Données de santé : la fuite Cegedim révèle ce que la conformité ne règle pas
En février 2026, une fuite massive de données de santé impliquant Cegedim (acteur structurant de l’écosystème numérique médical français) a ravivé une question que le secteur esquive depuis des années : sommes-nous réellement à la hauteur de la sensibilité des données que nous confions aux infrastructures numériques ?
Au-delà des responsabilités juridiques que les autorités compétentes auront à déterminer, cet événement dépasse le cadre d’un incident technique. C’est un signal politique, juridique et systémique. Il nous oblige à regarder en face une réalité que la conformité documentaire ne suffit pas à résoudre : nous avons numérisé l’intime sans repenser collectivement les contre-pouvoirs.
La fin du mythe du tiers de confiance
Cegedim n’est pas un simple hébergeur. Le groupe structure l’écosystème de santé français à travers ses logiciels de gestion de cabinet, sa facturation SESAM-Vitale, ses solutions métiers intégrées et ses interconnexions avec de multiples acteurs. C’est précisément cette position centrale qui transforme un incident en crise systémique.
Les milliers de professionnels de santé qui ont choisi un acteur de cette envergure pensaient faire le bon choix : être en conformité, externaliser le risque technique, s’appuyer sur un expert.
Si la faille se situe au niveau du logiciel ou de l’infrastructure centrale, ce ne sont pas quelques établissements isolés qui sont touchés mais c’est l’ensemble de la chaîne. Contrairement à une attaque ciblant un hôpital isolé, l’attaque d’une solution logicielle centralisée crée un point de défaillance unique. La concentration technologique transforme un incident en crise systémique. La confiance n’est plus seulement individuelle, elle devient structurelle.
Quand elle cède à ce niveau, elle cède pour tout le monde simultanément.
La security by design mise à l’épreuve
Le RGPD impose la protection des données dès la conception et par défaut, c’est l’article 25 et ce n’est pas une recommandation. Pour un éditeur structurant du secteur santé, l’exigence va encore plus loin : architecture sécurisée dès l’origine, segmentation des accès, chiffrement robuste, correctifs rapides, tests d’intrusion réguliers, supervision continue. Ce n’est pas une liste de bonnes pratiques. C’est le standard minimum attendu d’un acteur qui héberge les données de santé de millions de personnes.
C’est ici que la distinction entre conformité documentaire et sécurité effective prend tout son sens. Si la faille résulte d’une vulnérabilité connue non corrigée, d’une mauvaise configuration ou d’un défaut structurel dans le code, selon les conclusions de l’enquête technique, la question juridique change de nature.
On ne parle plus d’un aléa technique mais potentiellement d’une négligence sérieuse, une qualification que l’enquête en cours aura à établir, mais que le niveau d’exigence applicable à un acteur de cette envergure rend difficile à écarter.
La security by design n’est pas un slogan marketing. C’est une obligation juridique dont le non-respect, à ce niveau de responsabilité, ne peut pas être traité comme une circonstance atténuante.
La certification HDS : garantie ou illusion de sécurité ?
En France, les hébergeurs de données de santé doivent obtenir la certification HDS sous l’égide de l’Agence du Numérique en Santé. Cette certification est censée attester d’un haut niveau d’exigence, d’un cadre organisationnel strict et de contrôles formalisés. La question que l’incident Cegedim pose sans détour : si un acteur certifié HDS subit une fuite massive, que vaut réellement la certification ?
La réponse honnête est inconfortable. Une certification est un instantané à un instant T. Elle ne garantit pas la résilience continue, l’absence de vulnérabilité future, ni la maturité opérationnelle quotidienne. Ce n’est pas un argument pour la supprimer, c’est un argument pour interroger la robustesse du référentiel et la profondeur des audits. Un contrôle formel réalisé tous les deux ans ne capte pas ce qui se passe entre deux audits : les dettes techniques accumulées, les configurations dérivées, les correctifs différés.
L’incident Cegedim suggère qu’il faudrait évoluer vers des contrôles inopinés renforcés, des audits techniques plus intrusifs, et une obligation de transparence accrue sur les incidents, y compris ceux qui n’atteignent pas le seuil de notification obligatoire. La certification HDS telle qu’elle existe protège contre le risque d’incompétence déclarée. Elle ne protège pas contre la négligence silencieuse.
La fausse dichotomie données structurées / données non structurées
Cegedim a communiqué en affirmant que les dossiers médicaux structurés étaient restés intègres. Cette distinction est techniquement exacte mais juridiquement et humainement trompeuse : les informations les plus sensibles (orientation sexuelle, statut sérologique, antécédents de violences) se trouvaient précisément dans les champs libres, non structurés, hors scope des audits formels.
Cela révèle une faille conceptuelle profonde dans notre approche de la conformité. Nos systèmes surprotègent ce qui est codifié et laissent en clair ce qui est narratif.
Le RGPD catégorise les données de santé comme sensibles en bloc, ce qui est juridiquement correct, mais il ne dit rien de la granularité du risque réel selon la nature technique du champ. Un identifiant structuré et une note clinique rédigée en prose par un médecin n’ont pas le même profil de risque, ne circulent pas dans les mêmes pipelines, et ne sont pas protégés avec la même rigueur dans les architectures actuelles. Pourtant le droit les traite de façon identique.
C’est un chantier de réforme juridique et technique que personne n’a encore ouvert formellement. La communication de Cegedim a involontairement mis le doigt dessus : en se défendant sur les données structurées, l’entreprise a révélé que la vraie exposition était ailleurs : dans les champs que personne ne regardait parce que personne n’avait formellement décidé de les regarder.
Le facteur 2026 : l’IA change l’échelle du risque
En 2026, une fuite de données de santé n’est plus seulement une base copiée. C’est du carburant pour entraîner des modèles d’intelligence artificielle, une matière exploitable pour des campagnes de manipulation ciblée, un levier potentiel de chantage automatisé, une base de corrélation prédictive. L’exploitation n’est plus artisanale : elle peut être industrialisée.
Ce changement d’échelle est qualitatif, pas seulement quantitatif. Une donnée de santé fuitée en 2016 pouvait être revendue sur un marché noir à un concurrent ou à un assureur mal intentionné. La même donnée fuitée en 2026 peut être enrichie, croisée avec des données publiques, profilée à grande échelle et exploitée de façon automatisée par des acteurs dont les capacités techniques dépassent largement celles des victimes. Le risque change de dimension parce que les outils disponibles pour l’exploitation ont changé de dimension. Ce que le RGPD a été conçu pour encadrer, un traitement humain, délibéré, identifiable, ne correspond plus à la réalité de ce que ces données peuvent subir une fois exfiltrées. C’est une asymétrie que le cadre réglementaire actuel n’a pas encore intégrée.
Vers une prise de conscience démocratique
Les données de santé ne sont pas des données comme les autres. Cette formule, répétée depuis des années, n’a pas suffi à produire les réflexes qu’elle devrait générer.
Ce que l’incident Cegedim rend concret, c’est que parmi les 15 millions de personnes concernées figurent des hauts fonctionnaires, des responsables de la sécurité nationale, des personnalités publiques. Des données sur leur état de santé, leur vie intime, leurs fragilités (consignées dans un champ libre par leur médecin) sont désormais potentiellement accessibles à n’importe quel acteur malveillant, étatique ou criminel.
Ce n’est plus une hypothèse d’école. Une donnée de santé peut fragiliser une carrière, altérer l’accès au crédit ou à l’assurance, créer une vulnérabilité durable pour une personne, une famille, une institution. À l’échelle de millions de dossiers, c’est la matière première d’une influence discrète et durable sur des individus qui exercent des responsabilités collectives. Quand l’intime devient exploitable à cette échelle, ce n’est pas seulement la vie privée qui est en jeu, c’est la capacité des personnes et des institutions à agir librement.
La cybersécurité des données de santé n’est pas un sujet de conformité. C’est un sujet de souveraineté.
La question de la récidive régulatoire
La fuite de 2026 survient après une sanction formelle par la CNIL de Cegedim à hauteur de 800 000 euros en 2024 pour traitement illicite de données. Les deux incidents ne sont pas nécessairement liés sur le plan technique, mais leur succession pose une question de politique régulatoire que les autorités compétentes auront à traiter : que fait-on quand un acteur structurant récidive ?
Le système actuel n’est pas conçu pour gérer cette injonction contradictoire, sanctionner un acteur critique d’un côté, et maintenir la continuité des soins pour des millions de patients de l’autre. Un hôpital ou un cabinet médical ne peut pas changer de logiciel en trois mois. Cette dépendance structurelle est en réalité un levier de pression inversé sur le régulateur : plus l’acteur est central, moins la sanction est crédible, parce que son application intégrale serait elle-même un risque systémique. C’est une impasse que personne ne veut nommer et que l’incident Cegedim rend difficile à continuer d’ignorer.
En conclusion
L’après dépendra de trois choses :
- la capacité des régulateurs à sanctionner réellement et pédagogiquement, sans être paralysés par la dépendance systémique des acteurs qu’ils contrôlent ;
- la capacité des organisations structurantes à intégrer une sécurité technique profonde et non cosmétique, mesurable autrement que par un audit bisannuel ; et
- la capacité du système dans son ensemble à accepter que la cybersécurité des données de santé est un enjeu de souveraineté, pas seulement un sujet de conformité.
Sans ces trois conditions réunies, chaque fuite deviendra un nouvel épisode d’une normalisation silencieuse du risque. La confiance ne se décrète pas. Elle se construit, et se perd vite.
L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.
Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain