CNIL cyberattaque Cegedim Santé : sanctions, enquêtes et cadre RGPD de la fuite

Sanctions et enquêtes CNIL contre Cegedim Santé

Les délibérations CNIL et l’amende de 2024

La CNIL a prononcé une amende de 800 000 euros à l’encontre de Cegedim Santé, au terme de plusieurs délibérations portant notamment sur les bases Thin et Gers, ainsi que sur des fichiers d’études clients. Le gendarme des données personnelles a retenu un manquement à l’article 5(1)(a) du RGPD, qui impose que tout traitement repose sur une base légale licite.

En cause, le téléservice HRi : la réutilisation statistique de données de santé sans autorisation préalable a été jugée non conforme. Cette sanction s’inscrit dans la continuité des contrôles menés dès 2021 sur des pratiques non conformes au sein de l’écosystème Cegedim.

• Amende de 800 000 euros notifiée le 5 septembre 2024
• Délibérations CNIL visant les bases Thin et Gers
• Contrôles menés en 2021 sur les pratiques de traitement

La validation par le Conseil d’État en 2026

Par une décision du 13 février 2026 (n° 498628), le Conseil d’État a confirmé les sanctions infligées à Cegedim Santé, donnant ainsi un caractère définitif à la position de la CNIL. La plus haute juridiction administrative a également validé la publicité de la sanction pendant 2 ans, une mesure qui prolonge l’effet dissuasif de la décision.

Cette confirmation intervient dans un contexte où la Cour de justice de l’Union européenne a rappelé, par un arrêt du 4 octobre 2024, les conditions dans lesquelles des actions concurrentielles peuvent prospérer en matière de protection des données. Les lignes directrices du CEPD sur le calcul des amendes viennent également encadrer ce type de sanction.

Anonymisation et pseudonymisation des données de santé

La distinction entre anonymisation et pseudonymisation est au cœur des manquements reprochés à Cegedim Santé. Une donnée est pseudonymisée lorsqu’elle reste rattachable à une personne via un identifiant indirect, comme l’article 4(5) du RGPD le précise. À l’inverse, l’anonymisation véritable exige un risque d’identification insignifiant, critère rappelé par le considérant 26 du règlement européen. Or, la base observatoire de Cegedim ne contenait que des données pseudonymisées.

Les facteurs de réidentification sont nombreux : horodatage précis des consultations, granularité des actes médicaux, identifiants professionnels des praticiens. Cette combinaison permet de remonter à des patients réels, ce qui interdit de qualifier le traitement d’anonyme. La réutilisation de ces données à des fins statistiques sans autorisation préalable constitue précisément le manquement à la licéité sanctionné par l’article 5(1)(a) du RGPD.

Ce risque de réidentification pèse d'autant plus quand la fuite concerne des coordonnées de clients, comme l'illustre la cyberattaque subie par Gîtes de France et ses 389 000 vacanciers touchés.

En pratique, documenter chaque étape du processus d’anonymisation est une obligation : méthode employée, critères retenus, tests de robustesse. Sans cette traçabilité, un organisme ne peut démontrer la conformité de son traitement de données de santé.

Ampleur de la fuite : patients et professionnels concernés

Les chiffres avancés par les autorités et par l’entreprise divergent sensiblement, ce qui complique l’évaluation du risque réel pour chaque patient. Le ministère de la Santé évoque 15 millions de personnes concernées, tandis que Cegedim retient 15,8 millions de dossiers administratifs après dédoublonnage. France 2 situe la fourchette des dossiers médicaux exposés sur le dark web entre 11 et 15 millions.

La part réellement sensible reste heureusement plus réduite. L’estimation de l’AFP et de TF1Info retient 17 000 personnes dont les données sensibles auraient été exposées, quand l’analyse du cabinet Rist monte à 164 000 personnes présentant un risque potentiel. Cet écart considérable illustre la difficulté à qualifier précisément le préjudice individuel.

Quels professionnels de santé sont concernés

Côté soignants, l’incident touche d’abord les utilisateurs du logiciel MLM. Sur 3 800 médecins qui l’utilisent, 1 500 sont concernés par la fuite, un périmètre que l’éditeur a lui-même confirmé. Plus largement, les logiciels Cegedim équipent 25 000 cabinets médicaux et 500 centres de santé, ce qui explique la volumétrie globale des dossiers touchés.

Pour un praticien, l’enjeu dépasse la simple atteinte à ses identifiants professionnels : la fuite peut exposer indirectement ses patients et engager sa responsabilité en tant que responsable de traitement conjoint. Mieux vaut vérifier sans attendre si son logiciel fait partie des outils visés et documenter les mesures prises.

Secret médical et cadre réglementaire applicable

Les données de santé relèvent d’une catégorie sensible au sens du RGPD. L’article 9-2 encadre strictement leur traitement : consentement exprès du patient ou nécessité des soins, sans alternative possible. Une fuite de cette nature engage donc bien plus qu’une simple erreur technique.

Toute violation doit être notifiée à la CNIL dans un délai de 72 heures. Si un risque élevé subsiste pour les personnes, celles-ci doivent aussi être informées directement. Ce délai court, rappelé par la CNIL, s’applique dès la connaissance de l’incident.

Cegedim affirme que les dossiers médicaux structurés sont restés intègres. Mais les zones de texte libre et de commentaires, souvent sous-estimées, peuvent contenir des informations sensibles. Ce point nourrit les interrogations sur l’étendue réelle de l’exposition.

Réponse officielle et communiqués de Cegedim Santé

Cegedim Santé a publié un communiqué de presse le 26 février confirmant l’incident et livrant ses premières précisions. L’entreprise indique avoir détecté fin de l’année précédente un comportement anormal sur les requêtes adressées à son logiciel MLM. Sur les 3 800 médecins utilisateurs de cet outil, 1 500 praticiens ont été identifiés comme concernés, et ces derniers ont été contactés dès le début du mois de janvier.

Dans ses précisions complémentaires, Cegedim Santé affirme que les dossiers médicaux structurés sont restés intègres. Selon l’entreprise, la fuite porterait avant tout sur un contenu de nature administrative. Elle reconnaît toutefois qu’un champ de texte libre a pu contenir des informations sensibles, ce qui justifie une vigilance particulière pour les patients comme pour les soignants.

Ce communiqué officiel reste la principale source publique pour comprendre la position de l’éditeur. Il ne clôt pas le débat sur l’ampleur exacte de l’exposition, mais il fixe le cadre de sa communication de crise et sert de référence aux autorités comme aux professionnels de santé qui souhaitent mesurer leur exposition.

Gestion de crise : ANSSI, CNIL et parquet mobilisés

Face à l’ampleur de la fuite, l’État a activé plusieurs leviers en parallèle. Le ministère de la Santé a joué un rôle de pivot en saisissant plusieurs autorités, tandis qu’une procédure judiciaire a été ouverte. Cette mobilisation traduit la gravité particulière d’un incident touchant des données de santé, considérées comme sensibles par le RGPD.

• Saisine de l’ANSSI par le ministère chargé de la Santé pour le volet cyber de l’attaque.
• Saisine de la CNIL par le même ministère, sur les enjeux liés aux données de santé.
• Enquête ouverte à Paris, après saisine du procureur de la République.

Le rôle de l’ANSSI sur le volet technique

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) intervient sur la dimension purement cyber de l’incident. Son objectif : comprendre comment les attaquants ont accédé aux serveurs, identifier les éventuelles failles exploitées et aider Cegedim Santé à colmater les brèches. Ce type d’assistance permet aussi de prévenir une nouvelle intrusion pendant la phase de remédiation.

La CNIL et l’évaluation de la conformité

De son côté, la CNIL a indiqué avoir reçu des notifications à l’automne dernier. L’autorité précise toutefois que l’ampleur exacte de la violation n’est pas encore confirmée et qu’elle pourra diligenter des contrôles si nécessaire. Pour rappel, toute violation doit lui être notifiée dans un délai de 72 heures, et les personnes concernées doivent être informées en cas de risque élevé.

Une enquête judiciaire ouverte à Paris

Le volet pénal complète le dispositif. Une enquête a été ouverte à Paris après saisine du procureur de la République. Les investigations visent à identifier les auteurs de l’intrusion et à qualifier juridiquement les faits, qui peuvent relever d’infractions spécifiques aux systèmes de traitement automatisé de données. Pour les professionnels de santé, cette action publique constitue aussi un signal : la chaîne de responsabilités sera examinée de bout en bout, du fournisseur aux sous-traitants.

Dans le cas de Cegedim, l’accès initial aux données n’a pas été obtenu par une intrusion directe, mais en exploitant la confiance accordée à un prestataire légitime de l’écosystème de santé. Ce mode opératoire correspond à une attaque cyber supply chain, où la compromission d’un fournisseur tiers sert de point d’entrée pour atteindre ses clients.