Doctolib, en devenant la plateforme médicale incontournable, collecte sans contraintes nos données personnelles sensibles.
Le Covid-19 a été synonyme de bénéfices pour certaines entreprises spécialisées dans la santé. Mais l’intervention de sociétés comme Doctolib dans les parcours de soin soulève des questions concernant la protection de nos données personnelles.
Qui peut encore échapper à la plateforme Doctolib, surtout depuis que l’entreprise gère une grande partie des prises de rendez-vous pour la vaccination contre le Covid-19 ? Doctolib fait partie des heureux élus, aux côtés des plateformes Maiia et KelDoc, qui ont passé en janvier 2021 un accord avec l’État pour gérer l’accès aux rendez-vous de vaccination. Que fait Doctolib de l’ensemble des données personnelles que l’entreprise collecte, comment les protègent-elles ?
Doctolib compte parmi ces compagnies qui ont prospéré avec l’arrivée du numérique dans la santé. Après plusieurs levées de fonds, il entre dans le cercle très fermé des « licornes » des nouvelles technologies, ces sociétés récentes du numériques valorisées à plus d’un milliard de dollars. La moitié des médecins généralistes — soit 25 000 selon le syndicat des médecins MG France – recourent également à Doctolib pour les rendez-vous avec leurs patients.
Doctolib : principale porte d’entrée pour accéder à la vaccination contre le Covid
Aujourd’hui, la plateforme de Doctolib est la principale porte d’entrée pour accéder à la vaccination contre le Covid-19 : l’entreprise gère près de 90 % des prises de rendez-vous dans les centres de vaccination. Près de 50 millions de personnes (principalement en France, et cinq millions en Allemagne) y sont désormais inscrites. En mars 2021, la société facturait en moyenne le service de la prise de rendez-vous 214 euros par mois pour chaque lieu de vaccination. Avec environ 2 600 lieux ouverts gérés par les agences régionales de santé, des hôpitaux ou des communes, dont une centaine de grands centres réalisant plus d’un millier d’injections par jour, cela représente un marché potentiel d’un demi-million d’euros par mois.
Pour la gestion de ses données, Doctolib utilise les services d’Amazon
Pour s’inscrire sur Doctolib, il faut donner un numéro de téléphone et une adresse mail. Ensuite, votre profil patient doit renseigner votre genre, nom, prénom, date de naissance et adresse postale.
La société conserve les informations pour l’ensemble des praticiens avec lesquels vous avez pris rendez-vous, ainsi que leur spécialité, voire les motifs de consultation. Certains médecins critiquent des pratiques intrusives :
« J’ai eu récemment à traiter le cas d’une consœur à qui Doctolib demandait de lui fournir tous les noms de ses patients dans le cadre de l’organisation d’un centre de vaccination. Ce n’est pas du tout conforme aux prescriptions de la Cnil [Commission nationale de l’informatique et des libertés, l’organe censé protéger nos données personnelles, ndlr] », rapporte le médecin généraliste Jean-Christophe Nogrette.
Doctolib étant une entreprise française, les données qu’elle collecte sont censées être protégées par le règlement général de protection des données (RGPD) qui vaut pour toute l’Union européenne. Problème : pour la gestion de ses données, Doctolib utilise les services d’Amazon Web Service et de Cloudflare, deux sociétés étasuniennes, non soumises au RGPD. Ces sociétés pourraient être obligées, si Washington le demande, de fournir les données qu’elles gèrent en vertu de deux textes de loi étasuniens qui permettent l’accès à ces données sans que l’autorisation d’un juge soit nécessaire.
Une faille dans la chiffrement des données personnelles des patients
« Le chiffrement de bout en bout garantit que les données personnelles de santé des patients qui utilisent Doctolib ne sont accessibles qu’aux patients et à leurs professionnels de santé en toutes circonstances », assure la société sur son site.
Ces informations ne seraient donc lisibles que par le patient ou la patiente concernée et son médecin, jamais par un tiers.
L’efficacité de cette protection est remise en cause par plusieurs organisations, notamment l’association InterHop qui met à disposition des logiciels libres pour la santé.
« Doctolib semble faire comprendre qu’il y a un chiffrement de bout en bout en affirmant qu’à aucun moment, les données ne sont en clair. Mais ce que le travail d’investigation technique mené par InterHop et par d’autres ingénieurs a démontré, c’est que les données sont accessibles à un moment en clair », nous indique Juliette Alibert, avocate spécialisée dans la défense des libertés fondamentales.
Ces ingénieurs ont pu avoir accès aux données Doctolib alors qu’elles étaient stockées sur les serveurs d’Amazon sans qu’elles soient chiffrées. Elles peuvent donc, à ce moment, être lisibles par Doctolib, ses prestataires comme Amazon, le gouvernement américain, s’il fait la demande de récupérer ces données, et par d’éventuels hackers.
Des journalistes de France Inter ont également constaté cette faille :
« Nous avons procédé à un test qui consiste à vérifier si les données sont chiffrées lorsque l’on se connecte à son compte, et qu’une requête est envoyée au serveur d’Amazon. Ce procédé, qui consiste à lire les données telles qu’elles apparaissent dans le serveur avant d’être envoyées à l’usager lorsqu’il se connecte à son compte, a permis de constater que les données étaient déjà en clair à ce niveau, donc qu’elles n’étaient plus chiffrées », précise la journaliste Marjolaine Koch dans un reportage de mars 2021. « Le chiffrement de bout en bout ne peut pas se fabriquer sur l’ensemble des cas d’usage et la sécurité à 100 % n’existe jamais, sur aucun système au monde », s’est défendu le PDG de Doctolib, Stanislas Niox-Château, contredisant ce qui est annoncé sur le site web de sa société.
« Ces informations donnent une indication très précise sur l’état de santé de la personne »
Face à cette lacune, plusieurs organisations, dont InterHop, le Syndicat de la médecine générale et la Ligue des droits de l’Homme, ont demandé la rupture du contrat entre Doctolib et le ministère de la Santé.
Le Conseil d’État a rejeté leur demande le 12 mars, validant le partenariat entre l’État et Doctolib, sans prendre la peine de solliciter la Cnil.
« Les données recueillies dans le cadre des rendez-vous de vaccination ne comprennent pas d’indications sur les motifs médicaux d’éligibilité à la vaccination », a fait valoir le Conseil d’État.
En clair, si vous faites partie des personnes prioritaires à cause d’une pathologie (maladie cardiaque, diabète, asthme…) vous rendant plus vulnérable face au Covid, les données collectées par Doctolib ne permettraient pas à des personnes tierces de connaître cette pathologie. Ce que contestent les organisation requérantes, estimant au contraire que :
« ces informations peuvent renseigner sur l’état de santé des patients, de même que la simple connaissance d’une consultation d’un spécialiste peut donner une indication sur l’état de santé. » Ces données sont cependant censées être supprimées trois mois après la prise de rendez-vous.
Le Conseil d’État estime aussi « que des garanties ont été mises en place pour faire face à une éventuelle demande d’accès par les autorités américaines », notamment par des clauses négociées entre Doctolib et Amazon pour empêcher ces transferts de données.
Pour les requérants, ces garanties sont insuffisantes :
« Amazon n’aura pas le choix. Elle est soumise au droit américain et doit appliquer ce qu’on lui ordonne, le cas échéant de façon confidentielle. Les garanties contractuelles ne font pas le poids juridiquement face à ces lois extra-territoriales. Et puisque les données de Doctolib ne sont pas vraiment chiffrées de bout en bout, techniquement, elles sont accessibles à Amazon et aux autorités américaines », réagit Juliette Alibert.
Par ailleurs, le Conseil d’État a affirmé lors de l’audience que les données de rendez-vous médicaux n’étaient pas des données de santé.
Pour Juliette Alibert, cette position est particulièrement problématique :
« On ouvre une brèche dangereuse. Ces informations donnent une indication très précise sur l’état de santé de la personne. Il suffit de savoir qu’une femme va voir un gynéco-obstétricien pour comprendre qu’elle est enceinte. Un patient qui se rend très régulièrement chez le cardiologue a des problèmes de cœur. Du coup, cette décision est extrêmement grave, parce qu’elle ne repose sur aucun critère juridique. La Cnil, le RGPD et l’Ordre des médecins sont très fermes là-dessus. Les rendez-vous donnent bien une information précise sur l’état de santé, notamment en ce qui concerne la vaccination contre le Covid. »
Les dossiers des patients sur Doctolib
Un nouveau service de Doctolib pose également question aux professionnels : Doctolib médecin.
« C’est un logiciel de gestion de cabinet médical pour organiser les dossiers des patients. A priori, ils vont pouvoir recueillir encore davantage de données, en particulier indirectes, tout en étant obligés de rester prudemment dans les marges de l’intimité de la consultation. Le nombre de consultations par personne, le nombre d’ordonnances par patient, il y aura beaucoup plus de facilités pour tracer ces choses-là », alerte le secrétaire général adjoint du syndicat MG France, Jean-Christophe Nogrette.
Les services de Doctolib sont-ils incontournables ? Non. Il existe des alternatives. L’État français lui-même a été en mesure de développer une plateforme de prise de rendez-vous en opensource pour les services sociaux départementaux, via son programme Beta.gouv.