[FAQ] Violation de données, que faire ?
Suite au volume important de messages reçus par WEDA après sa notification de la violation de données du 10 Novembre 2025, vous trouverez ci-après une FAQ correspondant aux demandes les plus courantes.
WEDA – FAQ (Foire Aux Questions)
- Dois-je informer mes patients immédiatement ?
- Sur quelles bases légales vous basez-vous pour cette affirmation ?
- Quelles sont mes obligations en tant que médecin suite à cet incident ?
- WEDA peut-il réaliser la notification réglementaire pour mon compte ?
- Qui doit réaliser la notification réglementaire ?
- J’ai dépassé le délai légal de notification à réaliser auprès de la CNIL, que faire ?
- Est-ce que je risque quelque chose si je tarde trop à notifier la CNIL ?
- Ma structure fait-elle partie des comptes ayant subi des activités anormales ?
- Puis-je savoir si tout ou partie de mes patients sont concernés par l’incident ?
- Puis-je récupérer auprès de WEDA un listing de mes patients impactés afin de les informer?
- J’ai demandé à WEDA la récupération de mes données patient, qu’en est-il ?
- Comment puis-je informer mes patients ?
- Le seul affichage au cabinet ou sur le site internet est-il suffisant ?
- Suis-je obligé(e) de déposer plainte ?
- Je n’ai pas reçu l’information réglementaire directement sur mon adresse mail, pourquoi ?
Dois-je informer mes patients immédiatement ?
Non, pas immédiatement.
🕒 L’information ciblée doit être faite une fois que les patients concernés seront précisément identifiés.
💡 En attendant, un affichage temporaire dans le cabinet et/ou sur votre site est recommandé.
→ Retrouver l'affichage conseillé ici.
Sur quelle base juridique repose ce délai d’information des patients ?
Le RGPD exige une information « dans les meilleurs délais », sans préciser de durée.
WEDA considère que ce délai court à compter de l’identification précise des personnes concernées.
📌 Un affichage temporaire permet d’assurer un respect minimal de l’obligation, en attendant une information ciblée.
→ Retrouvez l'affichage conseillé ici.
Quelles sont mes obligations en tant que médecin suite à cet incident ?
Vous avez deux obligations légales :
- Notifier la CNIL d’une violation de données via le formulaire en ligne :
https://notifications.cnil.fr/notifications/index
→ Tutoriel de complétude du formulaire ici
- Informer vos patients concernés par l’incident.
WEDA peut-il réaliser la notification réglementaire pour mon compte ?
❌ Non.
WEDA intervient juridiquement en tant que sous-traitant.
La réglementation (notamment le RGPD) ne permet pas à un sous-traitant d’effectuer cette notification à la place du responsable du traitement, c’est-à-dire vous ou votre structure.
Qui doit réaliser la notification réglementaire ?
→ Vous êtes salarié d’une structure de santé
La notification incombe uniquement à votre structure.
→ Vous êtes en profession libérale
Vous devez effectuer la notification.
💡 Cas des libéraux en structure : la structure peut notifier au nom de tous les professionnels associés.
🔎 Recommandation : que le gestionnaire du contrat et/ou le coordinateur WEDA réalise la notification pour l’ensemble des praticiens concernés du contrat.
J’ai dépassé le délai légal de notification à réaliser auprès de la CNIL, que faire ?
Vous devez quand même notifier la CNIL.
L’obligation reste active même en cas de retard.
💡 Il est conseillé d’expliquer dans le formulaire les raisons du retard, notamment celles indiquées dans la notification reçue de WEDA.
Est-ce que je risque quelque chose si je tarde trop à notifier la CNIL ?
La CNIL peut vous demander des justifications du retard.
Cependant, le risque est limité car :
- WEDA a informé les utilisateurs le 14 novembre, très proche de l’échéance.
- Les contraintes techniques de l’incident ont retardé la transmission d’informations détaillées.
📌 La CNIL a déjà connaissance de la situation via WEDA, ce qui limite l’exposition au risque si vous notifiez prochainement.
Ma structure fait-elle partie des comptes ayant subi des activités anormales ?
WEDA ne divulgue pas l’identité des comptes concernés par mesure de confidentialité.
📍 Cependant, l’incident dépasse les seuls comptes identifiés comme anormaux.
→ Même sans activité suspecte détectée sur votre compte, vous êtes potentiellement concerné.
Puis-je savoir si tout ou partie de mes patients sont concernés par l’incident ?
WEDA est encore en investigation avec les autorités pour déterminer le périmètre exact des données impactées.
🔎 Tant que ce travail n’est pas terminé, WEDA ne peut pas identifier précisément les patients concernés.
→ Vous serez informé dès réception des rapports d’expertise.
Puis-je récupérer auprès de WEDA un listing de mes patients impactés afin de les informer?
⏳ Pas encore.
- WEDA n’a pas encore les conclusions des experts.
- WEDA n’a pas accès directement aux données patients conformément au Code de la Santé Publique.
💡 Vous pouvez toutefois extraire vous-même le listing complet de vos patients via WEDA
Lire l'article : Extraire les données de mes patients.
Comment puis-je informer mes patients ?
1/Dans un premier temps affichage temporaire dans le cabinet et/ou mention sur votre site internet. → Retrouvez l'affichage conseillé ici.
2/Puis information ciblée lorsque WEDA communiquera le périmètre exact des patients concernés.
Le seul affichage au cabinet ou sur le site internet est-il suffisant ?
❌ Non. L’affichage n’est qu’une mesure temporaire, en attente d’une information personnalisée des patients concernés.
J’ai demandé à WEDA la récupération de mes données patient, qu’en est-il ?
📌 Votre demande est bien enregistrée.
Elle sera traitée dès réception des informations officielles relatives au périmètre de l’incident.
Suis-je obligé(e) de déposer plainte ?
❌ Non. Aucune obligation réglementaire ne vous impose un dépôt de plainte.
Je n’ai pas reçu l’information réglementaire directement sur mon adresse mail, pourquoi ?
WEDA a envoyé les communications aux adresses présentes dans son CRM (Logiciel de gestion de la relation clients), généralement celles associées au signataire du contrat.
→ Il est possible que l’adresse d’exercice ou une autre adresse professionnelle n’ait pas été destinataire.
Vous pouvez retrouver les communications directement dans Weda en cliquant dans "Applicatifs" puis " Les nouveautés de WEDA"