Secrecy Care Blog
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Find the latest news from Secrecy Care, new products, events, and articles from our experts here.
Beaucoup d'articles publiés cet été laissaient entendre qu'il fallait se dépêcher avant le 1er août. C'est inexact : le droit d'opposition ne comporte aucune date limite. Voici ce que devient concrètement votre historique Doctolib, comment il est protégé, et comment refuser — aujourd'hui comme dans six mois.
Depuis le 1er août 2026, Doctolib exploite certaines données de ses utilisateurs dans le cadre d'un programme de recherche en intelligence artificielle mené avec l'Inria, l'Inserm et l'Université Paris Cité, pour une durée de trois ans. Les informations concernées relèvent de l'historique médical : antécédents, ordonnances, motifs de consultation, rendez-vous pris sur la plateforme. Le dispositif fonctionne par opposition et non par consentement, en s'appuyant sur la méthodologie de référence MR-004 de la CNIL, qui encadre la recherche n'impliquant pas la personne humaine. Un courriel d'information a été adressé aux utilisateurs le 8 juillet 2026, avec un formulaire de refus. La plateforme indique que les données sont pseudonymisées et conservées cinq ans au maximum sur les serveurs de recherche. C'est précisément ce point qui concentre les critiques : la Ligue des droits de l'Homme souligne que la pseudonymisation n'équivaut pas à une anonymisation, plusieurs méthodes techniques permettant une réidentification. Point essentiel et souvent mal restitué : votre droit d'opposition n'a pas expiré le 1er août et peut s'exercer à tout moment.
Le programme vise à étudier comment des outils d'intelligence artificielle peuvent aider à anticiper certains risques à partir de l'historique médical, et à mieux organiser les parcours de soins. Doctolib avance un argument de souveraineté : la plupart des modèles d'intelligence artificielle en santé déployés aujourd'hui seraient conçus hors d'Europe, à partir de données qui ne sont pas françaises.
Les catégories mobilisées sont larges. Il ne s'agit pas seulement de dates de rendez-vous, mais bien du contenu médical rattaché à votre profil : antécédents, prescriptions, motifs de consultation. Sur une plateforme utilisée par plusieurs dizaines de millions de personnes, l'agrégation de ces éléments constitue un corpus considérable.
C'est cette ampleur qui explique les réserves exprimées. La Ligue des droits de l'Homme a alerté sur le fait qu'une éventuelle fuite de ces informations ferait courir un risque de stigmatisation, de discrimination et de profilage abusif — préoccupation d'autant plus concrète que le secteur a connu plusieurs incidents majeurs récemment, notamment la compromission de données administratives concernant quinze millions de personnes chez un éditeur de logiciel médical début 2026.
C'est le point où la confusion est la plus fréquente, et elle n'est pas anodine puisqu'elle change complètement le niveau de garantie.
Le chiffrement des données de santé rend une information illisible sans la clé correspondante. C'est une protection contre l'accès non autorisé : si une base est exfiltrée mais que les clés restent hors de portée de l'attaquant, le contenu demeure inexploitable. Le chiffrement est réversible par construction, pour qui détient la clé.
La pseudonymisation remplace les éléments identifiants directs — nom, prénom, numéro de sécurité sociale — par un identifiant technique. Les données médicales, elles, restent lisibles en clair pour qui accède au jeu. Le RGPD est explicite sur ce point : une donnée pseudonymisée demeure une donnée personnelle, soumise à l'intégralité du règlement, car un rattachement à la personne reste possible.
L'anonymisation rendrait l'identification irréversible et ferait sortir les données du champ du RGPD. Elle n'est pas revendiquée ici, et pour cause : elle est difficile à atteindre sur des historiques médicaux riches, où la combinaison d'un âge, d'une zone géographique et de quelques pathologies suffit souvent à isoler une personne unique.
Autrement dit, le chiffrement protège contre un accès extérieur non autorisé, la pseudonymisation limite le lien direct avec votre identité — mais aucune des deux ne rend impossible une réidentification par recoupement. Ces trois mécanismes se complètent ; ils ne se substituent pas les uns aux autres.
La démarche est simple et ne demande pas d'expertise juridique. Trois voies existent.
La première consiste à retrouver le courriel envoyé par la plateforme le 8 juillet 2026, dont l'objet mentionnait l'engagement de l'entreprise dans la recherche. Il contient un lien direct vers le formulaire de refus. Pensez à vérifier vos dossiers de courrier indésirable et vos onglets promotionnels, où ce type de message atterrit fréquemment.
La deuxième voie ne dépend pas de ce courriel : un formulaire d'opposition est accessible depuis le site de la plateforme, indépendamment du message initial.
La troisième consiste à écrire directement au délégué à la protection des données de l'entreprise, à l'adresse dédiée, pour exercer votre opposition ainsi que vos autres droits — accès, rectification, limitation, effacement. Cette voie a l'avantage de laisser une trace écrite datée, utile en cas de contestation ultérieure.
À noter également : les professionnels de santé peuvent, de leur côté, s'opposer à la réutilisation des données de leurs patients. Si votre praticien l'a fait, vos données sont déjà exclues du programme.
Le dispositif ne repose pas sur un consentement mais sur la méthodologie de référence MR-004 de la CNIL, qui encadre les traitements de données à des fins d'étude, d'évaluation ou de recherche n'impliquant pas la personne humaine — c'est-à-dire portant sur des données déjà collectées, sans nouvelle intervention sur les personnes. Un responsable de traitement qui déclare se conformer à cette méthodologie peut mettre en œuvre son traitement sans autorisation préalable, à condition d'en respecter l'intégralité des exigences.
Ce cadre impose en contrepartie plusieurs obligations : information des personnes, respect effectif du droit d'opposition, mesures de sécurité proportionnées, et limitation des durées de conservation. L'article 21 du RGPD précise que le droit d'opposition à un traitement fondé sur une mission d'intérêt public ou un intérêt légitime s'exerce à tout moment, sans condition de délai. C'est ce qui rend inexacte l'idée d'une échéance dépassée au 1er août.
Sur la sécurité, l'article 32 du RGPD impose des mesures techniques appropriées au risque et cite explicitement la pseudonymisation et le chiffrement des données personnelles parmi les mesures pertinentes. Ces deux techniques sont donc bien complémentaires dans l'esprit du texte, et non alternatives (source : CNIL, méthodologies de référence pour la recherche en santé, cnil.fr).
Cette affaire illustre une tension appelée à se reproduire. D'un côté, la constitution de jeux de données de santé français est présentée comme une condition de souveraineté face à des modèles entraînés ailleurs. De l'autre, l'accumulation de bases massives augmente mécaniquement l'ampleur d'une éventuelle compromission, dans un secteur où les incidents se multiplient.
La sortie de cette tension passera probablement moins par le débat sur le consentement que par le niveau de protection technique effectivement appliqué. Les architectures où les données restent chiffrées jusqu'au point d'exploitation, où les identifiants directs sont cloisonnés dans un système distinct, et où le risque de réidentification est mesuré plutôt que déclaré, constituent la réponse la plus solide aux critiques exprimées. La sanction prononcée en mai 2026 contre un exploitant d'entrepôts de données de santé, qui a précisément rejeté l'argument de données prétendument anonymes, indique la direction que prend la doctrine.
Message clé : vos données Doctolib sont pseudonymisées, pas anonymisées — ce qui signifie qu'elles restent des données personnelles, et que votre droit d'opposition reste entier, sans date limite.
Si le sujet vous préoccupe, la démarche prend quelques minutes et peut être engagée aujourd'hui aussi bien qu'à n'importe quel moment des trois années que durera le programme.
Comment s'opposer à l'utilisation de mes données par Doctolib ? Trois voies existent : le lien contenu dans le courriel du 8 juillet 2026, le formulaire d'opposition disponible sur le site de la plateforme, ou un message direct au délégué à la protection des données de l'entreprise.
Mes données de santé Doctolib sont-elles chiffrées ? La plateforme met en avant la pseudonymisation ; le chiffrement des données de santé constitue une protection distincte et complémentaire, que l'article 32 du RGPD cite au même titre parmi les mesures appropriées.
Pseudonymisation et chiffrement, quelle différence ? Le chiffrement rend l'information illisible sans la clé, tandis que la pseudonymisation remplace seulement les identifiants directs : le contenu médical reste lisible pour qui accède au jeu de données.
Est-il trop tard pour s'opposer après le 1er août 2026 ? Non, l'article 21 du RGPD prévoit que le droit d'opposition s'exerce à tout moment : la date du 1er août correspondait au démarrage du programme, pas à une échéance pour vos droits.
Mon médecin peut-il s'opposer à ma place ? Oui, les professionnels de santé peuvent s'opposer à la réutilisation des données de leurs patients, indépendamment de la démarche individuelle de chacun.
Combien de temps mes données seront-elles conservées ? La plateforme indique une durée maximale de cinq ans sur les serveurs de recherche, pour un programme dont la durée annoncée est de trois ans.
Depuis le 1er août 2026, Doctolib exploite l'historique médical de ses utilisateurs pour un programme de recherche en intelligence artificielle mené avec l'Inria, l'Inserm et l'Université Paris Cité, sur la base de la méthodologie de référence MR-004 de la CNIL. Le dispositif fonctionne par opposition et non par consentement. Les données sont pseudonymisées — ce qui les maintient dans le champ du RGPD et n'exclut pas une réidentification par recoupement — et conservées cinq ans au maximum. Le droit d'opposition s'exerce à tout moment, sans date limite.
Si vous souhaitez vous opposer, privilégiez un courriel daté au délégué à la protection des données plutôt qu'un simple formulaire : vous conservez ainsi une preuve de votre démarche. Profitez-en pour demander également confirmation que vos données ont bien été exclues du corpus, et vérifiez auprès de votre médecin s'il s'est lui-même opposé pour l'ensemble de sa patientèle.
Le 1er août marquait le démarrage du programme, pas la fin de vos droits : l'opposition s'exerce à tout moment.
Pseudonymiser n'est pas anonymiser : vos données restent des données personnelles, protégées par le RGPD.
Le chiffrement protège contre un accès non autorisé, la pseudonymisation coupe le lien direct avec votre identité — aucune des deux ne rend la réidentification impossible.
Imaginez un dossier médical dont on aurait retiré la page de garde portant votre nom, en la remplaçant par un numéro. Tout le reste — diagnostics, traitements, dates — demeure parfaitement lisible. Si quelqu'un dispose par ailleurs de la liste associant les numéros aux noms, ou simplement d'assez d'éléments pour recouper, le lien se rétablit. C'est la pseudonymisation. Le chiffrement, lui, reviendrait à placer tout le dossier dans un coffre : illisible sans la clé, mais parfaitement lisible pour qui la détient.
Pour les délégués à la protection des données et équipes de conformité confrontés à ce type de programme, plusieurs vérifications méritent d'être menées. Sur la base légale d'abord : une déclaration de conformité à la méthodologie MR-004 dispense d'autorisation préalable mais engage à en respecter l'intégralité des exigences, notamment sur l'information des personnes et l'effectivité du droit d'opposition — ce dernier point suppose un mécanisme technique vérifiant que les données d'une personne opposée sont réellement exclues du corpus, y compris des copies déjà constituées. Sur la robustesse de la pseudonymisation ensuite : les lignes directrices européennes consacrées à cette technique introduisent la notion de domaine de pseudonymisation, c'est-à-dire l'ensemble des parties capables de rétablir le lien avec une personne ; délimiter et documenter ce périmètre vaut mieux que d'affirmer une protection sans la mesurer. Concrètement, cela suppose d'évaluer la taille des classes d'équivalence sur les combinaisons de quasi-identifiants présentes dans le jeu — âge, zone géographique, pathologies — plutôt que de se limiter au retrait des identifiants directs. Sur le stockage enfin, le cumul du chiffrement au repos avec des clés maîtrisées par le responsable de traitement et d'un cloisonnement strict entre table de correspondance et données de recherche constitue le socle minimal attendu pour un corpus de cette sensibilité.