Un collectif de professionnels de la santé reproche à Doctolib d’avoir confié l’hébergement des données des patients à Amazon Web Services, une société soumise au droit américain et aux programmes de surveillance permis par celui-ci.

Ce référé-liberté, que Mediapart a pu consulter, a été signé par des professionnels de santé, le collectif InterHop, le professeur Didier Sicard, le Syndicat de la médecine générale, l’Union pour une médecine libre, le Syndicat national des jeunes médecins généralistes et la Fédération des médecins de France, ainsi que par des associations de patients, comme ActUp santé Sud-Ouest ou Marie Citrini, représentante des usagers de l’AP-HP.

Ils reprochent à la société franco-allemande de mettre en danger les données personnelles des patients en confiant leur hébergement à Amazon Web Services (AWS), une société soumise au droit américain et donc aux programmes de surveillance permis par celui-ci.

L’annonce de ce partenariat entre le gouvernement et Doctolib avait été faite le mardi 12 janvier par le ministre de la santé Olivier Véran lors d’une audition par la commission des affaires sociales de l’Assemblée nationale. Comme l’a indiqué celui-ci à l’époque, ce sont en fait trois prestataires qui ont été sélectionnés par le gouvernement : les sociétés Doctolib, Maiia et Keldoc. Ce choix a été opéré à la dernière minute, l’État n’ayant pas anticipé ce sujet lors de la construction en catastrophe de son système d’information pour le suivi de la vaccination. (...)

Cependant, comme le souligne la requête rédigée par Me Juliette Alibert, la plateforme du leader français du secteur est celle vers laquelle les candidats à la vaccination sont renvoyés afin de prendre un rendez-vous. Les requérants expliquent en effet avoir réalisé, le 25 janvier dernier, une « analyse du site Santé.fr », sur lequel les patients doivent se rendre pour prendre rendez-vous.

Celle-ci révèle « que 861 centres de vaccination passent par la solution de prise de rendez-vous en ligne Doctolib, contre 39 et 97 pour les deux autres solutions (respectivement Maiia et Keldoc) », affirme la requête, soit un taux de redirection de « plus de 80 % ».

Un chiffre correspondant à un décompte effectué par Mediapart mardi 2 février qui avait alors recensé 925 centres de vaccination utilisant Doctolib, sur un total de 1 133, soit une proportion de 81,6 %.

En plus d’être en situation de quasi-monopole, Doctolib collecte une quantité importante de données sensibles. Le patient doit tout d’abord donner, lors de son inscription, son identité, sa date de naissance, son adresse mail et son téléphone. Il doit également indiquer le « motif de la consultation », c’est-à-dire la raison pour laquelle il fait partie des personnes prioritaires pour la vaccination.

Le patient doit ainsi préciser s’il a plus de 75 ans, s’il est un professionnel ou s’il est atteint d’une des « pathologies à haut risque » ouvrant droit à un vaccin, comme les cancers, les maladies rénales ou certaines maladies rares.

Le recours pointe que, de surcroît, Doctolib dispose déjà d’une importante quantité d’informations sur de nombreux patients, collectées à l’occasion de ses activités habituelles. Ainsi, il y a de fortes chances que des patients souhaitant se faire vacciner disposent déjà chez Doctolib d’un « historique » résumant leurs rendez-vous pris via la plateforme.

Mais leur principale critique porte sur les conditions d’hébergement des données de Doctolib. La société a en effet choisi d’avoir recours à la société américaine Amazon Web Services. Or, pointe la requête, cette solution emporte le risque de voir ces données visées par les programmes de surveillance permis par le droit américain, comme l’a d’ailleurs déjà reconnu le Conseil d’État en fin d’année 2020.

En effet, au mois d’octobre dernier, un collectif avait déjà contesté devant le juge administratif le choix du gouvernement en matière d’hébergement de données de santé. À l’époque, il s’agissait de celles détenues par le Health Data Hub, la gigantesque plateforme devant centraliser, à terme, l’ensemble des données de santé des Français en confiant l’hébergement de celles-ci à la solution Azure de Microsoft.

Ce recours se fondait sur un arrêt rendu le 16 juillet 2020 par la Cour de justice de l’Union européenne (CJUE) ayant annulé le « bouclier de protection des données », ou Privacy Shield, accord qui régissait les transferts de données personnelles entre les États-Unis et les pays de l’Union européenne. (...)

Interrogée sur cette question dans le cadre de la procédure contre le Health Data Hub, la Commission nationale de l’informatique et des libertés (Cnil) avait, le jeudi 8 octobre, transmis au Conseil d’État un mémoire dans lequel elle rejoignait l’analyse de la CJUE. (...)

En conséquence, la commission appelait tout simplement l’État à cesser « dans un délai aussi bref que possible » de confier l’hébergement des données de santé des Français à Microsoft ou toute autre société soumise « au droit états-unien ». (...)

Ces inquiétudes semblaient avoir été entendues par le gouvernement. Dès le jour de la transmission du mémoire de la Cnil, à l’occasion d’une audition au Sénat, le secrétaire d’État au numérique Cédric O avait fait part de sa volonté de trouver une autre solution d’hébergement. « Nous travaillons avec Olivier Véran, après le coup de tonnerre de l’annulation du Privacy Shield, au transfert du Health Data Hub sur des plateformes françaises ou européennes », avait-il affirmé.

Dans sa décision, rendue le vendredi 14 octobre, le Conseil d’État avait rejeté le recours de SantéNathon en raison de l’utilité du Health Data Hub dans le cadre de la lutte contre l’épidémie, mais tout en reconnaissant les risques de transferts pointés par la Cnil. Il appelait les autorités à concrétiser, « dans les délais les plus brefs possible », leurs engagements. (...)

Lundi 22 février, c’est la Caisse nationale d’assurance-maladie (Cnam) qui dénonçait, dans un communiqué, le risque de confier les données de santé des Français à une entreprise américaine. (...)

« Il s’avère donc qu’ensemble, la CJUE, la Cnil, la Cnam […], le Conseil d’État et le gouvernement lui-même reconnaissent que l’état de la législation américaine ne permet pas une conciliation avec le droit à la protection des données tel que régi par le RGPD, que les données soient hébergées ou non dans l’Union européenne », résume la requête contre le partenariat de Doctolib. (...)

En conséquence, ils demandent au Conseil d’État d’ordonner « la suspension du partenariat avec Doctolib » et, « au ministère de la santé, d’avoir recours à d’autres solutions de gestion de la prise de rendez-vous ». La requête demande, subsidiairement, au juge administratif de solliciter la Cnil afin d’obtenir son analyse sur cette affaire. Si le référé-liberté est jugé recevable par le Conseil d’État, celui-ci devra normalement se prononcer dans les 48 heures.

Contacté par Mediapart vendredi dans la journée, Doctolib explique n’avoir pas encore eu connaissance du recours et ne dispose « à date d’aucun élément sur ce sujet ». La société renvoie à sa page consacrée à la protection des données et souligne avoir « pris depuis 2013 des engagements forts pour protéger la vie privée et la sécurité des données de » ses utilisateurs.

Concernant le recours aux services d’Amazon, Doctolib affirme avoir, depuis mai 2019, « publiquement recours à AWS comme partenaire pour l’hébergement sécurisé des données de santé ». La société souligne le fait que la société américaine héberge ses données « en France et en Allemagne ». Elle a par ailleurs été certifiée « hébergeur de données de santé » et « est à ce jour l’un des tout premiers hébergeurs du monde, notamment en matière de protection des données ». (...)

« Doctolib a par ailleurs mis en place un chiffrement systématique de l’ensemble des données hébergées chez AWS. Les clefs de chiffrement et déchiffrement sont quant à elles hébergées en France chez un hébergeur français », insiste la société.

Enfin, concernant le partenariat passé avec le ministère de la santé, Doctolib renvoie vers celui-ci. (...)

Également contacté, le ministère de la santé n’avait, lui, pas encore réagi vendredi en fin d’après-midi.