, le tribunal judiciaire de Paris reste le juge naturel du référé : les ordonnances citées montrent qu’il ordonne régulièrement aux opérateurs, y compris établis en Irlande, la communication des données d’identification. Pour un patient parisien, inutile donc de chercher une juridiction exotique : le bloc plainte pénale, demande d’accès, plainte CNIL et référé parisien couvre l’essentiel.
Distinguez enfin les contenus pédagogiques des décisions. Les pages de la CNIL qui décrivent les violations de données personnelles et les services en ligne comme la notification d’une violation expliquent la procédure, mais ne constituent ni une décision de sanction ni une reconnaissance de vos droits dans votre cas particulier. De même, les conseils de la plateforme sur l’hameçonnage relèvent de la prévention, pas du droit. Vos droits résultent des textes cités dans cet article et de leur application par le juge à votre dossier, pas des pages d’aide.
B. Comment obtenir l’effacement de vos données et la réparation de votre préjudice ?
L’effacement constitue le cœur de la remise en état. L’article 17 du règlement (UE) 2016/679 dispose que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique », parmi lesquels le fait que « les données à caractère personnel ont fait l’objet d’un traitement illicite ». Des rendez-vous créés par un tiers sous votre nom et des documents de santé qui ne vous concernent pas relèvent typiquement de ce cas. Exigez l’effacement des rendez-vous frauduleux, des coordonnées de récupération substituées par le pirate et de tout document versé à tort, en visant ce texte dans votre courrier.
L’effacement ne s’arrête pas au fichier principal. L’article 19 du règlement (UE) 2016/679 prévoit que « Le responsable du traitement notifie à chaque destinataire auquel les données à caractère personnel ont été communiquées toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement », « à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés ». Si vos données ont été transmises aux secrétariats des praticiens concernés ou à d’autres destinataires pendant le piratage, le responsable doit les informer de l’effacement. Les juges appliquent cette logique sans hésiter : le tribunal judiciaire d’Aix-en-Provence a condamné un syndic qui avait diffusé à tous les copropriétaires des données personnelles incluant des données de santé, des noms de médecins et des noms de témoins, à effacer ces données de l’ensemble de ses fichiers dans un délai de deux mois sous astreinte provisoire de 50 euros par jour de retard pendant trois mois, et à notifier cet effacement à chacun des copropriétaires destinataires sous la même astreinte (jugement du 5 août 2025, RG 22/03891). Transposez ce raisonnement : identifiez chaque destinataire de vos données pendant la période du piratage et demandez que l’effacement leur soit notifié.
Le secret médical renforce votre position. L’article L. 1110-4 du code de la santé publique dispose que « Toute personne prise en charge par un professionnel de santé » « a droit au respect de sa vie privée et du secret des informations la concernant », et que « ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel ». Un tiers qui a consulté vos rendez-vous, vos motifs de consultation ou vos ordonnances a porté atteinte à ce secret. Par ailleurs, l’hébergement de vos données de santé obéit à des règles strictes : l’article L. 1111-8 du code de la santé publique impose que « La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat » et que « L’hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d’un certificat de conformité ». Les juges sanctionnent le manquement à cette exigence : le tribunal judiciaire de Lorient a rejeté l’intégralité des demandes d’un prestataire qui réclamait près d’un million d’euros de pénalités de résiliation à une association de santé, après que celle-ci avait résilié pour défaut de justification de la certification d’hébergement de données de santé (jugement du 13 mai 2026, RG 24/01966). Si vos échanges révèlent une défaillance de sécurité de la plateforme ou de son hébergeur, ce fondement complète votre dossier.
La réparation financière suit deux voies qui se cumulent. D’abord, l’article 82 du règlement (UE) 2016/679 dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », tout en permettant au responsable de s’exonérer « s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable ». Ensuite, l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Chiffrez poste par poste : rendez-vous non honorés facturés, frais de constat du commissaire de justice, temps de démarches, anxiété liée à l’exposition de données de santé, et préjudice moral propre à la violation d’un secret particulièrement intime.
Les montants accordés par les juges restent mesurés et dépendent de la preuve. Le tribunal d’Aix-en-Provence a alloué 1 000 euros à chacun des deux parents pour la diffusion de leurs données de santé et de celles de leurs enfants mineurs, avec 1 500 euros de frais irrépétibles. À l’inverse, le juge lillois a rejeté le préjudice moral d’une patiente privée de son dossier médical, tout en lui accordant l’accès sous astreinte et 1 000 euros de frais. La différence entre ces deux solutions tient à la démonstration : exposition avérée de données sensibles à des tiers d’un côté, simple retard de communication de l’autre. Pour un compte de santé piraté avec rendez-vous pris sous votre nom, documentez l’exposition réelle : qui a vu quoi, pendant combien de temps, avec quelles conséquences concrètes. Un dossier médical exposé à un inconnu pendant plusieurs semaines, avec des rendez-vous créés dans des spécialités sensibles, justifie une demande supérieure à un simple retard administratif. Pour des faits comparables, les lecteurs confrontés à d’autres types de comptes piratés trouveront la même méthode de chiffrage dans notre dossier consacré à la récupération d’un compte Instagram, Facebook ou Gmail piraté et à la réparation du préjudice.
Conclusion
Un compte de rendez-vous médicaux piraté cumule deux gravités : l’usurpation de votre identité et l’exposition de vos données de santé, protégées par le secret médical et par le règlement européen. Retenez cinq réflexes et trois chiffres. Les réflexes : reprendre l’accès et couper les récupérations détournées dans l’heure, alerter par écrit la plateforme et chaque praticien concerné, figer les preuves par captures puis par constat du commissaire de justice, déposer plainte en visant l’accès frauduleux et l’usurpation d’identité, puis écrire au responsable du traitement avant de saisir la CNIL. Les chiffres : un mois pour obtenir une réponse à votre demande d’accès ou d’effacement avant de saisir la CNIL, huit jours pour obtenir votre dossier médical et deux mois si les informations datent de plus de cinq ans, un an de conservation des données techniques de connexion qui impose d’agir vite. Les décisions rendues en 2024, 2025 et 2026 montrent que les juges ordonnent l’accès et l’effacement sous astreinte, font notifier l’effacement aux destinataires et indemnisent le préjudice moral prouvé autour de 1 000 euros par personne, tout en rejetant les demandes non démontrées. Avec un dossier daté, complet et adressé aux bons guichets, le rendez-vous que vous n’avez jamais pris devient une violation réparée, pas une inquiétude durable.