Social listening en santé : comment analyser les conversations patients en respectant pharmacovigilance et RGPD ?

Les patients parlent de leur traitement, de leurs symptômes et de leur qualité de vie sur les forums, groupes et réseaux sociaux. Pour un laboratoire, un exploitant ou une agence de communication santé, cette matière est précieuse — mais elle touche au médicament et à des données sensibles. Écouter ces conversations expose à deux cadres non négociables : la pharmacovigilance et le RGPD. Ce guide factuel pose ce que dit la littérature scientifique, ce qu’exigent l’EMA et l’ANSM, et ce que la CNIL autorise réellement.

Qu’est-ce que le social listening en santé, et à quoi sert-il vraiment ?

Le social listening désigne l’écoute et l’analyse des conversations publiques en ligne : forums patients, groupes, commentaires, réseaux sociaux. En santé, il permet de documenter le vécu du patient : perception d’un traitement, impact sur la qualité de vie, freins à l’observance, mésusage, parcours de soin ressenti.

Il faut distinguer clairement deux finalités, car elles n’obéissent pas aux mêmes règles :

• Comprendre le vécu patient (insights, perception, usages) : finalité d’analyse qualitative et agrégée.
• Détecter des signaux de sécurité (identifier et quantifier des effets indésirables pour protéger la santé publique) : finalité réglementaire de pharmacovigilance.

La littérature est nette sur ce point : le social listening a de la valeur pour la première finalité, mais ne peut pas se substituer au circuit réglementaire pour la seconde. Une revue systématique de 38 études conclut que la détection de signal via les réseaux sociaux ne peut pas être recommandée en routine pour la pharmacovigilance, en raison de contraintes logistiques et techniques et d’une qualité d’information moindre que les bases de notification spontanée [10].

Le social listening peut-il remplacer la pharmacovigilance ?

Non. C’est le point le plus important de ce guide.

Le projet européen IMI WEB-RADR a évalué l’apport des réseaux sociaux à la pharmacovigilance. Ses conclusions : les réseaux sociaux généralistes (Facebook, Twitter) ne sont pas recommandés pour la détection statistique large de signaux, faute de valeur prédictive suffisante face aux standards de référence [9]. La qualité informationnelle est faible : parmi les publications signalées comme contenant une paire médicament/événement, seulement 39,6 % contenaient réellement un effet indésirable ; la performance de détection reste nettement inférieure (AUC ≤ 0,55 sur réseaux sociaux, contre 0,64–0,69 pour la notification spontanée type VigiBase) [9].

Ce que le social listening peut apporter, en complément, est mieux documenté. Une revue de portée 2024 (60 études, Twitter dans 57 % des cas) montre que les réseaux sociaux repèrent parfois des effets nouveaux ou inattendus (40 % des études) et, dans certains cas, plus précocement (15 %). 78 % des études le présentent comme complément aux systèmes traditionnels, jamais comme substitut. Limite majeure relevée : aucun effet indésirable grave n’a été détecté dans plusieurs études [11].

Autrement dit : outil d’écoute qualitative et de veille précoce, oui ; méthode de sécurité de référence, non.

Que faire si on repère un effet indésirable dans une conversation en ligne ?

Un effet indésirable identifié en ligne ne peut pas être ignoré. Selon les Bonnes pratiques de pharmacovigilance de l’EMA — GVP Module VI — un cas non sollicité issu des médias numériques (site, blog, réseau social, forum) doit être géré comme une notification spontanée, avec les mêmes délais réglementaires. Le titulaire d’AMM doit par ailleurs surveiller régulièrement les médias numériques qu’il gère ou sponsorise [1].

En France, le circuit est le suivant :

1. Documenter le cas (les quatre éléments minimaux d’une notification : un patient identifiable, un notificateur, un médicament suspect, un effet indésirable).
2. Déclarer via le portail officiel signalement.social-sante.gouv.fr.
3. La déclaration est routée vers le Centre régional de pharmacovigilance (CRPV) compétent, sous l’égide de l’ANSM [2].

Les professionnels de santé ont une obligation de déclaration ; les patients et usagers peuvent également déclarer [2][3]. Un exploitant qui fait du social listening doit donc prévoir, dès la conception du dispositif, une procédure de remontée vers sa pharmacovigilance interne.

Les données publiques des réseaux sociaux peuvent-elles être analysées librement ?

Non, pas librement. C’est une erreur fréquente de considérer que « public » veut dire « libre d’usage ».

La CNIL définit la donnée de santé — par nature, par croisement ou par destination — comme une donnée sensible relevant de l’article 9 du RGPD : son traitement est interdit par principe, sauf exception encadrée [4]. Un simple post révélant un état de santé entre dans ce périmètre.

L’exception souvent invoquée — les données manifestement rendues publiques par la personne (art. 9.2.e) — est d’interprétation stricte. Elle suppose un acte positif, clair et délibéré de rendre l’information publique ; le simple fait qu’une donnée soit accessible ne suffit pas à démontrer cette intention [8]. En pratique, un commentaire sur un forum public ne constitue pas, à lui seul, un consentement au traitement de données de santé.

Points de vigilance juridique à retenir :

• Article 9 : les données de santé sont interdites de traitement par principe ; il faut une exception valable et documentée.
• Art. 9.2.e : « manifestement rendues publiques » ≠ simplement accessibles.
• Accès public ≠ consentement : la disponibilité technique n’emporte pas d’autorisation.

Quelles règles RGPD pour la collecte et le moissonnage (web scraping) ?

La CNIL admet que l’intérêt légitime puisse fonder la collecte de données publiquement accessibles, mais elle l’assortit de mesures additionnelles strictes en cas de moissonnage (web scraping) [6] :

• Exclure les sites qui s’opposent au moissonnage (conditions d’utilisation, fichiers de blocage).
• Limiter la collecte aux données que les personnes ont conscience de rendre publiques.
• Informer les personnes du traitement.
• Prévoir un droit d’opposition préalable.
• Anonymiser ou pseudonymiser dès la collecte, sans conserver de données brutes non pseudonymisées.

Autre limite décisive : la réutilisation de données publiées ne vaut pas autorisation de démarchage. La CNIL rappelle que réutiliser des données publiquement accessibles à des fins de prospection commerciale directe impose le consentement des personnes [7]. Le social listening santé doit donc rester un usage d’analyse agrégée, sans re-contact commercial individualisé à partir de données de santé publiées.

Enfin, compte tenu de la sensibilité des données et du recours possible au moissonnage, une analyse d’impact relative à la protection des données (AIPD) est recommandée avant tout déploiement.

Pharmacovigilance vs analyse d’insights : deux logiques à ne pas confondre

Le tableau ci-dessous distingue les deux usages que recouvre le terme « écoute santé ». Confondre les deux expose à des erreurs réglementaires.

Quelles précautions et limites avant de lancer un projet d’écoute santé ?

Les contre-indications suivantes s’appliquent à tout dispositif de social listening en santé :

• Ne pas utiliser le social listening comme substitut à la détection réglementaire de signaux : les réseaux sociaux généralistes ne sont pas recommandés pour la détection statistique large (WEB-RADR) [9].
• Ne jamais ignorer un effet indésirable identifié dans un post : il doit être documenté et remonté à la pharmacovigilance (CRPV/ANSM) comme une notification spontanée, dans les délais applicables [1][2].
• Ne pas traiter des données de santé identifiantes sans base légale valable au titre de l’article 9 du RGPD ; l’accès public ne vaut pas consentement [4][8].
• Ne pas re-contacter un patient à des fins commerciales à partir de données de santé publiées en ligne (consentement requis pour la prospection) [7].
• Ne pas répondre à un post par un conseil médical individualisé : orienter vers un professionnel de santé et vers les canaux officiels de signalement.
• Ne pas moissonner des plateformes qui s’opposent au scraping, ni conserver des données brutes non pseudonymisées [6].

Une gouvernance solide implique d’associer un DPO et un juriste, de formaliser une AIPD, et de séparer techniquement le flux « insights » (agrégé, pseudonymisé) du flux « pharmacovigilance » (documenté, tracé, déclaré).