Alla fine del 2025, la società francese "Cegedim", specializzata in software per la gestione degli studi medici, è stata vittima di un attacco informatico in cui sono stati esposti i dati personali di circa 15 milioni di cittadini, tra cui anche politici e potenziali candidati alle elezioni presidenziali francesi del 2027, con possibili implicazioni politiche e di sicurezza.  

La conferma è arrivata alcuni mesi dopo dalla stessa società secondo cui sarebbero stati esposti solo i dati amministrativi dei pazienti, ma le indagini gioranlistiche delle emittenti France Télévisions (tramite il canale France 2) e France Info hanno rivelato che il database conteneva fino a 65 milioni di dati sanitari in cartelle cliniche dettagliate, quindi categorie particolari di dati personali che, ai sensi del GDPR, richiedono un livello di protezione molto elevato (come HIV, orientamento sessuale, religione e contesto familiare).

L’attacco ha sfruttato il software medico MonLogicielMedical, utilizzato da oltre 25.000 studi medici e 500 centri sanitari in Francia, rendendo questo evento come la più grande violazione di dati medici nella storia francese. Questo episodio si inserisce in una serie di recenti incidenti informatici in Francia (ad es. il caso di FICOBA in cui sono stati effettuati accessi illeciti su 1,2 milioni di conti conti bancari a febbraio 2026) ed evidenzia vulnerabilità strutturali nella sicurezza dei sistemi sanitari digitali, quindi non limitate a un singolo fornitore,  rafforzando il dibattito sulla necessità di integrare la sicurezza e la protezione dei dati fin dalla progettazione dei sistemi (privacy by design). Le Autorità francesi per la protezione dei dati e la cybersicurezza, tra cui Commission Nationale de l’Informatique et des Libertés (CNIL) e Agence nationale de la sécurité des systèmes d’information (ANSSI), potrebbero indagare  per accertare le  dovute responsabilità, soprattutto in relazione al mancato rispetto dei tempi di notifica dell’incidente previsti dal Regolamento generale sulla protezione dei dati (che impone l'obbligo di comunicazione alla CNIL entro 72 ore).

‍