Introduction
Vous ouvrez votre compte Ameli et vous découvrez des soins que vous n’avez jamais reçus : consultations chez des médecins que vous ne connaissez pas, boîtes de médicaments jamais prescrites, relevés qui se multiplient dans des villes où vous ne vous êtes jamais rendu. Ou plus brutalement, votre caisse d’assurance maladie vous réclame plusieurs milliers d’euros au titre de prestations que vous n’avez jamais demandées. Quand votre carte Vitale a été volée, perdue ou simplement prêtée un jour sans méfiance, un tiers peut se faire soigner sous votre nom, parfois pendant des mois avant que vous ne le découvriez.
La situation est angoissante parce qu’elle mélange trois problèmes à la fois. Votre moyen d’identification circule entre des mains étrangères, votre dossier de soins se remplit d’actes qui ne vous concernent pas et qui peuvent fausser votre suivi médical, et les sommes réglées à tort par l’assurance maladie risquent de vous être réclamées. Chaque jour sans réaction aggrave les trois : le tiers continue d’utiliser la carte, les données erronées s’enracinent dans les systèmes, et votre silence pourra plus tard être interprété comme une négligence.
Le droit applicable donne pourtant à la victime des leviers précis, à condition de les actionner dans le bon ordre et de garder chaque preuve. La première urgence consiste à rendre la carte inutilisable et à signaler les faits, parce que le code de la sécurité sociale organise une opposition dont les professionnels de santé sont informés. La deuxième consiste à vérifier ce qui a été fait sous votre nom en exerçant vos droits d’accès auprès de chaque organisme. La troisième consiste à faire rectifier votre dossier, à exiger l’effacement des données indues et, lorsque les conditions sont réunies, à demander réparation du préjudice subi. Cet article décrit cette marche à suivre pas à pas, avec les textes et les décisions qui l’encadrent.
I. Couper l’usage détourné et établir ce qui a été fait sous votre nom
A. Rendre la carte inutilisable et signaler les faits sans attendre
Le premier réflexe détermine souvent la suite du dossier. L’article L. 161-31 du code de la sécurité sociale, dans sa version en vigueur, prévoit que chaque bénéficiaire dispose d’un moyen d’identification électronique comportant sa photographie, et il ajoute : « En cas de vol, perte, dysfonctionnement ou compromission, ce moyen fait l’objet d’une opposition dont les professionnels, les établissements de santé et toute personne ou organisme intervenant dans la prise en charge des soins délivrés au titulaire sont informés ». Autrement dit, la déclaration de vol ou de perte ne sert pas seulement à obtenir une nouvelle carte : elle déclenche une information des professionnels de santé destinée à couper l’usage détourné.
En pratique, l’assurance maladie invite à signaler la carte perdue, volée ou hors service à sa caisse depuis son compte, rubrique Démarches, comme l’explique sa page dédiée à la déclaration de perte, de vol ou de dysfonctionnement. Elle précise que la carte devient inutilisable dès la déclaration enregistrée. Faites cette déclaration depuis votre compte Ameli dès le jour où vous constatez la disparition ou le premier soin suspect, conservez la confirmation horodatée, puis demandez une nouvelle carte avec une photographie récente. Si vous relevez déjà des soins suspects, signalez-les dans le même temps à votre caisse par un message écrit distinct, en listant chaque acte contesté avec sa date et le professionnel indiqué.
Le deuxième réflexe est pénal. Utiliser votre carte et votre numéro de sécurité sociale pour se faire soigner peut caractériser le délit d’usurpation d’identité. L’article 226-4-1 du code pénal, en vigueur, dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende ». La fiche officielle consacrée à l’usurpation d’identité distingue deux temps : en cas de simple soupçon, par exemple après la perte d’un document, une main courante peut être déposée pour signaler les faits ; en revanche, quand l’usage à son insu est constaté, la victime peut porter plainte et avertir les administrations et organismes concernés, comme l’indique la fiche officielle sur l’usurpation d’identité. Des soins facturés sous votre nom que vous n’avez pas reçus relèvent de ce second temps : déposez plainte au commissariat ou à la gendarmerie en apportant la liste des actes contestés, le récépissé d’opposition de la carte et tout élément d’emploi du temps qui établit que vous ne pouviez pas vous trouver chez ces professionnels ces jours-là. Conservez le récépissé de plainte : il servira dans tous vos recours ultérieurs, y compris face à une éventuelle réclamation de la caisse.
Un point mérite une vigilance particulière : le prêt volontaire de la carte, même à un proche dans le besoin, ne vous protège pas. Les textes organisent l’opposition pour le vol, la perte, le dysfonctionnement ou la compromission, et c’est à vous d’établir que l’usage litigieux a eu lieu à votre insu. Une carte prêtée puis utilisée à grande échelle place son titulaire dans une position probatoire délicate, comme l’illustre une décision récente examinée plus loin. En cas de doute sur l’utilisation passée, faites opposition sans délai, ne prêtez plus la carte sous aucun prétexte et cessez toute délégation informelle de vos identifiants Ameli.
B. Reconstituer les soins passés sous votre nom grâce à votre droit d’accès
Une fois la carte neutralisée, il faut mesurer l’étendue du détournement. Connectez-vous à votre compte Ameli et examinez vos relevés de remboursements sur les vingt-quatre derniers mois au moins : consultations, pharmacie, biologie, transports sanitaires. Notez chaque acte que vous contestez dans un tableau simple — date, professionnel ou établissement, nature de l’acte, montant, motif de la contestation — parce que ce tableau deviendra la pièce centrale de vos demandes. Vérifiez aussi vos droits affichés, votre médecin traitant déclaré et vos coordonnées : un changement que vous n’avez pas demandé est un indice supplémentaire d’utilisation par un tiers.
Ce travail personnel ne suffit pas, car les relevés Ameli ne montrent pas tout : ils ne détaillent pas les données détenues par chaque professionnel, chaque établissement ou chaque organisme complémentaire. Le règlement général sur la protection des données vous donne alors un droit d’accès. Son article 15 prévoit que « La personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel », ainsi que des informations sur les finalités, les catégories de données, les destinataires et la durée de conservation. Écrivez à chaque organisme concerné — caisse d’assurance maladie, mutuelle, établissement où des soins suspects apparaissent — en demandant la copie de l’ensemble des données vous concernant sur la période litigieuse : feuilles de soins, facturations, enregistrements d’utilisation de la carte, traces de connexion au compte. Joignez une copie de votre pièce d’identité, datez votre demande et conservez-en la preuve d’envoi.
La Commission nationale de l’informatique et des libertés rappelle que l’organisme doit répondre dans les meilleurs délais et au plus tard sous un mois, comme le précise sa page sur le droit d’accès., ce délai pouvant être porté à trois mois pour les demandes complexes, à condition que l’organisme vous informe des raisons de la prolongation dans le délai d’un mois. Elle recommande de sauvegarder chaque demande et chaque réponse, avec des captures d’écran des formulaires, afin de pouvoir saisir la Commission en cas de refus, de réponse insatisfaisante ou d’absence de réponse. Si un organisme reste silencieux ou vous adresse une réponse partielle, relancez-le une fois par écrit en rappelant la date de votre première demande, puis préparez la plainte auprès de la Commission avec l’ensemble des justificatifs. Les modalités pratiques de l’exercice de ces droits contre un organisme qui s’y refuse sont décrites dans l’analyse consacrée au refus de copie des données personnelles, qui détaille la mise en demeure préalable et la saisine de la Commission.
Cette phase de reconstitution remplit une double fonction. Elle vous permet d’identifier chaque acteur à qui adresser ensuite une demande de rectification ou d’effacement, et elle constitue le dossier de preuve qui soutiendra votre plainte pénale comme votre contestation d’un éventuel indu. N’attendez pas pour l’engager : les traces techniques d’utilisation de la carte et les enregistrements de connexion se conservent pendant des durées limitées, et une demande tardive risque de se heurter à des données déjà effacées par rotation.
II. Corriger votre dossier, effacer les traces indues et obtenir réparation
A. Faire rectifier votre dossier de soins et effacer les données qui ne vous concernent pas
Des actes médicaux rattachés à tort à votre identité ne sont pas une simple anomalie comptable : ils polluent votre dossier de soins, exposent à des erreurs de prise en charge ultérieure et fondent des réclamations indues. Le règlement général sur la protection des données vous donne deux droits complémentaires pour y remédier. Le droit de rectification est formulé sans détour : « La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes », avec la possibilité de faire compléter les données incomplètes, y compris en fournissant une déclaration complémentaire. Le droit à l’effacement permet d’obtenir « l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » lorsque l’un des motifs prévus par le texte s’applique, par exemple quand les données ont été traitées de manière illicite.
Adressez à chaque organisme identifié dans la phase précédente une demande écrite distincte, en visant précisément les actes contestés ligne par ligne : demande de rectification du dossier pour les mentions médicales erronées, demande d’effacement des traces d’utilisation frauduleuse de votre carte et de votre numéro, demande de suppression des comptes ou accès ouverts sous votre nom à votre insu. En matière de santé, le code de la santé publique conforte votre position puisqu’il pose que « Toute personne a accès à l’ensemble des informations concernant sa santé » détenues par les professionnels et les établissements, dans les conditions que ce texte organise. Concrètement, écrivez à la caisse pour qu’elle détache de votre dossier les soins litigieux, au professionnel ou à l’établissement pour qu’il corrige ses propres fichiers, et à la mutuelle pour qu’elle annule les prises en charge indues. Demandez à chacun une confirmation écrite des corrections effectuées et une attestation de ce qui a été effacé.
Pendant l’instruction de ces demandes, vous pouvez solliciter le gel de l’utilisation des données contestées, c’est-à-dire la limitation du traitement, afin que les informations litigieuses ne soient ni diffusées ni réutilisées tant que leur exactitude est en discussion. Si un organisme refuse, répond de manière évasive ou garde le silence au-delà du délai d’un mois, la voie de recours consiste à adresser une plainte à la Commission nationale de l’informatique et des libertés en joignant vos demandes, les preuves d’envoi, les réponses reçues et votre tableau des actes contestés. La Commission peut alors instruire le dossier, procéder à des vérifications et, si elle constate des manquements, prononcer des mesures correctrices pouvant aller jusqu’à la sanction. Le juge judiciaire reste parallèlement compétent pour ordonner sous astreinte les mesures de rectification et d’effacement nécessaires.
L’encadrement des traitements mis en œuvre par les organismes d’assurance maladie pour lutter contre la fraude éclaire ces démarches sous un angle complémentaire. Par un arrêt du 7 juillet 2022, la deuxième chambre civile de la Cour de cassation, saisie d’un litige opposant une caisse primaire d’assurance maladie à une professionnelle de santé à propos d’un indu, a censuré une cour d’appel qui avait statué au regard d’une simple délibération dépourvue de valeur réglementaire et rappelé les règles applicables aux traitements automatisés de données mis en œuvre en matière de lutte contre les fautes, les abus et les fraudes (Cour de cassation, deuxième chambre civile, 7 juillet 2022, pourvoi n° 20-21.365). Cette décision montre que les dispositifs de contrôle eux-mêmes sont soumis à des conditions strictes d’habilitation et de fondement juridique. Retenez-en un enseignement pratique : quand vous contestez des actes rattachés à votre identité, exigez de savoir sur quelles données et sur quels constats précis l’organisme se fonde, et contestez tout rapprochement opéré à partir de traitements dont la régularité n’est pas établie.
B. Contester la réclamation de la caisse et demander la réparation de votre préjudice
Le moment le plus redouté survient quand la caisse, au lieu de vous reconnaître comme victime, vous présente comme l’auteur des soins litigieux et vous réclame leur remboursement. Les organismes d’assurance maladie disposent en effet de procédures de recouvrement des indus qui peuvent aboutir à une contrainte signifiée par huissier, avec des frais de signification mis à votre charge si votre opposition est rejetée. Face à une telle réclamation, ne restez ni silencieux ni passif : formez opposition dans les délais indiqués sur l’acte, par écrit et en recommandé, en exposant que les soins ont été reçus par un tiers grâce à l’usage détourné de votre carte, et joignez l’ensemble de votre dossier — récépissé d’opposition de la carte, récépissé de plainte pénale, tableau des actes contestés, attestations d’emploi du temps, réponses des organismes à vos demandes d’accès.
Une décision récente du pôle social du tribunal judiciaire de Lyon illustre ce qui se joue alors sur le terrain de la preuve. Dans un litige où une caisse réclamait plus de dix mille euros au titre de délivrances de médicaments obtenues à partir d’ordonnances volées et d’un nomadisme médical, l’assuré soutenait avoir été victime d’un vol de sa carte Vitale et d’une usurpation d’identité et avait déposé plainte. Le tribunal a relevé qu’il avait déposé plainte tardivement et qu’« il ne justifie pas du vol de sa carte VITALE et d’une usurpation de son identité », puis il a validé la contrainte et condamné l’assuré au paiement de la somme de 10 791,38 euros ainsi qu’aux frais et dépens (tribunal judiciaire de Lyon, pôle social, 27 janvier 2026, RG n° 21/01327). Cette décision, rendue en premier ressort, ne signifie pas qu’une victime d’usurpation doit toujours payer : elle signifie qu’une plainte tardive, déposée plus d’un an après les faits et sans aucun élément établissant le vol de la carte, ne suffit pas à renverser les constats précis de la caisse. Pour votre dossier, la leçon est directe : déposez plainte immédiatement, faites opposition à la carte le jour même, rassemblez sans attendre les preuves d’impossibilité matérielle et ne laissez jamais une réclamation sans réponse écrite et argumentée.
Lorsque l’usurpation est établie, le dernier volet est la réparation. Le règlement général sur la protection des données prévoit : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Autrement dit, si un organisme a manqué à ses obligations — sécurité défaillante ayant permis le détournement, maintien de données erronées malgré votre demande de rectification, refus persistant d’accès ou d’effacement — et que ce manquement vous a causé un dommage, qu’il s’agisse de sommes réclamées à tort, de soins perturbés, de démarches interminables ou d’un préjudice moral avéré, vous pouvez en demander réparation devant le juge. Chiffrez chaque poste avec des justificatifs : indus contestés, frais engagés, temps de démarches, attestations sur l’anxiété et les conséquences concrètes subies. Le responsable ne peut s’exonérer qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable, et quand plusieurs acteurs participent au même traitement, chacun peut être tenu pour le tout afin de garantir une réparation effective.
À Paris et en Île-de-France, ces litiges relèvent des juridictions du domicile : le pôle social du tribunal judiciaire pour la contestation d’une contrainte ou d’un indu de la caisse, le tribunal judiciaire statuant en matière de protection des données personnelles pour les demandes de rectification, d’effacement et de réparation fondées sur le règlement européen. Saisissez ces juridictions avec un dossier complet et ordonné — chronologie des faits, opposition, plainte, demandes de droits et réponses, tableau des actes, chiffrage du préjudice — plutôt qu’avec des affirmations générales. Et conservez chaque original : en matière d’usurpation, le dossier le mieux documenté l’emporte sur le récit le plus sincère.
Une fois la crise traitée, sécurisez durablement votre identité santé pour éviter une récidive. Ne communiquez jamais la photocopie recto verso de votre carte Vitale ni votre numéro de sécurité sociale par messagerie ou par téléphone à un interlocuteur dont vous n’avez pas vérifié l’identité, car ces éléments suffisent à alimenter une usurpation sans même voler la carte physique. Activez les alertes de votre compte Ameli et consultez vos relevés chaque trimestre, même en l’absence de soins : un acte inconnu détecté tôt se conteste bien plus facilement qu’une fraude découverte deux ans plus tard, quand les traces techniques ont disparu et que la caisse oppose la prescription de ses propres relevés. Si vous utilisez l’application carte Vitale sur votre téléphone, verrouillez l’accès par un code distinct de celui du téléphone et désactivez-la immédiatement en cas de vol de l’appareil, avec la même rigueur que pour la carte physique. Enfin, informez votre médecin traitant et votre mutuelle de l’épisode d’usurpation afin qu’ils signalent dans votre dossier la période contaminée : cette mention protège vos prises en charge futures et évite que d’anciens actes frauduleux ne ressurgissent lors d’un contrôle ou d’une demande de prestation.
Conclusion
Une carte Vitale volée ou perdue dont un tiers se sert pour se soigner sous votre nom appelle une réaction en trois temps : faire opposition et déposer plainte immédiatement, reconstituer par votre droit d’accès tout ce qui a été fait sous votre nom, puis exiger la rectification et l’effacement des données indues et, s’il y a lieu, la réparation de votre préjudice. Les textes donnent à chacun de ces temps un fondement solide, de l’opposition organisée par le code de la sécurité sociale aux droits d’accès, de rectification et d’effacement du règlement européen, jusqu’au droit à réparation en cas de violation. Mais comme le montre la jurisprudence récente, ces droits ne profitent qu’à la victime diligente : plainte immédiate, opposition horodatée, demandes écrites conservées et contestation systématique de chaque réclamation. Agissez vite, écrivez tout et gardez chaque preuve : c’est ce dossier, plus que toute autre chose, qui fera reconnaître que les soins litigieux n’étaient pas les vôtres.