Vos antécédents médicaux intéressent désormais l’IA de Doctolib, sauf si vous prenez le temps de refuser.

Son intitulé officiel a tout pour rassurer une salle d’attente : « Améliorer les parcours de soins grâce à l’intelligence artificielle ». Doctolib dit vouloir mieux anticiper certains risques, organiser les rendez-vous et coordonner le suivi médical. Une ambition présentée sur son portail de recherche, avec ce détail moins décoratif : les patients concernés sont intégrés au dispositif tant qu’ils ne s’y opposent pas.

Antécédents, diagnostics et ordonnances au menu de l’IA

Les données susceptibles d’être réutilisées ne se limitent pas à l’heure de votre rendez-vous chez le dermatologue. Doctolib cite les antécédents, médicaments, diagnostics, informations sur l’état de santé, évolution des traitements, documents médicaux, images, questionnaires, courriers d’adressage, ordonnances et éléments enregistrés dans la rubrique « Santé » du compte.

Lorsque les informations proviennent du logiciel utilisé par le praticien, celui-ci doit également avoir autorisé leur réutilisation. Pour les données renseignées directement par l’utilisateur dans les services personnalisés, l’absence d’opposition du patient suffit. Le silence devient donc une sorte de signature médicale invisible : très pratique pour la plateforme, un peu moins spectaculaire pour le consentement éclairé.

Un dispositif encadré, mais sans « oui » préalable

Il serait imprudent d’affirmer que l’opération est illégale. Doctolib dit s’appuyer sur la méthodologie de référence MR-004 de la CNIL. Ce cadre concerne notamment la réutilisation de données déjà collectées pour des recherches de santé présentant un intérêt public. Il impose une information des personnes, limite les données à ce qui est nécessaire et leur reconnaît un droit d’opposition.

Autrement dit, la question n’est pas de découvrir une opération clandestine au fond d’un serveur. Elle est de savoir si un courriel envoyé à des dizaines de millions d’utilisateurs constitue une information réellement comprise, et s’il est raisonnable de considérer tout le monde volontaire jusqu’au clic contraire. Chez Doctolib, votre accord est apparemment si précieux qu’il vaut mieux ne pas attendre que vous le donniez.

Pseudonymisées ne veut pas dire anonymes

Doctolib assure que les données ne permettront pas d’identifier directement les patients et qu’elles seront accessibles dans un environnement sécurisé aux équipes habilitées. Mais elles sont pseudonymisées, pas totalement anonymisées. Comme le rappelle la CNIL dans sa définition de l’anonymisation, le nom peut être remplacé par un code tandis qu’une information supplémentaire permet encore d’attribuer les données à une personne. Elles restent donc soumises au RGPD.

La différence n’est pas une querelle de vocabulaire. Une donnée véritablement anonyme ne peut plus être rattachée raisonnablement à une personne. Une donnée pseudonymisée conserve une possibilité de rapprochement avec son propriétaire. Votre hypertension change de badge, mais elle n’a pas quitté l’immeuble.

Comment refuser l’utilisation de ses données par Doctolib ?

La procédure passe par le formulaire officiel d’opposition de Doctolib. Il faut renseigner son prénom, son nom et sa date de naissance, puis confirmer son refus. L’opposition peut également couvrir les proches rattachés au compte. Doctolib affirme qu’elle n’aura aucune conséquence sur l’accès aux services ni sur la prise en charge médicale.

La plateforme promet par ailleurs de ne pas vendre ces données à des fins commerciales et annonce une conservation maximale de cinq ans pour ce projet. Reste une philosophie assez limpide : Doctolib fournit le formulaire, le patient fournit la vigilance. Dans le numérique médical aussi, le traitement commence parfois avant que l’on ait lu la notice.