Vous recevez un courrier ou un courriel de votre mutuelle : ses systèmes, ou ceux de son prestataire chargé du tiers payant, ont été piratés et vos données personnelles ont été exposées. Faut-il s’inquiéter, que doit faire l’organisme qui détient vos données et comment obtenir réparation si un préjudice suit ? La question n’est pas théorique. Selon la CNIL, qui a ouvert des investigations et publié ses constats le 7 février 2024, deux opérateurs assurant la gestion du tiers payant pour de nombreuses complémentaires santé, Viamedis et Almerys, ont été victimes d’une attaque informatique fin janvier 2024, et « plus de 33 millions de personnes » étaient concernées. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable de piratage d’une mutuelle ou d’une complémentaire santé. À la date de la communication de la CNIL, les investigations de l’autorité étaient en cours et aucune sanction n’était prononcée ; seul le juge décide des responsabilités et de la réparation, et les contrats signés avec votre organisme priment sur toute analyse générale.
I. Ce que le piratage de votre complémentaire santé expose de vos données
A. Les données concernées : état civil, date de naissance, numéro de sécurité sociale et garanties du contrat
La première vérification porte sur ce qui a été réellement exposé, car tout ne se vaut pas. Dans l’incident de 2024, la CNIL a précisé que les données concernées étaient, pour les assurés et leur famille, l’état civil, la date de naissance et le numéro de sécurité sociale, le nom de l’assureur santé ainsi que les garanties du contrat souscrit. Elle ajoutait que les informations bancaires, les données médicales, les remboursements de santé, les coordonnées postales, les numéros de téléphone et les courriels ne seraient pas concernés par cette violation. La formulation au conditionnel de l’autorité doit être conservée : à la date de sa communication, il s’agissait de l’état des informations transmises par les opérateurs.
Même sans coordonnées bancaires ni relevés médicaux, ce socle d’informations suffit à alimenter des fraudes ciblées. Le numéro de sécurité sociale est un identifiant stable, qui ne change pas : combiné à l’état civil et à la date de naissance, il permet de construire des dossiers d’usurpation d’identité crédibles, par exemple pour ouvrir des droits, des comptes ou des lignes de services au nom de la victime. La CNIL elle-même avertit que les données volées, bien que sans coordonnées de contact, peuvent être croisées avec des informations issues de fuites antérieures pour reconstituer des profils complets. Concrètement, des fichiers volés lors d’incidents plus anciens, qui contiennent adresses postales, numéros de téléphone ou adresses électroniques, peuvent être croisés avec le fichier issu du piratage de la complémentaire santé pour reconstituer des profils complets et adresser des messages frauduleux très réalistes, notamment de prétendus courriels de la Sécurité sociale, de la mutuelle ou d’organismes de remboursement.
Le nom de l’assureur et les garanties du contrat souscrit apportent, eux, le prétexte de l’arnaque : un appel ou un message qui cite exactement votre complémentaire santé et le niveau de vos garanties inspire confiance. C’est pourquoi la CNIL conseille aux personnes concernées la prudence face aux sollicitations reçues, en particulier celles qui concernent des remboursements de frais de santé, ainsi qu’une vérification périodique des activités et mouvements sur leurs différents comptes. Ces deux réflexes valent pour tout piratage d’organisme d’assurance santé, au-delà du seul incident de 2024.
Sur le plan juridique, les données traitées par une mutuelle ou une complémentaire santé appellent une protection renforcée. Le règlement général sur la protection des données pose en principe l’interdiction du traitement des données de santé, sauf dans les cas qu’il énumère, comme le consentement explicite de la personne ou les finalités prévues par le droit de l’Union ou le droit national (article 9). Une complémentaire santé traite licitement ces informations pour exécuter le contrat et remplir ses obligations, mais cette licéité du traitement ne diminue en rien l’exigence de sécurité : plus les données sont sensibles, plus les mesures techniques et organisationnelles attendues sont élevées, et plus un manquement à la sécurité est susceptible d’être regardé comme une violation du règlement. Lorsque des données de santé sont confiées à un hébergeur sur support numérique, le code de la santé publique ajoute que « L’hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d’un certificat de conformité », délivré par des organismes accrédités dans des conditions fixées par décret après avis de la CNIL. Ce cadre de l’hébergement certifié ne s’applique pas automatiquement à tout prestataire d’une mutuelle, mais il illustre le niveau d’exigence que le droit français attache à la conservation des données de santé : la question de savoir qui détenait vos données, à quel titre et avec quelles garanties de sécurité est donc la première à poser à votre organisme, par écrit.
En pratique, dès réception de la notification de votre mutuelle, conservez ce courrier ou ce courriel sans le supprimer, notez sa date de réception et capturez votre espace adhérent s’il mentionne l’incident. Si vous n’avez reçu aucune information individuelle alors que la presse ou la CNIL évoque un piratage de votre organisme, interrogez-le par écrit : l’absence d’information individuelle, alors qu’elle serait due, fait partie des manquements que la CNIL peut être amenée à examiner.
B. Qui doit vous prévenir, comment et dans quels délais : responsable du traitement, prestataire et CNIL
Face à une mutuelle piratée, la deuxième vérification consiste à identifier qui fait quoi, car le droit ne fait pas peser les mêmes obligations sur chacun. La CNIL rappelle que le responsable du traitement est en pratique l’organisme qui détermine les finalités et les moyens du traitement, c’est-à-dire l’objectif poursuivi et la façon de le réaliser : pour votre couverture santé, il s’agit en général de votre mutuelle ou de votre complémentaire elle-même. Le prestataire qui gère le tiers payant, qui traite les données pour le compte de cet organisme dans le cadre de sa prestation, intervient quant à lui comme sous-traitant au sens du règlement. Cette répartition découle des rôles réels et des contrats signés : en cas de doute, demandez à votre mutuelle à quel titre chaque intervenant traitait vos données, car les contrats priment pour établir la chaîne des responsabilités et seul le juge tranche en cas de contestation.
Le règlement impose alors une mécanique à double détente. D’abord, le responsable du traitement qui subit une violation de données doit la notifier à l’autorité de contrôle dans les meilleurs délais, si possible soixante-douze heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les droits et libertés des personnes, tout retard devant être motivé (article 33 du RGPD). Ensuite, le sous-traitant qui constate l’incident doit prévenir le responsable dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2, du RGPD). Dans le schéma du tiers payant, cela signifie que l’opérateur piraté doit alerter sans attendre chaque complémentaire cliente, qui elle-même apprécie le risque et notifie la CNIL dans le délai de soixante-douze heures.
La notification à la CNIL ne suffit pas : les personnes concernées doivent aussi être informées lorsque l’incident est grave. lorsque la violation crée un risque élevé pour les droits et libertés d’une personne, le responsable doit l’en informer dans les meilleurs délais, dans des termes clairs et simples, avec la nature de la violation, les coordonnées d’un point de contact, les conséquences possibles et les mesures prises ou proposées (article 34 du RGPD). Le règlement dispense de cette information individuelle dans trois cas : si des mesures comme le chiffrement rendaient les données incompréhensibles aux personnes non autorisées, si des mesures ultérieures ont écarté le risque élevé, ou si la communication exigerait des efforts disproportionnés, auquel cas une communication publique équivalente doit permettre d’informer efficacement les personnes concernées.
Dans l’affaire de 2024, la CNIL a appliqué cette grille en rappelant qu’il appartenait à chacune des complémentaires santé recourant à ces prestataires d’informer individuellement et directement l’ensemble des personnes concernées, comme le prévoit le règlement général sur la protection des données, et qu’elle s’assurerait que cette information soit donnée dans les plus brefs délais. L’autorité précisait en revanche qu’elle n’était pas en mesure d’indiquer à chacun s’il était concerné : ni la CNIL ni un tiers ne peuvent répondre à votre place, seule la notification de votre propre organisme fait foi. Si vous êtes adhérent d’une complémentaire qui recourt à un opérateur piraté et que vous n’avez rien reçu, ce silence doit vous conduire à saisir l’organisme par écrit, puis, à défaut de réponse satisfaisante, à déposer une plainte auprès de la CNIL, dont le site dédie une rubrique à l’exercice des droits et au dépôt des plaintes.
En attendant, adoptez les gestes que la CNIL recommande en cas de fuite ou de vol de données : face à tout message qui cite vos données pour réclamer un paiement, un code ou une connexion liée à vos remboursements de santé, n’ouvrez pas les pièces jointes, ne cliquez pas sur les liens et supprimez le message, puis ressaisissez vous-même l’adresse officielle du site dans votre navigateur. En cas de soupçon d’usurpation d’identité, la CNIL invite à consulter le site cybermalveillance.gouv.fr, à déposer plainte au plus vite au commissariat ou en gendarmerie et à prévenir votre banque ; si l’usurpation se confirme, faites vérifier un éventuel fichage auprès de la Banque de France et demandez la consultation du fichier des comptes bancaires, le FICOBA, depuis votre espace particulier sur le site des impôts. Changez enfin les mots de passe des services exposés, sans réutiliser le même mot de passe d’un service à l’autre et en activant l’authentification multifacteur lorsqu’elle est proposée.
II. Faire constater le manquement et obtenir réparation après le piratage
A. Les trois conditions de l’indemnisation : une violation du RGPD, un préjudice réel et un lien de causalité
Être concerné par une fuite de données ne donne pas automatiquement droit à une somme d’argent : le droit à réparation obéit à des conditions précises qu’il faut comprendre avant d’agir. Le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1). La CNIL, dans une page consacrée à l’indemnisation publiée le 2 octobre 2026, en déduit trois conditions cumulatives : une violation du RGPD, un préjudice réel et un lien entre cette violation et ce préjudice. une violation de données ne donne pas automatiquement droit à une indemnisation, résume l’autorité : il faut démontrer une violation du RGPD, un préjudice réel et un lien de causalité entre ces éléments.
La première condition, la violation du règlement, s’apprécie au regard des obligations de sécurité. Le RGPD impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques, et la CNIL donne l’exemple d’un organisme qui aurait manqué à ses obligations de sécurité en ne mettant pas en place des mesures techniques ou organisationnelles adaptées. La responsabilité du responsable du traitement repose alors sur une faute présumée : il peut s’exonérer, mais seulement en démontrant qu’il n’est en aucune façon responsable de l’événement ayant causé le dommage. Le règlement lui-même prévoit cette porte de sortie : un responsable ou un sous-traitant est exonéré s’il prouve que le fait ayant provoqué le dommage ne lui est nullement imputable (article 82, paragraphe 3). Lorsque plusieurs acteurs participent au même traitement, chacun d’eux est tenu pour l’entier dommage afin de garantir à la personne concernée une réparation effective (article 82, paragraphe 4) : la victime peut donc agir contre l’un d’eux pour l’entier préjudice, à charge pour eux de régler leurs comptes entre eux. Devant l’ampleur de l’incident de 2024, la présidente de la CNIL avait d’ailleurs annoncé des investigations sur le caractère approprié des mesures de sécurité mises en œuvre avant l’incident et en réaction à celui-ci au regard des obligations du RGPD : c’est bien le caractère approprié des mesures de sécurité, avant et après l’attaque, qui constitue le cœur du débat sur la violation.
La deuxième condition, le préjudice réel, est celle qui fait le plus souvent échouer les demandes. La CNIL admet une palette large de préjudices : perte financière, usurpation d’identité, atteinte à la réputation, perte de confidentialité, perte de contrôle sur ses données, ou encore la peur ou l’inquiétude liées au risque d’utilisation abusive des données. Elle précise qu’aucun seuil minimal de gravité n’est exigé pour le préjudice moral, mais qu’il doit être réel et personnellement subi : la simple constatation d’une violation du RGPD ne suffit pas. Cette position rejoint exactement celle de la Cour de cassation. Par un arrêt du 24 juin 2026 rendu dans un litige où une cour d’appel avait alloué 5 000 euros de dommages et intérêts au motif que le non-respect du RGPD avait « nécessairement » causé un préjudice au salarié, la chambre sociale a cassé : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartenait aux juges d’appel « d’apprécier si le salarié établissait que la violation de ce règlement qu’elle avait constatée avait causé au salarié un dommage matériel ou moral ». L’arrêt s’appuie sur la Cour de justice de l’Union européenne (arrêt cité), qui juge que la simple violation du règlement « ne suffit pas pour conférer un droit à réparation », tout en refusant toute condition de gravité minimale, et qui rappelle que la réparation a une fonction compensatoire : elle doit « permettre de compenser intégralement le préjudice concrètement subi du fait de la violation », et non punir l’organisme. Pour la victime d’un piratage de mutuelle, la leçon est directe : il faut documenter un dommage concret et personnel, et non se prévaloir de la seule exposition de ses données.
La troisième condition, le lien de causalité, exige de relier ce dommage à cette violation. Il ne suffit pas d’avoir subi un préjudice au moment où une fuite de données a eu lieu : il faut établir que le préjudice résulte de la violation, par exemple qu’un message frauduleux utilisait précisément les données exposées, qu’une usurpation a été rendue possible par le numéro de sécurité sociale divulgué, ou que des démarches et des frais ont été engagés à cause de l’incident. D’où l’importance, soulignée par la CNIL, de conserver tous les éléments prouvant la violation et ses conséquences : notification de l’organisme, courriels, captures d’écran, justificatifs de dépenses, démarches effectuées, plaintes, et tout document établissant le préjudice subi. Conservez chaque message suspect avec ses en-têtes, photographiez les courriers reçus, archivez les relevés bancaires montrant des opérations inconnues, gardez les récépissés de plainte et les échanges avec votre mutuelle : ce dossier de preuves conditionne l’issue d’une action en réparation. Pour vérifier l’étendue des informations que votre organisme détient encore sur vous et préparer ce dossier, vous pouvez exercer votre droit d’accès auprès de lui, comme l’explique notre analyse consacrée à l’organisme qui refuse de remettre la copie des données personnelles.
B. Plainte devant la CNIL, plainte pénale et action devant le juge : l’ordre utile des démarches
Les trois voies, administrative, pénale et civile, ne servent pas le même objectif et doivent être articulées dans le bon ordre. La plainte devant la CNIL vise à faire constater le manquement et à le faire cesser : l’autorité peut notamment prendre des mesures correctrices pour faire cesser le manquement ou prononcer une sanction. En revanche, la CNIL ne peut pas accorder de dommages et intérêts, et c’est donc devant le juge qu’il faut exercer son droit à réparation pour obtenir une indemnisation. Saisir la CNIL reste néanmoins utile avant ou pendant l’action en justice : saisissez-la en ligne en joignant la notification de votre mutuelle, vos courriers restés sans réponse et les preuves de l’incident, car ses constats et ses éventuelles mesures éclairent le débat sur l’existence d’une violation du règlement, même si le juge de la réparation apprécie souverainement chaque condition.
La voie pénale concerne d’abord les auteurs de l’attaque. Le code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », avec des peines aggravées lorsque des données ont été supprimées ou modifiées, ou lorsque le système visé est mis en œuvre par l’État. Déposer plainte au commissariat ou en gendarmerie contre les pirates, en joignant la notification de l’incident et les messages frauduleux reçus, permet de faire constater l’infraction et de vous constituer partie civile pour réclamer réparation dans le procès pénal. Mais le droit pénal vise aussi, symétriquement, l’organisme qui aurait négligé la sécurité de vos données : le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée ». Autrement dit, l’absence des mesures de sécurité prescrites par le RGPD peut constituer un délit imputable au responsable du traitement, distinct de l’attaque elle-même : votre plainte peut viser les deux volets, en laissant au procureur le soin des qualifications.
L’action en réparation relève, elle, du juge civil ou administratif selon la nature de l’organisme mis en cause. Lorsque le responsable est une entreprise ou une personne privée, comme une mutuelle ou une société d’assurance, la demande d’indemnisation relève en principe du tribunal judiciaire, indique la CNIL ; lorsque la responsabilité d’une administration ou d’une personne publique est en cause, le contentieux relève du tribunal administratif, avec des règles particulières comme la demande indemnitaire préalable. Devant le tribunal judiciaire, votre assignation devra démontrer, pièce par pièce, chacune des trois conditions : la violation des obligations de sécurité, le préjudice réel et personnellement subi, et le lien entre les deux, sans attendre du juge qu’il déduise le préjudice de la seule violation, comme l’interdit l’arrêt de la Cour de cassation du 24 juin 2026. Ne promettez ni montant ni délai : l’évaluation appartient au juge, qui applique les règles nationales de réparation dans le respect des principes d’équivalence et d’effectivité du droit de l’Union, et qui peut ordonner une expertise ou des mesures d’instruction pour établir l’ampleur de l’exposition.
Deux mécanismes collectifs peuvent renforcer une action isolée. D’une part, vous pouvez mandater une organisation ou une association à but non lucratif habilitée pour exercer vos droits en votre nom, possibilité prévue par l’article 38 de la loi Informatique et Libertés tel que rappelé par la CNIL, notamment pour exercer le droit à réparation. D’autre part, depuis la réforme issue de la loi du 30 avril 2025, un régime unifié de l’action de groupe permet, sous certaines conditions, d’obtenir la cessation d’un manquement ou la réparation des préjudices subis par plusieurs personnes placées dans une situation similaire, y compris en matière de protection des données personnelles, à l’initiative des personnes ou organisations habilitées par la loi. Quand des millions de personnes sont concernées par le même incident, ces voies permettent de mutualiser la démonstration du manquement, même si chacun doit ensuite établir son préjudice propre. Renseignez-vous auprès d’associations agréées actives en matière de protection des données pour savoir si une action est engagée à la suite du piratage de votre organisme.
Si des escrocs exploitent ensuite vos données volées pour monter des collectes frauduleuses, le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite ».
Enfin, si vos données exposées sont ensuite réutilisées ou revendues, d’autres incriminations entrent en jeu. Le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, pour toute personne détentrice de données personnelles à l’occasion de leur traitement, « de détourner ces informations de leur finalité », et il punit des mêmes peines le fait de porter « sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir », lorsque leur divulgation porte atteinte à la considération de l’intéressé ou à l’intimité de sa vie privée. Dans ce second cas, « la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit » : votre plainte est donc la clé qui ouvre l’action publique. Conservez dès lors tout message qui prouve la réutilisation détournée de vos données, car il fonde à la fois la plainte pénale et la démonstration du lien de causalité devant le juge de la réparation.
Conclusion
Le piratage d’une mutuelle ou d’une complémentaire santé expose des données qui, même sans relevés bancaires ni dossiers médicaux, suffisent à alimenter hameçonnage ciblé et usurpation d’identité : état civil, date de naissance, numéro de sécurité sociale, assureur et garanties. Votre organisme doit notifier la CNIL dans les meilleurs délais, soixante-douze heures au plus tard, et vous informer individuellement et directement lorsque le risque est élevé. La réparation suppose ensuite de démontrer une violation du RGPD, un préjudice réel et personnel, et le lien entre les deux : la simple exposition ne suffit pas, mais l’inquiétude avérée, les démarches, les frais et l’usurpation caractérisent des préjudices indemnisables. Plainte devant la CNIL pour faire constater le manquement, plainte pénale contre les auteurs de l’intrusion, action devant le tribunal judiciaire contre l’organisme défaillant : menées avec un dossier de preuves conservé dès la notification, ces démarches transforment une lettre angoissante en procédure maîtrisée.