Vous recevez un courrier ou un courriel de votre hôpital, de votre clinique, de votre laboratoire d’analyses ou de votre mutuelle : un « incident de sécurité » a exposé des données personnelles, et les vôtres figurent parmi elles. Nom, date de naissance, numéro de sécurité sociale, parfois pathologie, traitement, compte rendu d’examen ou relevé de prestations : ce ne sont pas des données ordinaires. Le droit les range parmi les catégories particulières : le traitement des données de santé est par principe interdit, sauf exceptions strictes (article 9 du RGPD). Quand ces données fuient, le risque n’est pas seulement un démarchage intempestif : hameçonnage ciblé, usurpation d’identité, chantage, discrimination à l’embauche ou à l’assurance. La réaction doit donc être méthodique : vérifier ce qui vous est notifié, identifier qui répond de quoi, vous protéger dans les premiers jours, puis choisir vos recours — réclamation auprès de la CNIL, plainte pénale, action en réparation. Cet article décrit ce parcours pas à pas, textes et décisions à l’appui, pour un patient, un assuré ou un proche confronté en 2026 à une fuite de données de santé en France.
I. Les premiers réflexes : vérifier la notification et se protéger
A. Lire la notification, vérifier qu’elle vous concerne, bloquer les dégâts
Tout commence par un message dont il faut d’abord contrôler l’authenticité et le contenu. Depuis l’entrée en application du règlement général sur la protection des données, l’organisme qui subit une violation susceptible d’engendrer un risque élevé pour vos droits doit vous en informer directement dans les meilleurs délais (article 34, paragraphe 1, du RGPD). Cette communication doit décrire en termes clairs et simples la nature de la violation et indiquer les mesures à prendre (article 34, paragraphe 2). Concrètement, une notification sérieuse mentionne : la nature de l’incident et sa date approximative, les catégories de données concernées (identité, coordonnées, données de santé, identifiants), les mesures déjà prises par l’organisme, un point de contact (souvent le délégué à la protection des données) et les précautions recommandées. Si vous recevez un message vague, sans expéditeur identifiable, avec un lien à cliquer et une demande de mot de passe ou de coordonnées bancaires, ne cliquez pas : des campagnes d’hameçonnage surfent sur les fuites médiatisées. Vérifiez l’expéditeur, connectez-vous à votre espace patient ou assuré par vos propres moyens, et appelez le numéro officiel de l’établissement.
La CNIL a publié un guide dédié aux fuites massives de données de santé : il invite chaque personne à vérifier si elle est concernée et détaille les gestes de protection (page CNIL sur les fuites massives de données de santé). Premier geste : changer les mots de passe des comptes qui partagent le même identifiant, activer la double authentification, surveiller vos relevés de prestations (Ameli, mutuelle) et vos comptes bancaires si un IBAN figurait dans la fuite. Deuxième geste : traiter avec suspicion tout appel, SMS ou courriel se réclamant de votre établissement, de votre banque ou de l’Assurance maladie dans les semaines qui suivent — le risque principal documenté par la CNIL est l’hameçonnage et l’usurpation d’identité. Troisième geste : conservez tout. Courrier de notification, captures d’écran, relevés, messages suspects, attestations de démarches : ce dossier probatoire servira devant la CNIL, le juge pénal comme le juge civil. Notez les dates : date de réception de la notification, date des premières utilisations frauduleuses constatées, dépenses engagées (oppositions, courriers recommandés, frais bancaires). En matière de données de santé, la crainte d’une utilisation détournée n’a rien d’abstrait : antécédents médicaux, grossesse, affection psychiatrique, traitement au long cours — la diffusion de telles informations porte en elle-même une atteinte à l’intimité de la vie privée, même avant toute fraude avérée. La loi l’exprime comme un droit : toute personne prise en charge « a droit au respect de sa vie privée et du secret des informations la concernant » (article L. 1110-4 du code de la santé publique). C’est ce caractère sensible qui justifie des obligations de sécurité renforcées, et c’est lui qui fondera ensuite votre préjudice.
Parallèlement, l’organisme devait, de son côté, prévenir l’autorité de contrôle : En cas de violation, le responsable doit prévenir l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf violation sans risque prévisible (article 33, paragraphe 1, du RGPD). Vous pouvez interroger l’organisme : la violation a-t-elle été notifiée à la CNIL, à quelle date, sous quel numéro ? Une absence de notification, ou une notification tardive et sans motif, constitue un indice de manquement que la CNIL et le juge prendront en compte. La même logique vaut pour la chaîne de sous-traitance : Le sous-traitant, lui, doit alerter le responsable dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2). Si votre laboratoire vous écrit que « son prestataire informatique » est à l’origine de l’incident, demandez quand le prestataire l’a alerté : un retard en cascade engage chaque maillon. Pour une analyse détaillée des délais et des recours quand c’est un prestataire qui a failli, on peut se reporter utilement aux règles de la notification d’une violation de données par un prestataire et du recours contre le sous-traitant.
B. Identifier qui répond de quoi : responsable, sous-traitant, hébergeur de santé
Avant d’écrire à qui que ce soit, il faut qualifier les acteurs, car le RGPD ne fait pas peser les mêmes obligations sur tous. Le responsable du traitement est celui qui détermine les finalités et les moyens : l’hôpital, la clinique, le laboratoire, la pharmacie ou la mutuelle qui a constitué votre dossier. Le sous-traitant est celui qui traite des données pour le compte du responsable : éditeur du logiciel de gestion des dossiers patients, prestataire de sauvegarde, société de tiers payant, hébergeur. Cette distinction commande toute la suite : vos droits (accès, rectification, effacement, limitation) s’exercent d’abord contre le responsable, tandis que la chaîne contractuelle détermine qui paiera en cas de faute. Le règlement impose au responsable de ne recourir qu’à des partenaires solides : le responsable ne doit recourir qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles (article 28, paragraphe 1, du RGPD). Le traitement par un sous-traitant doit être encadré par un contrat ou un acte juridique qui lie le sous-traitant au responsable et précise l’objet, la durée, la nature, la finalité, le type de données et les obligations de chacun (article 28, paragraphe 3). Demandez à l’organisme la copie de ce contrat pour ce qui vous concerne, ou au minimum l’identité de ses sous-traitants et de son délégué à la protection des données : ces informations doivent figurer dans sa politique de confidentialité.
En santé, une couche supplémentaire s’ajoute : l’hébergement des données de santé sur support numérique est réservé à des hébergeurs certifiés. La loi dispose que « Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social […] réalise cet hébergement dans les conditions prévues au présent article », que « La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat » et que l’hébergeur numérique doit être titulaire d’un certificat de conformité (article L. 1111-8 du code de la santé publique). Vérifiez donc où vos données étaient hébergées : serveurs internes de l’établissement, cloud souverain ou non, infogérance externalisée, et si l’hébergeur détenait la certification requise. Un hébergement chez un prestataire non certifié, ou un transfert de sauvegardes vers des serveurs hors d’Europe sans garanties, constitue un manquement autonome, indépendant de la cyberattaque elle-même. C’est souvent à ce stade que l’enquête révèle des failles anciennes : absence de chiffrement, bases accessibles depuis internet sans authentification forte, correctifs non appliqués, droits d’accès excessifs conservés à d’anciens salariés.
La pratique de la CNIL illustre la sévérité du contrôle sur ces chaînes de responsabilité. La CNIL relate ainsi que sa formation restreinte a sanctionné la société Dedalus Biologie d’une amende de 1,5 million d’euros, notamment pour des défauts de sécurité ayant conduit à la fuite des données de près d’un demi-million de personnes, pour des manquements aux articles 28, paragraphe 3, 29 et 32 du RGPD constatés chez cet éditeur de logiciels pour laboratoires d’analyses agissant comme sous-traitant (sanction CNIL du 15 avril 2022, délibération SAN-2022-009, relatée dans la lettre d’information d’avril 2022). La décision relève notamment qu’un ancien salarié avait alerté dès mars 2020 sur les défauts de sécurité et que des dizaines de milliers d’enregistrements avaient circulé. Retenez-en trois leçons pour votre dossier : le sous-traitant répond lui-même de ses manquements, y compris de ses défauts contractuels ; les alertes internes ignorées aggravent la sanction ; et l’ampleur de la diffusion comme le caractère sensible des données pèsent lourd dans l’appréciation. Sans viser une entreprise en particulier, demandez par écrit : quelles mesures de sécurité étaient en place (chiffrement, pseudonymisation, journalisation, tests d’intrusion), quels audits ont été menés et avec quels résultats, quelles alertes ont été reçues et suivies. Les réponses — ou leur absence — nourriront vos recours.
II. Agir : réclamation, plainte pénale et réparation du préjudice
A. Saisir la CNIL et déposer plainte au pénal
La réclamation auprès de la CNIL est la voie administrative naturelle : toute personne peut s’y plaindre d’une violation du règlement, et la CNIL peut mettre en demeure puis sanctionner, comme elle l’a fait dans l’affaire précitée (présentation CNIL des violations de données et de l’indemnisation). Déposez votre plainte en ligne sur le site de la CNIL en joignant votre dossier : notification reçue, échanges avec l’organisme et son délégué à la protection des données, preuves de la diffusion (captures, attestations), relevés de préjudices. La CNIL ne vous indemnisera pas elle-même — sa mission est de contrôler et de sanctionner — mais sa position pèse dans la suite : une mise en demeure, une sanction ou même une simple réponse circonstanciée établit des faits que le juge civil utilisera. La CNIL détaille la conduite à tenir après un vol ou une fuite de données, notamment la sécurisation des comptes et la vigilance face à l’hameçonnage (conduite à tenir de la CNIL en cas de fuite ou de vol de données). Conservez l’accusé de réception et le numéro de votre dossier : ils prouvent la date et le contenu de votre démarche.
Le volet pénal ne doit pas être négligé, car plusieurs incriminations visent précisément les défaillances de protection. Le code punit : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal), ainsi que : « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité […] est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-17 du code pénal). Autrement dit, l’absence des mesures de sécurité exigées par l’article 32 du RGPD — chiffrement, confidentialité et résilience des systèmes, capacité de rétablissement, tests réguliers — expose pénalement le responsable, jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende. S’y ajoute la divulgation par une personne qui détenait licitement les données : « Le fait, par toute personne qui a recueilli, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel […] de porter, sans autorisation de l’intéressé, ces données à la connaissance d’un tiers qui n’a pas qualité pour les recevoir » est puni des mêmes peines (article 226-22 du code pénal). Si vos résultats d’analyses ou votre dossier ont été revendus, transmis à un employeur ou diffusés par un salarié indélicat, c’est cette qualification qu’il faudra viser dans la plainte — en sachant que, pour ces faits, « la poursuite ne peut être exercée que sur plainte de la victime, de son représentant légal ou de ses ayants droit ».
La Cour de cassation vient de préciser l’articulation de ces textes : l’article 226-21 du code pénal, relatif au détournement de finalité, ne s’applique qu’aux traitements automatisés, tandis que l’article 226-22 « est applicable tant aux traitements automatisés qu’aux traitements manuels » (Cass. crim., 13 janvier 2026, n° 25-80.474). Cette solution intéresse directement les dossiers de santé, où papier et numérique coexistent encore : un dossier papier photographié puis diffusé relève de l’article 226-22 même sans traitement automatisé. En pratique, déposez plainte au commissariat ou à la gendarmerie, ou par lettre au procureur de la République, en visant ces qualifications et en joignant votre dossier ; constituez-vous partie civile pour obtenir réparation dans le procès pénal ou, à défaut, devant le juge civil : « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction » (article 85 du code de procédure pénale). Si l’auteur de l’intrusion est inconnu — cyberattaque par un tiers non identifié — la plainte contre X fait courir l’enquête (traces techniques, réquisitions, coopération avec l’ANSSI) et interrompt la prescription de votre action civile. N’attendez pas l’issue de l’enquête pénale pour exercer vos droits : les voies administrative, pénale et civile se cumulent et avancent à des rythmes différents.
B. Obtenir réparation : prouver la violation et chiffrer le préjudice
Le droit à réparation est inscrit dans le règlement lui-même : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du RGPD). Le texte répartit ensuite la charge : le responsable répond du dommage causé par un traitement violant le règlement, tandis que le sous-traitant n’en répond que s’il a méconnu les obligations qui lui incombent en propre ou s’il a agi hors des instructions licites du responsable ou contre elles (article 82, paragraphe 2). Chacun peut s’exonérer en prouvant que le fait qui a provoqué le dommage ne lui est nullement imputable (article 82, paragraphe 3). Dans un dossier de fuite de données de santé impliquant un établissement et son hébergeur ou son éditeur, assignez les deux : à eux de se départager ensuite, le règlement prévoyant une responsabilité solidaire pour garantir « une réparation effective » à la victime (article 82, paragraphes 4 et 5).
La Cour de justice de l’Union européenne a fixé le mode d’emploi de cette action dans deux arrêts de principe qu’il faut connaître avant de chiffrer. D’abord, la simple violation ne suffit pas à ouvrir droit à réparation : le demandeur doit établir un dommage réel (CJUE, 4 mai 2023, C-300/21, Österreichische Post, point 1). Ensuite, aucune règle nationale ne peut subordonner la réparation du préjudice moral à un seuil de gravité (même arrêt, point 2). Enfin, le montant se fixe selon les règles nationales de la réparation intégrale, dans le respect de l’équivalence et de l’effectivité du droit de l’Union (même arrêt, point 3). Un second arrêt complète le tableau côté défendeur : la remise par erreur d’un document à un tiers non autorisé, par des employés, ne suffit pas à elle seule à juger les mesures techniques et organisationnelles inappropriées ; la réparation a une « fonction compensatoire » — elle doit compenser intégralement le préjudice concret, sans fonction punitive et sans prise en compte de la gravité de la faute dans le montant ; et le demandeur doit établir à la fois la violation et le dommage matériel ou moral qu’elle lui a causé (CJUE, 25 janvier 2024, C-687/21, points 1 à 4). La crainte raisonnable d’une utilisation abusive — anxiété, troubles du sommeil, démarches de protection, sentiment d’exposition de son intimité médicale — constitue un dommage moral réparable dès lors qu’elle est établie par des éléments concrets, sans seuil minimal mais sans automatisme non plus.
Le chiffrage doit donc être méthodique et pièce par pièce. Préjudice matériel : frais d’opposition et de renouvellement de documents, frais bancaires et intérêts en cas d’usurpation, coût des protections souscrites (surveillance d’identité, coffre-fort numérique), pertes de revenus liées aux démarches, et tout débit frauduleux documenté. Préjudice moral : nature des données exposées (une pathologie stigmatisante pèse plus qu’une simple adresse), ampleur et durée de la diffusion (mise en ligne sur un forum, indexation par les moteurs, revente avérée), crainte établie par attestations (médecin traitant, psychologue, proches, employeur), démarches et temps perdu, retentissement familial et professionnel. Joignez les constats utiles : constat d’huissier de justice de la présence de vos données en ligne, signalements sur la plateforme dédiée, réponses de la CNIL, dépôt de plainte, échanges avec l’organisme. À titre de repères — qui ne sont ni des barèmes ni des promesses — les juridictions françaises allouent dans les dossiers de fuite de données des sommes allant de quelques centaines à plusieurs milliers d’euros selon ces critères, et l’indemnisation croît nettement avec la sensibilité des données et la démonstration d’une fraude subie. L’intérêt d’agir vite est double : figer les preuves avant l’effacement des traces, et placer l’adversaire face à ses obligations de conservation des journaux.
Reste la question du tribunal. Le règlement ouvre à la victime une option de proximité : l’action peut être portée devant les juridictions de l’État du responsable ou du sous-traitant, ou devant celles de l’État de votre résidence habituelle, hors le cas de l’autorité publique agissant dans l’exercice de ses prérogatives (article 79, paragraphe 2, du RGPD). Résidant en France, vous pouvez donc saisir le tribunal judiciaire de votre domicile, sans poursuivre l’hébergeur à l’étranger. Pour les lecteurs de Paris et d’Île-de-France, quelques spécificités pratiques : la plainte pénale peut être déposée dans tout commissariat parisien ou francilien ou auprès du parquet du lieu de l’infraction comme du domicile ; la réclamation CNIL se fait en ligne quel que soit le ressort ; devant le tribunal judiciaire de Paris, soignez la démonstration du lien entre la violation et chaque chef de préjudice, pièces numérotées à l’appui, car les formations civiles y examinent strictement la preuve du dommage depuis la jurisprudence européenne précitée. Prévoyez aussi le sort des données pendant le procès : demandez au juge, en référé si nécessaire, d’ordonner la suppression ou le déréférencement des contenus encore accessibles, en complément des dommages et intérêts.
Conclusion
Une fuite de données de santé n’est jamais un simple incident technique : elle expose ce que chacun a de plus intime et fait peser sur l’organisme des obligations précises — sécurité adaptée au risque, notification à la CNIL dans les 72 heures, information des personnes en cas de risque élevé, recours à des sous-traitants et à des hébergeurs certifiés dignes de confiance. Face à la notification reçue, la méthode tient en quatre temps : vérifier l’authenticité du message et l’étendue des données concernées, vous protéger immédiatement contre l’hameçonnage et l’usurpation, identifier par écrit le responsable, ses sous-traitants et son hébergeur, puis activer sans tarder les trois leviers — réclamation à la CNIL, plainte pénale sur les articles 226-16, 226-17 et 226-22 du code pénal, action en réparation sur l’article 82 du RGPD. La jurisprudence européenne vous donne le cadre : un dommage réel à prouver, sans seuil de gravité pour le préjudice moral, une réparation intégrale et compensatoire, une responsabilité solidaire du responsable et du sous-traitant fautif. Constitué avec rigueur — notification conservée, échanges écrits, constats, attestations, relevés de frais — votre dossier transforme l’angoisse de l’exposition en demande chiffrée et vérifiable, que le juge pourra accueillir.