Vous avez pris vos rendez-vous médicaux sur Doctolib pendant des années, puis vous voulez tourner la page : supprimer votre compte, effacer vos données de santé, récupérer vos documents avant qu’ils disparaissent. La procédure existe, elle est décrite par la plateforme elle-même, et le droit européen comme le droit français encadrent chaque étape : qui répond de vos données, dans quel délai, et ce que vous pouvez faire si l’on ne vous répond pas. Cet article décrit la marche à suivre, les textes applicables et les recours devant la CNIL et le juge, avec les sources officielles vérifiées au 16 octobre 2026.
I. Supprimer son compte Doctolib : ce qui s’efface vraiment et qui en répond
A. La suppression du compte, étape par étape, et ce qu’il faut sauvegarder avant
La page d’aide officielle de la plateforme, mise à jour le 25 juin 2026, décrit la suppression du compte depuis l’application mobile et depuis un ordinateur : une fois connecté, il faut ouvrir la rubrique Compte, descendre jusqu’à la section Confidentialité, demander la suppression du compte, lire le message affiché à l’écran puis confirmer, selon la page d’aide officielle de la plateforme intitulée Supprimer mon compte Doctolib, mise à jour le 25 juin 2026. Avant de confirmer, la même page conseille de télécharger au préalable les documents partagés par vos soignants afin de les conserver. Les ordonnances, comptes rendus et résultats d’examens partagés par vos praticiens dans votre espace patient ne sont pas forcément conservés ailleurs : une fois le compte supprimé, leur récupération devient beaucoup plus difficile. Téléchargez-les donc avant de cliquer.
La même page d’aide pose une condition que beaucoup de patients découvrent au dernier moment : tant qu’un rendez-vous reste programmé, la suppression reste impossible ; il faut attendre qu’il ait eu lieu ou l’annuler au préalable. Autrement dit, un rendez-vous programmé bloque la suppression tant qu’il n’a pas eu lieu ou tant qu’il n’est pas annulé. Prévoyez donc d’annuler ou d’honorer vos rendez-vous à venir avant de lancer la procédure, et vérifiez ensuite que le compte est bien supprimé en tentant de vous reconnecter.
Supprimer le compte ne signifie pas que toute trace disparaît instantanément et intégralement. La politique de protection des données de l’entreprise prévoit des durées de conservation différenciées selon les finalités : gestion du compte, sécurité des services, facturation, preuve en cas de litige. Certaines informations peuvent ainsi être conservées après la suppression, par exemple à des fins de preuve en cas de litige, jusqu’à cinq ans à compter de leur enregistrement selon la politique de protection des données publiée par l’entreprise. Ces conservations résiduelles doivent rester limitées à ce qui est nécessaire et proportionné : c’est précisément l’objet du droit à l’effacement, examiné en seconde partie, que de les contester lorsqu’elles ne reposent plus sur aucun fondement.
B. Qui répond de vos données : la plateforme, le praticien et les hébergeurs certifiés
Première clarification, souvent méconnue : supprimer son compte sur la plateforme ne supprime pas le dossier médical détenu par votre médecin. Le praticien qui vous a consulté reste responsable de son propre dossier, soumis au secret médical et aux règles d’accès du code de la santé publique. La plateforme et le soignant sont deux acteurs distincts, avec des responsabilités distinctes : effacer l’un n’efface pas l’autre. Si vous changez de médecin ou si vous voulez obtenir la copie de votre dossier de consultation, c’est au praticien ou à l’établissement qu’il faut s’adresser directement, comme on le verra avec l’article L. 1111-7 du code de la santé publique.
Du côté de la plateforme, les rôles sont écrits noir sur blanc dans sa politique officielle : l’entreprise s’y déclare responsable de traitement pour les données personnelles collectées dans le cadre de cette politique, sauf mention contraire. Le responsable de traitement est celui qui détermine les finalités et les moyens : c’est donc à lui, en principe, que s’adressent vos demandes d’accès, de rectification, d’effacement ou d’opposition pour les données de votre compte. Le règlement européen impose d’ailleurs au responsable de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à protéger les droits des personnes concernées (article 28, paragraphe 1, du règlement (UE) 2016/679).
Pour les données de santé, le droit français ajoute une couche de protection propre : l’hébergement. L’article L. 1111-8 du code de la santé publique dispose que « La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat » et que « L’hébergeur de données mentionnées au premier alinéa du I sur support numérique est titulaire d’un certificat de conformité », la certification dite HDS (article L. 1111-8 du code de la santé publique). La politique de l’entreprise reflète cette exigence : les données y sont décrites comme hébergées par un hébergeur d’infrastructure physique et infogéreur certifié HDS, avec des sous-traitants d’hébergement nommés, et l’entreprise s’y déclare elle-même certifiée HDS en tant qu’hébergeur infogéreur depuis le 14 octobre 2021. Concrètement, vos données de santé ne peuvent pas être stockées n’importe où ni par n’importe qui : l’hébergeur doit être certifié, le contrat d’hébergement doit encadrer les rôles, et les transferts éventuels hors d’Europe obéissent aux règles du règlement européen sur les garanties appropriées. Le même article L. 1111-8 ajoute une interdiction frontale : « Tout acte de cession à titre onéreux de données de santé identifiantes directement ou indirectement, y compris avec l’accord de la personne concernée, est interdit sous peine des sanctions prévues à l’article 226-21 du code pénal », lequel punit le détournement de finalité de « cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-21 du code pénal). Vos données de santé ne se vendent donc pas, même avec votre accord. Retenez surtout le réflexe pratique : pour votre compte, écrivez au responsable de traitement désigné par la plateforme ; pour votre dossier médical, écrivez au praticien ; et si vos données sont hébergées, l’hébergeur n’agit que sur instruction de son client.
II. Vos droits sur vos données de santé et vos recours s’ils sont ignorés
A. Accéder, effacer, s’opposer, récupérer : les quatre droits qui comptent
Les données de santé appartiennent à la catégorie la plus protégée du droit européen. L’article 9 du règlement (UE) 2016/679 pose le principe de l’interdiction du traitement des données de santé, sauf exceptions strictement énumérées, parmi lesquelles le consentement explicite ou les soins prodigués sur le fondement d’un contrat avec un professionnel de santé soumis au secret. C’est parce que vos rendez-vous médicaux, vos ordonnances et vos échanges avec vos soignants touchent à votre santé que chaque traitement doit reposer sur une base précise et que vos droits sont renforcés.
Le premier droit est le droit d’accès. Toute personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou non traitées et, dans l’affirmative, d’y accéder, avec une série d’informations : finalités, catégories de données, destinataires, durée de conservation, droits de rectification et d’effacement (article 15, paragraphe 1, du règlement (UE) 2016/679). Pour votre compte, cela signifie que vous pouvez demander la copie de l’ensemble des données détenues : historique des rendez-vous, documents, données de navigation, préférences. Pour votre dossier médical chez le praticien, le code de la santé publique est encore plus précis : « Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé », et la communication intervient « au plus tard dans les huit jours suivant sa demande », délai porté à deux mois si les informations datent de plus de cinq ans (article L. 1111-7 du code de la santé publique). Huit jours, donc, pas huit semaines : notez la date de votre demande et conservez-en la preuve.
L’accès au dossier du praticien n’est pas qu’une théorie : les tribunaux l’ordonnent régulièrement, tout en exigeant des demandes précises et prouvées. Le 25 juillet 2025, le juge des référés du tribunal judiciaire de Paris a statué sur la demande d’un patient qui reprochait à son médecin de ne pas lui avoir communiqué l’entier dossier de ses consultations de mars à septembre 2022 : constatant que le praticien soutenait avoir communiqué les pièces en sa possession et qu’« il n’est pas établi avec l’évidence requise en référé, que le dossier médical transmis est incomplet », le juge a rejeté la demande d’injonction sous astreinte (ordonnance de référé du 25 juillet 2025, RG 25/53308, texte intégral). La leçon pratique est nette : listez précisément les pièces manquantes, produisez vos courriers de demande restés sans réponse et ne vous contentez pas de captures d’écran de rendez-vous, que le juge a estimées insuffisantes à établir la tenue des consultations. Un dossier de demande méthodique vaut mieux qu’une contestation générale.
Le deuxième droit est le droit à l’effacement, le cœur de ce guide. la personne concernée a le droit d’obtenir l’effacement de ses données dans les meilleurs délais, et le responsable a l’obligation de les effacer dans les meilleurs délais, notamment lorsque les données ne sont plus nécessaires, lorsque le consentement est retiré ou lorsque la personne s’oppose au traitement (article 17, paragraphe 1, du règlement (UE) 2016/679). La CNIL précise le délai sur sa page consacrée au droit à l’effacement : l’organisme doit effacer dans les meilleurs délais et au plus tard sous un mois, délai qui peut passer à trois mois pour les demandes complexes, à condition de vous expliquer cette prolongation. Ce droit n’est pas absolu : il cède notamment lorsque la conservation reste nécessaire au respect d’une obligation légale, par exemple la conservation du dossier patient par le praticien, ou à la constatation et à la défense de droits en justice. D’où la méthode : demandez l’effacement par écrit en visant l’article 17, indiquez précisément les données concernées et le motif, et exigez une réponse écrite dans le mois.
Le troisième droit, souvent oublié, est le droit d’opposition, qui prend un relief particulier avec l’entraînement des outils d’intelligence artificielle. la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt public ou l’intérêt légitime, profilage inclus ; le responsable doit alors cesser le traitement, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur les intérêts, droits et libertés de la personne, ou pour la défense de droits en justice (article 21, paragraphe 1, du règlement (UE) 2016/679). Selon un article de presse du 13 août 2024, la plateforme aurait proposé à ses utilisateurs, depuis le 7 août 2024, d’accepter ou de refuser l’utilisation de leurs informations personnelles, y compris des données de santé, pour l’apprentissage de ses outils d’intelligence artificielle, avec une possibilité de revenir sur son choix depuis les préférences du compte, rubrique d’amélioration des services. Sans se prononcer sur la licéité de tel ou tel traitement, qui relève de l’appréciation de la CNIL et du juge au vu des bases légales invoquées et des informations délivrées, le réflexe utile est le même pour tout service : vérifiez vos paramètres de confidentialité, exercez votre opposition par écrit pour les usages fondés sur l’intérêt légitime, et conservez la preuve de votre refus.
Le quatrième droit est la portabilité, utile quand vous changez de praticien ou de service : ont le droit de recevoir les données qu’elles ont fournies dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable sans que celui-ci y fasse obstacle (article 20, paragraphe 1, du règlement (UE) 2016/679). Avant de supprimer votre compte, demandez donc la restitution de vos données dans un format réutilisable : c’est le complément naturel du conseil de télécharger vos documents. Et préparez dès maintenant vos demandes : modèles de courriers, délais, preuves d’envoi ; si l’organisme ne répond pas dans le mois, l’étape suivante est la plainte devant la CNIL, dont la procédure pas à pas est décrite dans notre guide dédié.
Un cas particulier mérite un paragraphe : le compte d’un proche décédé. Côté praticien, l’article L. 1111-7 organise l’accès des ayants droit, du concubin ou du partenaire au dossier médical du défunt, selon des conditions strictes liées aux motifs de la demande. Côté plateforme, la politique publiée par l’entreprise prévoit que chacun peut définir le sort de ses données après sa mort et désigner le tiers à qui elles seront ou non communiquées ; à défaut d’instructions, l’entreprise s’engage, dès qu’elle a connaissance du décès, à détruire les données, sauf conservation nécessaire à des fins probatoires ou pour répondre à une obligation légale. En pratique, les héritiers signalent le décès par écrit, joignent les justificatifs et formulent séparément la demande d’accès au dossier du praticien et la demande de suppression du compte : deux responsables, deux courriers, deux délais.
B. Quand l’organisme ne répond pas : CNIL, juge, sanctions et réparation
Si le mois s’écoule sans réponse satisfaisante, le règlement européen vous ouvre deux voies complémentaires, qui peuvent être exercées ensemble. Pour mettre toutes les chances de votre côté, constituez un dossier chronologique : copie de votre demande initiale avec sa date d’envoi, relance à l’expiration du délai d’un mois, captures des paramètres de confidentialité de votre compte, et tout échange avec le service dédié aux droits des personnes. La CNIL examine en priorité les plaintes documentées, et le juge des référés statue d’autant plus vite que l’inaction de l’organisme est établie par des pièces datées. Conservez également la preuve de la suppression effective lorsqu’elle intervient, car un effacement tardif mais réel change l’objet du litige et oriente le juge vers la seule réparation du préjudice subi pendant la période de rétention indue. D’abord la réclamation devant l’autorité de contrôle : toute personne concernée peut saisir une autorité de contrôle, en particulier dans l’État de sa résidence, sans préjudice de tout autre recours administratif ou juridictionnel (article 77, paragraphe 1, du règlement (UE) 2016/679). En France, il s’agit de la CNIL, saisie en ligne après avoir exercé vos droits auprès de l’organisme et conservé les preuves de vos démarches. Ensuite le recours devant le juge : chaque personne concernée dispose d’un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement non conforme (article 79, paragraphe 1, du règlement (UE) 2016/679). Pour l’accès au dossier médical comme pour l’effacement, le juge des référés peut ordonner la communication ou la suppression sous astreinte, c’est-à-dire sous peine d’une somme par jour de retard, ce qui donne à la décision une force d’exécution immédiate.
La CNIL ne se contente pas de répondre aux plaintes : elle sanctionne. Le 26 septembre 2024, sa formation restreinte a infligé à une société 15 000 euros d’amende et lui a enjoint de répondre à une demande d’effacement « dans un délai d’un mois et sous astreinte de 50 euros par jour de retard » ; saisie du recours de la société, le Conseil d’État l’a rejeté le 28 novembre 2025, retenant notamment une « négligence prolongée » et l’absence de coopération avec l’autorité de contrôle (Conseil d’État, 10e chambre, 28 novembre 2025, n° 499566, texte intégral). L’arrêt rappelle au passage l’obligation centrale du responsable de traitement : fournir à la personne « des informations sur les mesures prises à la suite d’une demande formulée en application, notamment, de son droit à l’effacement », en vertu de l’article 12, paragraphe 3, du règlement. Les amendes doivent rester « effectives, proportionnées et dissuasives » et sont calibrées selon la nature, la gravité et la durée de la violation, le nombre de personnes affectées et les catégories de données (article 83, paragraphes 1 et 2, du règlement (UE) 2016/679). Face à une demande d’effacement ignorée, l’addition peut donc comprendre l’amende, l’injonction de répondre et l’astreinte : trois leviers cumulables.
À l’inverse, lorsque l’organisme finit par effacer les données, la CNIL peut clore la plainte sans sanction, et le juge valide cette appréciation. Le 23 décembre 2025, le Conseil d’État a rejeté le recours d’un plaignant qui contestait la clôture de ses plaintes : il ressortait des échanges que ses données avaient été effacées et que les rappels adressés au responsable du traitement constituaient des mesures appropriées, sans nécessité d’enquête ni de sanction (Conseil d’État, 10e chambre, 23 décembre 2025, n° 500267, texte intégral). Moralité pratique : agissez vite et par écrit, car c’est souvent la plainte elle-même qui débloque l’effacement ; et si l’effacement intervient, conservez-en la preuve écrite, elle conditionne la suite.
Le juge judiciaire, lui, efface et indemnise. Le 15 mai 2025, le juge des référés du tribunal judiciaire de Saint-Étienne a condamné une société à supprimer d’internet des photographies et vidéos représentant la demanderesse, « en application de l’article 17b) et c) du RGPD, sous astreinte de 300 euros par jour de retard à compter de l’expiration d’un délai de 40 jours », tout en lui allouant une provision de 2 000 euros sur son préjudice moral, attesté par un certificat médical, et 1 500 euros au titre des frais de procédure (ordonnance de référé du 15 mai 2025, RG 25/00206, texte intégral). Ce pouvoir du juge des référés résulte de l’article 835 du code de procédure civile : « Dans les cas où l’existence de l’obligation n’est pas sérieusement contestable, ils peuvent accorder une provision au créancier » (article 835 du code de procédure civile). Cette décision illustre l’articulation complète du dispositif : l’article 17 fonde l’effacement, l’astreinte en garantit l’exécution, et l’article 82 fonde la réparation, puisque toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, du règlement (UE) 2016/679). Stress, démarches répétées, exposition de données de santé : le préjudice moral se prouve par certificats, constats et correspondances, et il se chiffre.
En pratique parisienne et francilienne, ces recours se combinent : demande écrite au responsable de traitement avec délai d’un mois, plainte CNIL en ligne avec pièces jointes, puis référé devant le tribunal judiciaire de votre domicile pour l’effacement sous astreinte et la provision. Si votre litige mêle l’accès au dossier du praticien et la suppression du compte sur la plateforme, menez les deux démarches en parallèle, car les responsables sont distincts et l’un ne répond pas pour l’autre. Les lecteurs confrontés à un organisme qui conserve leurs données malgré leurs demandes trouveront le même triptyque, appliqué au compte client et à la prospection, dans notre analyse du compte conservé après fermeture et de l’effacement devant la CNIL et le juge.
Supprimer son compte Doctolib, effacer ses données de santé, récupérer son dossier et s’opposer aux usages secondaires : chaque étape repose sur un texte précis, un délai chiffré et un recours identifié. Le compte se supprime depuis les paramètres de confidentialité après annulation des rendez-vous à venir et sauvegarde des documents ; les données du compte relèvent du responsable de traitement désigné par la plateforme, hébergées par des prestataires certifiés HDS ; le dossier médical relève du praticien, accessible sous huit jours ; l’effacement doit intervenir dans le mois ; l’opposition aux traitements fondés sur l’intérêt légitime prend effet sauf motifs impérieux contraires ; et l’inaction expose l’organisme à l’injonction sous astreinte, à l’amende de la CNIL et à la réparation devant le juge. À la date de rédaction, aucune décision publiée n’établit un manquement de la plateforme à ces obligations, et les constats de la presse sur ses outils d’intelligence artificielle ne préjugent ni d’une violation ni d’une sanction : seuls la CNIL et le juge tranchent, au vu des bases légales et des informations effectivement délivrées. Vos contrats et consentements priment sur toute analyse générale.