Réponse publiée le 13 décembre 2022

Doctolib est une entreprise privée qui propose plusieurs services numériques aux établissements et professionnels de santé permettant notamment de gérer la prise de rendez-vous en ligne de leurs patients, de réaliser des téléconsultations avec eux, ou encore de gérer un cabinet médical avec les dossiers électroniques des patients. En fonction de la nature du service utilisé par l'établissement ou le professionnel de santé concerné, les finalités ne sont pas les mêmes et les données personnelles concernant les patients, collectées et traitées par Doctolib, sont de nature différente. La société Doctolib intervient dans un secteur concurrentiel sur l'ensemble des prestations qu'elle propose (logiciel de prise de rendez-vous en ligne, logiciel gestion de cabinet, logiciel de téléconsultation notamment) où d'autres acteurs, français ou internationaux, proposent des services similaires. Cette concurrence est bénéfique aux utilisateurs qui ont le choix des services de santé numérique. Par exemple, lors du Covid-19 plusieurs plateformes du marché ont été financées par l'Etat pour équiper les centres de vaccination. Néanmoins, la réalité de la notoriété marquée de Doctolib en tant plateforme de prise de rendez-vous en ligne en a fait la solution la plus utilisée de l'offre existante. L'ensemble de ces acteurs, qu'ils soient éditeurs de services numériques ou professionnels de santé, sont soumis au respect de la réglementation en vigueur s'agissant notamment de la protection des données personnelles. Ainsi, en tant que société privée ayant une activité sur le territoire français, la société Doctolib doit respecter le règlement général sur la protection des données du 27 avril 2016 (RGPD), la Loi informatique et libertés du 6 janvier 1978 modifiée et le code de la santé publique. Le ministère de la santé et de la prévention définit notamment le cadre à respecter pour permettre un échange sécurisé de données de santé, en fixant des exigences pour les éditeurs de services numériques en santé tels que Doctolib, dans des référentiels opposables. C'est par exemple le cas de l'identification électronique ou pour l'hébergement des données de santé, dont le référentiel est en train d'être mis à jour. Ces référentiels, mis en place en concertation avec la commission nationale de l'informatique et des libertés (CNIL) et l'agence nationale de la sécurité des systèmes d'information (ANSSI), contribuent à assurer aux usagers et aux professionnels de santé que les données personnelles collectées dans le cadre d'une prise en charge médicale sont sécurisées. D'autres référentiels devraient venir compléter le dispositif. Par ailleurs, dans la limite de leurs compétences, les services chargés du référencement au catalogue de services de mon espace santé tel que prévu à l'article R. 1111-37 du code de la santé publique ont pu vérifier la conformité de la solution de prise de rendez-vous de Doctolib aux référentiels opposables. En cas de non-respect par les plateformes de la réglementation relative à la protection des données personnelles, des sanctions sont applicables par les autorités compétentes. En France, c'est la CNIL qui est chargée de veiller au respect du RGPD. Elle a le pouvoir de prononcer des amendes administratives ainsi que des sanctions pénales si elle constate des manquements. La plateforme Doctolib stocke les données de santé à caractère personnel qu'elle collecte sur le territoire de l'Union européenne via un hébergeur certifié « hébergeur de données de santé ». Doctolib indique en effet dans sa politique de protection des données personnelles (B2C-PrivacyPolicy-July-22-FR (doctolib.com) ) avoir recours à des sous-traitants, dont certains se situent hors de l'Union européenne dans des pays n'offrant pas un niveau de protection adéquat au sens de l'article 45 du RGPD. Doctolib précise prendre des mesures pour assurer le respect du RGPD dans ce cas. Il relève à cet égard de la seule compétence de la CNIL de contrôler, le cas échéant, l'efficience de ces mesures. D'une manière plus générale, Doctolib propose une information détaillée à ses utilisateurs, accessible en ligne, quant aux mesures prises pour veiller à la protection des données de santé : confidentialité des données personnelles (doctolib.fr). Le corpus de règles à respecter par Doctolib, ainsi que le rôle central de la CNIL sur ces questions de protection des données à caractère personnel, sont de nature à apaiser les craintes.