Doctolib lance un projet de recherche sur l'IA avec les données de santé des utilisateurs

«Améliorer les parcours de soins grâce à l’intelligence artificielle » : c’est par ces mots que Doctolib a annoncé son nouveau projet de recherche s’appuyant sur les données de santé des utilisateurs. Le 8 juillet dernier, les 50 millions d’utilisateurs de Doctolib ont reçu un mail dans lequel l’entreprise privée annonçait s’associer avec l’INRIA, l’INSERM et l’Université Paris Cité pour mener un projet de recherche d’intérêt public. La durée de celui-ci est prévue pour trois ans, et l’entreprise assure que les données seront «conservées 5 ans au maximum, le temps nécessaire aux publications scientifiques.»

Pourtant, le calendrier et la méthode posent question. Le courriel a été envoyé le 8 juillet alors que le début de la recherche est prévu en août. De plus, la plateforme de rendez-vous en ligne a fait le choix d’un accord par défaut (opt-out) plutôt que de demander un accord explicite (opt-in). Dans un communiqué du 15 juillet, la ligue des droits de l’homme (LDH) s’est insurgée contre cette méthode car elle «présuppose que la patiente ou le patient ait effectivement reçu le mail, l’ait lu et compris et ait rempli le formulaire de refus».

Une recherche «d’intérêt public»

Face aux craintes d’un usage commercial de ces données, le patron du géant des rendez-vous médicaux, Stanislas Niox-Chateau, a tenu à expliquer la position de Doctolib sur LinkedIn. Il y assure que ce projet de recherche vise exclusivement à «servir l’intérêt général» et que ses résultats seront publics. Selon lui, cette initiative permettra de «repérer plus tôt certains risques de maladies» mais aussi «d’améliorer les parcours de soins des malades chroniques». La licorne française de la santé insiste sur le respect strict du cadre légal en rappelant l’utilisation de «la méthodologie de référence MR-004 de la CNIL». Selon la LDH, les données de santé touchent «à l’intimité la plus profonde de l’individu», ce qui explique que les inquiétudes persistent.

Quelles garanties pour l’utilisateur de Doctolib ?

Au-delà du consentement, la méthode de protection des données constitue un autre sujet de friction. Alors que la LDH préconise une anonymisation stricte, Doctolib fait le choix de la pseudonymisation. Pour justifier ce choix, l’entreprise s’appuie sur la distinction légale entre les deux. D’un côté, les données anonymisées ne permettent plus d’individualiser une personne, ni de corréler entre elles différentes données la concernant. Ce ne sont plus des «données personnelles» donc elles «ne sont donc plus soumises au RGPD». De l’autre, la pseudonymisation empêche «d’identifier directement les personnes» et est encadrée par le «RGPD et la loi Informatique et Libertés ». Ainsi, les données pseudonymisées ont été choisies pour mener à bien la recherche même si elles comprennent un risque d’identification.

Concrètement les données dites «strictement nécessaires» selon Doctolib concernent celles qui sont «saisies par votre médecin dans son logiciel Doctolib (par écrit ou en note vocale)» ou directement sur l’application «au sein de la rubrique “Santé” du compte Doctolib». Si vous ne souhaitez pas que vos données soient utilisées, vous pouvez vous rendre sur le site internet ou retrouver le mail du 8 juillet pour accéder au formulaire d’opposition mis en place par Doctolib. Pour exercer vos autres droits (accès, rectification, limitation, suppression des données), vous pouvez aussi adresser un e-mail à [email protected].