Le BigBrotherAward 2021 dans la catégorie Santé est décerné à l’entreprise Doctolib GmbH, Berlin. Doctolib propose notamment la prise de rendez-vous médicaux via sa plateforme. Ces données sont traitées au mépris de l’obligation de confidentialité et, selon l’accord de protection des données, sont également utilisées dans le cadre d’un marketing commercial.

Le BigBrotherAward dans la catégorie "Santé" a été décerné à la société Doctolib à Berlin pour son portail d’admission à la retraite pour les médecins. Doctolib traite avec ce portail, sans tenir compte de la validité géographique, les données des patients en attente. L’offre destinée aux professionnels de la santé, notamment aux médecins, et à leurs patients, est géniale : Les médecins doivent remplir un formulaire de déclaration de sinistre avec Doctolib, puis ils ont accès aux données de leurs patients et peuvent ensuite consulter un site Internet de traitement, de conseil ou d’intervention pour obtenir des informations précises. Les patients peuvent également utiliser les termes en ligne de Patient.innen. Il n’y a pas de départ au téléphone, il n’y a pas d’employé en poste, c’est l’employeur du patient qui est responsable de la fin du contrat - et pour tout cela, les praticiens ne paient que 100 € par mois. Pour le Patient.innen, tout est impossible. Und nicht nur das. Doctolib déclare : "Pour DOCTOLIB, la sécurité et la protection des données personnelles sont une priorité absolue. C’est pourquoi DOCTOLIB s’efforce d’appliquer toutes les directives allemandes et européennes relatives à la protection des données personnelles. DOCTOLIB s’appuie sur les normes édictées par les organismes et organes compétents en matière de protection des droits de l’homme et des libertés fondamentales. Auf dem Bildschirm.

Fonctionnement

Dans la réalité, les médecins devraient rapidement se poser des questions, car lorsqu’un médecin veut faire appel à Doctolib pour son cabinet, un collaborateur de l’entreprise apparaît et demande tout d’abord l’accès à l’ensemble des données de base des patients enregistrées dans le système d’information du médecin.

Et ce n’est pas tout : après l’importation de la liste des patients, il est nécessaire de comparer régulièrement les données du tableau de rendez-vous du système du médecin avec le système de médiation de Doctolib.

C’est là que nos épines se dressent. Pourtant, des cabinets participent à ce service. Nous supposons que oui : La plupart des médecins ne comprennent pas grand-chose aux processus techniques et font confiance à l’expertise de Doctolib ainsi qu’à la promesse de respecter le secret médical et la protection des données.

Comme offre supplémentaire pour les patients, Doctolib propose une liste de médecins dans toute l’Allemagne ainsi qu’un service vidéo pour la téléconsultation. Et depuis le début de la pandémie de Corona, Doctolib fournit également des rendez-vous de vaccination, aussi bien pour le ministère français de la Santé que pour l’administration de la santé à Berlin.

Et effectivement, tout fonctionne. Doctolib se targue d’un taux de satisfaction de la clientèle de 97 %. Selon ses propres indications, 150.000 médecins et professionnels de la santé en Allemagne et en France et 50 millions de patients utilisent le service. Trois labels de qualité différents sont censés garantir que tout se passe bien.

Manque de transparence

Mais un coup d’œil qualifié sur les petits caractères montre à un œil averti qu’il y a pire : La multiplicité des documents est tout d’abord déroutante : Alors que d’autres services ne proposent qu’une seule fois des conditions générales de vente (CGV), Doctolib en compte une douzaine : conditions d’utilisation, informations sur la protection des données, principes de protection des données de santé (en distinguant à chaque fois les patients et les professionnels de santé), ainsi qu’une directive sur les cookies, une liste de traitement, des informations sur la protection des données et la sécurité, une FAQ, un contrat de traitement des commandes et des définitions. C’est trop pour un service unifié. Les documents sont confus et peu clairs, parfois contradictoires. La plupart d’entre eux ne sont pas numérotés, ce qui rend encore plus difficile de s’y référer.

Le diable se cache dans les détails : Doctolib fait une distinction juridique formelle entre un traitement de commande pour le professionnel de la santé et une responsabilité propre à Doctolib pour sa propre offre web. Jusque-là, tout va bien. Mais Doctolib s’arroge ensuite le droit de regrouper les données traitées pour le compte du médecin dans ses propres banques de données pour la prise de rendez-vous. Pour les médecins comme pour les patients, et pour nous aussi, la manière dont les données sont ensuite utilisées n’est pas claire.

Données de santé particulièrement sensibles

Il devrait être incontestable que les prises de rendez-vous médicales, tout comme les métadonnées des consultations vidéo, sont des données de santé sensibles qui bénéficient de la protection particulière du RGPD et qui sont en outre soumises au secret professionnel. La confiance du patient envers le médecin interdit que les noms, les rendez-vous, les traitements tombent entre les mains de tiers et soient utilisés à d’autres fins que le traitement et le conseil dans le cabinet de confiance. Juridiquement, les médecins peuvent conclure des contrats de traitement des commandes sans que leurs patients aient à donner leur accord. Mais cette relation de confiance est violée de manière punissable au plus tard lorsque Doctolib se procure des données de patients qui ne prennent pas de rendez-vous et qui n’ont même pas de compte chez Doctolib, et lorsque les personnes concernées ne sont pas informées de cette transmission de données.

Publicité, suivi, analyses - qui est responsable ?

Autant Doctolib s’engage à protéger les données et le secret des patients, autant nous devons remettre en question ces promesses après avoir lu les petits caractères :

Dans la liste des cookies de Doctolib, on trouve par exemple Google avec Analytics et Adwords ou Ads. Les objectifs indiqués sont le "suivi" ou le "traçage" de l’utilisation du site web. Ads ne sert à rien de plus banal que la publicité. Si l’on accepte une fois l’utilisation des données pour la publicité et les sondages d’opinion, cela a manifestement pour conséquence, lors de tous les autres rendez-vous, que les données parviennent également à Google, par exemple. Le même problème se pose pour l’intégration des réseaux sociaux tels que Twitter, Instagram, Facebook, LinkedIn, Medium et YouTube dès la page d’accueil de Doctolib. Doctolib doit sérieusement se demander à quoi tout cela peut bien servir, pourquoi par exemple une page de prise de rendez-vous a besoin d’un bouton YouTube. Dans les paramètres des cookies, il est proposé de "tout accepter". Et Doctolib déclare alors innocemment qu’il n’est pas responsable du traitement des données par ces services.

C’est là que Doctolib se trompe : récemment, la Cour européenne de justice a constaté dans trois procédures totalement indépendantes qu’il existe une coresponsabilité du fournisseur du site, donc ici de Doctolib, pour un tel traitement des données. Nous pensons que les entreprises commerciales de médias sociaux n’ont rien à faire dans la relation médecin-patient, et encore moins si elles ont leur siège dans un pays tiers peu sûr comme les États-Unis.

Secret professionnel

Dans les "CGU Utilisateurs" de Doctolib de 2019, le patient peut lire qu’avec son accord, il libère ses médecins du secret professionnel légal. Pour quoi et pourquoi, cela n’est pas expliqué au patient et ne nous a pas non plus été expliqué sur demande. Il devrait être clair qu’un tel déliement en petits caractères est inefficace.

En fait, la violation du secret professionnel commence plus tôt et a une dimension énorme : un médecin est certes explicitement autorisé, selon une nouvelle disposition légale de 2017, à faire appel à des prestataires de services techniques comme Doctolib. Mais il faut pour cela que les secrets des patients révélés soient nécessaires au service. L’importation complète de la liste des patients d’un médecin par Doctolib n’est définitivement pas nécessaire. Il suffirait à l’entreprise de connaître les rendez-vous libres du médecin pour pouvoir les communiquer au système du médecin.

Séparation des mandants

En tant que collaborateur d’un médecin et sous-traitant de celui-ci, Doctolib est tenu de respecter ce que l’on appelle la séparation des mandants. En d’autres termes, Doctolib n’a pas le droit de rassembler chez lui les données des patients de différents médecins. C’est pourtant ce que semble faire l’entreprise. Lors du Chaos Computer Congress 2020, il a été rapporté1 qu’une base de données Doctolib avait été transmise au Chaos Computer Club. La faille décrite aurait permis d’accéder à environ 150 millions de prises de rendez-vous, probablement dues à une synchronisation avec les agendas des cabinets médicaux et remontant à 1990.2 La manière dont les données ont été et sont traitées, ce que Doctolib fait de cette collection et pourquoi les anciennes données n’ont pas été effacées, reste le secret commercial de notre lauréat.

Contrairement à ce qu’affirme l’entreprise, les labels de qualité prétendument décernés n’ont aucun fondement dans le RGPD. Ce qui a été scellé ici et pourquoi reste en grande partie le secret de Doctolib. On sait entre autres que Doctolib utilise une offre cloud d’Amazon Web Services certifiée en France - avec des ordinateurs en Europe.3

Que fait réellement Doctolib ?

Nos demandes auprès de l’entreprise concernant les millions de téléchargements de données de patients, la séparation des mandants et bien d’autres choses encore sont restées sans réponse.

Il ne nous reste donc que des spéculations sur ce qui se passe sur les serveurs de Doctolib et d’AWS.

Les investisseurs en capital-risque spéculent également, puisqu’ils ont mis à disposition de l’entreprise fondée en 2013 23 millions d’euros en 2016, 35 millions d’euros supplémentaires en 2017 et encore 150 millions d’euros en 2019. Doctolib fait désormais partie de ce que l’on appelle les unicorns, c’est-à-dire les entreprises valorisées à plus d’un milliard d’euros sur le marché des capitaux.4

Le marché des données de santé est un nouveau terrain de jeu pour les groupes informatiques et les spéculateurs depuis que le marché mondial et européen des données d’utilisation d’Internet est partagé entre Facebook et Google. Jusqu’à présent, on a réussi à maintenir les entreprises américaines à l’écart en Europe en invoquant la confidentialité médicale. Doctolib s’efforce de s’approprier une grande partie de ce gâteau en revendiquant cette confidentialité, sans vraiment s’y conformer.

La numérisation de notre système de santé est importante pour améliorer et maintenir un niveau élevé de soins de santé pour la population. Mais cela ne doit pas se faire au détriment de la confidentialité entre les patients et les professionnels de la santé. Pour avoir subordonné cette confidentialité à ses ambitions d’expansion, Doctolib reçoit le BigBrotherAward 2021 dans la catégorie "Santé".

Félicitations, Doctolib.

Lire aussi :

– (Wikipedia)
Big Brother Awards

(...) Le 14 juillet 2021, Doctolib se voit décerner le Big Brother Awards2,3,4. Ce prix décerné aux structures qui attentent à la vie privée lui est attribué en identifiant plusieurs problèmes :

• lorsque des professionnels de santé demandent à utiliser Doctolib, ce service leur demande à accéder aux données de santé de toute leur patientèle, sans que celle-ci en soit informée, et ce même si cette patientèle ne dispose d’aucun compte Doctolib ;
• le manque de transparence de la politique de confidentialité de Doctolib, multipliant les documents qui précisent les conditions d’exploitation des données collectées ;
• lorsque des personnels de santé utilisent Doctolib, ce service accède à la liste complète de leur patientèle alors que les créneaux libres suffiraient ;
• l’usage de cookies publicitaires permet à de nombreuses entreprises telles que Google, Twitter, Instagram, Facebook, LinkedIn, Medium et YouTube d’être informées quand un rendez-vous est pris par un patient ;
• la fusion de données de santé sur des patients et patientes transmises par plusieurs personnels de santé, sans aucune suppression une fois que les données ne sont plus utiles pour la prise de rendez-vous. (...)

Lire aussi :

– (France Inter)
Doctolib : nos données médicales ne sont pas entièrement protégées 2022

En quelques années, Doctolib est devenu un acteur phare du système de santé avec 50 millions d’utilisateurs en France. Mais contrairement à ce que l’entreprise a longtemps affirmé, nos données personnelles ne sont pas entièrement chiffrées.

“Après un travail de deux ans mené avec Tanker, entreprise technologique française de pointe spécialisée dans la sécurisation des données (…), Doctolib annonce aujourd’hui la mise en œuvre du chiffrement de bout en bout pour les données personnelles de santé de ses utilisateurs.” En juin 2020, juste après le premier confinement, Doctolib publiait un communiqué de presse pour annoncer la mise en œuvre du chiffrement de bout en bout (end-to-end encryption, en anglais) des données médicales de ses utilisateurs. Ce qui signifie, en théorie, que seuls les patients et leurs médecins peuvent y avoir accès. Le communiqué de Doctolib précisait également : “Cette technologie rend rigoureusement impossible à toute autre personne d’accéder à ces données, y compris dans les opérations d’assistance ou de maintenance.”

Deux ans plus tard, alors que Doctolib a joué un rôle central dans la vaccination des Français contre la Covid-19, la cellule investigation de Radio France a effectué un test qui montre que la plateforme ne chiffre pas de bout en bout l’ensemble des données de ses utilisateurs. Elle a donc accès à certaines informations confidentielles, contrairement à ce que l’entreprise prétend. (...)

Des données de santé visibles par des salariés

“On a reçu de Doctolib les données en clair sur vos prochains rendez-vous. On ne les a pas reçues chiffrées”, explique Benjamin Sonntag. “Donc cela veut dire que Doctolib lui-même a ces informations en clair”. Or ces rendez-vous médicaux sont signifiants et renseignent sur l’état de santé d’une personne. “Si vous allez régulièrement chez un oncologue ou chez un psychologue, cela raconte quelque chose sur votre état de santé”, poursuit Benjamin Sonntag.

Un élément rassurant, ces données sont chiffrées quand elles sont en transit, c’est-à-dire quand elles circulent entre Doctolib et notre navigateur internet. Personne ne peut les intercepter en cours de route. Mais chez Doctolib, des salariés ont bien accès aux détails de nos rendez-vous médicaux. (...)

“Les données de santé se moyennent à prix d’or” (...)

Doctolib précise aussi que les pièces jointes échangées entre un patient et son médecin (compte-rendu d’analyses, radios, scanners, ordonnances...) et les flux de téléconsultations sont eux chiffrés de bout en bout. Aucun tiers n’y a accès. Le test que nous avons réalisé avec Benjamin Sonntag le confirme. “Les rendez-vous médicaux sont des données personnelles de santé au même titre que les pièces jointes échangées**”, estime pourtant Alexandra Iteanu, avocate au barreau de Paris, spécialiste en protection des données. “Ils devraient être protégés de la même manière.”

Pour autant Doctolib n’enfreint pas la loi en ne chiffrant pas de bout en bout l’ensemble des données médicales qu’il a en sa possession. “Le RGPD (règlement européen sur la protection des données personnelles, NDLR) ne rend pas obligatoire le chiffrement de bout en bout. Il l’encourage simplement en disant qu’il faut mettre en place toutes mesures techniques et organisationnelles pour protéger ces données”, précise l’avocate. Reste que Doctolib fait preuve de “manque de transparence”, estime Alexandra Iteanu car il communique sur un chiffrement de bout en bout qui n’est “pas mis en place en pratique”. En tous cas pas totalement.

Le risque pour l’utilisateur n’est pas que théorique. (...)