Vous avez pris rendez-vous chez un médecin depuis une plateforme en ligne, et une question vous retient : qui peut voir le motif de votre consultation, vos ordonnances et vos documents de santé, combien de temps ces informations sont conservées, et comment les faire effacer si vous changez de praticien ou si vous supprimez votre compte. Les internautes tapent « données personnelles doctolib » dans Google, et cette interrogation dépasse une seule marque : elle porte sur tout l’écosystème des rendez-vous médicaux en ligne, où la plateforme, le cabinet et l’hébergeur se partagent vos informations. Cet article décrit, d’après les textes officiels, les pages publiées par la plateforme elle-même et quatre décisions de justice rendues entre 2024 et 2026, qui détient quoi, ce que chacun peut voir, les délais pour obtenir une copie ou un effacement, puis les recours devant la CNIL et le juge. Il s’agit d’un guide de portée générale : aucune intrusion, aucune fuite ni aucun manquement n’a été constaté par une source officielle à la date de rédaction à l’encontre de l’entreprise citée en exemple, et les contrats que vous avez signés avec vos soignants priment sur toute analyse générale.
I. Qui détient vos données de santé quand vous prenez rendez-vous en ligne
A. La plateforme, le praticien et l’hébergeur : trois rôles, trois régimes
Le premier réflexe consiste à distinguer trois acteurs que le public confond souvent. La plateforme qui fournit l’agenda et la prise de rendez-vous traite vos données d’identification, vos coordonnées, les motifs de consultation et l’historique de vos rendez-vous. Le praticien, lui, reste responsable de votre dossier médical au sens soignant : comptes rendus, ordonnances, résultats d’examens. Enfin, l’hébergeur stocke techniquement l’ensemble sur ses serveurs. Cette répartition n’est pas théorique : elle détermine à qui adresser votre demande d’accès ou d’effacement, et qui répond d’un manquement.
La plateforme Doctolib, prise ici comme exemple documenté, expose elle-même cette architecture dans sa politique de protection des données publiée par la plateforme (consultée le 19 octobre 2026) : Doctolib se présente comme responsable de traitement des données collectées dans le cadre de sa politique, sauf mention contraire, et indique faire appel à des sous-traitants pour fournir ses services. Le responsable de traitement décide des finalités et des moyens ; le sous-traitant n’agit que sur instruction documentée. Cette distinction, posée par le règlement européen sur la protection des données, a été rappelée par le Conseil d’État le 19 novembre 2024 dans une affaire d’entrepôt de données de santé : l’article 28 du règlement prévoit que « Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Dans cette affaire, qui concernait l’autorisation donnée par la CNIL à la Plateforme des données de santé pour un entrepôt dénommé EMC2, le juge a vérifié les garanties une à une — pseudonymisations multiples, certification de l’hébergeur, durée limitée à trois ans — avant de rejeter les recours : « Les requêtes de l’association Internet Society France et de la société Clever Cloud et autres sont rejetées ».
Le troisième acteur, l’hébergeur, obéit à un régime français spécifique. L’article L. 1111-8 du code de la santé publique, en vigueur dans sa version applicable depuis le 1er juillet 2025, dispose que « Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social » réalise cet hébergement « après que la personne prise en charge en a été dûment informée et sauf opposition pour un motif légitime ». Le même article ajoute que « La prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat » et que l’hébergeur sur support numérique « est titulaire d’un certificat de conformité », délivré après audit par un organisme accrédité. La plateforme citée en exemple applique ce cadre : selon sa politique officielle, les données des patients comme des professionnels de santé, y compris de santé, sont hébergées par un hébergeur d’infrastructure physique certifié HDS. Concrètement, si vous voulez savoir où vos données sont stockées, le contrat d’hébergement et la certification HDS sont les deux documents à demander, d’abord à la plateforme, puis au cabinet.
B. Ce que chacun peut voir, conserver et vous remettre
Le praticien ne peut pas ouvrir l’ensemble de votre vie numérique : il voit les rendez-vous pris dans son propre agenda, les documents que vous lui transmettez et ceux qu’il rédige. La plateforme voit les métadonnées de réservation — motif, lieu, date — pour tous les rendez-vous pris par son intermédiaire, quel que soit le praticien. C’est ce périmètre qui explique la page d’aide publiée par l’entreprise sur la page d’aide de la plateforme sur la réutilisation des données (consultée le 19 octobre 2026) : les informations traitées à ce titre sont les informations liées aux rendez-vous, avec les motifs et lieux de consultation, les données d’usage et de connexion, et, pour les projets de recherche relevant du référentiel MR-004, des données de santé pseudonymisées. Autrement dit, le motif que vous sélectionnez dans un menu déroulant (« renouvellement d’ordonnance », « suivi de grossesse », « consultation psychologique ») circule au-delà du cabinet. Si cette circulation vous gêne, la même page indique que l’administrateur de l’organisation du praticien peut à tout moment refuser cette réutilisation : la demande passe donc aussi par votre praticien, qui administre son organisation sur la plateforme.
Le secret médical borne ces accès. L’article L. 1110-4 du code de la santé publique dispose que toute personne prise en charge « a droit au respect de sa vie privée et du secret des informations la concernant ». Un secrétariat, un autre praticien du même cabinet ou un prestataire technique ne peuvent consulter vos informations que dans la mesure nécessaire à votre prise en charge ou à la mission confiée. Conservez donc la trace de qui vous a demandé quoi : en cas de litige, la question posée au juge sera toujours de savoir si l’accès contesté servait votre soin ou une autre finalité.
Les durées de conservation doivent être affichées par l’organisme, et la plateforme prise en exemple les publie : les photocopies de pièces d’identité et selfies vidéo utilisés pour vérifier un compte sont conservés trente jours avant suppression, certaines informations peuvent être gardées jusqu’à cinq ans après la fin de la relation contractuelle pour se prémunir contre un litige, et les données déclarées à l’administration fiscale sont conservées dix ans. Ces durées propres à la plateforme ne se confondent pas avec celles de votre dossier médical chez le praticien, qui obéissent aux règles sanitaires et aux référentiels de la profession. Quand vous supprimez votre compte sur la plateforme, exigez un écrit qui distingue les deux : fermeture du compte d’un côté, sort de vos documents médicaux de l’autre.
Pour obtenir la copie de votre dossier médical, le texte de référence est distinct du régime général d’accès aux données. L’article L. 1111-7 du code de la santé publique, dans sa version applicable du 1er novembre 2021 au 1er janvier 2029, ouvre à « toute personne » l’accès à « l’ensemble des informations concernant sa santé », et encadre le calendrier : communication « au plus tard dans les huit jours suivant sa demande et au plus tôt après qu’un délai de réflexion de quarante-huit heures aura été observé », tandis que « Ce délai est porté à deux mois lorsque les informations médicales datent de plus de cinq ans ». Vous pouvez y accéder directement ou par l’intermédiaire d’un médecin que vous désignez. Les juges appliquent ce calendrier à la lettre : le 25 juillet 2025, le juge des référés du tribunal judiciaire de Paris a rappelé ces dispositions dans une affaire où un patient réclamait son dossier à un médecin, constaté le retard — courriers de décembre 2024 à février 2025, réponse le 23 avril 2025 seulement après un courrier de la CNIL — puis rejeté la demande d’injonction sous astreinte parce que le praticien avait entre-temps transmis compte rendu d’hospitalisation, compte-rendu opératoire, ordonnances et relevé de consultations, et qu’« il n’est pas établi avec l’évidence requise en référé, que le dossier médical transmis est incomplet » (TJ Paris, référés, 25 juillet 2025, n° 25/53308). La leçon pratique est double : le retard seul ne suffit pas à obtenir une astreinte si le dossier a été remis, et des captures d’écran de rendez-vous pris en ligne ne prouvent pas, à elles seules, que le dossier transmis serait incomplet. Pour les données non médicales détenues par la plateforme — historique de connexion, coordonnées, préférences — le droit d’accès du règlement européen s’applique, et la CNIL rappelle que vous pouvez obtenir la copie, en langage clair, de l’ensemble des données détenues sur vous. Les recours indemnitaires liés à l’accès aux données sont détaillés dans notre analyse du droit d’accès de l’article 15 du règlement européen.
II. Effacer vos données, vous opposer et contraindre l’organisme qui refuse
A. Effacement et opposition : le mode d’emploi qui fonctionne
Le droit à l’effacement ne s’exerce pas d’un clic magique : il vise des données précises, pour un motif précis. Le règlement européen ouvre l’effacement notamment quand les données ne sont plus nécessaires aux finalités de leur collecte, quand vous retirez votre consentement ou quand vous vous opposez au traitement, et il impose au responsable de traitement de répondre. Le Conseil d’État l’a rappelé le 28 novembre 2025 dans une décision qui sanctionne l’inertie : « en vertu du 3 de l’article 12 du règlement […] le responsable du traitement doit fournir à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application, notamment, de son droit à l’effacement de ses données à caractère personnel, prévu par l’article 17 du même règlement ». Dans cette affaire, un homme avait demandé deux fois l’effacement de ses données à une société de prospection, les 12 octobre et 17 novembre 2022, sans réponse ; la CNIL avait rappelé la société à ses obligations, l’avait relancée, puis mise en demeure, toujours sans réponse, avant de prononcer 15 000 euros d’amende et une injonction de répondre sous un mois sous astreinte de 50 euros par jour de retard. Le Conseil d’État a validé l’ensemble : « La requête de la société Timework-it est rejetée » (CE, 28 novembre 2025, n° 499566).
Transposé à vos rendez-vous médicaux en ligne, ce mode d’emploi donne une séquence en quatre temps. D’abord, identifiez le bon destinataire : la plateforme pour le compte, l’historique de rendez-vous et les motifs affichés ; le praticien pour le dossier médical. Ensuite, formulez une demande écrite qui vise chaque catégorie : effacement du compte et de l’historique de rendez-vous, suppression des motifs de consultation conservés, sort des documents transmis au cabinet. Troisièmement, conservez la preuve de l’envoi et de la réception, comme les courriers d’avocat dont le juge parisien a tenu compte pour établir le retard du praticien. Enfin, laissez le délai courir : la CNIL indique que l’organisme doit répondre dans les meilleurs délais, au plus tard dans un délai d’un mois, susceptible d’être porté à trois mois selon la complexité, et l’exercice de ce droit ne peut donner lieu à facturation. Si la réponse se fait attendre, une relance qui cite le précédent Timework-it produit souvent plus d’effet qu’une menace vague.
Le droit d’opposition couvre deux situations courantes. Pour la prospection commerciale — relances, offres de téléconsultation, lettres d’information — la CNIL rappelle que l’opposition à la prospection commerciale n’a pas à être motivée, et l’organisme doit alors cesser. Pour la réutilisation de vos données à des fins d’amélioration des produits ou de recherche, l’opposition passe par le paramétrage du compte et, sur la plateforme prise en exemple, par l’administrateur de l’organisation du praticien, qui peut à tout moment en refuser la réutilisation. Demandez à votre cabinet s’il a activé ou refusé cette réutilisation : la réponse engage sa responsabilité autant que celle de la plateforme. En revanche, l’opposition ne permet pas d’effacer des données que le praticien doit conserver au titre de ses obligations sanitaires et déontologiques ; le dossier médical suit son propre régime, et seule la copie vous est due dans les délais de l’article L. 1111-7.
B. Plainte devant la CNIL, juge administratif ou judiciaire : choisir le bon canal, dont à Paris
Quand l’organisme ne répond pas ou refuse, la plainte devant la CNIL suppose un préalable : vous devez d’abord avoir exercé votre droit auprès de l’organisme, qui doit répondre dans les meilleurs délais, sous un mois au plus, et conserver les preuves de cette démarche. La CNIL instruit, peut mettre en demeure, puis sanctionner : la décision Timework-it montre la gradation — rappels, relances, mise en demeure sur le fondement de l’article 20 de la loi du 6 janvier 1978, puis sanction en procédure simplifiée selon l’article 22-1 de la même loi, avec injonction sous astreinte. Le Conseil d’État y rappelle aussi, dans son arrêt du 28 novembre 2025, que « les responsables de traitement ont le devoir de coopérer avec la CNIL » en vertu de l’article 31 du règlement et de l’article 18 de la loi de 1978, et que le montant de l’amende se mesure aux critères de l’article 83 du règlement — nature, gravité, durée, nombre de personnes, coopération —, l’amende devant rester « effective, proportionnée et dissuasive ». Une fois la plainte déposée, la CNIL informe le plaignant de l’état d’avancement et de l’issue : comptez un examen qui court sur plusieurs mois, la fiche officielle évoquant une information dans les trois mois suivant son dépôt pour le premier retour. La procédure complète de plainte, les pièces à joindre et les recours contre l’inaction sont détaillés dans notre guide pour déposer une plainte devant la CNIL et la relancer.
Le juge, lui, se choisit selon l’adversaire. Contre un hôpital public qui refuse votre dossier médical, la voie est administrative : avis de la commission d’accès aux documents administratifs, puis tribunal administratif en annulation et injonction. Le 27 août 2026, le Conseil d’État a jugé une affaire de ce type, où un patient réclamait au CHU de Limoges son dossier de chirurgie maxillo-faciale : il a rappelé que « Les informations à caractère médical sont communiquées à l’intéressé, selon son choix, directement ou par l’intermédiaire d’un médecin […] dans le respect des dispositions de l’article L. 1111-7 […] », censuré le jugement qui ordonnait la remise de relevés téléphoniques et de bons de réparation sans tenir compte de l’impossibilité matérielle invoquée par l’hôpital, et renvoyé l’affaire au tribunal administratif de Limoges. Contre un praticien libéral ou une plateforme privée, la voie est judiciaire : le juge des référés peut ordonner la communication, mais, comme l’a montré l’ordonnance parisienne du 25 juillet 2025, il exige la preuve d’un dossier incomplet « avec l’évidence requise en référé » et refuse l’astreinte quand les pièces ont été remises.
Face à un établissement public de santé, un fondement supplémentaire protège votre demande : l’article L. 311-6 du code des relations entre le public et l’administration réserve à l’intéressé seul les documents dont la communication porterait atteinte « à la protection de la vie privée, au secret médical et au secret des affaires ». Cette réserve joue dans les deux sens : l’hôpital ne peut pas communiquer votre dossier à un tiers, mais il ne peut pas non plus vous le refuser à vous, sous couvert du secret médical, puisque vous êtes la personne protégée. Si le directeur oppose le secret des affaires — par exemple pour des bons de réparation de matériel, comme dans l’affaire du CHU de Limoges — il doit identifier précisément les mentions couvertes et occulter celles-là seulement, pas refuser l’ensemble. Et s’il invoque une impossibilité matérielle, le Conseil d’État exige qu’elle soit sérieuse et documentée : une mutualisation des postes téléphoniques ou un volume important de matériels ne suffit pas si l’établissement n’a pas cherché à identifier les documents. Pour vos rendez-vous en ligne, retenez la symétrie : le secret médical protège vos données contre les tiers, jamais contre vous-même.
À Paris et en Île-de-France, ces canaux se pratiquent ainsi. Pour un établissement public francilien — AP-HP, hôpital communal, centre de santé municipal — la demande initiale part au directeur de l’établissement et au délégué à la protection des données, avec copie conservée ; en cas de refus implicite, la CADA se saisit en ligne, puis le tribunal administratif de Paris connaît du recours si l’établissement a son siège dans son ressort. Pour un praticien libéral parisien ou une plateforme dont le siège français est à Paris, le tribunal judiciaire de Paris statue en référé sur la communication du dossier, et la CNIL, qui siège à Paris, reçoit la plainte en ligne quel que soit votre domicile. Constituez dès le départ un dossier daté : demandes écrites, accusés de réception, captures du compte et des paramètres de confidentialité, réponses ou silences de l’organisme, et, pour le dossier médical, la liste précise des pièces manquantes. Ce dossier conditionne à la fois la recevabilité de la plainte, l’astreinte devant le juge et, le cas échéant, l’évaluation du préjudice.
Conclusion
Vos données de santé en ligne obéissent à une carte simple : la plateforme administre le rendez-vous et répond du compte, le praticien répond du dossier médical, l’hébergeur certifié stocke l’ensemble sous contrat. Le motif de consultation que vous choisissez dans un menu, les documents que vous téléversez et l’historique de vos visites ne circulent pas librement : le secret médical de l’article L. 1110-4, l’information et l’opposition pour motif légitime de l’article L. 1111-8, et la copie dans les huit jours — quarante-huit heures de réflexion, deux mois si les informations datent de plus de cinq ans — de l’article L. 1111-7 en dessinent les frontières. Quand l’organisme répond dans le mois, comme l’exige le règlement européen, le litige s’éteint ; quand il se tait, la CNIL gradue sa réponse jusqu’à l’amende et l’injonction sous astreinte, et le juge ordonne la communication, avec l’astreinte si l’inexécution est établie. Les quatre décisions citées — deux arrêts du Conseil d’État de 2024 et 2025 sur les garanties du sous-traitant et la sanction de l’inertie, un arrêt du 27 août 2026 sur la communication du dossier hospitalier, une ordonnance parisienne de juillet 2025 sur le dossier du praticien libéral — montrent des juges qui vérifient les pièces plutôt que les affirmations. Écrivez des demandes précises, datez chaque envoi, distinguez le compte du dossier médical, et saisissez le bon canal : la plateforme et le praticien d’abord, la CNIL ensuite, le tribunal administratif contre l’hôpital public, le juge judiciaire contre l’acteur privé.