La cellule d’investigation de la radio publique a mené un test montrant que, malgré la promesse de Doctolib de chiffrer les données de santé « de bout en bout », les salariés de l’entreprise peuvent avoir accès à certaines informations.

(...) La cellule d’investigation de la radio publique a réalisé un test avec l’appui de Benjamin Sonntag, cofondateur de l’association La Quadrature du Net. En se connectant sur Doctolib et en accédant au code de la page, ils ont constaté que des informations concernant les rendez-vous médicaux passés et à venir de l’utilisateur étaient toujours accessibles « en clair », de manière non chiffrée.

« Cela veut dire que Doctolib lui-même a ces informations en clair », explique Benjamin Sonntag à Radio France. Parmi ces informations : les noms et prénoms du patient, la date du rendez-vous, le nom et la spécialité du médecin consulté et même le motif de la consultation. Les pièces jointes échangées entre un patient et son médecin via la plate-forme sont, elles, bien protégées.

Les données sont également chiffrées lorsqu’elles sont en transit, et ne peuvent donc être consultées par des tiers, quand bien même elles seraient interceptées. Le test de Radio France montre que ce sont les salariés de Doctolib qui y ont accès, comme « les responsables des sauvegardes, les administrateurs système, ceux qui gèrent le réseau et les serveurs », selon les précisions de M. Sonntag.
Risque d’utilisation malveillante

La plate-forme a bien reconnu auprès de Radio France qu’« un nombre très restreint de salariés a accès aux rendez-vous médicaux, à des moments précis et pour des raisons précises, dans le cadre des fonctions supports ». Selon Doctolib, « les données de rendez-vous ne sont pas chiffrées de bout en bout » car cela empêcherait « l’utilité et le bon fonctionnement du service », rendant par exemple impossible le rappel de rendez-vous par mail ou par texto.

Si cette situation n’est pas illégale, elle fait courir le risque qu’un « salarié de Doctolib mal intentionné détourne ces données de manière malveillante ou les transmette à un tiers (…) qui pourrait être un assureur ou votre employeur », signale à Radio France l’avocate Alexandra Iteanu, spécialiste en protection des données. (...)

Doctolib héberge ses données chez Amazon Web Services, l’une des branches du groupe américain de l’e-commerce. Cette entreprise est soumise au droit américain, qui permet, sous certaines conditions, de demander de nombreuses données à des entités américaines fournissant des services à l’étranger.

Devant le Conseil d’Etat, il avait été question du chiffrement des données. L’un des requérants avait montré que certaines données stockées sur les serveurs d’Amazon étaient, à certains moments, lisibles en clair et donc techniquement accessibles. La plus haute juridiction administrative avait cependant validé le partenariat et jugé que le chiffrement des données pratiqué par Doctolib n’était pas problématique.