Doctolib et l'IA : 50 millions de patients embarqués par défaut dans un programme de recherche dès août 2026

À partir du 1er août 2026, Doctolib va exploiter les données de santé de ses utilisateurs pour un programme de recherche en intelligence artificielle mené avec l'Inria, l'Inserm et l'Université Paris Cité. Le mécanisme retenu — l'inclusion par défaut plutôt que le consentement explicite — relance un débat que les DPO ne peuvent pas ignorer : celui de la solidité juridique d'un « opt-out » appliqué à des données parmi les plus sensibles du RGPD.

Ce qui s'est passé

Le 8 juillet 2026, Doctolib a envoyé un e-mail à ses 50 millions d'utilisateurs et à ses 80 000 professionnels de santé abonnés, intitulé « Doctolib s'engage dans la recherche pour améliorer la santé ». Objet du message : un premier projet de recherche, mené sur trois ans avec l'Inria, l'Inserm et l'Université Paris Cité, vise à optimiser les parcours de soins grâce à l'IA — anticiper certains risques médicaux et mieux coordonner les rendez-vous à partir de l'historique individuel des patients.

Patients comme professionnels de santé sont considérés comme participants dès lors qu'ils ne manifestent pas un refus actif avant le lancement du programme en août. L'opposition reste possible jusqu'à la fin des recherches, mais la suppression des données déjà traitées ne sera plus possible une fois le projet finalisé, afin de « préserver la validité scientifique » de l'étude. Les données seront pseudonymisées et conservées jusqu'à cinq ans selon l'entreprise.

Pourquoi c'est important

Le RGPD encadre strictement le traitement des données de santé, catégorie particulière au sens de l'article 9 — voir notre guide RGPD et santé. La recherche scientifique bénéficie d'un régime dérogatoire qui autorise, sous conditions, un consentement large et une limitation du droit à l'effacement ou du droit d'opposition — un cadre que l'EDPB vient tout juste de clarifier dans ses lignes directrices sur la recherche scientifique. Sur le papier, Doctolib s'inscrit donc dans une base juridique reconnue.

Le point de friction est ailleurs : la nature du mécanisme choisi. Un opt-in suppose une action positive de la personne concernée ; un opt-out suppose son silence. Pour des données de santé portant sur 50 millions de personnes, le choix de l'inclusion par défaut déplace la charge de la vigilance sur l'individu — et beaucoup n'auront simplement pas lu l'e-mail du 8 juillet. S'ajoute la question de la pseudonymisation : contrairement à une anonymisation véritable, un lien technique vers l'identité réelle du patient subsiste, ce qui maintient un risque de ré-identification pendant toute la durée de conservation. Notre guide sur les enjeux de la pseudonymisation des données détaille pourquoi cette distinction n'est pas qu'un détail technique mais conditionne le niveau de protection réellement offert aux patients.

Ce que ça change pour les organisations

Toute organisation qui traite des données de santé à des fins de recherche, d'analyse ou d'entraînement d'un modèle d'IA devrait revoir trois points à la lumière de ce cas. D'abord, la base légale retenue doit être documentée et défendable — notre guide sur les bases légales du RGPD rappelle qu'un fondement solide ne dispense pas d'une information claire et accessible des personnes concernées. Ensuite, le mécanisme d'opposition doit être visible et actionnable en quelques clics, pas noyé dans un e-mail marketing parmi d'autres. Enfin, la distinction pseudonymisation/anonymisation doit être explicite dans la documentation de conformité et dans l'analyse d'impact (AIPD), quasi systématiquement requise dès lors que des données de santé sont traitées à grande échelle pour entraîner un système d'IA.

Ce que Leto pense de cette décision

L'opt-out sur des données de santé, même juridiquement fondé sur le régime dérogatoire de la recherche, reste une architecture de choix fragile dès qu'elle s'applique à cette échelle. Un e-mail unique ne suffit pas à garantir une information « claire et compréhensible » au sens du RGPD quand elle concerne des dizaines de millions de personnes et des données aussi sensibles que l'historique médical. Les organisations qui s'appuient sur ce type de mécanisme devraient anticiper le regard que portera la CNIL, plutôt que d'attendre un contrôle pour découvrir que l'équilibre entre intérêt scientifique et droits des personnes n'était pas aussi solide qu'annoncé.

Sources : DoctoVox, Breizh-info, Franceinfo, esante.info