Professionnels de santé : les quatre risques, quand chaque page peut révéler un état de santé
Presque tout ce qu'un cabinet traite en ligne relève des données de santé, jusqu'à la page qu'un patient lit et au créneau qu'il réserve. L'enjeu des quatre risques en est plus élevé, et les régulateurs ont sanctionné des médecins et des dentistes à titre individuel, pas seulement des hôpitaux.
c'est la fourchette des amendes infligées par la CNIL à des médecins et des dentistes à titre individuel depuis 2020, le plus souvent sans les nommer, pour des images médicales laissées en accès libre en ligne, une sécurité insuffisante et des patients privés de leur propre dossier.
CNIL, consulté 8 nov. 2026d'amende de la CNIL contre l'Hôpital Privé de la Loire en 2026, après l'intrusion d'un attaquant par l'accès des utilisateurs extérieurs, dont des médecins libéraux, sans authentification multifacteur.
CNIL, 3 sept. 2026transmettaient à Facebook, par le Meta Pixel, des informations sur des pathologies, des rendez-vous et des traitements, selon la presse en mai 2023 ; 17 ont déclaré l'avoir retiré.
PA via BreakingNews.ie, 28 mai 2023À quoi ressemble chacun dans votre activité
E-mails en votre nom
Un patient reçoit un e-mail venant de l'adresse de votre cabinet : une consultation reste impayée et doit être réglée aujourd'hui, par un lien. Vous ne l'avez jamais envoyé. Votre domaine n'a pas de politique DMARC : la messagerie du patient n'avait donc aucune instruction pour le refuser, et comme vous envoyez déjà des rappels de rendez-vous par e-mail, il paraît banal.
- Nous n'avons trouvé aucun régulateur qui sanctionne un cabinet pour l'absence d'enregistrement DMARC en tant que telle. Le risque, c'est la fraude en votre nom contre vos patients, les laboratoires et vos confrères et, si une usurpation mène à un vol de données, l'obligation générale de sécuriser les données.
- Le National Cyber Security Centre (NCSC), le centre britannique de cybersécurité, indique que SPF, DKIM et DMARC rendent difficile pour des criminels l'usurpation de votre adresse, et que chaque domaine en a besoin, y compris ceux hébergés chez Google ou Microsoft 365 (NCSC, 7 oct. 2019).
- En France, la CNIL et l'Ordre des médecins demandent une messagerie sécurisée de santé entre professionnels et, quand l'e-mail ordinaire est utilisé, une pièce jointe chiffrée avec le mot de passe envoyé par un autre canal (CNIL and CNOM, juin 2018).
Suivi avant consentement
Votre agence installe le Meta Pixel sur tout le site pour une campagne sur les implants. Il se déclenche désormais sur la page des maladies des gencives, sur celle des prothèses dentaires et sur la confirmation de rendez-vous, et envoie à Meta l'adresse de la page, l'adresse IP du visiteur et, si la correspondance avancée est active, un e-mail et un numéro de téléphone hachés. Même si le visiteur a accepté le bandeau, ce sont des données de santé envoyées à une plateforme publicitaire.
- La Cour de justice de l'UE a jugé que lorsque des données collectées lors de visites de sites peuvent révéler l'état de santé, ce sont des données sensibles, dites de catégorie particulière, quelle que soit la finalité déclarée de leur collecte (Court of Justice of the EU, 4 juil. 2023).
- Le régulateur suédois a infligé à deux pharmacies 37 et 8 millions de couronnes suédoises d'amende en 2024, alors que leurs pixels n'envoyaient des données que pour les clients qui avaient accepté les cookies marketing (IMY (Swedish data protection authority), 29 août 2024 ; IMY (Swedish data protection authority), 29 août 2024).
- Les petites amendes existent aussi : en 2024, la CNIL a infligé 15 000 € d'amende à un organisme de formation des professionnels de santé, selon sa procédure simplifiée, en partie pour l'information et le consentement en matière de cookies (CNIL, consulté 8 nov. 2026).
Clients en situation de handicap
Le cabinet passe à la prise de rendez-vous uniquement en ligne, et le message téléphonique invite désormais à réserver en ligne. Un patient qui utilise un lecteur d'écran ne parvient pas à franchir le sélecteur de date, un patient malvoyant ne peut pas lire les horaires en gris pâle avec un zoom à 200 %, et le bandeau cookies piège toute personne qui navigue au clavier. Les personnes âgées ou en situation de handicap représentent une grande part des patients d'un cabinet, et la réservation en ligne est souvent le seul accès à un créneau.
- L'European Accessibility Act (EAA, directive (UE) 2019/882) couvre une liste fermée de services, et la santé n'en fait pas partie. Les microentreprises qui fournissent des services, avec moins de 10 personnes et au plus 2 millions d'euros de chiffre d'affaires ou de total de bilan, sont exemptées (EUR-Lex, 17 avr. 2019).
- La question de savoir si la prise de rendez-vous médical en ligne est un service de commerce électronique au sens de l'EAA n'est pas tranchée. Le droit européen de la consommation traite à part les contrats de soins de santé (EUR-Lex, consulté 8 nov. 2026), et nous n'avons trouvé aucune position officielle.
- Le droit de l'égalité va plus loin : au Royaume-Uni, l'Equality Act 2010 s'applique à quiconque fournit un service au public (Equality Act 2010, consulté 8 nov. 2026), et la loi néerlandaise sur l'égalité de traitement des personnes handicapées (Wgbh/cz) cite expressément les soins de santé (wetten.overheid.nl, version du 1 janv. 2026).
Paiement et sécurité du site
Votre ancien site sert encore certaines pages en HTTP simple. Le formulaire de contact demande aux patients de décrire leurs symptômes et passe par une extension que personne n'a mise à jour, et la page d'acompte d'un soin hors prise en charge charge six scripts extérieurs. Pendant ce temps, votre personnel se connecte au système patients de la clinique voisine avec un simple mot de passe.
- En 2020, la CNIL a infligé 3 000 € et 6 000 € d'amende à deux médecins : des milliers d'images médicales stockées sur leurs propres serveurs étaient accessibles depuis internet, sans chiffrement, et la violation n'avait pas été notifiée (Le Monde du Droit, 7 janv. 2021).
- En 2026, elle a infligé 500 000 € d'amende à l'Hôpital Privé de la Loire. L'attaquant est entré par l'accès des utilisateurs extérieurs, dont des médecins libéraux, sans VPN ni authentification multifacteur, et un seul compte donnait accès au dossier de chaque patient (CNIL, 3 sept. 2026).
- Un cabinet qui accepte les paiements par carte relève des règles du secteur des cartes comme tout commerçant, même quand la page de paiement est celle du prestataire (PCI Security Standards Council, consulté 8 nov. 2026).
L'European Accessibility Act s'applique-t-il à vous ?
Probablement pas, pour la plupart des cabinets. La santé ne fait pas partie des services que le texte énumère, et les petits cabinets sont exemptés ; la boutique en ligne d'une grande clinique ou d'une officine est une autre affaire.
Depuis le 28 juin 2025, l'EAA couvre une liste fermée de services aux consommateurs, dont les services de commerce électronique : des services fournis à distance, par des sites web et des applications, à la demande d'un consommateur, en vue de conclure un contrat de consommation. La santé ne figure pas sur la liste. Les microentreprises qui fournissent des services sont exemptées : moins de 10 personnes et au plus 2 millions d'euros de chiffre d'affaires annuel ou de total de bilan (EUR-Lex, 17 avr. 2019). La question de savoir si la prise de rendez-vous médical en ligne compte comme un service de commerce électronique n'est pas tranchée. Le droit européen de la consommation exclut les contrats de soins de santé de ses propres règles (EUR-Lex, consulté 8 nov. 2026), l'EAA ne renvoie pas à cette exclusion, et nous n'avons trouvé aucune position officielle sur la prise de rendez-vous médicaux.
Probablement concerné
- Une clinique, un cabinet de groupe ou une officine de 10 personnes ou plus, ou au-dessus de 2 millions d'euros, qui vend en ligne des produits ou des services payants aux consommateurs : une boutique en ligne d'officine, des kits de soin de la peau ou de blanchiment, du matériel de rééducation, des programmes en ligne payants.
Probablement hors champ
- Un site d'information de cabinet : l'équipe, les horaires, l'accès, la description des soins.
- Un cabinet de moins de 10 personnes et d'au plus 2 millions d'euros de chiffre d'affaires ou de total de bilan, quoi qu'il fasse en ligne.
- Un cabinet britannique, sauf s'il vend dans l'UE.
L'EAA n'est pas du droit britannique. L'Equality Act 2010 s'applique à quiconque fournit un service au public et impose des aménagements raisonnables (Equality Act 2010, consulté 8 nov. 2026) ; nos sources ne confirment pas si le site d'un cabinet de médecine générale du NHS relève aussi des règles d'accessibilité du secteur public (GOV.UK, mis à jour 30 sept. 2024).
Notre lecture de la directive et des lignes directrices des régulateurs, pas un conseil juridique. Si votre cas est proche de la limite, consultez un avocat.
Des vérifications à faire en une minute
Quelqu'un peut-il envoyer des e-mails au nom de votre cabinet ?
Lancez la vérification e-mail gratuite sur le domaine de votre cabinet, ou le test d'internet.nl (internet.nl, consulté 8 nov. 2026) ; au Royaume-Uni, le NCSC propose le sien. Vous visez DMARC en p=quarantine ou p=reject.
Qu'est-ce qui se charge avant que le patient choisisse ?
Ouvrez votre site dans une fenêtre de navigation privée et ne touchez pas au bandeau cookies. Appuyez sur F12, ouvrez l'onglet Réseau, rechargez la page et tapez facebook, google ou tiktok dans le filtre. Tout ce qui apparaît s'est chargé avant le consentement.
Qu'est-ce qui se charge sur les pages de rendez-vous et de soins ?
Refaites la vérification sur la page de rendez-vous, sur la confirmation de rendez-vous et sur une page consacrée à une pathologie. Sur un site de santé, la réponse sûre à cet endroit est : rien qui vienne d'une plateforme publicitaire, même après consentement.
Votre prestataire de prise de rendez-vous est-il certifié ?
En France, demandez à vos prestataires de prise de rendez-vous et de logiciels leur certificat HDS. Aux Pays-Bas, demandez leur certificat NEN 7510. Au Royaume-Uni, si vous travaillez avec des données du NHS, vérifiez votre propre statut au Data Security and Protection Toolkit.
Votre formulaire de contact demande-t-il les symptômes ?
S'il contient un champ libre pour le motif de consultation, demandez-vous si vous en avez besoin. Cherchez ensuite où arrivent les e-mails du formulaire : une boîte mail ordinaire remplie de symptômes est un stock de données de santé.
Un patient peut-il prendre rendez-vous sans souris ?
Sur votre page de rendez-vous, utilisez seulement Tab, Maj+Tab et Entrée pour choisir un créneau et le confirmer. Zoomez ensuite le navigateur à 200 % et recommencez.
Cadenas et certificat
Tapez http:// suivi de votre domaine : vous devez arriver sur https:// sans avertissement. Cliquez sur le cadenas et notez la date d'expiration du certificat.
Chaque connexion a-t-elle un second facteur ?
Vérifiez la messagerie du cabinet, le logiciel métier et tout accès à un système d'hôpital ou de clinique. L'amende française de 500 000 € de 2026 est partie de l'accès des utilisateurs extérieurs, dont des médecins libéraux, sans second facteur (CNIL, 3 sept. 2026).
Ce que se disent les dirigeants de ce secteur
Email & Cookie Fix
Les deux, pour les entreprises hors du champ de la loi sur l'accessibilité.
Maintenir dans la durée : à partir de 39 € par mois
Confirmez-le par une vraie analyse
Nous lisons seulement ce que montrent n'importe quel visiteur et les enregistrements DNS publics : aucun accès à vos comptes, aucun test de vos systèmes. Vous recevez par e-mail un rapport privé avec captures d'écran, un score par risque et des prix fixes.
Le détail, pour qui veut aller plus loin
Un pixel consenti, et pourtant une fuite
Apoteket, une pharmacie suédoise, utilisait le Meta Pixel sur sa boutique en ligne, et seulement pour les clients qui avaient accepté les cookies marketing. Elle avait même tenu le pixel à l'écart de ses pages d'ordonnances. Mais un réglage appelé « mise en correspondance avancée automatique » avait été activé par des salariés, individuellement, sans analyse de risques, selon ce que l'entreprise a elle-même déclaré au régulateur. Pendant plus de deux ans, le pixel a envoyé à Meta des noms, des adresses e-mail et des numéros de téléphone hachés, avec des achats comme des tests de dépistage des IST, des contraceptifs et des tests de grossesse. En août 2024, l'autorité suédoise de protection des données a constaté un manquement à l'obligation de sécuriser les données personnelles et a infligé à Apoteket 37 millions de couronnes suédoises d'amende, et 8 millions de couronnes à une deuxième pharmacie en ligne, Apohem, pour une fuite similaire par pixel (IMY (Swedish data protection authority), 29 août 2024 ; IMY (Swedish data protection authority), 29 août 2024).
Le consentement aux cookies n'a pas rendu le pixel sûr : sur un site de santé, la page qu'une personne consulte peut être en elle-même une donnée de santé.
Ce qui s'applique, marché par marché
Secret médical
Tout patient a droit au respect du secret des informations qui le concernent, selon l'article L1110-4 du Code de la santé publique (Légifrance, version en vigueur depuis le 4 août 2021). La révélation d'une information à caractère secret est punie d'un an d'emprisonnement et de 15 000 € d'amende, selon l'article 226-13 du Code pénal (Légifrance, consulté 8 nov. 2026). À notre connaissance, personne n'a encore tranché la question de savoir si un pixel de suivi qui révèle une consultation viole le secret.
Prise de rendez-vous en ligne et hébergement
Le cabinet reste responsable du traitement des données de rendez-vous même quand une plateforme gère la prise de rendez-vous ; la plateforme est son sous-traitant, dans le cadre d'un contrat que le cabinet doit vérifier. Les dossiers patients ou les données de rendez-vous confiés à un prestataire doivent être chez un hébergeur de données de santé agréé ou certifié, dit HDS (CNIL and CNOM, juin 2018).
Les données de santé échangées entre professionnels devraient passer par une messagerie sécurisée de santé (MSSanté). Quand l'e-mail ordinaire est utilisé, chiffrez les pièces jointes et envoyez le mot de passe par un autre canal, téléphone ou SMS (CNIL and CNOM, juin 2018).
Sites des médecins
Depuis un décret de 2020 (article R4127-19-1 du Code de la santé publique), les médecins peuvent donner en ligne une information loyale sur leurs compétences et leur pratique, sans témoignages ni comparaisons. Selon l'assureur médical MACSF, obtenir, contre paiement ou autrement, un référencement qui place un médecin en tête des résultats de recherche reste interdit (MACSF, 20 févr. 2026).
Décisions et jugements dans ce secteur
| Marché | Date | Qui a décidé | Contre | Résultat | Motif | Source |
|---|---|---|---|---|---|---|
| FR | déc. 2020 | CNIL | Deux médecins libéraux (non nommés) | 3 000 € et 6 000 € | Des milliers d'images médicales sur leurs propres serveurs, accessibles sur internet, sans chiffrement ; la violation n'avait pas été notifiée | Le Monde du Droit |
| FR | avr. 2022 | CNIL | Un éditeur de logiciels pour laboratoires (non nommé) | 1 500 000 € | Obligations du sous-traitant, actions au-delà des instructions des laboratoires, et sécurité des données des patients qu'il détenait | CNIL |
| FR | mai 2023 | CNIL | Un site de santé et de bien-être (non nommé) | 380 000 € | Cookies déposés sans consentement, consentement aux données de santé issues de tests en ligne, et sécurité | CNIL |
| FR | janv. 2024 | CNIL (procédure simplifiée) | Un chirurgien-dentiste (non nommé) | 5 000 € | Sécurité des données, et droit d'accès d'un patient à ses données de santé non respecté | CNIL |
| FR | sept. 2024 | CNIL (procédure simplifiée) | Un organisme de formation des professionnels de santé (non nommé) | 15 000 € et injonction de mise en conformité | Information et consentement en matière de cookies, droit à l'effacement, pas de véritable contrat de sous-traitance, et sécurité | CNIL |
| FR | févr. 2023 à févr. 2026 | CNIL (procédure simplifiée) | Au moins neuf médecins généralistes, autres médecins et chirurgiens-dentistes (non nommés) | 3 000 à 5 000 € chacun, souvent avec une injonction de mise en conformité | Surtout des patients privés d'accès à leur dossier médical, et des praticiens qui ne répondaient pas à la CNIL | CNIL |
| FR | juil. 2026 | CNIL | Hôpital Privé de la Loire | 500 000 € et injonction d'achever ses mesures de sécurité | Un attaquant est entré par l'accès des utilisateurs extérieurs, dont des médecins libéraux, sans VPN ni authentification multifacteur ; 524 867 patients concernés | CNIL |
| UK | déc. 2019 | ICO | Doorstep Dispensaree, une pharmacie qui approvisionne des maisons de retraite | 275 000 £ et une mise en demeure (selon la presse) | Environ 500 000 documents avec noms, numéros NHS et informations médicales laissés dans des conteneurs non verrouillés dans une cour arrière | The Pharmaceutical Journal |
| UK | mars 2025 | ICO | Advanced Computer Software Group, un fournisseur informatique du NHS | 3 076 320 £, montant accepté sans recours (selon la presse) | Rançongiciel entré en 2022 par un compte client sans authentification multifacteur ; NHS 111 perturbé et données de 79 404 personnes dérobées | Tech Monitor |
| NL | févr. 2021 | Autoriteit Persoonsgegevens | OLVG, un hôpital d'Amsterdam | 440 000 €, sans recours (selon la presse) | De 2018 à 2020, trop peu de mesures pour empêcher des salariés non autorisés de consulter des dossiers médicaux, et trop peu de contrôles sur qui consultait quel dossier | NOS |
| EU | juil. 2023 | Cour de justice de l'UE (C-252/21) | Meta Platforms e.a. contre Bundeskartellamt | Arrêt d'interprétation | Les données collectées lors de visites de sites et d'applications qui peuvent révéler l'état de santé sont des données sensibles, dites de catégorie particulière, quelle que soit la finalité déclarée | Court of Justice of the EU |
| EU | oct. 2024 | Cour de justice de l'UE (C-21/23, Lindenapotheke) | Un litige entre deux pharmaciens en Allemagne | Arrêt d'interprétation | Ce que les clients saisissent pour commander en ligne des médicaments réservés aux pharmacies est une donnée de santé, même sans ordonnance | Court of Justice of the EU |
| EU | août 2024 | IMY, autorité suédoise de protection des données | Apoteket AB, une pharmacie | 37 millions de couronnes suédoises | Le Meta Pixel, avec la correspondance avancée, a envoyé à Meta des achats sensibles et des coordonnées hachées, uniquement pour les clients qui avaient accepté les cookies marketing ; c'est tout de même un manquement à la sécurité | IMY (Swedish data protection authority) |
| EU | août 2024 | IMY, autorité suédoise de protection des données | Apohem AB, une pharmacie en ligne | 8 millions de couronnes suédoises | Le Meta Pixel a envoyé plus de données de contact et d'achat que prévu, pour les clients qui avaient accepté les cookies marketing ; un manquement à la sécurité | IMY (Swedish data protection authority) |
Les questions à se poser
Vos réponses restent sur cette page. Chacune montre pourquoi elle compte.
Des balises publicitaires (Meta Pixel, Google Ads, TikTok) se chargent-elles sur vos pages consacrées aux pathologies, aux soins ou aux rendez-vous ?
Comment les patients prennent-ils rendez-vous ?
Comment envoyez-vous résultats, courriers ou documents aux patients et aux confrères ?
Faut-il un second facteur (un code, une application ou une carte) pour se connecter à votre messagerie, à votre logiciel métier et à tout système d'hôpital ou de clinique ?
Quelle est la taille du cabinet, et vend-il quelque chose aux patients en ligne ?
réponses signalent un point à corriger.
L'évaluation complète note les quatre risques et établit votre liste pour les 30 prochains jours.
Ceci n'est pas un conseil juridique. Un avocat doit confirmer : si un pixel de suivi qui révèle une consultation viole le secret médical en France ; si les annonces payantes sur les moteurs de recherche ou le reciblage d'un médecin français relèvent de l'interdiction du référencement prioritaire payant, un point que nous n'avons trouvé que dans une source secondaire, l'assureur médical MACSF, et quelles sont les règles équivalentes pour les dentistes, les kinésithérapeutes et les pharmaciens ; si la prise de rendez-vous médical en ligne est un service de commerce électronique au sens de l'EAA pour les cabinets au-dessus des seuils de la microentreprise, pays par pays ; si le site d'un cabinet de médecine générale du NHS relève des règles d'accessibilité du secteur public ; jusqu'où la loi néerlandaise sur l'égalité de traitement s'étend au site d'un cabinet ; et, pour les officines qui vendent en ligne, les règles nationales d'autorisation, de logo et d'hébergement.