Une ordonnance de tribunal, un formulaire de consentement, une montre connectée : la donnée de santé change de statut sans prévenir. Pendant des décennies, elle restait enfermée dans le dossier médical, protégée par le secret professionnel. Elle est aujourd'hui une matière première que Google, Apple, Microsoft, OpenAI et Amazon se disputent - non par philanthropie, mais parce qu'elle vaut son pesant d'or pour entraîner des modèles d'IA, construire des produits et alimenter un écosystème publicitaire dont chaque maillon dépend des autres.
Le débat ne porte plus sur la question de savoir si l'industrie doit toucher à la donnée de santé : elle le fait déjà, souvent depuis plus longtemps que les géants de la tech. La question est celle des règles, des recours et de la vitesse des régulateurs.
Pourquoi cette donnée est si précieuse
Trois propriétés expliquent l'appétit des géants.
Elle est continue et granulaire. Un dossier médical décrit un instantané clinique ; un wearable, lui, produit des séries longues - sommeil, fréquence cardiaque, activité, et demain des constantes de prévention. Pour un modèle d'IA, ce sont des données étiquetées, répétées, difficiles à fabriquer autrement qu'en les observant sur des millions de personnes.
Elle est liée à une intention. Quelqu'un qui compare des prix de médicaments, qui consulte un chatbot de santé ou qui synchronise une montre vient d'exprimer un besoin. C'est exactement ce que la publicité programmatique cherche à capter.
Elle vit de confiance. C'est le paradoxe : plus la donnée est sensible, plus la valeur de la relation de confiance qui l'entoure est élevée - et plus celui qui la détient est en position de pouvoir. L'espace européen des données de santé affirme que la confiance est "un facteur fondamental du succès" de son projet.
Le rapprochement entre santé et publicité n'est pas une hypothèse. La Federal Trade Commission a accusé le comparateur de prix de médicaments GoodRx d'avoir transmis à Facebook, Google et Criteo, depuis au moins 2017, des informations sur les médicaments prescrits et les conditions de santé de ses utilisateurs - y compris en téléversant en 2019 une liste d'acheteurs de médicaments à Facebook pour du ciblage publicitaire. L'entreprise conteste les allégations sans admettre de faute, et Criteo nie avoir reçu de données identifiantes ; Meta et Google invoquent leurs propres politiques contre le partage de données sensibles. C'est le schéma classique : chaque maillon de la chaîne nie sa responsabilité.
Royal Free et DeepMind : le précédent britannique
En 2015, DeepMind, la firme d'IA de Google, a eu accès aux données de santé de 1,6 million de patients du Royal Free London NHS Foundation Trust, pour développer Streams, une application destinée à repérer les patients à risque d'insuffisance rénale aiguë. L'hôpital a transmis ces informations sans que les patients le sachent, sans leur consentement et sans leur proposer d'opt-out.
En 2017, l'Information Commissioner's Office a conclu que le Trust aurait dû être bien plus transparent et que le transfert n'était pas conforme à la loi britannique sur la protection des données. Le dossier est devenu le cas d'école européen : l'innovation médicale peut être légitime, mais "la transparence et le consentement sont essentiels", résume le régulateur britannique, qui note aussi que l'affaire a montré la nécessité, pour les organisations de santé, d'intégrer la confidentialité dès la conception des produits et pas après.
L'Europe : verrouiller avant, avec des failles
Deux outils structurent la réponse européenne.
Le premier est la fusion Google-Fitbit, autorisée sous conditions par la Commission européenne en décembre 2020 : dix ans d'engagements contraignants, dont un "silo" de données censé empêcher Google de combiner les informations de santé issues des trackers Fitbit avec ses données publicitaires. C'est le remède ex-ante emblématique - on n'attend pas le scandale, on impose la séparation à la signature du contrat. Mais il a été violemment critiqué : Privacy International a parlé d'une décision "heureuse et décevante pour les droits de millions d'Européens", et des juristes ont estimé que la Commission avait manqué une étape. Le débat européen n'est donc pas "UE = bon, États-Unis = mauvais" : les engagements volontaires, même encadrés, restent juges et parties.
Le second est l'espace européen des données de santé (EHDS), publié au Journal officiel le 5 mars 2025. Son architecture est ambitieuse : droit pour le patient de restreindre l'accès des professionnels à ses données, droit de s'opposer "de manière simple et réversible" à leur utilisation secondaire, interdiction d'usage commercial et de décisions préjudiciables aux personnes. Le traitement est confiné à des environnements clos d'où aucune donnée personnelle ne peut être téléchargée, la réidentification est interdite - y compris sous forme de tentative - et l'accès aux données pseudonymisées n'est possible que si l'anonymisation ne suffit pas.
Mais le calendrier dit tout : entré en vigueur le 26 mars 2025, le règlement ne s'applique, dans l'essentiel de ses obligations, que quatre ans après, soit vers mars 2029. Entre-temps, les agrégations privées continuent de se construire, app après app, bracelet après bracelet. L'EHDS encadre l'avenir sans réguler rétroactivement l'existant.
Il faut aussi regarder le texte en face : il ne rejette pas le privé. Il vise explicitement à "favoriser l'émergence d'un marché unique des services et produits de santé numériques". L'Europe ne construit pas une forteresse : elle tient la porte ouverte sur ses gonds.
Les États-Unis : du cas par cas au financement public
Le modèle américain repose d'abord sur l'enforcement a posteriori. La FTC a proposé en février 2023 d'interdire définitivement à GoodRx le partage de données de santé à des fins publicitaires, avec 1,5 million de dollars d'amende civile pour violation de la règle sur les notifications de violation des données de santé - une première. Les commissaires ont voté à l'unanimité pour renvoyer l'ordonnance proposée au ministère de la Justice, qui l'a portée devant le tribunal : l'ordonnance consensuelle, entrée le 17 février, impose à GoodRx de payer l'amende civile de 1,5 million de dollars et de prendre des mesures correctives, sans que l'entreprise admette de faute. C'est efficace quand la règle est appliquée, mais il n'existe pas, aux États-Unis, d'équivalent structurel de l'article 9 du RGPD interdisant le croisement santé-publicité par principe.
En 2026, la donne change : l'administration américaine ne se contente plus de sanctionner, elle associe. Une enquête de KFF Health News retrace, sur un an, la construction, en privé, d'une politique de l'IA en santé. Depuis août 2025, une équipe de la CMS tient un espace Slack d'environ 1 700 membres, occupé très majoritairement par des représentants d'industrie - Microsoft, Anthropic, OpenAI, Apple, Google, Palantir, Oura - et par quelques défenseurs des patients, médecins et représentants d'hôpitaux. En février 2026, la FDA a réuni dans le même cadre plus de 35 organisations à une session d'écoute sur les chatbots de santé : rendez-vous absent de l'agenda public, invitation passée par Slack.
Le dispositif va plus loin que la consultation : une Medicare App Library présente à des millions de seniors deux douzaines d'apps commerciales, et le gouvernement envisage de rembourser par Medicare des services rendus par des outils d'IA, comme il rembourse les actes des soignants. Jacob Shiff, responsable de l'IA et de la technologie au centre d'innovation de la CMS, a décrit l'objectif, en réunion Zoom avec des représentants de l'industrie en février, comme un "sales engine", littéralement un moteur de ventes. Un autre dispositif, a précisé la CMS, est "une collaboration technique ouverte et volontaire".
Les critiques sont documentées. Joseph Daval, ancien avocat de la FDA aujourd'hui à la Harvard Medical School, estime que l'espace Slack ressemble à un comité consultatif fédéral, qui devrait fonctionner au vu et au su de tous - la loi sur ces comités, dit-il, a été votée "en partie par crainte de la capture par les groupes d'intérêts, de la capture anti-concurrentielle de l'élaboration des règles, de la corruption". John Whyte, directeur général de l'American Medical Association, est plus direct : "Certains de ces outils ne sont tout simplement pas prêts". Il déplore qu'on manque de données sur ces outils, qu'on ne sache pas comment ils fonctionnent, et ajoute que "il n'y a aucune responsabilité si ces outils se trompent".
La critique de fond, et ce qu'elle ne résout pas
En janvier 2026, l'édition de Noël du BMJ a publié un article de Victor Montori et de ses collègues appelant à mettre fin à la marchandisation des données de santé par les géants de la tech, en s'inscrivant explicitement dans le cadre du capitalisme de surveillance envahissant les soins : des patients et des cliniciens incapables de savoir qui écoute leurs consultations, qui utilise leurs données et à quelle fin.
Cette critique pose le bon problème, mais ne suffit pas à trancher. Car les données de santé servent aussi à détecter des cancers plus tôt, à comparer des traitements, à alimenter la recherche - c'est exactement ce que l'EHDS organise et ce que la NHS britannique cherchait déjà en 2015 avec DeepMind. Le vrai sujet n'est pas l'usage, c'est la finalité, la durée, le consentement et le recours.
Une technique pourtant rassurante reste à prouver : une revue publiée dans npj Digital Medicine note qu'il n'existe "aucun consensus" sur l'évaluation de la vie privée des données synthétiques, ces "patients virtuels" censés permettre de partager des jeux de données sans exposer personne - la plupart des études y testent l'utilité bien plus que la confidentialité. L'anonymisation n'est donc pas une garantie acquise : c'est un risque à gérer.
Ce que le citoyen peut faire maintenant
Les leviers concrets sont modestes, mais réels :
- Dans l'UE, utiliser les droits déjà en vigueur : les droits d'accès, de rectification, d'effacement et d'opposition prévus par le RGPD s'appliquent aujourd'hui aux applications et aux wearables. Dans l'EHDS, le droit d'opposition à l'utilisation secondaire sera "simple et réversible" - mais il ne jouera pleinement qu'à partir de 2029, et certaines finalités d'intérêt général y échapperont, avec des garanties strictes.
- Lire ce que l'app demande, et couper ce qui ne sert pas : un tracker de sommeil n'a pas besoin de vos contacts ; un chatbot de santé n'a pas besoin de rester connecté en permanence.
- Se méfier du gratuit : un service de santé sans abonnement paie souvent autrement. Le cas GoodRx montre que la promesse de confidentialité et le code publicitaire du site peuvent raconter deux histoires différentes.
- Exiger la traçabilité : la question "qui utilise mes données, et à quelle fin" - celle que pose le BMJ - doit pouvoir recevoir une réponse écrite. Le silence de l'administration américaine sur la légalité de son espace Slack n'est pas un bon signe ; l'exigence de transparence de l'Information Commissioner's Office à l'égard du Royal Free en est un.
Avant mars 2029, l'EHDS ne s'applique pas encore, et la donnée de santé continue de circuler : entre des règles européennes strictes mais différées, et un marché américain rapide dont les garde-fous restent fragiles. C'est maintenant que se joue ce que nous acceptons de laisser faire.
