La Direction de la santé a publié un communiqué pour informer du piratage d’un de ses sous‑traitants qui a conduit, en novembre 2025, à la copie de données personnelles collectées par un logiciel de recueil. Selon le texte rendu public, l’accès non autorisé a permis à un tiers de dupliquer certaines informations d’identification, mais la Direction assure que la situation est «
aujourd'hui résolu» et que l’outil concerné n’était plus utilisé par ses services depuis 2023.
Quels types de données ont été exposés ?
La Direction de la santé précise que les éléments copiés comprennent des données d’identification : nom, prénom, date de naissance, sexe et certaines coordonnées (courriel ou numéro de téléphone). Elle indique par ailleurs qu’aucun numéro de dossier national (DN) ni donnée bancaire n’a été affecté.
Des éléments relatifs à la santé étaient présents dans l’ensemble, mais ils étaient stockés chiffrés et donc, selon l’organisme, inexploitables. La Direction ajoute toutefois que, dans certains cas, des informations sur la vaccination pourraient être déduites du contexte des enregistrements copiés.
| Catégorie de données | Statut |
|---|---|
| Nom, prénom, date de naissance, sexe | Exposés |
| Coordonnées (courriel, téléphone) | Exposées |
| Numéro de DN | Non concerné |
| Données bancaires | Non concernées |
| Données de santé | Présentes mais chiffrées (inexploitables selon la Direction) |
Réponses et mesures engagées
Après la découverte de l’accès non autorisé, la Direction de la santé a notifié la Commission nationale de l'informatique et des libertés (CNIL) et entrepris une évaluation des risques liés à la fuite. Le sous‑traitant mis en cause — SYADEM, prestataire de l’éditeur EPICONCEPT — a, selon la Direction, renforcé ses contrôles d’accès et ses dispositifs de sécurité pour corriger les vulnérabilités identifiées.
La Direction met également à disposition des usagers une information détaillée sur son site, comprenant une foire aux questions destinée à expliquer l’incident et les démarches à suivre pour les personnes concernées.
- Notification officielle à la CNIL et évaluation des risques.
- Renforcement des contrôles d’accès et des dispositifs de sécurité par le sous‑traitant.
- Publication d’une foire aux questions et d’informations complètes sur le site de la Direction de la santé.
Conseils aux personnes potentiellement concernées
À titre de précaution, la Direction de la santé recommande de rester vigilant face à toute sollicitation inhabituelle par courriel, SMS ou téléphone. Elle rappelle qu’elle ne demande jamais de mot de passe ni de code bancaire par ces canaux et appelle les personnes à ne jamais communiquer d’informations personnelles ou confidentielles lorsqu’elles doutent de l’identité d’un interlocuteur.
Pour tout message suspect, la Direction oriente vers la plateforme nationale dédiée à la lutte contre la cybermalveillance : cybermalveillance.gouv.fr. À ce stade, elle indique qu’aucune utilisation frauduleuse des données copiées n’a été constatée.
Ce signalement illustre une fois de plus les risques liés à l’externalisation de services numériques et la sensibilité des fichiers contenant des données de santé. Les autorités insistent sur la nécessité de contrôles stricts chez les sous‑traitants et d’une réaction rapide en cas d’incident pour limiter les impacts sur les personnes concernées.
La Direction de la santé reste l’interlocuteur pour toutes demandes complémentaires et met à jour les informations disponibles au fur et à mesure de l’avancée des investigations.
