Catégorie : Juridiques

CE, 17 avril 2026, n° 503412, mentionné aux tables du Recueil Lebon 

Lorsqu’un marché peut être conclu sans publicité ni mise en concurrence préalables, demander trois devis ne signifie pas que l’acheteur a volontairement décidé de se soumettre aux règles de la procédure adaptée. 

Dans cette affaire, une commune avait conclu un marché de travaux de voirie d’un montant inférieur au seuil permettant une attribution sans publicité ni mise en concurrence. Par précaution, le maire avait néanmoins sollicité les devis de trois entreprises. 

Des conseillers municipaux – peu inspirés- soutenaient que cette démarche avait eu pour effet de soumettre la commune aux règles de la procédure adaptée prévues par le Code de la commande publique. 

Le Conseil d’État répond clairement par la négative

Le fait d’organiser spontanément une certaine publicité ou mise en concurrence, notamment en sollicitant plusieurs devis, ne suffit pas à transformer le marché en procédure adaptée. 

Pour qu’il en aille autrement, l’acheteur doit avoir expressément indiqué qu’il entendait se soumettre à cette procédure, notamment dans le règlement de la consultation. 

👉 À retenir : la pratique des « trois devis » reste donc possible pour les marchés pouvant être conclus sans publicité ni mise en concurrence, sans entraîner à elle seule l’application des règles de la procédure adaptée. 

La CAA de Toulouse a rendu le 10 septembre 2026 un arrêt très pédagogique sur une question devenue majeure depuis les évolutions constitutionnelles et jurisprudentielles récentes. 

La Cour rappelle que l’agent faisant l’objet d’une procédure disciplinaire doit être informé, avant sa première audition sur les manquements reprochés, qu’il dispose du droit de se taire pour l’ensemble de la procédure. Mais elle apporte surtout une limite importante : sauf détournement de procédure, ce droit ne s’applique pas aux échanges ordinaires relevant du pouvoir hiérarchique, ni aux enquêtes et inspections administratives, même lorsqu’elles sont susceptibles de révéler des fautes.  

CAA Toulouse, 10 septembre 2026, n° 24TL01457

Cass. 3e civ., 18 juin 2026, n° 24-14.342, FS-B 

L’absence d’autorisation d’urbanisme ne suffit pas, à elle seule, à justifier la démolition ou la remise en état d’un ouvrage irrégulier. 

Une SCI avait réalisé, sans autorisation, un important exhaussement de sol soumis à déclaration préalable. La cour d’appel avait ordonné la remise des parcelles dans leur état initial au motif que cette déclaration n’avait jamais été déposée, sans rechercher si les travaux étaient conformes aux règles d’urbanisme. 

La Cour de cassation censure ce raisonnement. 

Saisi d’une demande sur le fondement de l’article L. 480-14 du Code de l’urbanisme, le juge doit, au besoin d’office, rechercher si une mesure permettant de mettre l’ouvrage en conformité avec les règles d’urbanisme est possible et si elle est acceptée par son propriétaire. 

Ce n’est que lorsqu’aucune mesure de mise en conformité ne peut assurer le respect des règles d’urbanisme que la démolition ou la remise dans l’état d’origine peut être ordonnée. 

👉 À retenir : même en présence de travaux réalisés sans l’autorisation requise, la remise en état n’est pas automatique. Le juge doit d’abord rechercher une solution de mise en conformité, conformément à la réserve d’interprétation formulée par le Conseil constitutionnel en 2020. 

CE, 3 août 2026, n° 497092, Commune de Sainte-Foy-lès-Lyon 

L’administration peut refuser un permis de construire en raison du caractère incomplet du dossier sans avoir préalablement invité le pétitionnaire à fournir les pièces manquantes. 

Le Conseil d’État rappelle toutefois que toute insuffisance du dossier ne peut justifier un refus. Deux conditions doivent être réunies : le dossier doit être incomplet, insuffisant, imprécis ou comporter des inexactitudes et, surtout, ces lacunes doivent empêcher l’administration d’apprécier la conformité du projet aux règles d’urbanisme applicables. 

Dans cette hypothèse, l’autorité compétente peut directement refuser l’autorisation, sans être tenue de demander au pétitionnaire de compléter son dossier. 

Le Conseil d’État précise que les dispositions du Code de l’urbanisme organisant la demande de pièces complémentaires ont seulement pour objet de déterminer le délai d’instruction et les conditions de naissance d’une autorisation tacite. Elles ne font donc pas obstacle à un refus fondé sur l’insuffisance du dossier. 

👉 À retenir : contrairement à ce que l’on pourrait penser, la demande de pièces complémentaires n’est pas un préalable obligatoire au refus d’un permis. Lorsque les lacunes du dossier empêchent d’apprécier la légalité du projet, l’administration peut opposer directement un refus. 

CAA Nantes, 16 juin 2026, n° 23NT02746 

La prolifération des algues vertes en Bretagne constitue un préjudice écologique dont l’État peut être tenu partiellement responsable en raison des carences de ses services. 

La cour administrative d’appel de Nantes confirme que les « marées vertes » portent une atteinte non négligeable aux écosystèmes et aux bénéfices collectifs tirés de l’environnement : mortalité d’organismes aquatiques, nuisances sanitaires, olfactives et visuelles, mais aussi perturbation de l’accès au littoral et des activités qui y sont exercées. 

Les études scientifiques produites établissent que ce phénomène trouve son origine essentielle dans l’agriculture intensive, en raison notamment des rejets de nitrates. D’autres facteurs contribuant au dommage, la responsabilité de l’État n’est toutefois que partielle. 

La cour retient surtout les carences de l’État dans l’exercice de ses pouvoirs de police à l’égard des installations classées, alors que les risques liés aux rejets azotés étaient identifiés depuis de nombreuses années. Les contrôles des exploitations agricoles sont notamment jugés insuffisants au regard des enjeux environnementaux et sanitaires. 

Sur le fondement de l’article 1246 du Code civil, l’État est ainsi déclaré responsable d’une partie du préjudice écologique. 

👉 Et la condamnation est très concrète : la cour privilégie une réparation en nature et enjoint au préfet des Côtes-d’Armor, dans un délai de six mois, d’adopter une réglementation adaptée à la maîtrise de la concentration en azote, de mettre en place des outils de pilotage et de renforcer significativement les contrôles des ICPE de la baie de Saint-Brieuc. 

Cour des comptes, rapport, 10 juillet 2026

Cinq ans après ses premières recommandations, la Cour des comptes dresse un bilan mitigé de la lutte contre les algues vertes en Bretagne et appelle les pouvoirs publics à intensifier leurs efforts. 

La Bretagne concentre 93 % des échouages recensés en France. En cause notamment : les concentrations excessives de nitrates dans les cours d’eau, liées aux engrais et aux effluents d’élevage. 

Or, sur les 21 préconisations formulées par la Cour en 2021, seules 33 % ont été pleinement appliquées, 52 % ne l’ont été que partiellement et 15 % ne l’ont pas été. 

Les résultats demeurent par ailleurs très variables selon les territoires : seules trois des huit baies suivies connaissent une diminution des échouages. Les concentrations en nitrates restent supérieures à 25 mg/L, alors que les travaux scientifiques préconisent un niveau inférieur à 10 mg/L pour enrayer le phénomène. 

Certes, les moyens financiers consacrés à cette politique ont fortement progressé, passant de 56 M€ pour 2011-2017 à 128,6 M€ pour 2022-2027. Mais certaines zones, notamment les vasières, demeurent insuffisamment prises en compte. 

👉 La Cour formule donc huit recommandations, parmi lesquelles le renforcement des obligations résultant de la directive nitrates, la fixation d’objectifs évaluables de modification des pratiques agricoles, l’amélioration des moyens de contrôle des services de l’État et une meilleure coordination de la politique foncière agricole. Elle préconise également de conditionner les aides aux filières agroalimentaires à des engagements en matière de prévention des fuites d’azote. 

CE, sect., 5 juin 2026, n° 508776, Assoc. Sites et Monuments, publié au Recueil Lebon 

Le prêt de la Tapisserie de Bayeux au Royaume-Uni constitue une décision non détachable de la conduite des relations internationales de la France : le juge administratif n’est donc pas compétent pour en contrôler la légalité. 

Le 8 juillet 2025, à l’occasion d’une visite d’État au Royaume-Uni, le président de la République avait annoncé le prêt de la célèbre œuvre afin qu’elle soit exposée au British Museum. 

Inquiète notamment des risques liés à son transport, l’association Sites et Monuments avait demandé au Conseil d’État d’annuler cette décision pour excès de pouvoir. 

Le Conseil d’État rejette la requête comme portée devant une juridiction incompétente. 

Il relève que l’annonce est intervenue dans un contexte diplomatique précis : lors d’une visite d’État, à l’occasion du dîner organisé au château de Windsor et dans le cadre d’une déclaration consacrée au renforcement des relations bilatérales franco-britanniques. 

Il prend également en compte la portée symbolique et historique du prêt de la Tapisserie de Bayeux dans les relations entre les deux États. 

👉 La décision est ainsi indissociable de la conduite des relations internationales de la France. Elle constitue, à ce titre, un acte de gouvernement insusceptible de recours devant le juge administratif. 

Cass. 2e civ., 17 septembre 2026, n° 25-12.441, publié au Bulletin

Par un arrêt du 17 septembre 2026, la deuxième chambre civile de la Cour de cassation apporte une évolution importante à sa jurisprudence relative aux clauses d’exclusion de garantie.

La décision ne remet pas en cause l’exigence traditionnelle résultant de l’article L. 113-1 du Code des assurances : une exclusion de garantie doit toujours être formelle et limitée.

En revanche, la Cour modifie sensiblement les conséquences attachées à l’irrégularité d’une partie seulement d’une clause comportant plusieurs exclusions.

Elle juge désormais que, lorsqu’une clause énumère plusieurs cas distincts d’exclusion de garantie, leur caractère formel doit être apprécié individuellement, et non globalement.

La nullité ou l’inopposabilité d’une exclusion insuffisamment précise n’emporte donc plus nécessairement celle des autres exclusions contenues dans la même stipulation.

Cette évolution constitue un revirement explicite de jurisprudence.

1. Le principe demeure : l’exclusion doit être formelle et limitée

L’article L. 113-1 du Code des assurances prévoit que les exclusions de garantie doivent être « formelles et limitées ».

La Cour de cassation en déduit de manière constante qu’une exclusion n’est pas formelle lorsqu’elle ne repose pas sur des critères suffisamment précis ou lorsque sa compréhension nécessite une interprétation.

L’objectif est clair : l’assuré doit être en mesure de déterminer, à la lecture du contrat, les circonstances exactes dans lesquelles la garantie ne jouera pas.

L’arrêt du 17 septembre 2026 ne modifie pas cette exigence.

Il concerne une question différente : que se passe-t-il lorsqu’une même clause contient plusieurs exclusions et que l’une seulement d’entre elles est irrégulière ?

2. L’abandon de la solution particulièrement rigoureuse retenue en 2021

Dans un arrêt du 17 juin 2021, la deuxième chambre civile avait adopté une conception extensive de la sanction.

La clause litigieuse excluait notamment plusieurs pathologies expressément identifiées (lombalgie, sciatalgie, dorsalgie, cervicalgie) auxquelles était ajoutée la formule beaucoup plus générale « et autre mal de dos ».

La Cour avait considéré que l’imprécision de cette dernière formulation affectait la clause dans son ensemble, peu important que la pathologie effectivement invoquée par l’assureur ait été, quant à elle, précisément désignée.

Autrement dit, l’irrégularité d’un élément de la clause contaminait l’ensemble des exclusions qui y étaient regroupées.

Cette solution avait été critiquée par une partie importante de la doctrine, notamment parce qu’elle conduisait à écarter des exclusions pourtant parfaitement intelligibles pour l’assuré.

La Cour de cassation le relève expressément dans son arrêt du 17 septembre 2026 : sa jurisprudence antérieure avait suscité des « controverses doctrinales » ainsi que des divergences de jurisprudence entre cours d’appel.

3. Une appréciation désormais individualisée de chaque exclusion

La Cour juge désormais que :

« lorsqu’une clause d’un contrat d’assurance énumère plusieurs cas d’exclusion de garantie, leur caractère formel s’apprécie en considération de chacun d’entre eux, et non au regard de l’ensemble des exclusions visées par la clause ».

Elle en déduit que :

« la nullité d’une exclusion non formelle n’entraîne pas celle de l’ensemble de la clause, sauf lorsqu’elle en affecte la compréhension ».

La portée de la décision est importante.

Désormais, lorsqu’une clause regroupe plusieurs exclusions autonomes, le juge doit examiner chaque exclusion pour elle-même.

Une exclusion insuffisamment précise pourra être écartée sans que les autres exclusions, si elles sont autonomes et parfaitement compréhensibles, soient nécessairement privées d’effet.

La sanction devient ainsi divisible et proportionnée au vice constaté.

4. Une décision rendue dans le prolongement du contentieux des pertes d’exploitation liées au Covid-19

L’affaire concernait une société exploitant une activité de brasserie-restauration qui sollicitait la garantie de pertes d’exploitation résultant des fermetures administratives intervenues pendant la crise sanitaire.

Le contrat souscrit auprès d’Allianz prévoyait notamment deux hypothèses distinctes d’exclusion :

• un « contexte épidémique ou pandémique » ;
• la violation délibérée du Code du travail et de la réglementation régissant les conditions d’exercice de la profession, notamment en matière d’hygiène et de sécurité.

L’assurée soutenait que le caractère général et imprécis de la seconde exclusion devait entraîner l’inapplicabilité de l’ensemble de la clause.

La Cour de cassation rejette cette analyse.

Elle relève que l’exclusion relative au « contexte épidémique ou pandémique », seule applicable au sinistre considéré, était dénuée d’ambiguïté et ne nécessitait aucune interprétation.

Son éventuelle coexistence avec une autre exclusion susceptible d’être critiquée n’était donc plus suffisante pour la priver d’effet.

5. Une nouvelle étape après les arrêts AXA du 1er décembre 2022

Cet arrêt doit également être replacé dans la jurisprudence développée à l’occasion des nombreux contentieux relatifs aux pertes d’exploitation des restaurateurs pendant la crise sanitaire.

Par plusieurs arrêts du 1er décembre 2022, la Cour de cassation avait notamment validé la clause AXA excluant les pertes d’exploitation lorsque, à la date de la décision de fermeture, au moins un autre établissement situé dans le même département faisait l’objet d’une fermeture administrative pour une cause identique.

La Cour avait alors rappelé deux critères essentiels :

• une exclusion n’est pas formelle lorsqu’elle nécessite une interprétation ;
• elle n’est pas limitée lorsqu’elle vide la garantie de sa substance en ne laissant subsister qu’une garantie dérisoire.

La décision du 17 septembre 2026 s’inscrit dans le prolongement de cette construction jurisprudentielle, mais déplace la question.

Il ne s’agit plus seulement de déterminer si une exclusion est formelle et limitée.

Il s’agit de déterminer jusqu’où doit s’étendre la sanction lorsqu’une partie seulement d’une clause est défectueuse.

6. Une motivation enrichie qui révèle clairement le revirement

L’un des intérêts majeurs de l’arrêt réside également dans sa motivation enrichie.

La Cour de cassation ne se contente pas d’abandonner silencieusement sa jurisprudence antérieure.

Elle expose successivement :

• la solution retenue en 2021 ;
• les critiques doctrinales qu’elle a suscitées ;
• les divergences apparues entre les cours d’appel ;
• les objectifs poursuivis par l’article L. 113-1 ;
• puis les raisons économiques et juridiques justifiant l’adoption d’une nouvelle solution.

Cette méthode est importante.

Elle permet d’identifier clairement un revirement de jurisprudence assumé, mais également d’en comprendre la ratio decidendi, c’est-à-dire la logique qui doit guider l’interprétation et l’application de la nouvelle règle.

La Cour rappelle que l’exigence de clarté des exclusions vise à permettre à l’assuré de savoir exactement dans quels cas il n’est pas garanti.

Mais elle estime parallèlement que l’annulation de toutes les exclusions contenues dans une même clause, au seul motif que l’une d’elles est imprécise, peut aller au-delà de ce qui est nécessaire à la protection de l’assuré.

Elle retient ainsi expressément qu’une sanction limitée aux seules exclusions non formelles permet de préserver un équilibre entre :

• la protection de l’assuré ;
• les prévisions économiques de l’assureur ;
• et les intérêts de la collectivité des assurés.

Cette référence à l’économie générale de l’assurance mérite d’être soulignée.

La Cour rappelle en effet que le contrat d’assurance repose sur la couverture d’un risque en contrepartie d’une prime et qu’écarter une exclusion parfaitement claire pourrait conduire l’assureur à supporter un risque qui n’avait pas été intégré dans son calcul tarifaire.

7. Quelles conséquences pratiques ?

La décision ne traduit donc pas un assouplissement général du contrôle des clauses d’exclusion.

L’exclusion doit toujours être suffisamment précise, intelligible et délimitée.

En revanche, le contentieux devrait désormais se déplacer vers une question plus fine : les différentes exclusions insérées dans une même clause sont-elles réellement autonomes ?

Deux hypothèses devront être distinguées.

Lorsque les exclusions sont matériellement et intellectuellement distinctes, l’irrégularité de l’une ne devrait plus affecter les autres.

À l’inverse, lorsque les différentes hypothèses sont imbriquées ou que l’imprécision de l’une rend difficile la compréhension générale de la clause, la sanction pourra encore atteindre l’ensemble de la stipulation.

La rédaction des contrats d’assurance devient donc déterminante.

Les assureurs auront intérêt à individualiser clairement chaque hypothèse d’exclusion et à éviter les formulations susceptibles de créer une interdépendance entre plusieurs risques.

Du côté des assurés, la contestation d’une exclusion ne pourra plus nécessairement être menée globalement : il faudra analyser avec précision l’autonomie rédactionnelle et fonctionnelle de chacune des exclusions opposées.

8. Une évolution importante, mais ciblée

L’arrêt du 17 septembre 2026 ne remet donc pas en cause le niveau d’exigence imposé aux assureurs par l’article L. 113-1 du Code des assurances.

Il opère en revanche une évolution importante quant à la sanction.

La Cour abandonne une logique de nullité globale au profit d’une approche davantage individualisée et proportionnée.

L’irrégularité d’une exclusion ne « contamine » plus automatiquement l’ensemble de la clause.

Reste désormais à déterminer comment les juridictions du fond apprécieront, concrètement, le degré d’autonomie nécessaire entre plusieurs exclusions pour permettre cette divisibilité.

C’est probablement sur cette question que se développera la prochaine séquence jurisprudentielle.

Décision commentée :
Cour de cassation, 2e chambre civile, 17 septembre 2026, n° 25-12.441
https://www.courdecassation.fr/decision/6aabdca7c27382d09906010e

La cybersécurité est-elle devenue un enjeu de protection du secret médical ? 

Les cyberattaques contre les établissements de santé se multiplient et leurs conséquences opérationnelles sont désormais largement identifiées. Désorganisation des soins, interruption des systèmes d’information, reports d’interventions ou ralentissement des prises en charge : les effets immédiats de ces incidents sont aujourd’hui bien documentés. 

Une autre dimension, plus silencieuse mais potentiellement plus sensible encore, mérite toutefois une attention particulière : l’atteinte au secret médical provoquée par les cyberattaques visant les données de santé. 

Le secret médical constitue l’un des piliers de la relation de confiance entre le patient et le professionnel de santé. Consacré par le droit positif, protégé tant par les dispositions du Code de la santé publique que par le droit pénal et constamment réaffirmé par la jurisprudence, il s’impose à l’ensemble des acteurs participant à la prise en charge du patient. 

Or, la transformation numérique du système de santé a profondément modifié les modalités concrètes de protection de cette confidentialité. 

Là où les atteintes au secret médical résultaient historiquement d’une intervention humaine — divulgation irrégulière d’informations, consultation injustifiée d’un dossier ou conversation indiscrète — les cyberattaques introduisent un risque nouveau : celui d’une captation massive, invisible et instantanée de données médicales hautement sensibles. 

Cette évolution change non seulement l’échelle du risque, mais également la manière dont pourrait être appréciée la responsabilité des acteurs de santé. 

La cyberattaque médicale : une atteinte potentielle au secret médical à grande échelle 

Dans le secteur de la santé, les cybercriminels ne se contentent plus de neutraliser les systèmes informatiques. 

Les attaques dites par rançongiciel s’accompagnent désormais fréquemment d’une phase préalable d’exfiltration des données, destinée à accroître la pression exercée sur l’établissement victime. Les données sont copiées avant même que les systèmes soient verrouillés, puis menacées d’être diffusées ou revendues. 

Dans un établissement de santé, les conséquences d’une telle intrusion peuvent être particulièrement importantes. 

Une seule attaque peut conduire à l’exposition potentielle de milliers de données couvertes par le secret médical : comptes rendus opératoires, résultats biologiques, historiques d’hospitalisation, dossiers psychiatriques, informations relatives à la santé reproductive, traitements suivis ou encore données concernant des patients particulièrement exposés médiatiquement. 

Le changement d’échelle est considérable. 

Autrefois circonscrite à une violation individuelle ou ponctuelle, l’atteinte au secret médical peut désormais revêtir une dimension systémique, affectant simultanément des dizaines, voire des centaines de milliers de patients. 

Cette mutation du risque pourrait progressivement conduire les juridictions à renouveler leur approche de la protection des données médicales. 

La responsabilité d’un établissement de santé peut-elle être engagée après une cyberattaque ?

Sur le plan juridique, la difficulté ne réside pas tant dans l’identification de l’auteur matériel de la divulgation. 

Dans la plupart des situations, l’établissement est lui-même victime de l’attaque informatique. La question contentieuse pourrait toutefois se déplacer vers un autre terrain : celui de la prévention du risque cyber et des mesures de sécurité mises en œuvre avant l’incident. 

Un patient dont les données médicales auraient été compromises pourrait soutenir que son préjudice ne résulte pas exclusivement de l’action des cybercriminels, mais également d’une insuffisance des dispositifs de protection déployés pour préserver la confidentialité de ses données de santé. 

L’analyse judiciaire pourrait alors porter sur le niveau de préparation de l’établissement au regard du risque cyber. L’existence d’une politique de cybersécurité documentée, la fréquence des mises à jour de sécurité, la segmentation des réseaux informatiques, le contrôle des habilitations d’accès, la formation du personnel ou encore les mécanismes de détection des intrusions pourraient devenir des éléments centraux de l’expertise. 

Autrement dit, la question essentielle pourrait être la suivante : l’établissement avait-il mis en œuvre des mesures raisonnablement adaptées à un risque désormais largement prévisible ? 

À mesure que les cyberattaques deviennent plus fréquentes et plus sophistiquées, il paraît en effet de plus en plus difficile de considérer ce risque comme exceptionnel ou imprévisible.

Une violation du secret médical peut-elle ouvrir droit à réparation pour le patient ?

Les atteintes aux données de santé soulèvent une question contentieuse particulièrement sensible : celle du préjudice subi par les patients. 

En matière médicale, la confidentialité des informations revêt une importance particulière en raison de leur caractère profondément intime. La divulgation — ou même le simple risque de divulgation — d’informations relatives à l’état de santé peut générer un sentiment d’intrusion particulièrement important. 

Cette problématique apparaît encore plus délicate lorsque les données concernent des situations médicales sensibles telles que les troubles psychiatriques, les pathologies oncologiques, les maladies infectieuses, la santé sexuelle, les parcours d’assistance médicale à la procréation ou encore les addictions. 

Dans ces hypothèses, certains patients pourraient invoquer un préjudice moral autonome, indépendamment même d’une utilisation frauduleuse démontrée des données compromises. 

La question n’est pas théorique. Les juridictions ont déjà admis, dans d’autres domaines liés à la protection des données personnelles, que la perte de contrôle sur des informations confidentielles puisse ouvrir droit à indemnisation. 

Lorsque les informations concernées touchent à l’intimité médicale, il est probable que cette question soit examinée avec une attention particulière.

Le secret médical à l’ère numérique : une obligation désormais technologique 

La numérisation des données de santé a incontestablement amélioré la qualité des soins. Elle facilite la coordination entre professionnels, accélère l’accès à l’information médicale et contribue à une meilleure continuité des prises en charge. 

Mais cette transformation a également profondément modifié la nature même du secret médical. 

Autrefois protégé par les murs d’un cabinet médical ou les archives physiques d’un établissement, le secret médical dépend désormais de la robustesse des systèmes d’information, des architectures réseau et des protocoles de cybersécurité mis en œuvre. 

Cette évolution mérite d’être soulignée : la protection du secret médical ne relève plus uniquement d’une obligation humaine ou déontologique ; elle devient également une obligation organisationnelle et technologique. 

Dans ce contexte, il n’est pas exclu que les juridictions considèrent progressivement que la sécurisation des données de santé fait pleinement partie de l’obligation générale de sécurité pesant sur les établissements de santé. 

La cybersécurité pourrait alors devenir l’un des nouveaux visages contemporains de la protection du secret médical. 

Cyberattaque et données de santé : vers une évolution du contentieux médical ? 

À ce jour, aucun bouleversement jurisprudentiel majeur n’est intervenu en matière de responsabilité liée aux cyberattaques touchant les données médicales. 

Toutefois, l’intensification des incidents de sécurité et la sensibilité particulière des données concernées pourraient conduire à une évolution progressive du contentieux. 

Demain, les juridictions pourraient ne plus seulement s’interroger sur la survenance de l’attaque elle-même, mais également sur le niveau d’anticipation du risque démontré par les établissements de santé. 

La question ne serait alors plus uniquement de savoir si un établissement a été victime d’une cyberattaque, mais également s’il avait pris toutes les mesures raisonnablement attendues pour préserver le secret médical dans un environnement numérique devenu structurellement vulnérable. 

Comme souvent en matière de responsabilité en santé, le droit évolue au rythme des transformations technologiques. Dans les années à venir, la cybersécurité pourrait ainsi s’imposer comme un enjeu central de la protection juridique du secret médical.