J’ai voulu refuser que Doctolib utilise mes rendez-vous juste pour garder la main sur mon dossier : au moment de valider le formulaire, j’ai compris ce qu’on ne pouvait plus effacer

Le formulaire promettait une chose simple : dire non à l’exploitation de mes rendez-vous et de mon historique médical par Doctolib. J’ai coché la case, validé, et je me suis dit que c’était réglé. Ça ne l’était pas. Car ce qu’on ne peut pas effacer, ce n’est pas ma décision, c’est tout ce qui existe déjà ailleurs : chez mes médecins, sur des serveurs, dans des dossiers que la loi oblige à garder pendant des années.

Un programme lancé en douceur, sans vraiment demander l’avis de personne

Depuis août 2026, Doctolib exploite les données de santé de ses utilisateurs pour une IA, par défaut. Concrètement, la plateforme a lancé un projet en collaboration avec l’Inria, l’Inserm et l’université Paris-Cité pour étudier comment des outils d’intelligence artificielle peuvent aider à anticiper certains risques à partir de l’historique médical, afin de mieux organiser les parcours de soins. Sur le papier, l’intention paraît vertueuse. Dans les faits, le fonctionnement choisi a de quoi faire grincer des dents : plutôt que de demander l’accord des patients, Doctolib les inscrit d’office et laisse à chacun le soin de se retirer si l’idée lui déplaît.

Ce mécanisme, appelé opt-out, n’a rien d’anecdotique vu l’échelle du projet. Ce fonctionnement paraît anodin sur le papier, mais rapporté aux 500 000 professionnels de santé et 90 millions de patients que revendique la plateforme en Europe, il revient à embarquer des millions de gens qui, pour la plupart, ne liront jamais le mail d’information envoyé le 8 juillet 2026. Moi non plus, je ne l’avais pas vu passer avant qu’un ami m’en parle. Trois clics plus tard, j’étais sur le fameux formulaire.

Ce que le formulaire efface réellement, et ce qu’il laisse intact

Première surprise : l’opposition ne touche qu’un périmètre précis. Elle ne concerne que l’usage des données à des fins de recherche et n’a aucune conséquence sur les rendez-vous, les ordonnances ou la relation avec les praticiens. mon dossier continue de vivre normalement chez mes médecins, ce refus ne change rien à ma prise en charge.

Deuxième surprise, plus troublante : la nature exacte de ce qui circule. Doctolib parle de données pseudonymisées, mais le nom est remplacé par un code alors que le lien avec l’identité reste techniquement possible, ce qui en fait toujours, aux yeux du RGPD, des données personnelles protégées comme telles. Un code à la place d’un nom, ce n’est pas de l’anonymat. C’est un déguisement réversible.

Sur la question sensible du stockage, Doctolib assure jouer la carte européenne. Selon la plateforme, ses prestataires américains n’ont pas le droit d’exploiter ces données pour leur compte, l’hébergement se fait exclusivement dans l’Union européenne et les clés de déchiffrement restent en France. Mais le doute persiste, et il n’est pas illégitime : la question du Cloud Act, qui permet en théorie aux autorités américaines de réclamer des données détenues par une entreprise américaine, continue d’alimenter le débat. Même avec des serveurs à Francfort ou Paris, la nationalité du groupe qui les gère n’est jamais totalement neutre.

Le vrai verrou : ce que la plateforme ne peut pas supprimer

C’est là que j’ai compris la limite réelle de mon geste. Refuser le programme IA, fermer mon compte, demander l’effacement : rien de tout cela n’atteint le cœur du problème, à savoir le dossier détenu par chaque professionnel que j’ai consulté. Supprimer un compte Doctolib ferme l’accès à la plateforme de prise de rendez-vous, mais chaque professionnel de santé conserve le dossier médical de son côté, comme la loi l’y oblige, indépendamment de ce que fait le patient sur l’application.

Ce n’est pas un détail technique, c’est une obligation légale lourde. Les professionnels de santé consultés conservent le dossier médical en dehors de Doctolib, car la loi impose une durée de conservation des documents de santé bien plus longue que celle d’un simple compte en ligne. Dans les faits, ces données sont soumises à des obligations légales de conservation généralement fixées à 20 ans après le dernier contact. Vingt ans. Le temps qu’un enfant né aujourd’hui passe son bac. Face à ça, un formulaire d’opposition coché en deux minutes fait figure de goutte d’eau.

Autre déconvenue, plus pratique : en fermant mon compte, j’aurais aussi perdu l’accès aux échanges passés avec mes soignants. Les ordonnances, comptes rendus et résultats partagés via la messagerie Doctolib deviennent inaccessibles après la fermeture du compte, alors même que ces documents, eux, restent stockés côté praticien. Résultat : je perds la commodité, sans gagner l’effacement.

Un opt-out qui, sur le terrain, montre déjà ses failles

Le plus inquiétant n’est peut-être pas juridique, mais technique. Un utilisateur a documenté un test simple sur un forum spécialisé : après avoir refusé la conservation de son historique, celui-ci a bien disparu de son compte. Mais quelques semaines après avoir annulé son option de non-enregistrement, l’historique complet est réapparu. le refus n’efface rien de manière définitive côté serveur : il masque, il ne détruit pas. Doctolib invite d’ailleurs les utilisateurs à faire valoir leurs droits directement par email pour tout ce qui dépasse le simple opt-out du programme IA, en écrivant au délégué à la protection des données de l’entreprise, comme le rappelle la possibilité d’exercer les droits d’accès, de rectification, de limitation ou d’effacement en adressant un e-mail au DPO.

Ce que ma tentative de refus m’a appris, finalement, tient en une phrase : sur une plateforme de santé, l’effacement numérique s’arrête toujours là où commence l’obligation légale de conservation. On peut retirer son consentement à un projet de recherche, fermer son compte, exiger la suppression d’un profil. On ne peut pas effacer vingt ans d’archives médicales éparpillées chez chaque praticien consulté, ni garantir qu’un code pseudonymisé ne redeviendra jamais un nom. La case à cocher donne l’illusion du contrôle. La réalité, elle, se joue ailleurs, dans des salles de serveurs et des cabinets médicaux qu’aucun formulaire en ligne ne peut atteindre.

Sources : connect.doctolib.com | assemblee-nationale.fr | quechoisir.org