Votre assureur ou l’expert exige l’intégralité de votre dossier médical : ce que vous devez transmettre, ce que vous pouvez refuser, et comment obtenir réparation (2026)
Après un accident, une hospitalisation ou un arrêt maladie prolongé, la demande arrive souvent par courrier ou par courriel : votre assureur réclame votre dossier médical complet, l’expert désigné veut l’ensemble de vos comptes rendus, parfois sur plusieurs années, y compris pour des pathologies sans rapport avec le sinistre. Le réflexe le plus fréquent consiste à tout envoyer, par crainte de perdre l’indemnisation. Ce réflexe se comprend, mais il n’est pas exigé par les textes. Les données de santé bénéficient d’une protection renforcée : le secret médical couvre en principe toutes les informations venues à la connaissance des professionnels de santé, et le règlement européen interdit par principe le traitement des données de santé. L’assureur et l’expert disposent bien de moyens d’obtenir les pièces nécessaires à l’évaluation de vos droits, et le juge peut leur ordonner de produire des documents médicaux précis. Mais cette communication reste bornée au litige en cause : ni l’assureur ni l’expert ne peuvent exiger l’intégralité de votre historique médical sans lien avec le sinistre, et toute divulgation hors de ce périmètre peut engager la responsabilité de son auteur et ouvrir droit à réparation. Cet article décrit les règles applicables à partir des textes et des décisions vérifiés en 2026, puis les démarches concrètes : trier la demande, répondre par écrit, saisir la CNIL, porter plainte et agir devant le juge.
I. L’assureur et l’expert ne peuvent pas tout exiger : secret médical et périmètre strict
A. Le secret médical protège l’ensemble de votre dossier, et seul le patient peut en disposer
Le principe figure dans le code de la santé publique : « Toute personne prise en charge par un professionnel de santé […] a droit au respect de sa vie privée et du secret des informations la concernant » (article L.1110-4 du code de la santé publique). Le même texte ajoute : « Excepté dans les cas de dérogation expressément prévus par la loi, ce secret couvre l’ensemble des informations concernant la personne venues à la connaissance du professionnel […] Il s’impose à tous les professionnels intervenant dans le système de santé. » Concrètement, vos comptes rendus d’hospitalisation, vos résultats d’examen, vos prescriptions et les correspondances entre vos médecins sont couverts, et ce secret ne s’arrête pas à la porte du cabinet : il s’impose aussi aux organismes qui reçoivent ces informations pour traiter votre dossier.
Le droit pénal renforce cette protection. « La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 euros d’amende » (article 226-13 du code pénal). Par ailleurs, « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement […] de détourner ces informations de leur finalité » est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-21 du code pénal). Un assureur qui recevrait des pièces médicales pour évaluer un sinistre puis les utiliserait à une autre fin, par exemple pour alimenter un autre dossier ou pour les transmettre à un tiers sans base légale, s’exposerait à ce second texte.
Le droit européen ajoute un verrou spécifique aux données de santé. le traitement des données de santé est interdit par principe (article 9 du règlement (UE) 2016/679), sauf si l’une des exceptions prévues par ce même article est remplie, notamment le consentement explicite ou la nécessité de constater, d’exercer ou de défendre un droit en justice. Autrement dit, votre assureur ne peut traiter vos données de santé que sur un fondement précis, pour une finalité déterminée, et jamais par une collecte systématique de tout votre passé médical.
Surtout, le secret médical appartient au patient, et à lui seul. La chambre criminelle de la Cour de cassation l’a jugé nettement dans un arrêt du 13 octobre 2020 (pourvoi n° 19-87.341) : le secret médical, droit propre au patient, son médecin ne permet pas au médecin de se constituer partie civile du chef de violation du secret professionnel dans l’intérêt de celui-ci. Cette solution éclaire votre position : personne ne peut disposer de votre secret médical à votre place, ni votre médecin, ni votre ancien établissement de soins, ni votre assureur. C’est vous qui autorisez, par écrit et pour un périmètre défini, la transmission de telle pièce à tel destinataire, et vous pouvez refuser le reste.
Ce principe se vérifie aussi dans les litiges où un professionnel diffuse des données de santé sans autorisation. Le tribunal judiciaire d’Aix-en-Provence, dans un jugement du 5 août 2025 (RG n° 22/03891), a retenu la faute d’un syndic de copropriété qui avait joint à une convocation d’assemblée générale des assignations contenant des données à caractère personnel incluant des données de santé, transmises à l’ensemble des copropriétaires. Le tribunal a jugé que cette diffusion ne s’inscrivait dans aucune finalité légale légale et que la société avait commis une faute en appliquant un traitement illicite à ces données. Chaque époux a obtenu 1 000 euros de dommages et intérêts en réparation de son préjudice moral, outre une injonction d’effacement sous astreinte. La leçon vaut pour tout détenteur de vos données médicales : transmettre au-delà du strict nécessaire, sans votre accord, constitue une faute.
B. L’expert et l’assureur obtiennent les pièces en lien avec le litige, pas votre historique complet
L’existence du secret médical n’interdit pas toute communication : l’expert chargé d’évaluer votre préjudice et l’assureur chargé de l’indemniser ont besoin de pièces. La limite tient au périmètre. Les juges l’expriment de façon constante : les documents médicaux peuvent être produits à l’expert lorsqu’ils sont en lien avec les faits litigieux et indispensables à l’exercice du droit à la preuve, et dans cette seule mesure.
La cour d’appel de Paris l’a jugé le 7 mars 2024 (pôle 1, chambre 2, RG n° 23/12900), dans un litige opposant un hôpital privé et son assureur : les défendeurs devaient remettre à l’expert, aussitôt que possible, y compris les documents médicaux protégés par le secret professionnel relatifs à la partie demanderesse, sans que le secret médical puisse leur être opposé. Le 22 janvier 2026 (RG n° 25/07040), la même chambre a précisé le périmètre : les défendeurs devaient produire à l’expert, aussitôt que possible, toutes les pièces, y compris les pièces médicales strictement en lien avec les faits litigieux et indispensables à l’exercice de leur droit à la preuve et au bon déroulement des opérations d’expertise, sans que la partie demanderesse puisse leur opposer le secret médical. Et la cour d’appel de Toulouse, le 14 mai 2025 (3e chambre, RG n° 24/02696), a ordonné la remise à l’expert des documents médicaux protégés par le secret professionnel, strictement nécessaires à leur défense et en lien avec les faits dénoncés. Trois décisions, une même formule : en lien avec les faits litigieux, strictement nécessaires, indispensables à l’expertise. Un relevé d’hospitalisation de 2019 sans rapport avec un accident de 2026 n’entre pas dans ce périmètre.
En pratique, face à une demande de « dossier complet », la méthode consiste à trier. Demandez par écrit à l’assureur ou à l’expert la liste précise des pièces réclamées, la finalité de chaque pièce et le fondement de la demande. Transmettez les pièces en lien direct avec le sinistre ou le litige : compte rendu de l’hospitalisation en cause, certificats médicaux décrivant les lésions invoquées, arrêts de travail correspondants. Refusez par écrit la transmission des pièces sans lien : antécédents anciens sans rapport, suivi psychologique sans lien avec le dommage, données génétiques ou relatives à votre vie familiale. Conservez une copie de ce que vous transmettez et de votre courrier de refus ciblé : ces écrits feront foi si le refus de garantie est ensuite fondé sur un prétendu défaut de collaboration.
Pour calibrer votre réponse, distinguez trois catégories de pièces. Celles en lien direct avec le sinistre déclaré : compte rendu des urgences, certificat médical initial décrivant les lésions, arrêts de travail et prolongations, factures de soins restées à charge. Celles utiles à l’évaluation des séquelles : expertises déjà réalisées, comptes rendus de rééducation, avis du médecin traitant sur l’évolution. Et celles sans lien, à écarter : antécédents familiaux, hospitalisations anciennes sans rapport, suivi gynécologique, andrologique ou psychologique sans lien avec le dommage, résultats génétiques. Si l’assureur persiste à réclamer la troisième catégorie, demandez-lui d’expliquer par écrit en quoi chaque pièce serait indispensable à l’évaluation du sinistre déclaré : cette explication écrite, ou son absence, pèsera ensuite devant le juge et devant la CNIL. Une autorisation de transmission, quand vous l’acceptez, doit mentionner l’identité du destinataire, la liste des pièces, la finalité précise et une durée limitée ; une formule générale autorisant l’assureur à « se procurer tout document médical » ne remplit pas ces conditions et doit être refusée ou réécrite.
Vous disposez d’ailleurs d’un accès direct à votre dossier, qui vous permet de contrôler ce que vous transmettez. Toute personne « a accès à l’ensemble des informations concernant sa santé détenues […] par des professionnels de santé » et formalisées par écrit (article L.1111-7 du code de la santé publique, en vigueur au 24 octobre 2026). Demandez la copie de votre dossier à l’établissement avant de répondre à l’assureur : vous saurez exactement ce qu’il contient et vous éviterez qu’un tiers ne sélectionne des pièces à votre place.
Un courrier de réponse efficace tient en quatre paragraphes. Rappelez la référence du sinistre et la demande reçue, en citant sa date. Listez les pièces que vous transmettez, en précisant pour chacune son lien avec le sinistre : compte rendu des urgences du jour de l’accident, certificat médical initial, arrêts de travail correspondants. Indiquez les pièces que vous refusez de transmettre et pourquoi : antécédents sans rapport avec le dommage, suivi sans lien, données génétiques ou familiales. Terminez en demandant à l’assureur de justifier par écrit, pièce par pièce, en quoi chaque document refusé serait indispensable à l’évaluation du sinistre déclaré, et conservez la preuve de cet envoi. Ce formalisme évite les demandes successives toujours plus larges et fige le périmètre du débat : si l’assureur invoque ensuite un défaut de collaboration pour réduire l’indemnisation, le juge disposera de votre courrier et de sa réponse, ou de son silence.
Deux mises en garde complètent ce tableau. D’abord, vérifiez l’identité du destinataire avant toute transmission. Les faux sites qui usurpent l’identité d’assureurs ou d’organismes officiels se multiplient : la cour d’appel de Paris a confirmé le 26 octobre 2023 (pôle 6, chambre 8, RG n° 21/04944) le licenciement d’un salarié qui avait fait rembourser une formation d’anglais prétendument suivie auprès d’un organisme sans consistance, dont l’adresse correspondait à une simple boîte aux lettres et pour lequel il il n’existait nulle trace de formateurs ou de locaux. Transposée à votre situation, la leçon est simple : un « organisme de gestion de sinistres », un « service médical » ou un « conseiller indemnisation » qui vous réclame vos pièces par un courriel pressant doit être vérifié — coordonnées officielles de l’assureur, espace client habituel, numéro figurant sur votre contrat — avant tout envoi. Ensuite, ne signez jamais d’autorisation générale et illimitée de « lever le secret médical » : une autorisation doit désigner les pièces, le destinataire et la finalité, et vous pouvez la révoquer pour l’avenir.
II. Quand vos données de santé fuient ou sont utilisées sans votre accord : démarches, plainte et réparation
A. Exiger la notification, l’information et l’effacement, et saisir la CNIL
Lorsqu’un établissement de santé, un laboratoire, une mutuelle ou un logiciel médical subit une attaque, des obligations précises pèsent sur lui. le responsable du traitement et le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque (article 32 du règlement (UE) 2016/679). En cas de violation, le responsable doit notifier cette violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (article 33 du règlement (UE) 2016/679). Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable doit la communiquer à la personne concernée dans les meilleurs délais (article 34 du règlement (UE) 2016/679). Si vous apprenez par la presse qu’un établissement où vous avez été soigné a été piraté et que personne ne vous a écrit, cette absence d’information directe constitue déjà un manquement potentiel.
La CNIL applique ces textes avec des sanctions lourdes, y compris en 2026. Le 3 septembre 2026, elle a annoncé une amende de 500 000 euros contre un hôpital privé après une intrusion survenue pendant l’été 2025 dans son dossier patient informatisé : l’attaquant avait accédé aux données de 524 867 patients et à celles de 202 246 personnes désignées comme « tiers de confiance » (sanction de la CNIL contre l’Hôpital privé de la Loire, délibération n° SAN-2026-009 du 21 juillet 2026). La CNIL a relevé l’absence de mesures élémentaires de sécurité, notamment une authentification insuffisamment robuste pour les accès externes, et le fait que seuls les patients concernés par la violation avaient été informés, sans aucune information directe des 202 246 personnes désignées comme tiers de confiance alors que leurs données avaient également été dérobées. Le 28 mai 2026, elle avait prononcé une amende de 5 millions d’euros contre la société IQVIA Operations France pour des manquements portant sur des données de santé de plusieurs dizaines de millions de personnes, assortie d’injonctions de mise en conformité dans un délai de six mois sous peine de 10 000 euros par jour de retard (sanction de la CNIL contre IQVIA, délibération n° SAN-2026-008 du 26 mai 2026). Ces décisions montrent que l’information des proches et la sécurité des accès distants sont contrôlées, et que leur absence est sanctionnée.
Les proches désignés comme tiers de confiance disposent de droits propres : dans l’affaire sanctionnée en 2026, plus de 200 000 d’entre eux n’avaient reçu aucune information directe alors que leurs données avaient été dérobées avec celles des patients. Si vous êtes conjoint, parent ou enfant majeur enregistré comme personne à prévenir, demandez par écrit à l’établissement si vos données figurent parmi celles qui ont été exposées et quelle information individualisée vous avez reçue. L’absence de réponse caractérise un manquement distinct de celui subi par le patient, et ouvre un droit à réparation autonome.
Par ailleurs, « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal). Un établissement qui conserverait vos données de santé sans base légale ou au-delà du nécessaire s’expose donc aussi sur le terrain pénal, en plus des sanctions de la CNIL.
De votre côté, exercez vos droits par écrit. Demandez à l’établissement la copie de vos données et le détail de ce qui a été exposé, puis exigez l’effacement des données traitées illicitement : le tribunal d’Aix-en-Provence a fait application du droit à l’effacement et assorti l’injonction d’une astreinte de 50 euros par jour de retard pendant trois mois. Adressez ensuite une réclamation à la CNIL en joignant le courrier de l’établissement, ou son absence de réponse, et vos preuves. La réclamation individuelle nourrit les contrôles : la sanction contre l’hôpital privé faisait suite à une violation constatée, et chaque signalement documenté compte. Si l’établissement confie vos données à un hébergeur, rappelez : « La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat » et que l’hébergement « est réalisé après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime » (article L.1111-8 du code de la santé publique).
B. Porter plainte et obtenir réparation devant le juge
Le volet pénal ne doit pas être négligé. « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende » (article 323-1 du code pénal). L’escroquerie visant à obtenir vos données ou vos fonds, par exemple un faux site d’assureur ou un faux conseiller qui vous fait « valider » l’accès à votre espace santé, relève de l’article 313-1 : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds […] L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » (article 313-1 du code pénal). Déposez plainte au commissariat ou à la gendarmerie, en apportant les messages, les relevés et la chronologie. Lorsque l’auteur est inconnu, comme dans la plupart des piratages, la plainte en ligne est possible : le service public précise qu’elle peut être déposée lorsque l’auteur des faits est inconnu (plainte en ligne sur service-public.fr). Conservez le récépissé : il servira pour l’assureur, la banque et le juge.
Devant le juge civil, la réparation du préjudice moral est admise et chiffrée. Le tribunal de proximité de Haguenau, le 9 avril 2026 (RG n° 25/03391), a condamné l’ex-conjoint d’une requérante qui avait accédé frauduleusement aux données de son téléphone portable : l’atteinte à la vie privée ouvre droit à réparation, le préjudice étant inhérent à cette atteinte, avec 950 euros de dommages et intérêts. Le tribunal d’Aix-en-Provence a alloué 1 000 euros à chacun des deux époux dont les données, notamment de santé, avaient été diffusées à tous les copropriétaires, tout en refusant d’indemniser les enfants mineurs faute de préjudice moral spécifique établi à leur égard. Le texte européen ouvre la même voie : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du règlement (UE) 2016/679).
Enfin, si un acte a été souscrit à votre nom à votre insu, contestez-le sans tarder par écrit. La cour d’appel de Versailles, le 7 novembre 2023 (1re chambre, 2e section, RG n° 22/03198), a débouté un établissement bancaire qui poursuivait un client au titre d’un compte dont il contestait la signature, estimant qu’il avait été victime d’une usurpation d’identité : la banque a été condamnée à lui verser 3 000 euros en réparation du préjudice de la procédure abusive. La méthode vaut pour tout contrat ou toute autorisation donnée en votre nom : opposition écrite immédiate, dépôt de plainte, demande de production de l’original signé, et saisine du juge en cas de poursuite.
En résumé, ne transmettez jamais l’intégralité de votre dossier médical sur une simple demande téléphonique ou un formulaire pré-coché : exigez la liste des pièces, leur finalité et leur lien avec le sinistre, ne communiquez que ce périmètre, et refusez le surplus par écrit. En cas de fuite ou d’utilisation détournée, faites constater, demandez l’effacement, saisissez la CNIL, portez plainte et faites chiffrer votre préjudice. Les décisions rendues en 2025 et 2026 montrent que les juges indemnisent l’atteinte, même sans perte financière, dès lors que la faute et l’exposition de vos données sont établies.