Mail de Doctolib et l'IA : pourquoi je me suis opposée à l'utilisation de mes données de santé

Que dit le mail envoyé par Doctolib ?

Le message commence par une ambition consensuelle : réinventer le quotidien des soignants et aider chacun à vivre en meilleure santé. Doctolib annonce ensuite la création d'un laboratoire de recherche dont les travaux seront publics et conduits avec des partenaires scientifiques reconnus.

Le premier projet doit durer trois ans. Il viserait à repérer plus tôt certains risques de santé et à améliorer la coordination des parcours de soins. Les données seraient conservées cinq ans au maximum, le temps nécessaire aux publications scientifiques, et accessibles uniquement à des équipes de recherche habilitées dans un environnement sécurisé.

Sur le papier, chaque élément semble rassurant. Partenaires académiques, intérêt public, environnement sécurisé, durée limitée, droit d'opposition : toutes les cases attendues sont présentes.

Mais la question la plus concrète reste entière : quelles données seront utilisées, dans quel état et avec quel niveau de détail ? Le mail évoque seulement les « données démographiques et de santé nécessaires aux fins de recherche scientifique », qu'elles aient été renseignées par l'utilisateur ou par ses soignants. Cette formule peut couvrir des réalités très différentes.

Pourquoi cette communication me paraît-elle hypocrite ?

Le mail consacre de nombreux paragraphes aux bénéfices attendus du projet. Il parle de parcours du combattant, de risques repérés plus tôt, de santé pour tous et de confiance. En revanche, l'inclusion par défaut tient en quelques lignes.

Le passage intitulé « Vous gardez le contrôle » est celui qui me dérange le plus. Dans les faits, je ne contrôle rien tant que je n'ai pas identifié le message, lu son contenu, suivi un lien et rempli un formulaire. Si je ne fais rien, je suis incluse. Ma fille, rattachée à mon compte, l'est également sauf démarche distincte de ma part.

C'est légalement présenté comme un droit d'opposition. Dans l'expérience utilisateur, c'est une inversion de la décision : Doctolib considère l'absence de refus comme une autorisation d'utiliser des données médicales dans une recherche en IA.

À mes yeux, employer le vocabulaire du contrôle pour décrire un opt-out relève d'une communication soigneusement cadrée. Le message ne ment pas forcément. Il organise toutefois l'information de manière à rendre la recherche désirable avant de rendre l'opposition visible. Sur un sujet aussi sensible, je trouve cette présentation malhonnête dans son esprit.

Doctolib parle-t-il d'anonymisation ou de pseudonymisation ?

La phrase retenue dans le mail est précise : « les données utilisées ne permettent pas de vous identifier directement ». Elle ne signifie pas que les données sont anonymes.

La CNIL distingue clairement les deux notions. Une donnée anonymisée ne doit plus permettre d'identifier une personne de manière raisonnable. Une donnée pseudonymisée reste une donnée personnelle : les identifiants directs, comme le nom ou le prénom, sont remplacés ou séparés, mais l'identité peut être retrouvée à l'aide d'informations supplémentaires.

Ce choix de formulation compte. Dire qu'un dossier ne permet pas une identification « directe » laisse ouverte la question de l'identification indirecte par recoupement.

Un dossier peut ne contenir aucun nom et rester reconnaissable. Une combinaison composée de l'âge, du sexe, du département, de dates de consultations et d'une pathologie rare peut suffire à isoler une personne. Le risque augmente encore lorsque les données décrivent un parcours de soins longitudinal et cohérent.

Qu'est-ce qui sera utilisé des dossiers médicaux ?

Le mail ne précise pas si l'âge sera exact ou regroupé par tranche. Il ne dit pas si la localisation correspondra à une région, un département ou une donnée plus fine. Il ne détaille pas le traitement des dates, des établissements consultés, des spécialités médicales ou des événements rares.

Surtout, il ne permet pas de comprendre le sort réservé aux documents médicaux disponibles dans l'écosystème Doctolib. Les ordonnances, courriers médicaux, comptes rendus et questionnaires de santé peuvent contenir bien davantage que des codes de diagnostic. Un texte libre peut mentionner un nom, une profession, un établissement, une commune, un membre de la famille ou un événement de vie suffisamment particulier pour rendre une personne reconnaissable.

Les questions techniques sont nombreuses :

• Les documents seront-ils utilisés intégralement ou après extraction de variables structurées ?
  
• Les informations identifiantes seront-elles supprimées automatiquement, vérifiées humainement ou remplacées par des valeurs fictives ?
  
• Les équipes de recherche pourront-elles consulter le texte original ?
  
• Quel protocole mesurera les erreurs de dé-identification et le risque de réidentification ?
  

Ce ne sont pas des détails secondaires réservés aux spécialistes. Ce sont les informations dont un patient a besoin pour décider s'il accepte que ses données participent au projet.

La conformité à la MR-004 répond-elle à toutes ces questions ?

Doctolib indique appliquer la méthodologie de référence MR-004 de la CNIL. Ce cadre concerne les recherches en santé n'impliquant pas la personne humaine, notamment la réutilisation de données déjà collectées pendant les soins.

La MR-004 impose plusieurs garanties. La recherche doit présenter un caractère d'intérêt public. Les données doivent être pertinentes et limitées à ce qui est nécessaire. L'information individuelle doit notamment préciser la nature des informations utilisées, les destinataires, la durée de conservation et les droits des personnes. La commune de résidence et les données de géocodage sont exclues du cadre, tandis que le département peut être traité.

Ce cadre juridique n'est donc pas vide. Il limite les traitements possibles et impose une information des patients. Mais citer la MR-004 ne répond pas à la question que je me pose en tant qu'utilisatrice : comment ces obligations seront-elles traduites techniquement dans ce projet précis ?

Une conformité réglementaire ne remplace pas une explication intelligible. Elle ne dit pas à elle seule si un courrier médical sera conservé en texte libre, si les dates seront décalées, si les pathologies rares seront regroupées ou si une analyse formelle du risque de réidentification a été conduite.

La recherche exclut-elle tout intérêt commercial ?

Le projet est présenté comme un travail de recherche scientifique dont les résultats seront publics. Ses partenaires académiques apportent un cadre et une crédibilité réels. Cela ne signifie pas pour autant que Doctolib, entreprise privée spécialisée dans les services numériques de santé, n'en retirera aucun avantage.

Des modèles capables d'analyser les parcours de soins, d'anticiper certains risques ou de mieux coordonner les prises en charge peuvent avoir une valeur scientifique, médicale et économique. Ces dimensions ne sont pas incompatibles.

Le problème n'est pas qu'une entreprise améliore ses connaissances ou ses produits grâce à la recherche. Le problème est que le mail ne précise pas clairement ce que Doctolib pourra faire des modèles, méthodes, représentations ou briques techniques issus du projet après sa fin.

Les modèles pourront-ils être intégrés à des services commerciaux ? Les résultats seront-ils publiés avec suffisamment de détails pour bénéficier réellement à la communauté scientifique ? Les partenaires disposeront-ils des mêmes droits sur les travaux ? Là encore, la communication demande de faire confiance avant de donner les éléments permettant de juger.

Pourquoi ai-je finalement choisi de m'opposer ?

Je ne considère pas que toute utilisation secondaire de données médicales soit mauvaise. Sans données, une partie de la recherche clinique, épidémiologique et informatique devient impossible. Je pourrais accepter de participer à un projet de ce type si son fonctionnement était décrit avec précision.

Ici, je dois décider sans connaître la granularité des données, la méthode de dé-identification des textes, les mesures contre la réidentification ni les usages futurs des modèles. Le mail me demande de faire confiance à l'institution et à ses partenaires. Il ne me donne pas les moyens d'évaluer le traitement.

J'ai donc rempli le formulaire d'opposition pour moi et pour ma fille rattachée à mon compte. J'ai également écrit à Doctolib afin de demander des précisions sur l'anonymisation, la pseudonymisation, les documents médicaux utilisés et l'accès des chercheurs aux textes complets. Au moment de publier cet article, je n'ai reçu aucune réponse.

Cette absence de réponse n'est pas une preuve de mauvaise intention. Elle renforce toutefois mon constat : il est plus facile de trouver le formulaire permettant à Doctolib d'utiliser les données que d'obtenir une description technique permettant de comprendre cette utilisation.

À quoi aurait ressemblé un mail réellement transparent ?

Quelques paragraphes supplémentaires auraient changé ma lecture. J'aurais voulu trouver un tableau listant les catégories de données, leur granularité et leur transformation avant accès par les chercheurs.

J'aurais voulu savoir clairement si les ordonnances et courriers étaient concernés, si leur texte intégral était utilisé, quelles entités étaient supprimées et quelle marge d'erreur était acceptée. J'aurais voulu lire une explication de la pseudonymisation, de ses limites et des risques résiduels.

Enfin, j'aurais voulu que le choix de l'opt-out soit assumé sans être emballé dans la formule « Vous gardez le contrôle ».

Doctolib ne nous demande pas seulement de soutenir la recherche. L'entreprise nous demande d'accepter qu'elle réutilise des informations parmi les plus intimes que nous possédons. La confiance ne devrait pas être obtenue grâce à une absence de clic. Elle devrait être construite par une information complète, concrète et lisible.