Doctolib et recherche en IA : quelles données de santé et comment s'opposer ?

Un message de Doctolib reçu cet été a placé une question inhabituelle dans les boîtes mail de millions de patients : leurs données de santé peuvent-elles servir à un programme de recherche utilisant l'intelligence artificielle ? Le projet doit débuter en août 2026 et repose sur un mécanisme d'information assorti d'un droit d'opposition.

Le sujet mérite mieux que deux raccourcis opposés. Doctolib ne dit pas vendre les dossiers médicaux à des annonceurs ou livrer une base nominative à un chatbot américain. Mais parler de données « sécurisées » ou « pseudonymisées » ne rend pas non plus le choix insignifiant. Antécédents, traitements, documents et informations saisies par les professionnels peuvent révéler une partie très intime de la vie d'une personne.

La réponse rapide

Cette synthèse ne remplace ni la notice d'information correspondant à votre situation ni un conseil juridique. Le périmètre peut varier selon les logiciels utilisés par le professionnel et les données effectivement enregistrées.

Quelles informations peuvent entrer dans le projet ?

France Assos Santé indique que le programme peut mobiliser des informations ajoutées par les médecins dans leur logiciel Doctolib : antécédents, médicaments, état de santé, documents ou images. Les données de proches dont les rendez-vous sont gérés depuis un même compte peuvent aussi appeler une vigilance particulière.

Il faut distinguer plusieurs couches souvent réunies sous l'expression « mes données Doctolib » :

• les informations de compte et de contact ;
• l'historique des rendez-vous et les spécialités consultées ;
• les documents transmis avant ou après une consultation ;
• les observations et données cliniques saisies dans le logiciel du soignant ;
• les éventuelles données produites par des assistants de consultation ou de dictée.

Un patient ne voit pas nécessairement toutes les notes conservées dans l'outil professionnel. La bonne question n'est donc pas seulement « qu'ai-je saisi dans l'application ? », mais aussi « quelles informations mon professionnel conserve-t-il dans le logiciel concerné ? ».

Pseudonymisé ne signifie pas anonyme

La pseudonymisation remplace ou sépare les identifiants directs, comme le nom ou l'adresse électronique. Les chercheurs travaillent alors sur un identifiant technique et sur les variables utiles à l'étude. Une table distincte ou un processus contrôlé peut toutefois permettre de retrouver la personne dans certaines conditions.

Une donnée anonymisée, au sens fort, ne permet plus raisonnablement de réidentifier quelqu'un. Cette différence est importante : les données pseudonymisées restent des données personnelles et demeurent soumises au RGPD.

Les risques ne disparaissent pas avec le retrait du nom. Une combinaison rare d'âge, de pathologie, de lieu et de dates peut devenir distinctive. La sécurité dépend donc aussi de la minimisation des variables, des droits d'accès, du cloisonnement, de la journalisation, de la durée de conservation et des contrôles appliqués aux partenaires de recherche.

La CNIL rappelle que le développement d'une IA en santé peut concerner plusieurs étapes : constitution d'un entrepôt, création d'un jeu de données pour un modèle, entraînement, validation et évaluation. Chaque étape doit avoir une finalité, une base juridique et des mesures de sécurité adaptées.

Recherche scientifique et amélioration produit ne sont pas identiques

Doctolib mène plusieurs activités autour de l'IA. Certaines fonctionnalités, comme les assistants téléphoniques ou de consultation, relèvent du produit utilisé par les professionnels. Le centre d'aide de l'entreprise indique demander une autorisation et, selon le cas, le consentement explicite des patients pour utiliser des données afin d'améliorer ces solutions.

Le programme annoncé pour août est présenté comme un projet de recherche en santé. France Assos Santé explique que de nombreux projets de recherche d'intérêt public utilisent un mécanisme d'information et d'opposition plutôt qu'une demande de consentement systématique. Ce cadre n'est donc pas inédit, mais il exige une information compréhensible et des finalités suffisamment précises.

Ces deux régimes ne doivent pas être confondus. Avoir accepté une fonctionnalité pendant une consultation ne répond pas automatiquement à toutes les utilisations de recherche, et s'opposer au projet de recherche ne désactive pas nécessairement les autres traitements. Il faut lire le nom exact du traitement présenté dans chaque écran ou notice.

Comment exercer son droit d'opposition

Doctolib propose un formulaire officiel d'opposition. France Assos Santé précise que l'opposition peut être exercée avant le démarrage du projet ou ultérieurement.

Une démarche prudente consiste à :

1. ouvrir directement Doctolib depuis l'application ou en saisissant doctolib.fr, sans suivre un lien reçu dans un message douteux ;
2. vérifier que le domaine affiché est bien celui de Doctolib ;
3. lire le périmètre du projet et identifier les personnes concernées, notamment les proches rattachés au compte ;
4. remplir le formulaire d'opposition si tel est votre choix ;
5. conserver la confirmation ou une capture datée de la demande ;
6. vérifier la politique de confidentialité si vous souhaitez exercer d'autres droits, comme l'accès ou la rectification.

Le droit d'opposition n'est pas un bouton magique supprimant toutes les données de Doctolib. L'entreprise peut conserver les informations nécessaires au fonctionnement du service, aux obligations légales ou à d'autres finalités valides. L'opposition vise le traitement de recherche identifié.

Attention aux faux formulaires

Un sujet médiatisé lié à la santé crée un terrain idéal pour le phishing. Un faux courriel peut prétendre qu'il faut « protéger son dossier » dans les 24 heures, demander le mot de passe Doctolib, un numéro de carte bancaire ou une copie de pièce d'identité.

Ne communiquez jamais un code reçu par SMS à la suite d'un lien non sollicité. Ouvrez l'application vous-même, utilisez les paramètres officiels et contrôlez le domaine. Si une page demande une information disproportionnée, interrompez la procédure et contactez le support depuis le site officiel.

L'opposition à une recherche ne nécessite pas d'installer une application supplémentaire, de payer ou de donner un accès à distance au téléphone.

Les questions auxquelles le projet devra répondre

La confiance ne repose pas seulement sur une certification ou une phrase rassurante. Les patients doivent pouvoir comprendre :

• les objectifs médicaux précis des premières études ;
• les catégories de données utilisées pour chacune ;
• les partenaires ayant accès aux données et leur rôle ;
• la durée de conservation des jeux de recherche ;
• les méthodes de pseudonymisation et de contrôle des accès ;
• la manière dont une opposition tardive agit sur les données déjà préparées ;
• les résultats publiés et les bénéfices réels pour les patients.

France Assos Santé reconnaît l'intérêt de la recherche fondée sur les données tout en demandant des explications à la hauteur de l'échelle du projet. Cette position évite un faux choix entre refus de toute recherche et confiance aveugle.

Décider sans précipitation

Deux décisions peuvent être légitimes. Une personne peut accepter qu'un jeu de données encadré contribue à la recherche médicale. Une autre peut considérer que ses informations sont trop sensibles ou que les explications disponibles ne suffisent pas. Le droit d'opposition existe précisément pour préserver ce choix.

L'essentiel est de décider à partir de la notice réelle, pas d'un titre alarmiste ni d'une promesse générale. Vérifiez le traitement concerné, distinguez pseudonymisation et anonymisation, utilisez le formulaire officiel et gardez une trace. Sur des données de santé, la qualité de l'information est une composante de la sécurité, pas une formalité placée à la fin d'un courriel.