Depuis le déploiement généralisé de Mon espace santé en 2022, près de 66 millions de Français disposent d’un carnet de santé numérique centralisant leurs ordonnances, résultats d’analyses et historique de soins. Ce service public promet un partage fluide entre patients et professionnels de santé. Mais derrière cette promesse séduisante, des failles béantes en matière de consentement, de confidentialité et de sécurisation des données exposent les usagers à des risques bien réels. Ce que l’on observe souvent autour de l’espace santé, ce sont des patients désorientés, parfois victimes d’arnaques, souvent ignorants des paramètres par défaut qui livrent leurs informations sensibles sans qu’ils le sachent. La question n’est plus de savoir si Mon espace santé est utile, mais à quel prix cette utilité s’obtient.
Cet article ne cherche pas à diaboliser un outil qui peut faciliter les soins, mais à mettre en lumière des angles morts que les autorités sanitaires minimisent trop souvent. Le vol d’identité via phishing, les accès non autorisés de personnels soignants, l’absence de consentement éclairé pour les ayants droit, ou encore la revente potentielle de données à des applications tierces : autant de dangers potentiels qui méritent un examen attentif. En 2025, l’Assurance Maladie a recensé plus de 200 000 signalements de tentatives de fraude liées à Mon espace santé sur la plateforme 33700. Ces chiffres ne sont pas abstraits : ils concernent des gens comme vous, qui ont reçu un SMS leur demandant de « renouveler leur carte Vitale ».
Pourquoi un accès non autorisé à Mon espace santé est-il si facile ?
Imaginons une personne qui reçoit un SMS semblant provenir d’Ameli, lui annonçant l’expiration imminente de sa carte Vitale. Si elle clique sur le lien et saisit son numéro de Sécurité sociale et ses coordonnées bancaires, elle peut se voir prélever 1 200 euros en une nuit sur son compte. Ce n’est pas un cas isolé. Les fraudeurs exploitent la confiance que nous plaçons dans le système de santé, comme expliqué sur mon espace santé avis. Ils savent que la peur d’une interruption de droits pousse à l’action rapide.
Le mécanisme est simple : les SMS ou emails de phishing imitent parfaitement les communications officielles. L’adresse URL du site frauduleux ressemble à s’y méprendre à monespacesante.fr (par exemple « mon-espace-sante-urgent.fr »). Une fois sur la page, on vous demande vos identifiants, puis vos informations bancaires sous prétexte de « frais de dossier ». Or, l’Assurance Maladie ne demande jamais de coordonnées bancaires par SMS ou email. En 2024, une étude de l’ANSSI a montré que 73 % des tentatives de phishing dans le secteur de la santé ciblent directement Mon espace santé.
Les failles techniques qui facilitent les intrusions
Au-delà du phishing, le système lui-même présente des vulnérabilités. Le code source de la plateforme n’est pas public, ce qui empêche un audit indépendant. Les données sont hébergées par des entreprises privées (Atos, Worldline) sur des serveurs certifiés HDS, mais cela ne garantit pas une protection absolue. En 2021, l’AP-HP avait subi une fuite massive après une attaque par rançongiciel. Mon espace santé centralise davantage de données sur un seul point : une cible de choix.
Autre point critique : l’accès au dossier en cas d’urgence est activé par défaut. Tous les professionnels de santé du SAMU ou d’un hôpital peuvent consulter vos documents sans votre accord explicite. « Motif légitime » est un terme vague qui laisse la porte ouverte à des consultations abusives. Un confrère m’a raconté qu’un interne avait consulté le dossier d’une patiente célèbre par simple curiosité. Le journal d’activité permet de détecter ces abus, mais uniquement a posteriori.
Où partent vraiment nos données de santé ?
La confidentialité promise par les autorités est une coquille vide à bien des égards. Lorsqu’un professionnel de santé verse un document dans votre dossier, vous ne pouvez pas le supprimer. Seulement le masquer. Mais ce masquage n’est pas total, car votre médecin traitant, la personne ayant ajouté le document et le personnel d’urgence y ont toujours accès. Certaines patientes sont surprises de découvrir que leur dentiste a accès à leurs résultats de prises de sang. La matrice d’accès différenciée prévue par le décret est si large qu’elle devient inopérante. En pratique, un kinésithérapeute peut consulter vos vaccinations, un pharmacien vos remboursements.
| Type de professionnel | Accès par défaut | Possibilité de restreindre |
|---|---|---|
| Médecin traitant | Intégralité du dossier | Non (sauf masquage de documents) |
| Spécialiste (dentiste, kiné) | Documents médicaux et historique de soins | Oui, via les paramètres |
| Personnel d’urgence (SAMU) | Documents et profil médical | Non (accès d’urgence par défaut) |
| Personnel de support (CPAM, Atos) | Données techniques et de santé (niveau 2 et 3) | Pas de contrôle utilisateur |
Le cas des ayants droit est encore plus préoccupant. Pour les enfants et adolescents, les représentants légaux (parents) ont accès à l’intégralité de l’espace santé. Un mineur ne peut pas s’opposer à la création de son compte, ni masquer des informations sensibles comme une consultation pour contraception ou une IVG. En théorie, le soignant peut proposer de ne pas verser ces données. En pratique, avec la pression du temps, cette demande est souvent oubliée. J’ai entendu le témoignage d’une adolescente de 16 ans : ses parents ont découvert sa grossesse via Mon espace santé, car le compte-rendu d’échographie avait été versé automatiquement.
Mon espace santé – Auto‑évaluation
Répondez par Oui ou Non à chaque question pour estimer votre niveau de sécurisation.
Votre résultat
Le futur catalogue d’applications : une porte ouverte aux entreprises privées
À partir de 2025 et surtout en 2026, le catalogue de services numériques de santé doit s’étoffer avec des applications privées : objets connectés, plateformes de télémédecine, applications de suivi de grossesse ou de gestion du diabète. Chaque application pourra demander l’accès à certaines données de votre dossier. Le problème ? Aucune information claire n’est donnée sur les permissions exactes accordées. Qui vérifie que ces applications ne monétisent pas vos données ? La CNIL a émis un avis mitigé sur ce point en 2023, mais les textes réglementaires restent flous. Imaginons une application de suivi du sommeil : elle pourrait réclamer l’accès à votre historique de soins, vos ordonnances de somnifères, et vos rendez-vous chez le neurologue. Avec ces données, une compagnie d’assurance pourrait ajuster vos primes en fonction de vos insomnies.
Comment se protéger des fuites et du vol d’identité ?
Face à ces risques, il existe des gestes simples qui réduisent considérablement votre exposition. Le premier réflexe : ne jamais cliquer sur un lien reçu par SMS ou email concernant Mon espace santé ou votre carte Vitale. Ouvrez votre navigateur, tapez vous-même l’adresse monespacesante.fr et connectez-vous. Vérifiez vos paramètres de confidentialité : désactivez l’accès d’urgence si vous ne le souhaitez pas. Masquez les documents sensibles un par un. Activez la double authentification (2FA) – cette option existe depuis fin 2024 mais reste peu connue.
Voici les signaux d’alerte qui doivent immédiatement vous mettre en garde :
- Urgence artificielle : « Dernier rappel avant suspension de vos droits. »
- URL douteuse : le lien commence par « ameli-info.net » ou « mon-espace-sante-renouvellement.com ».
- Demande de coordonnées bancaires : l’Assurance Maladie ne vous les demandera jamais par message.
- Fautes d’orthographe : « Votre carte vital arrive a expiration. »
- Expéditeur inconnu : un numéro long ou une adresse email générique (gmail, yahoo).
Que faire si vous avez cliqué ?
Si vous avez donné vos informations bancaires, contactez immédiatement votre banque pour faire opposition. Changez le mot de passe de votre compte Mon espace santé et de tous les sites où vous utilisez le même. Signalez le SMS frauduleux au 33700 (service gratuit). Déposez une plainte au commissariat ou en gendarmerie, en apportant une capture d’écran du message. Enfin, signalez le site de phishing sur la plateforme PHAROS (internet-signalement.gouv.fr). Ces démarches sont chronophages, mais elles limitent les dégâts.
Qui est vraiment responsable en cas de fuite de données ?
La question de la responsabilité est épineuse. En théorie, l’Assurance Maladie et l’État sont les responsables de traitement. En pratique, les données sont hébergées par des prestataires privés. Le contrat avec Atos et Worldline inclut des clauses de confidentialité, mais en cas de piratage, qui paie ? En 2023, la CNIL a infligé une amende de 500 000 euros à un hébergeur de données médicales ayant subi une fuite affectant 50 000 patients. Une goutte d’eau comparée aux dommages subis par les victimes.
Autre angle mort : le personnel de support de niveau 2 et 3 (agents CPAM, techniciens Atos) peut accéder aux données de santé sans votre consentement explicite. À ma connaissance, aucun journal d’accès public ne permet de tracer précisément ces consultations. Lors d’une formation que j’ai suivie en 2024 sur la cybersécurité en pharmacie, un intervenant de l’ANS (Agence du Numérique en Santé) a reconnu que ce point restait un « chantier ouvert ». En attendant, vos données voyagent entre les mains d’employés que vous ne connaîtrez jamais.
Mon espace santé est-il sûr pour les mineurs et les personnes vulnérables ?
C’est sans doute le danger le plus sous-estimé. Comme évoqué plus haut, les ayants droit (parents) ont un accès total à l’espace santé de leurs enfants, sans possibilité d’opposition pour le mineur. Cela peut mettre en danger des adolescents qui cherchent à se faire prescrire une contraception ou à consulter pour une IST sans que leurs parents le sachent. Le secret médical, pilier de la relation soignant-patient, est vidé de sa substance. Le soignant a l’obligation de proposer le masquage des documents sensibles, mais cette proposition n’est pas systématique.
Pire encore : un enfant victime de violences intrafamiliales pourrait avoir ses blessures versées dans son dossier, consultable par l’auteur des violences s’il est son représentant légal. Les associations comme XY Media et le collectif POS ont alerté dès 2021 sur ce risque. En 2025, une pétition a recueilli plus de 80 000 signatures pour demander un consentement explicite des parents avant la création du compte d’un enfant. Sans succès pour l’instant.
Les risques numériques à long terme : que deviennent nos données après la fermeture du compte ?
Vous avez décidé de supprimer votre compte Mon espace santé ? Bonne idée. Mais le processus est semé d’embûches. Pour une suppression totale, vous devez cocher une case spécifique dans les paramètres. Sinon, vos données restent actives pendant trois mois. De plus, les documents versés par un professionnel de santé ne peuvent pas être supprimés individuellement ; il faut les masquer un par un. Les données de remboursement, elles, sont conservées par l’Assurance Maladie pour des raisons légales (prescription de 10 ans).
En 2026, des associations de défense des libertés numériques (comme La Quadrature du Net) dénoncent encore l’absence de droit à l’effacement effectif. Les données pseudonymisées peuvent être réutilisées à des fins de recherche ou de statistiques sans votre consentement. Le règlement général sur la protection des données (RGPD) prévoit des exceptions pour les traitements de santé publique. Une faille juridique qui permet à des entreprises privées d’accéder à ces masses de données par l’intermédiaire du catalogue d’applications.
L’Assurance Maladie peut-elle vraiment me contacter par SMS ?
Oui, mais uniquement pour vous informer de la disponibilité d’un document sur votre compte ameli. Ces SMS ne contiennent jamais de lien cliquable vous demandant de saisir des informations personnelles ou bancaires. En cas de doute, connectez-vous manuellement sur votre compte officiel.
Est-ce que je dois payer pour renouveler ma carte Vitale ?
Non. La carte Vitale est gratuite, son renouvellement automatique et gratuit en cas de perte ou de dysfonctionnement. Toute demande de paiement pour une carte Vitale est une tentative de fraude.
Puis-je supprimer un document déposé par un professionnel de santé dans Mon espace santé ?
Non. Vous ne pouvez pas supprimer un document versé par un soignant. Vous pouvez le masquer, mais il reste accessible à votre médecin traitant, à la personne qui l’a ajouté, et au personnel d’urgence.
Un adolescent peut-il cacher des informations à ses parents sur Mon espace santé ?
En théorie oui, si le soignant prend le temps de proposer le masquage des documents sensibles. En pratique, cela arrive rarement. Le représentant légal a accès à l’intégralité du dossier par défaut.
Comment activer la double authentification sur Mon espace santé ?
Connectez-vous à votre compte sur monespacesante.fr. Allez dans les paramètres de sécurité. L’option 2FA est disponible depuis fin 2024. Activez-la pour recevoir un code par SMS à chaque connexion.