Incident MLM chez Cegedim : Anatomie d'une fuite de données estimée à 11-15 millions de dossiers patients

Révélée le 26 février 2026 par une enquête diffusée au 20h de France 2, une base de données présentée comme accessible sur le dark web exposerait des informations issues de consultations médicales, concernant « entre 11 et 15 millions » de personnes selon les éléments avancés et repris par plusieurs médias.[1][2] L’éditeur Cegedim reconnaît, de son côté, un incident détecté « fin 2025 » sur des comptes de médecins utilisant son logiciel MLM (MonLogicielMedical.com), tout en contestant la nature exacte des données impliquées : le groupe affirme que les informations consultées ou extraites proviennent « exclusivement du dossier administratif du patient » et que « les dossiers médicaux structurés des patients sont restés intègres ».[3]

À retenir (lecture rapide)

• France 2 évoque 11 à 15 millions de personnes listées dans une base liée à des consultations médicales.^[1]
• Cegedim décrit une attaque sur MLM : 3 800 médecins utilisateurs, dont 1 500 concernés, contactés début janvier 2026.^[3]
• Le désaccord principal porte sur la profondeur clinique des données : notes libres très sensibles côté enquête, « dossier administratif » côté éditeur.^[1][3]
• Selon les reprises de l’enquête, la CNIL n’a pas apporté d’éléments publics additionnels à ce stade.^[1]
• Le risque dépasse la confidentialité : discrimination, assurance et emploi sont explicitement cités par un expert interrogé.^[1]

Une base sur le dark web et un chiffrage encore à objectiver

Selon Numerama, qui relaie l’enquête de France 2, « l’existence d’une base de données en libre accès sur le dark web » serait documentée, avec, « dans certains cas », des informations recueillies lors de consultations médicales, pour un volume évalué « entre 11 et 15 millions de personnes ».^[1] 01net reprend le même ordre de grandeur et décrit des dossiers jugés « extrêmement précis » sur l’état de santé, comportant des annotations rédigées au fil de l’eau par des professionnels.^[2]

Ce cadrage initial laisse toutefois plusieurs paramètres en suspens, en particulier pour les soignants qui cherchent à mesurer un risque concret :

• l’estimation « 11–15 millions » ne s’accompagne pas, à ce stade, d’une méthodologie publique permettant de distinguer doublons, période couverte, sources exactes et taux de complétude ;^[1][2]
• la notion de « dossier médical » peut recouvrir des architectures très différentes, notamment la séparation entre champs structurés (codage, prescriptions) et champs en texte libre.

La version de l’éditeur : un incident sur MLM et des données dites administratives

Dans un communiqué publié le 26 février 2026, Cegedim indique que sa filiale Cegedim Santé a identifié « fin 2025, un comportement anormal de requêtes applicatives sur des comptes médecins utilisateurs du logiciel MLM (MonLogicielMedical.com) ».^[3]

L’éditeur précise que MLM est utilisé par « 3 800 médecins en France », dont « 1 500 concernés par cette attaque » et que « tous les médecins concernés ont été contactés début janvier » 2026, avec un accompagnement sur les notifications et l’information des patients « conformément à leurs obligations de responsable de traitement au sens du RGPD » (Règlement général sur la protection des données).^[3]

Sur la nature des informations, Cegedim écrit que les données consultées ou extraites « proviennent exclusivement du dossier administratif du patient : nom, prénom, sexe, date de naissance, téléphone, adresse, email et commentaire administratif en texte libre à la discrétion des médecins ».^[3] Le texte reconnaît néanmoins une fragilité : ce champ libre « a pu contenir, pour un nombre très limité de patients, des annotations personnelles du médecin concernant des informations sensibles » ; l’éditeur affirme en parallèle que « les dossiers médicaux structurés des patients sont restés intègres ».^[3]

Autre point de divergence, explicitement formulé : « contrairement à ce qui a été évoqué dans le reportage, Cegedim n’a jamais été contacté par le cybercriminel ».^[3]

Notes libres et données sensibles : la frontière clinique qui inquiète

Le point le plus sensible se situe moins dans l’intitulé d’un champ que dans son usage réel. C’est précisément là que l’enquête met le doigt sur une zone grise : un texte libre présenté comme « administratif » peut, dans la pratique, devenir un espace de consignation clinique et intime. Numerama cite des exemples de notes attribuées à la base diffusée, où apparaissent des informations susceptibles d’entrer dans les catégories de données particulièrement sensibles : statut sérologique, orientation sexuelle supposée, religion, éléments familiaux et psychiques.^[1]

Pour les personnes exposées, l’impact ne se limite pas à la violation de la confidentialité. Benoit Grünemwald (ESET France), cité par Numerama, évoque des usages discriminatoires possibles lors d’« une recherche d’emploi » ou de « la souscription à un contrat d’assurance ».^[1] Du côté des cabinets et des centres, cette perspective renvoie à une question très concrète : comment continuer à documenter finement une prise en charge, tout en évitant que des éléments stigmatisants ne se retrouvent, un jour, hors de leur contexte médical.

CNIL et gouvernement : signaux disponibles et zones encore silencieuses

Selon Numerama, sollicitées dans le cadre de l’enquête, la CNIL « n’a pas été en mesure d’apporter davantage d’informations » au moment où l’article est publié.^[1] Cegedim affirme, pour sa part, avoir procédé « notamment [à] la notification auprès de la CNIL » et au « dépôt de plainte auprès du procureur de la République ».^[3]

À ce stade, les sources consultées ne mentionnent pas de prise de parole publique détaillée du ministère de la Santé spécifiquement consacrée à ce dossier. Pour sortir des déclarations de principe et entrer dans une photographie objectivée, trois informations pèseront lourd dans l’appréciation de l’ampleur : le périmètre exact, la typologie des champs concernés (structurés, texte libre, métadonnées), et la chronologie de l’accès (date d’intrusion, durée d’exposition, mesures correctrices, notifications effectives).

Un climat de régulation plus ferme et une fatigue numérique de terrain

L’affaire survient dans un contexte où la sécurité des données fait l’objet d’une pression accrue. La CNIL a, par exemple, prononcé en janvier 2026 une sanction de 5 millions d’euros à l’encontre de France Travail dans un dossier distinct portant sur des manquements à la sécurité.^[4] Cegedim Santé a, par ailleurs, fait l’objet en 2024 d’une sanction liée à des traitements de données de santé sans autorisation préalable, affaire sans lien direct établi avec l’incident MLM décrit aujourd’hui, mais révélatrice d’un cadre devenu nettement plus exigeant.^[5]

Dans les pratiques, la question n’est plus théorique : elle s’inscrit dans une succession d’événements touchant des outils utilisés au quotidien. On l’a vu avec la cyberattaque ayant affecté des milliers de soignants utilisant une solution de cabinet, avec la fuite de données de santé déclarée par une plateforme de téléconsultation, ou encore, sur un autre registre, avec un incident de perte de données médicales chez un acteur de prise de rendez-vous. Cette accumulation donne à l’affaire Cegedim une portée systémique : elle questionne à la fois la robustesse technique des outils et la dépendance croissante des soins de ville à des infrastructures numériques mutualisées.

Références

1. Numerama, « Fuite de dossiers médicaux : une immense base de données expose les consultations de millions de Français », 27 février 2026. https://www.numerama.com/cyberguerre/2189661-fuite-de-dossiers-medicaux-une-immense-base-de-donnees-expose-les-consultations-de-millions-de-francais.html

2. 01net, « Fuite massive de données médicales : jusqu’à 15 millions de Français touchés, dont des personnalités publiques », 26 février 2026. https://www.01net.com/actualites/fuite-massive-de-donnees-medicales-jusqua-15-millions-de-francais-touches-dont-des-personnalites-publiques.html

3. Cegedim, « Communiqué de presse — Communication concernant le reportage diffusé lors du journal de 20h de France 2 du 26/02/2026 », 26 février 2026. https://www.cegedim.fr/Communique/Cegedim_Communique26022026.pdf

4. CNIL, « Violation de données : sanction de 5 millions d’euros à l’encontre de FRANCE TRAVAIL », 29 janvier 2026. https://www.cnil.fr/fr/violation-de-donnees-sanction-5millions-france-travail

5. CNIL, « Données de santé : sanction de 800 000 euros à l’encontre de la société CEGEDIM SANTÉ », 12 septembre 2024. https://www.cnil.fr/fr/donnees-de-sante-sanction-de-800-000-euros-societe-cegedim-sante

6. Caducee.net, « Cyberattaque Weda : 23 000 soignants concernés », 19 novembre 2025. https://www.caducee.net/actualite-medicale/16693/cyberattaque-weda-23-000-soignants-concernes.html

7. Caducee.net, « MédecinDirect : fuite de données de santé, jusqu’à 323 069 patients concernés », 8 décembre 2025. https://www.caducee.net/actualite-medicale/16715/medecindirect-fuite-de-donnees-de-sante-jusqu-a-323-069-patients-concernes.html

8. Caducee.net, « Doctolib perd accidentellement des milliers de données médicales sensibles », 9 mai 2023. https://www.caducee.net/actualite-medicale/16109/doctolib-perd-accidentellement-des-milliers-de-donnees-medicales-sensibles.html