Votre téléphone affiche un message qui semble venir de l’Assurance Maladie : votre carte Vitale arrive à expiration, une nouvelle version serait disponible, il suffirait de cliquer sur un lien pour la recevoir. Quelques semaines plus tard, votre relevé de l’Assurance Maladie mentionne des soins que vous n’avez jamais reçus, parfois dans une ville où vous ne vous êtes jamais rendu, ou votre pharmacien vous signale une anomalie sur vos droits. Entre ces deux moments, vos données personnelles et vos données de santé ont circulé. Ce scénario, qui combine hameçonnage par SMS et usurpation d’identité sanitaire, touche des assurés de tous les régimes et appelle une réaction méthodique : bloquer les usages frauduleux, conserver les preuves, exercer vos droits sur vos données de santé, déposer plainte et demander réparation.
L’enjeu dépasse le simple désagrément administratif. La carte Vitale concentre votre numéro de sécurité sociale, votre identité et l’accès à vos remboursements ; détournée, elle permet à un tiers de se faire soigner à vos frais, de commander des produits de santé en votre nom ou de revendre vos identifiants. Les soins ainsi facturés salissent votre dossier médical, faussent vos antécédents et peuvent entraîner des réclamations de l’Assurance Maladie contre vous. Cet article décrit la conduite à tenir pas à pas, les textes applicables et les recours devant la CNIL, la caisse et le juge, avec les points d’attention propres aux assurés de Paris et d’Île-de-France.
I. Reconnaître l’arnaque et couper court aux usages frauduleux
A. Identifier le faux message et le distinguer d’une vraie demande de l’Assurance Maladie
La règle de départ est simple et elle est énoncée par ’Assurance Maladie elle-même : la création et l’envoi d’une nouvelle carte Vitale « sont gratuits » et elle « ne facture jamais de frais de livraison ». Tout message qui vous réclame un paiement, même modeste, pour renouveler, activer ou débloquer votre carte Vitale est donc un faux. Les escrocs déclinent ce stratagème sous plusieurs formes que l’Assurance Maladie recense publiquement, parmi lesquelles « le renouvellement de la carte Vitale » et « l’actualisation de votre dossier ». D’autres variantes visent vos coordonnées bancaires sous prétexte d’un virement en votre faveur, ou vous alertent d’une prétendue fraude sur votre compte bancaire ou votre compte ameli pour vous pousser à rappeler un faux numéro.
Plusieurs indices doivent vous arrêter avant tout clic. L’expéditeur n’est pas un numéro officiel reconnaissable, le lien pointe vers une adresse qui n’est pas ameli.fr, le message crée un sentiment d’urgence avec une menace de suspension des droits, et le ton comporte souvent des fautes ou des formulations inhabituelles pour une administration. Un vrai courrier de l’Assurance Maladie relatif à votre carte Vitale ne vous demandera jamais vos identifiants bancaires ni le code reçu par SMS. Si vous avez déjà cliqué et saisi des informations, ne minimisez pas l’incident : un simple numéro de sécurité sociale associé à votre état civil suffit à alimenter une usurpation durable, et les données de santé que le fraudeur peut ensuite générer en votre nom relèvent de la catégorie la plus protégée par le droit européen. Le règlement (UE) 2016/679 interdit par principe le traitement des « données concernant la santé », sauf exceptions strictement encadrées parmi lesquelles le consentement explicite. Vos relevés de soins, vos ordonnances et vos factures de pharmacie appartiennent à ce noyau protégé, ce qui renforce l’arsenal juridique à votre disposition.
Le second signal d’alerte, parfois décalé de plusieurs mois, figure sur votre compte ameli : des consultations, des délivrances de médicaments ou des transports sanitaires que vous ne reconnaissez pas. Des assurés découvrent ainsi des soins facturés dans un autre département, des boîtes de médicaments onéreux délivrées à répétition ou un dépassement brutal de leurs remboursements. Ce décalage s’explique : les identifiants volés sont souvent revendus puis exploités par des réseaux qui se font délivrer des produits remboursables. Un jugement récent du pôle social du tribunal judiciaire de Lyon, rendu le 27 janvier 2026 dans une affaire où une caisse poursuivait le recouvrement de plus de 10 000 euros après des délivrances massives obtenues sur ordonnances détournées, illustre l’ampleur financière que peut prendre ce type de fraude et la mécanique de recouvrement qui s’ensuit. Vérifiez donc régulièrement vos décomptes, y compris pour vos enfants mineurs rattachés à votre dossier, et demandez à votre pharmacien habituel s’il constate des délivrances inhabituelles à votre nom.
B. Bloquer, conserver les preuves et signaler dans les bons circuits
Dès le doute, agissez sur quatre fronts en parallèle : la carte, le compte, la banque et les preuves. Pour la carte Vitale perdue, volée ou compromise, le code de la sécurité sociale prévoit que « En cas de vol, perte, dysfonctionnement ou compromission, ce moyen fait l’objet d’une opposition dont les professionnels, les établissements de santé et toute personne ou organisme intervenant dans la prise en charge des soins délivrés au titulaire sont informés. » Concrètement, la fiche officielle de Service-Public dédiée à la Carte Vitale : perdue, volée ou défectueuse (régime général) décrit la déclaration de perte, de vol ou de dysfonctionnement auprès de l’Assurance Maladie et la commande d’une nouvelle carte. Effectuez cette démarche depuis votre compte ameli ou auprès de votre caisse, et demandez une confirmation écrite de l’opposition avec sa date : cette date servira de pivot pour contester tout soin facturé après elle.
Changez ensuite vos accès. Modifiez le mot de passe de votre compte ameli et, si le fraudeur a pu le changer avant vous, utilisez la procédure de récupération avec votre numéro de sécurité sociale et votre code postal, puis vérifiez que l’adresse électronique et le numéro de téléphone rattachés au compte sont bien les vôtres. Si vous avez communiqué des coordonnées bancaires, faites opposition auprès de votre banque et surveillez vos relevés : le SMS frauduleux sert fréquemment de porte d’entrée vers des prélèvements ou des achats en ligne. Sur le plan pénal, la captation de vos identifiants de connexion à un service de l’État peut caractériser l’accès frauduleux à un système de traitement automatisé de données, car le code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Lorsque les faits visent un système de l’État, le même article porte la peine à sept ans d’emprisonnement et 300 000 euros d’amende. Conserver la chronologie exacte des faits vous sera utile à chaque étape, pénale comme civile. Pensez également à la boîte électronique qui reçoit vos codes de réinitialisation : si le même mot de passe protégeait votre messagerie et votre compte ameli, changez-le partout et activez la double authentification sur la messagerie, car la reprise de la boîte mail permet au fraudeur de verrouiller durablement votre compte et d’intercepter les alertes de la caisse. Lorsque l’accès ameli transitait par FranceConnect, renouvelez aussi ce mot de passe et contrôlez l’historique des connexions des autres services rattachés, notamment les impôts et l’Assurance Maladie, afin de repérer toute connexion inhabituelle que vous signalerez dans votre plainte.
La conservation des preuves obéit à une consigne officielle simple : « conservez les preuves », en particulier le message d’hameçonnage reçu. Ne supprimez pas le SMS, réalisez des captures d’écran avec le numéro expéditeur, la date et le lien visibles, et conservez l’historique de navigation si vous avez cliqué. Signalez ensuite le message dans les circuits prévus : Signalez tout SMS suspect « au 33 700 », sur la plateforme 33 700 ou par SMS au 33700.. Complétez par un signalement sur la plateforme Signal Spam pour les courriels, un signalement du site frauduleux sur Phishing Initiative, et une alerte à votre caisse d’assurance maladie qui peut rapprocher votre cas d’autres dossiers et ajuster sa surveillance. Ces démarches ne sont pas de pure forme : elles horodatent votre diligence, alimentent les enquêtes et appuient vos demandes de remboursement et de réparation.
À Paris et en Île-de-France, quelques réflexes locaux méritent d’être ajoutés. Les assurés franciliens relèvent de la CPAM de Paris pour leurs démarches, et la densité des professionnels de santé dans la capitale multiplie les lieux où une carte détournée peut être utilisée : vérifiez vos décomptes avec une attention particulière aux soins géolocalisés hors de vos habitudes. En cas de dépôt de plainte, les commissariats parisiens et les brigades de gendarmerie de petite et grande couronne reçoivent ces plaintes quotidiennement ; apportez vos captures, vos relevés ameli et la confirmation d’opposition pour que la plainte mentionne précisément les qualifications envisageables. Si des soins suspects apparaissent dans des établissements parisiens, notez leurs noms et dates : ces éléments localisés faciliteront à la fois l’enquête et la contestation des factures.
II. Faire reconnaître la fraude et obtenir réparation
A. Exercer vos droits sur vos données de santé auprès de la caisse et de la CNIL
Une fois l’urgence traitée, le terrain juridique se déplace vers vos données personnelles. Vous disposez d’un droit d’accès à l’ensemble des données détenues sur vous, car le règlement européen sur la protection des données vous reconnaît un « droit d’accès » : obtenir confirmation que des données vous concernant sont traitées, y accéder et connaître les finalités, les catégories de données, leurs destinataires et leur durée de conservation. Demandez à votre caisse la copie de vos décomptes détaillés sur la période suspecte, l’historique des connexions à votre compte ameli si ce journal est disponible, et la liste des professionnels ayant facturé des soins à votre nom. Cette demande d’accès sert un double objectif : repérer chaque soin litigieux et constituer le dossier qui étayera la suite.
Pour chaque soin que vous contestez, exigez la rectification. Le même règlement impose la correction « dans les meilleurs délais » de toute donnée inexacte vous concernant. Des soins inscrits à tort dans votre dossier médical ne sont pas une simple erreur comptable : ils faussent vos antécédents, peuvent orienter de futures décisions médicales et doivent être corrigés. Formulez votre demande par écrit, soin par soin, avec les dates, les montants et les motifs pour lesquels vous les contestez, et conservez l’accusé de réception. Si la caisse vous réclame à vous le remboursement de sommes au motif que des soins auraient été indûment pris en charge, contestez également par écrit en rappelant l’opposition et le dépôt de plainte, et ne laissez pas une contrainte ou une mise en demeure sans réponse : l’affaire lyonnaise précitée montre que la caisse peut poursuivre le recouvrement par contrainte devant le pôle social du tribunal judiciaire, juridiction devant laquelle l’assuré doit faire valoir ses moyens de défense avec ses pièces. La caisse doit vous répondre vite : le règlement européen lui impose de donner suite « dans un délai d’un mois » à compter de la réception de votre demande. Ce délai, qui court de la réception de votre courrier, peut être prolongé de deux mois pour les demandes complexes, à condition que la caisse vous en informe et vous en donne les motifs dans le premier mois. Adressez donc vos demandes en recommandé avec accusé de réception ou conservez la preuve du dépôt en ligne, notez la date de réception sur votre calendrier, et relancez par écrit dès le dépassement : le silence gardé au-delà du mois, ou une réponse évasive qui ne corrige aucun soin litigieux, constitue un manquement documenté que vous verserez à votre réclamation CNIL. Pour vos enfants mineurs, exercez ces mêmes droits en votre qualité de titulaire de l’autorité parentale et demandez la correction de leur dossier rattaché, car des soins fictifs inscrits dès l’enfance peuvent ressurgir des années plus tard lors d’une expertise ou d’une souscription.
Le secret médical renforce votre position face aux tiers. Le code de la santé publique énonce que toute personne prise en charge a droit au respect de sa vie privée et du secret des informations la concernant, secret qui couvre l’ensemble des informations venues à la connaissance des professionnels et qui s’impose à tous les intervenants du système de santé. Si un professionnel ou un établissement a facturé des soins au nom d’une personne qui n’était manifestement pas vous, sans vérification élémentaire de l’identité du porteur de la carte, ce manquement documenté nourrit votre demande de réparation. Par ailleurs, l’hébergement de vos données de santé obéit à des règles strictes : le code de la santé publique soumet l’hébergeur de données de santé à une certification de conformité et encadre la prestation d’hébergement par contrat, après information de la personne prise en charge. Ces exigences concernent les acteurs du système de soins et ne pèsent pas sur vous, mais elles dessinent le standard de sécurité dont vous pouvez vous prévaloir lorsque vos données ont circulé sans votre accord.
Si la caisse ne répond pas, répond de façon incomplète ou refuse de corriger votre dossier, la plainte auprès de la CNIL devient l’étape suivante. Le règlement européen garantit que toute personne concernée peut introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise, lorsqu’elle considère que le traitement de ses données constitue une violation du règlement. Joignez à votre réclamation la chronologie des faits, la copie du SMS frauduleux, la confirmation d’opposition, vos demandes écrites à la caisse et ses réponses, ainsi que vos décomptes annotés. Précisez les droits que vous invoquez : accès, rectification, et le cas échéant effacement des données inexactes. Pour les responsables de traitement eux-mêmes, le règlement impose une discipline stricte : il doit notifier la violation à la CNIL « dans les meilleurs délais » et, si possible, « 72 heures » au plus tard après en avoir eu connaissance, sauf absence de risque pour vos droits ; tout dépassement doit être motivé. Lorsque la violation présente un risque élevé pour vos droits, le responsable doit aussi vous en informer directement, car il doit aussi vous prévenir directement en cas de « risque élevé » pour vos droits, en des termes clairs et simples. Si vous n’avez reçu aucune information alors que vos données de santé ont manifestement circulé, mentionnez ce silence dans votre réclamation : il fait partie des manquements que la CNIL peut sanctionner.
B. Déposer plainte au pénal et chiffrer tous les postes de préjudice
Le volet pénal poursuit trois objectifs : faire cesser l’usage de votre identité, obtenir la condamnation des auteurs et fonder votre demande de dommages et intérêts. La plateforme Cybermalveillance.gouv.fr recommande à ce titre de «déposer plainte » au commissariat de police ou à la brigade de gendarmerie dont vous dépendez, ou par écrit au procureur de la République, dès lors que vos informations servent à usurper votre identité ou que des débits frauduleux apparaissent sur vos comptes. Vous pouvez également écrire au procureur de la République du tribunal judiciaire dont vous dépendez en joignant vos preuves. À Paris, il s’agit du tribunal judiciaire de Paris ; en petite et grande couronne, du tribunal du lieu de votre domicile. Décrivez avec précision le SMS initial, les sommes ou données communiquées, les soins litigieux découverts ensuite et le préjudice financier déjà mesurable.
Les qualifications susceptibles d’être retenues couvrent l’ensemble du stratagème. L’envoi du faux SMS au nom de l’Assurance Maladie relève de l’escroquerie, puisque le code pénal définit celle-ci comme « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » L’utilisation de votre numéro de sécurité sociale et de votre identité pour obtenir des soins correspond à l’usurpation d’identité, car le code pénal punit « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Enfin, la prise de contrôle de votre compte ameli peut caractériser l’accès frauduleux à un système de traitement automatisé de données, puni de trois ans d’emprisonnement et 100 000 euros d’amende, peine portée à sept ans et 300 000 euros lorsque le système est mis en œuvre par l’État. La jurisprudence récente illustre la sévérité croissante des juridictions face aux fraudes aux moyens de paiement : la cour d’appel de Douai, le 9 juillet 2026, a eu à trancher un litige où un client contestait le refus de sa banque de rembourser des prélèvements et un paiement qu’il présentait comme frauduleux, et le tribunal judiciaire d’Évry, le 17 mars 2026, a statué sur la demande de remboursement formée par une victime d’escroquerie ayant perdu plus de 9 700 euros après avoir alerté sa banque. Ces décisions, rendues en matière bancaire, éclairent la logique applicable à votre dossier : celui qui conteste une opération doit établir avec précision les faits, les alertes données et les diligences accomplies, et c’est votre dossier de preuves qui fera la différence.
Le chiffrage du préjudice doit être exhaustif et documenté. Recensez d’abord le préjudice financier direct : sommes prélevées sur vos comptes après communication de vos coordonnées bancaires, franchises ou participations restées à votre charge pour des soins que vous n’avez pas reçus, frais engagés pour faire opposition et reconstituer vos droits. Ajoutez les conséquences sur vos remboursements : droits temporairement perturbés, avances de frais que vous avez dû consentir pendant la remise en ordre du dossier, temps passé et frais de déplacement pour les démarches. Le préjudice moral mérite une attention particulière lorsque des données de santé sont en cause : crainte d’une réutilisation de votre identité, anxiété liée à la souillure de votre dossier médical, démarches répétées auprès d’administrations qui vous renvoient de l’une à l’autre. Sur ce terrain, le droit européen vous est favorable : le règlement (UE) 2016/679 ouvre à toute victime d’une violation la « réparation du préjudice subi », matériel comme moral, auprès du responsable du traitement ou du sous-traitant. La Cour de justice de l’Union européenne a précisé le régime de cette réparation dans son arrêt du 4 mai 2023, Österreichische Post (C-300/21) : une simple violation du règlement ne suffit pas, un préjudice doit être démontré, mais le dommage moral est indemnisable sans qu’une règle nationale puisse exiger un seuil de gravité. Concrètement, vous n’avez pas à prouver une souffrance exceptionnelle : l’atteinte à la maîtrise de vos données de santé, documentée par les soins fictifs inscrits à votre nom et les démarches imposées, caractérise un préjudice indemnisable dès lors que la violation est établie.
Présentez votre demande de réparation de façon ordonnée, en distinguant les débiteurs. Face à l’auteur de l’escroquerie, constituez-vous partie civile devant le juge pénal pour obtenir des dommages et intérêts dans le procès pénal lui-même. Face à votre caisse, contestez par écrit chaque indu qui vous serait réclamé pour des soins frauduleux postérieurs à l’opposition, en joignant la confirmation d’opposition, le dépôt de plainte et les demandes de rectification ; si une contrainte vous est signifiée, faites valoir vos moyens devant le pôle social du tribunal judiciaire avec l’intégralité de ces pièces, comme l’illustre la procédure suivie devant le tribunal judiciaire de Lyon. Face à un professionnel de santé ou un établissement qui aurait facturé des soins à votre nom sans vérification sérieuse de l’identité du patient, une action en responsabilité civile peut être envisagée sur le fondement du manquement au devoir de vigilance et de la violation du secret médical, en chiffrant le préjudice financier et moral correspondant. Et lorsque le traitement de vos données par un responsable a violé le règlement européen, l’action en réparation de l’article 82 peut être portée devant le juge civil, en vous appuyant sur la réclamation CNIL et ses suites. Pour les assurés parisiens, ces actions relèvent selon les cas du pôle social du tribunal judiciaire de Paris, du tribunal judiciaire statuant au civil ou du tribunal correctionnel de Paris : vérifiez la compétence applicable à chaque demande et regroupez vos pièces dans un dossier unique tenu à jour, Le recours au juge civil reste ouvert même si vous avez déjà saisi la CNIL : le règlement européen garantit à chacun un « recours juridictionnel effectif » contre le responsable ou le sous-traitant, cumulable avec la réclamation auprès de la CNIL. Vous pouvez donc cumuler la réclamation auprès de la CNIL et l’action en justice, sans que l’une bloque l’autre. Joignez à votre assignation ou à votre constitution de partie civile l’ensemble de la chaîne probatoire : SMS frauduleux conservé, signalements au 33700, confirmation d’opposition, demandes d’accès et de rectification avec leurs dates de réception, réponses ou silences de la caisse, décomptes annotés et dépôt de plainte. car la cohérence de la chronologie entre le SMS initial, l’opposition, les signalements, la plainte et les demandes à la caisse conditionne l’ensemble de vos chances de succès.
L’arnaque à la carte Vitale par SMS ne se résume donc ni à un message agaçant ni à une erreur de facturation : elle enclenche une chaîne où vos données d’identité, vos données bancaires et vos données de santé sont exploitées successivement, et où chaque maillon appelle une réponse juridique distincte. L’opposition prévue par le code de la sécurité sociale fige la situation, les signalements au 33700 et sur les plateformes dédiées horodatent votre diligence, l’accès et la rectification de votre dossier médical le nettoient, la plainte pénale vise les auteurs sous les qualifications d’escroquerie, d’usurpation d’identité et d’accès frauduleux, et la réclamation à la CNIL comme l’action en réparation de l’article 82 du règlement européen sanctionnent les manquements des responsables de traitement. Menées ensemble et documentées avec rigueur, ces démarches transforment une situation subie en dossier solide : des soins que vous n’avez jamais reçus ne doivent ni entacher votre dossier médical, ni peser sur vos remboursements, ni rester sans réparation.