Le 8 septembre 2026, à 15 h 09, heure de Paris, Doctolib a indiqué sur sa page de statut officielle enquêter sur une interruption complète de service touchant, d’un même mouvement, l’agenda, le gestionnaire de tâches, l’assistant téléphonique, la gestion des patients, la téléconsultation, la messagerie, Doctolib Connect, le logiciel clinique, la facturation patient, la connexion aux dispositifs médicaux et le support. L’incident a été déclaré résolu à 16 h 08. La page de statut vise les utilisateurs professionnels en France, en Allemagne et en Italie, ainsi que les patients. Numerama et Frandroid ont relaté, la même après-midi, l’inaccessibilité de l’application, avec le message d’un un problème technique.
Cette coupure n’est pas une faillite, ni, au vu des messages publiés, une perte de données annoncée. Elle est une indisponibilité d’une plateforme dont dépendent, en chaîne, le cabinet qui ne voit plus son agenda, l’établissement qui s’appuie sur Doctolib Connect, et le fournisseur dont le dispositif médical n’est plus relaté. La première décision n’est pas de résilier Doctolib. Elle est de figer la preuve de l’interruption, d’organiser une continuité de soins par un canal de repli, et de lire le contrat avant d’écrire. Une heure d’indisponibilité n’est pas soixante jours sans ligne ; elle n’est pas non plus un incident anodin dès lors que la téléconsultation, la facturation et le dossier du jour s’arrêtent ensemble.
Les réserves doivent être dites tôt. La cause technique n’a pas été publiée. Chaque cabinet a ses propres conditions générales, son propre niveau de service, parfois un contrat d’établissement distinct. Le présent article ne tranche pas le dossier d’un lecteur. Il dresse la carte des preuves et des décisions, à partir de l’incident du 8 septembre 2026 et du droit applicable à une inexécution de plateforme.
I. Le 8 septembre 2026 : une heure d’interruption, trois étages professionnels
A. Ce que la page de statut de Doctolib établit, et ce qu’elle laisse ouvert
La source première n’est pas un titre de presse. C’est la page d’incident hébergée par Doctolib, identifiant 0bfpdfl13gt4, intitulée Multiple services are not available. À 15 h 09, l’éditeur écrit enquêter sur une interruption complète visant la liste des composants déjà citée, et ajoute comprendre combien l’accès ininterrompu est critique pour délivrer des soins. À 15 h 22 puis à 15 h 29, il indique que la cause a été identifiée et que les efforts de rétablissement sont en cours, en reconnaissant une pression significative pour les équipes soignantes. À 15 h 24 puis à 15 h 58, il annonce un service rétabli et un accès pleinement opérationnel, sous surveillance. À 16 h 08, il déclare l’incident entièrement résolu et présente des excuses pour la perturbation et pour l’impact sur vos équipes et vos patients.
Cette chronologie a une valeur de preuve, précisément parce qu’elle émane du débiteur du service. L’article 1353 du code civil pose le partage : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Le cabinet qui voudra plus tard démontrer l’inexécution n’a pas à reconstituer de mémoire l’heure où l’agenda a tourné dans le vide. Il a la page de statut, horodatée, et, s’il l’a conservée le jour même, une capture d’écran, un courriel d’abonnement aux mises à jour, un journal de connexion, la liste des téléconsultations manquées. Frandroid a décrit le symptôme côté utilisateur : un chargement qui tourne ou le message selon lequel Doctolib n’est pas disponible actuellement à la suite d’un un problème technique. Numerama a, de son côté, publié une capture de la page de statut datée du 8 septembre 2026 à 15 h 37. Ces éléments ne dispensent pas de conserver sa propre trace. Ils confirment que l’indisponibilité n’est pas une allégation isolée.
Ce que la page de statut ne dit pas doit être lu avec la même attention. Elle ne dit pas le module qui a failli en premier. Elle ne dit pas si des données ont été altérées : elle parle d’interruption et de rétablissement, pas d’une restauration depuis une sauvegarde corrompue. Elle ne dit pas le nombre de rendez-vous annulés, ni le préjudice d’un cabinet, d’une clinique ou d’un fournisseur de dispositif. Elle ne dit pas le contrat applicable. Or « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » La page de statut est un aveu d’indisponibilité. Elle n’est pas le contrat. Le niveau de service, les crédits, les plafonds, le délai de réclamation, la qualité d’hébergeur de données de santé, le sort de Doctolib Connect et de la connexion aux dispositifs médicaux se lisent dans les documents signés ou acceptés par clic, pas dans un fil d’incident rédigé en anglais à l’usage de trois pays.
Deux autres incidents, plus étroits, sont ensuite apparus sur la même page. Le 11 septembre 2026, entre 17 h 41 et 18 h 33, Doctolib a signalé puis résolu un incident visant l’assistant de consultation et le logiciel clinique. Le 16 septembre 2026, le support Doctolib a été annoncé indisponible de 10 h 47 à 14 h 32. Ni l’un ni l’autre n’égale la coupure générale du 8 septembre. Ils empêchent toutefois de traiter cet après-midi-là comme un accident unique, sans lendemain. Un professionnel qui documente la semaine du 8 au 16 septembre 2026 documente une série, pas un tweet. Il ne confond pas pour autant une heure d’interruption générale avec une défaillance persistante : la gravité se mesure au contrat, à la durée, à l’effet sur les soins et sur la facturation, pas au nombre de titres de presse.
La force majeure, souvent invoquée trop tôt, n’est pas un réflexe. L’article 1218 du code civil en donne la définition : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Une panne interne d’une plateforme, dont la cause n’est pas publiée, n’est pas, par elle-même, cet événement. Elle peut l’être, si le contrat le prévoit et si les trois conditions sont réunies. Elle peut ne pas l’être, si l’éditeur reste maître de son architecture et de ses mesures de continuité. Personne, à partir de la seule page de statut, ne peut encore l’affirmer. En revanche, chacun peut déjà écarter deux confusions. La première : une indisponibilité d’une heure n’est pas, au vu des messages du 8 septembre, une destruction de dossiers. La seconde : le silence sur la cause ne profite pas automatiquement au débiteur. S’il se prétend libéré, c’est à lui, aux termes de l’article 1353, de justifier le fait extinctif.
B. Cabinets, établissements Connect et fournisseurs de dispositifs : qui détient quelle preuve
La coupure ne s’arrête pas au premier écran. Elle se propage. Le premier étage est le cabinet, client professionnel de Doctolib : médecin, sage-femme, kinésithérapeute, centre de santé, maison de santé, tout professionnel dont l’agenda, la file d’attente téléphonique, la téléconsultation et la facturation patient passent par la plateforme. Le 8 septembre 2026, ce professionnel n’a plus, pendant l’incident, l’outil qu’il a payé pour voir qui arrive, qui est en visio, ce qui a été facturé, ce que le patient a écrit. Il reste tenu, lui, envers le patient. L’article R. 4127-32 du code de la santé publique, qui appartient au code de déontologie médicale, le dit sans se soucier de l’éditeur logiciel : « Dès lors qu’il a accepté de répondre à une demande, le médecin s’engage à assurer personnellement au patient des soins consciencieux, dévoués et fondés sur les données acquises de la science, en faisant appel, s’il y a lieu, à l’aide de tiers compétents. » L’indisponibilité de l’agenda n’efface pas cet engagement. Elle impose un canal de repli : carnet, ligne directe, report, recueil écrit des patients qui se présentent. La preuve utile, à cet étage, est double. D’un côté, la preuve de l’inexécution de Doctolib : statut, captures, tickets, liste des rendez-vous du 8 septembre, téléconsultations qui n’ont pas pu s’ouvrir, factures qui n’ont pas pu être émises. De l’autre, la preuve que le cabinet a tenté d’assurer les soins autrement : appels, SMS, affichage, organisation interne. La première sert le recours contre la plateforme. La seconde sert la relation avec le patient, et, le cas échéant, la défense déontologique.
Le dossier médical n’est pas un accessoire de l’application. L’article R. 4127-45 du même code impose au médecin de le tenir : « Le médecin tient un dossier médical pour chaque patient pris en charge. » Le texte ajoute que ces dossiers sont conservés sous la responsabilité du médecin. Une heure sans accès n’est pas une heure sans dossier. C’est une heure pendant laquelle le responsable du dossier ne peut pas le consulter par le canal habituel. Si le cabinet n’a aucun export, aucune copie de travail, aucun mode dégradé, cette absence de repli est un fait du cabinet, distinct du fait de Doctolib. Elle se documente aussi, non pour s’accuser, mais pour savoir ce qui manquait le 8 septembre et ce qui doit exister avant la prochaine interruption.
Lorsque le rendez-vous prévu était une téléconsultation, un deuxième texte s’ajoute. L’article L. 6316-1 du code de la santé publique définit la télémédecine : « La télémédecine est une forme de pratique médicale à distance utilisant les technologies de l’information et de la communication. » Elle met en rapport un professionnel médical avec le patient, ou avec d’autres professionnels. Si le canal Doctolib est coupé, l’acte à distance prévu à 15 h 20 n’a plus son support. Le professionnel peut reporter, proposer un autre outil s’il est conforme, recevoir le patient sur place, ou constater l’impossibilité. Ce qu’il ne peut pas faire, c’est laisser le patient croire que le rendez-vous a eu lieu. La preuve, ici, est l’horaire du rendez-vous, le message d’erreur, l’heure de l’appel de report, et, plus tard, la page de statut. Le patient, lui, n’est pas le cocontractant de Doctolib dans les mêmes termes que le cabinet. Il a souvent un compte. Il n’a pas, en règle générale, le contrat d’abonnement professionnel. Sa réclamation se dirige d’abord vers le professionnel qui l’a convoqué. Le professionnel se retourne ensuite, s’il y a lieu, vers l’éditeur.
Le deuxième étage est l’établissement ou le réseau qui utilise Doctolib Connect. La page de statut a nommé ce composant parmi les services indisponibles. Connect n’est pas l’agenda d’un médecin isolé : c’est le lien entre acteurs, le partage d’un parcours, parfois le lien entre un cabinet et une clinique, un laboratoire, un service. Quand Connect tombe, le préjudice n’est plus seulement l’agenda du jour qui disparaît. Il devient l’impossibilité de voir ce que l’autre professionnel a fait. La preuve change. Il faut le contrat Connect, distinct s’il l’est de l’abonnement cabinet ; la liste des flux interrompus ; les messages internes entre établissements ; l’identification de qui, du cabinet ou de la clinique, est le client de Doctolib pour ce module. Un établissement qui n’a pas de contrat direct avec Doctolib, mais qui dépend du cabinet voisin, n’a pas la même action. Il a, le cas échéant, un recours contre son partenaire, et ce partenaire a le recours contre l’éditeur. C’est exactement l’effet de chaîne : la plateforme faillit, le client professionnel ne peut plus tenir son propre engagement envers un autre professionnel.
Le troisième étage est le fournisseur dont le dispositif médical est connecté. Là encore, la page de statut a nommé le composant : Connection with medical device. Un capteur, un ECG, un holter, une station, un logiciel d’imagerie qui pousse vers Doctolib n’est plus relaté pendant l’incident. Le fournisseur n’est pas nécessairement le client de Doctolib. Il peut l’être, s’il a un partenariat d’intégration. Il peut ne pas l’être, et n’avoir qu’un client cabinet dont l’interface est tombée. Dans le premier cas, il a un contrat d’intégration, des logs d’API, un engagement de disponibilité à deux. Dans le second, il a surtout à démontrer que sa machine fonctionnait et que c’est le collecteur d’aval qui a disparu. La preuve utile est alors le journal de l’appareil, l’accusé d’envoi, l’absence d’accusé de réception côté plateforme, et la page de statut. Confondre les deux situations, c’est assigner le mauvais débiteur.
À ces trois étages s’ajoute, en sourdine, l’hébergement des données de santé. L’article L. 1111-8 du code de la santé publique, dans sa version en vigueur, pose le principe : « Toute personne qui héberge des données de santé à caractère personnel recueillies à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de personnes physiques ou morales à l’origine de la production ou du recueil de ces données ou pour le compte du patient lui-même, réalise cet hébergement dans les conditions prévues au présent article. » Le même article ajoute que la prestation d’hébergement de données de santé à caractère personnel fait l’objet d’un contrat, et que l’hébergeur numérique est titulaire d’un certificat de conformité. Il n’appartient pas à un article de presse de certifier, à la place de l’Agence du numérique en santé, le numéro du certificat de Doctolib. Il appartient au cabinet de vérifier, dans son contrat, si Doctolib agit comme hébergeur pour son compte, et de conserver ce contrat. Le V de l’article L. 1111-8 est, pour la chaîne, le plus concret : « L’accès aux données ayant fait l’objet d’un hébergement s’effectue selon les modalités fixées dans le contrat dans le respect des articles L. 1110-4 et L. 1111-7 . Les hébergeurs ne peuvent utiliser les données qui leur sont confiées à d’autres fins que l’exécution de la prestation d’hébergement. » Une indisponibilité d’une heure n’est pas un usage détourné. Elle est un accès qui n’a pas eu lieu. Si le contrat d’hébergement promet un accès, l’interruption s’apprécie à l’aune de ce contrat, pas à l’aune d’un sentiment d’impatience.
Le règlement général sur la protection des données dit la même chose dans un autre vocabulaire. L’article 32 du règlement (UE) 2016/679 impose au responsable du traitement et au sous-traitant des mesures techniques et organisationnelles adaptées au risque, y compris des moyens de garantir la disponibilité des systèmes et de rétablir l’accès aux données dans des délais appropriés en cas d’incident. Le cabinet est souvent responsable de traitement. Doctolib est souvent sous-traitant. L’incident du 8 septembre 2026 pose, pour l’un et pour l’autre, la question de la disponibilité, pas, au vu des messages publiés, celle d’une fuite. Distinguer les deux évite de notifier à la CNIL ce qui n’est pas une violation, et d’oublier de documenter ce qui est une indisponibilité.
II. Décider maintenant, sans confondre indisponibilité et perte de données
A. Face à Doctolib : notifier, conserver, ne pas résoudre à la hâte
Les sanctions du contrat sont énumérées par l’article 1217 du code civil : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » Le texte ajoute que les sanctions non incompatibles peuvent être cumulées et que des dommages et intérêts peuvent toujours s’y ajouter. Rien, dans cette liste, n’oblige à tout actionner le soir du 8 septembre. Une heure d’interruption, même générale, n’emporte pas, à elle seule, la résolution. Elle peut emporter, selon le contrat, un crédit de service, une réduction, une mise en demeure, une demande d’explications, une conservation de preuves. Elle peut, si elle se répète et si le contrat le permet, préparer une sortie. Elle ne justifie pas, en elle-même, d’interrompre le paiement de l’abonnement le jour même, ni de migrer à la hâte vers un autre éditeur en laissant les dossiers en rade.
L’exception d’inexécution a sa propre exigence de gravité. L’article 1219 dispose : « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave. » Suspendre le prélèvement de Doctolib après cinquante-neuf minutes d’indisponibilité, alors que le service est annoncé rétabli, expose le cabinet à se mettre lui-même en tort. Suspendre un palier de prestation, documenter, écrire, est une autre décision. La gravité s’apprécie à la durée, à l’effet sur l’activité, aux engagements particuliers du contrat professionnel, à l’existence d’un mode dégradé. Elle ne s’apprécie pas au volume de signalements DownDetector.
La résolution unilatérale est plus étroite encore. L’article 1226 du code civil permet au créancier, à ses risques et périls, de résoudre le contrat par notification. Sauf urgence, il doit d’abord mettre en demeure le débiteur de satisfaire à son engagement dans un délai raisonnable, et « La mise en demeure mentionne expressément qu’à défaut pour le débiteur de satisfaire à son obligation, le créancier sera en droit de résoudre le contrat. » La cour d’appel de Rouen, dans un arrêt du 24 avril 2025 (RG 24/01010), a refusé de voir une telle mise en demeure dans un courriel qui demandait seulement un point en urgence. Elle a jugé : « Ce courrier électronique ne saurait constituer la mise en demeure visée par l’article 1226 du code civil dès lors que, formellement et littéralement, il ne fait peser sur la SAS Agorinfo qu’une obligation de rappel le lendemain afin de faire le point, ce qui ne constitue pas une mise en demeure de satisfaire à son engagement. » L’affaire concernait un logiciel métier dont l’installation n’était pas achevée. La cour a ajouté que « la résolution intervenue le 13 avril 2022 a été faite à contretemps et prématurément et a porté sur une inexécution dont la Cour ne peut estimer qu’elle était suffisamment grave pour la motiver. » Un cabinet qui, le 8 septembre 2026 à 16 h 30, écrirait qu’il résilie Doctolib sans délai, sans mention du 1226, sans gravité caractérisée, prend le même risque. Le parallèle n’est pas l’identité des faits. Il est la méthode : un logiciel métier se quitte avec une mise en demeure datée, pas avec un courriel d’énervement.
Les dommages et intérêts, s’ils sont demandés, obéissent à trois textes qu’il faut citer dans l’ordre. L’article 1231-1 pose le principe : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » L’article 1231-3 limite le prévisible : « Le débiteur n’est tenu que des dommages et intérêts qui ont été prévus ou qui pouvaient être prévus lors de la conclusion du contrat, sauf lorsque l’inexécution est due à une faute lourde ou dolosive. » L’article 1231-4, même en cas de faute lourde, cantonne le préjudice à « ce qui est une suite immédiate et directe de l’inexécution. » Un tableau de chiffre d’affaires collé dans des conclusions, sans lien démontré avec la panne, ne suffit pas. Le tribunal des activités économiques de Nanterre l’a rappelé le 3 septembre 2026 (n° 2026F00452) dans une affaire d’interruption de fibre et de téléphonie professionnelles : la société SERIA, éditrice de logiciels agroalimentaires, avait été privée de ligne pendant cinquante-neuf jours, du 19 juin au 14 août 2025. Le tribunal a retenu la faute d’Orange, a écarté les plafonds contractuels au visa de l’article 1231-3, puis a refusé de prendre pour argent comptant une copie d’écran de baisse de chiffre d’affaires. Il a fixé le préjudice à quarante mille euros, en expliquant que les copies d’écran « ne sont pas des documents comptables certifiés » et qu’« aucun commentaire ou explication ne permet de relier la baisse de chiffre d’affaires à la panne subie ». La leçon, pour un cabinet Doctolib, n’est pas que toute panne vaut quarante mille euros. C’est l’inverse : même une panne longue, même un professionnel dont toute l’activité dépend de la ligne, doit relier pièce par pièce le manque à gagner à l’incident. Une heure d’agenda inaccessible, le 8 septembre, se chiffre, si elle se chiffre, par les actes reportés, les téléconsultations perdues, le personnel immobilisé, pas par un sentiment d’angoisse.
Le même jugement de Nanterre offre un autre point de comparaison, à manier avec prudence. Le tribunal a énoncé : « Il a été jugé que, tenu d’une obligation de résultat quant aux services offerts, le fournisseur d’accès ne peut s’exonérer de sa responsabilité à l’égard de son client en raison d’une défaillance technique, hormis le cas de force majeure, c’est-à-dire d’un événement présentant un caractère imprévisible lors de la conclusion du contrat et irrésistible au moment de son exécution. » Orange n’avait pas invoqué la force majeure. La faute a été retenue. Doctolib n’est pas un opérateur de fibre. Son contrat peut qualifier une obligation de moyens, un engagement de niveau de service, un crédit forfaitaire. L’analogie n’est pas mécanique. Elle est utile sur deux points seulement. Premier point : une offre professionnelle qui promet la continuité se juge plus sévèrement qu’une offre grand public. Second point : les clauses qui vident l’engagement essentiel peuvent tomber. L’article 1170 du code civil le dit : « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. » Un plafond dérisoire, face à une interruption totale de l’agenda, de la téléconsultation et de la facturation, n’est pas automatiquement valable. Il n’est pas automatiquement nul non plus. Il se lit, clause par clause, à la lumière de l’obligation essentielle réellement souscrite.
La première lettre utile n’est donc pas une assignation. C’est une notification datée, qui joint la capture de la page de statut, l’identifiant d’incident, la liste des modules inaccessibles, les rendez-vous et téléconsultations affectés, et qui demande : la cause, la durée exacte côté éditeur, l’assurance qu’aucune donnée n’a été altérée, le sort des crédits prévus au contrat, les mesures de continuité pour Connect et pour les dispositifs. Elle se conserve avec l’accusé. Elle ne menace la résolution que si le cabinet est prêt à la prononcer, dans les formes de l’article 1226, et à en supporter le risque.
B. Face aux patients et aux partenaires : continuité des soins, facturation, chaîne Connect
Le patient du 8 septembre 2026 n’a pas à connaître le statut Atlassian de Doctolib. Il a un rendez-vous. Si la visio ne s’ouvre pas, s’il ne peut plus prendre rendez-vous, s’il reçoit un message d’erreur, c’est d’abord le professionnel qu’il a en face. Le professionnel a, on l’a vu, le devoir de soins de l’article R. 4127-32. Il a aussi, très concrètement, à dire au patient ce qui s’est passé, à proposer un report, à noter qui a été perdu. Cette liste n’est pas un aveu de faute médicale. C’est la matière du préjudice, et c’est la politesse minimale d’un cabinet qui a accepté la demande. Un SMS de report, un appel, une note dans le dossier dès le rétablissement : ces gestes coûtent moins qu’une réclamation confuse trois semaines plus tard.
La facturation patient, nommée parmi les services coupés, crée un second front. Des actes ont pu être réalisés hors outil, ou reportés, ou commencés en téléconsultation sans pouvoir être clos. Le cabinet qui facture à l’aveugle le lendemain, sans recouper l’agenda papier, s’expose à facturer ce qui n’a pas eu lieu, ou à oublier ce qui a eu lieu. Le cabinet qui attend d’avoir recoupé ses traces facture plus tard, mais facture juste. La preuve, ici, n’est plus la page de statut. C’est le rapprochement entre le planning prévu, les patients effectivement vus, et les flux émis après 16 h 08. Les partenaires qui facturent via le même outil — secrétaires indépendantes, centres, établissements Connect — doivent faire le même exercice, chacun sur son périmètre, sans se renvoyer la charge de la preuve.
Doctolib Connect, s’il est le lien entre deux professionnels, impose une notification interne. La clinique qui n’a plus vu les comptes rendus du cabinet, le laboratoire qui n’a plus reçu l’ordonnance, le correspondant qui n’a plus eu le créneau, doivent savoir que l’interruption vient de la plateforme, pas d’un oubli. Un courriel daté du 8 septembre, qui joint le lien de l’incident, évite que la chaîne se traduise en griefs croisés. Le fournisseur de dispositif fait de même : il conserve ses logs, il écrit à son client cabinet que l’appareil a émis, il écrit s’il a un contrat d’intégration, et il ne promet pas un rétablissement qu’il ne maîtrise pas.
Reste le mode dégradé, qui n’est pas un luxe. Un agenda exporté la veille, une liste du jour imprimée, un numéro de repli, un second canal de téléconsultation conforme, une copie de travail du dossier des patients du jour : ces mesures n’effacent pas l’inexécution de Doctolib. Elles limitent le préjudice, donc le débat. Elles montrent aussi, si le débat déontologique s’ouvre, que le médecin n’a pas abandonné le patient le temps d’une page d’erreur. Elles ne sont pas prescrites par l’article R. 4127-32 sous cette forme. Elles en sont la traduction pratique, le 8 septembre 2026, pour un cabinet dont l’outil unique vient de disparaître une heure.
Ce que le 8 septembre n’autorise pas, enfin, doit être dit sans détour. Il n’autorise pas à traiter une indisponibilité comme une fuite de données, ni à alerter les patients d’un piratage que l’éditeur n’a pas annoncé. Il n’autorise pas à jeter le contrat au motif qu’un concurrent marche. Il n’autorise pas à faire payer au patient le prix d’une colère contre la plateforme. Il n’autorise pas non plus à ne rien faire, en se disant que ce n’était qu’une heure. Une heure sur l’agenda, la visio, la facturation et Connect, un mardi après-midi, ce sont des actes, des files d’attente, des partenaires. La page de statut le reconnaît, à sa manière, en s’excusant auprès des équipes et des patients. Le droit, lui, demande des pièces. C’est précisément le rôle d’un accompagnement en droit des affaires pour un litige de plateforme : relire le contrat d’abonnement, le contrat Connect s’il existe, les logs et la page de statut, avant d’écrire trop fort ou trop tard.
Conclusion
Le 8 septembre 2026, Doctolib a reconnu, de 15 h 09 à 16 h 08, une interruption complète de ses services professionnels et patients, en France, en Allemagne et en Italie. La presse a vu une application inaccessible. Les professionnels de la chaîne ont vu, ou auraient dû voir, trois étages : le cabinet privé d’agenda, de téléconsultation et de facturation ; l’établissement Connect privé de lien ; le fournisseur de dispositif privé de collecteur. La cause n’est pas publique. Les données, au vu des messages de l’éditeur, n’ont pas été décrites comme perdues. La décision utile n’est donc pas une résiliation improvisée, du type de celle que la cour d’appel de Rouen a censurée pour un logiciel métier. Elle n’est pas non plus l’inaction. Elle est une liasse : page de statut, captures, liste des rendez-vous et des visios, logs Connect et logs machines, lettre de notification, mode dégradé du jour. Les articles 1217, 1226, 1231-1 et 1231-3 du code civil, l’article L. 1111-8 du code de la santé publique et l’article 32 du RGPD donnent le cadre. Ils ne donnent pas le quantum. Une heure n’est pas cinquante-neuf jours. Elle n’est pas rien. Entre les deux, il n’y a que des preuves.
Besoin d’un avis rapide sur votre dossier
Cabinet, établissement Connect ou fournisseur de dispositif exposé à l’interruption Doctolib du 8 septembre 2026 : Maître Reda KOHEN, avocat au Barreau de Paris, examine votre contrat, vos captures de la page de statut et la liste des actes qui n’ont pas pu être tenus. Vous pouvez le joindre au 06 46 60 58 22 ou via la page contact du cabinet.