L’entrée de Nvidia au capital de Doctolib bouscule les certitudes des directions des ressources humaines et des DPO. Si la plateforme maintient son hébergement certifié HDS en France, la présence d’un géant américain de l’IA soulève une question de gouvernance : qui contrôle réellement la donnée ? Pour l’employeur, le risque n’est pas technologique mais juridique. Vous restez responsable du traitement des données de vos salariés. Nous analysons la chaîne de sous-traitance et les leviers concrets pour sécuriser votre conformité.
La structure actionnariale ne change pas la qualification RGPD
Le débat lancé sur les réseaux sociaux, notamment dans cette discussion Reddit, pointe une inquiétude légitime : la souveraineté des données médicales face à un acteur étranger. Pourtant, juridiquement, l’actionnariat de Doctolib n’altère pas sa qualification légale vis-à-vis de vos salariés.
Doctolib agit en tant que sous-traitant. Votre entreprise, qui décide de mettre en place le service pour la prise de rendez-vous ou la gestion des arrêts, reste le responsable de traitement. Cette distinction est fondamentale dans le cadre juridique des entreprises. Le fait que Nvidia détienne des parts ne transfère pas la responsabilité légale vers le fabricant de puces. Vos obligations envers la CNIL et vos salariés restent intactes.
Cependant, cette opération modifie le profil de risque perçu. Les données de santé sont sensibles. Leur traitement est interdit par principe, sauf exceptions strictes comme le consentement explicite ou l’exécution d’obligations légales, selon le guide de la CNIL sur le recrutement et l’utilisation des données personnelles. L’arrivée d’un acteur comme Nvidia, spécialisé dans l’analyse massive de données, oblige à reconsolider vos garanties contractuelles.
Hébergement HDS et localisation : la réalité technique
Une rumeur tenace suggère que les données pourraient être délocalisées ou analysées par les serveurs de Nvidia. C’est techniquement et légalement inexact dans le contexte actuel. Tout hébergeur de données de santé à caractère personnel en France doit être certifié Hébergeur de Données de Santé (HDS). Cette certification, délivrée selon le référentiel de l’Agence du Numérique en Santé (ANS), impose une localisation physique des serveurs sur le territoire national.
Doctolib s’appuie sur des infrastructures certifiées HDS en France. L’entrée de Nvidia au capital ne remet pas en cause cette certification obligatoire. Si Doctolib venait à perdre son statut HDS ou à déplacer ses données hors de France sans garanties adéquates, il serait immédiatement hors la loi. Pour l’employeur, la vérification du statut HDS du prestataire reste le premier réflexe de diligence raisonnable.
Néanmoins, la nuance réside dans l’exploitation des métadonnées. Si les dossiers médicaux eux-mêmes restent cloisonnés, les données d’usage (fréquence de connexion, types de spécialistes consultés) peuvent alimenter des modèles statistiques. C’est ici que la vigilance de l’employeur doit se porter, non sur le stockage, mais sur la finalité du traitement.
Votre responsabilité d’employeur face à la chaîne de sous-traitance
Recourir à Doctolib pour gérer les arrêts maladie ou les visites médicales vous expose. L’employeur qui met en place un tel outil doit encadrer son prestataire par un contrat de sous-traitance conforme à l’article 28 du RGPD. Ce document n’est pas une formalité administrative : c’est votre bouclier en cas de contrôle ou de fuite de données.
Le contrat doit spécifier clairement que le sous-traitant (Doctolib) ne peut utiliser les données que pour les instructions documentées du responsable de traitement (vous). Il doit interdire tout recours à un autre sous-traitant sans autorisation préalable. Avec l’implication de Nvidia, il devient crucial de vérifier si des clauses de confidentialité renforcées protègent les données contre toute utilisation secondaire à des fins d’entraînement d’IA.
La CNIL a déjà sanctionné lourdement des organismes pour des manquements liés à la gestion de données de santé. Les amendes peuvent atteindre plusieurs millions d’euros. En tant qu’employeur, vous êtes le premier point de contact en cas de plainte d’un salarié. Vous ne pourrez pas invoquer la structure actionnariale de votre prestataire pour vous exonérer de votre obligation de sécurité.
Cette rigueur doit s’appliquer à tous les outils RH. Toute technologie introduite dans l’entreprise doit passer au crible de la proportionnalité et de la minimisation des données. La santé de vos salariés n’est pas une variable d’ajustement technologique.
Information et transparence envers les salariés
Le changement d’actionnariat majeur d’un prestataire constitue une information pertinente pour les personnes concernées. Vos salariés doivent savoir qui traite leurs données. Une mise à jour de votre registre des traitements et une communication interne claire sont nécessaires.
Ne laissez pas les rumeurs s’installer. Expliquez que l’hébergement reste français et certifié HDS. Précisez que l’accès aux données médicales reste strictement réservé aux professionnels de santé et aux services RH habilités, sans intervention de Nvidia. Cette transparence renforce la confiance, surtout dans un climat où la santé mentale au travail est un sujet sensible. Les salariés qui renoncent à s’arrêter par crainte du jugement ou de la surveillance ont besoin de garanties absolues sur la confidentialité de leur parcours de soin.
Audit et prévention : les questions clés avant renouvellement
L’entrée de Nvidia au capital de Doctolib n’est pas une raison pour rompre le contrat, mais c’est un signal fort pour auditer vos pratiques. Ne partez pas du principe que la conformité est acquise. Profitez de la période de renouvellement ou de négociation commerciale pour poser trois questions précises à votre interlocuteur :
- Les données sont-elles exclusivement hébergées sur des serveurs certifiés HDS en France ?
- Des clauses contractuelles interdisent-elles explicitement l’utilisation de nos données (même anonymisées) pour l’entraînement des modèles IA de Nvidia ?
- Quel est le processus de notification en cas d’incident de sécurité impliquant un sous-traitant tiers ?
La technologie évolue vite, mais le droit reste stable. Votre rôle n’est pas de bloquer l’innovation, mais de garantir que la santé de vos collaborateurs ne devienne pas un actif stratégique pour un tiers. Sécurisez vos contrats, formez vos équipes RH et maintenez un dialogue ouvert. C’est la seule façon de transformer cette contrainte réglementaire en avantage de marque employeur.
