Doctolib : l’entreprise qui a récupéré le marché de la vaccination... et nos données personnelles

Basta !

Article mis en ligne le 11 juin 2021

Le Covid-19 a été synonyme de bénéfices pour certaines entreprises spécialisées dans la santé. Mais l’intervention de sociétés comme Doctolib dans les parcours de soin soulève des questions concernant la protection de nos données personnelles.

Qui peut encore échapper à la plateforme Doctolib, surtout depuis que l’entreprise gère une grande partie des prises de rendez-vous pour la vaccination contre le Covid-19 ? Doctolib fait partie des heureux élus, aux côtés des plateformes Maiia et KelDoc, qui ont passé en janvier 2021 un accord avec l’État pour gérer l’accès aux rendez-vous de vaccination. Que fait Doctolib de l’ensemble des données personnelles que l’entreprise collecte, comment les protègent-elles ? [1].

Doctolib compte parmi ces compagnies qui ont prospéré avec l’arrivée du numérique dans la santé. Elle a été créée en 2013 par quatre jeunes ingénieurs et diplômés d’écoles de commerces à Levallois-Perret (Hauts-de-Seine). En 2017, elle obtient le marché public de la prise de rendez-vous pour les médecins de l’Assitsance publique-Hôpitaux de Paris (AP-HP), qui gère les 39 hôpitaux publics d’Île-de-France. Après plusieurs levées de fonds, Doctolib entre dans le cercle très fermé des « licornes » des nouvelles technologies, ces sociétés récentes du numérique valorisées à plus d’un milliard de dollars. La moitié des médecins généralistes — soit 25 000 selon le syndicat des médecins MG France – recourent également à Doctolib pour les rendez-vous de consultations avec leurs patients. Cet abonnement « est de l’ordre de 120 euros par mois par médecin », selon Jean-Christophe Nogrette, médecin généraliste et secrétaire général adjoint du MG France.

Doctolib : principale porte d’entrée pour accéder à la vaccination contre le Covid (...)

Avec environ 2600 lieux ouverts gérés par les agences régionales de santé, des hôpitaux ou des communes, dont une centaine de grands centres réalisant plus d’un millier d’injections par jour, cela représente un marché potentiel d’un demi-million d’euros par mois.

Pourquoi l’État a-t-il choisi Doctolib et ses concurrents privés plutôt que de mettre en place une plateforme publique ? « Ce recours aux solutions du marché donne la possibilité de bénéficier d’un appui de taille pour accompagner la campagne vaccinale, nous a répondu la Direction générale de la santé (DGS), qui encadre le contrat public. La stratégie retenue permet à la fois de profiter des offres pertinentes du terrain tout en sécurisant la gouvernance de la donnée puisque l’État est responsable de leur traitement ». (...)

Pour la gestion de ses données, Doctolib utilise les services d’Amazon

Pour s’inscrire sur Doctolib, il faut donner un numéro de téléphone et une adresse mail. Ensuite, votre profil patient doit renseigner votre genre, nom, prénom, date de naissance et adresse postale. La société conserve les informations pour l’ensemble des praticiens avec lesquels vous avez pris rendez-vous ainsi que leur spécialité, voire les motifs de consultation. Certains médecins critiquent des pratiques intrusives : « J’ai eu récemment à traiter le cas d’une consœur à qui Doctolib demandait de lui fournir tous les noms de ses patients dans le cadre de l’organisation d’un centre de vaccination. Ce n’est pas du tout conforme aux prescriptions de la Cnil [Commission nationale de l’informatique et des libertés, l’organe censée protéger nos données personnelles, ndlr] », rapporte le médecin généraliste Jean-Christophe Nogrette.

Doctolib étant une entreprise française, les données qu’elle collecte sont censées être protégées par le règlement général de protection des données (RGPD) qui vaut pour toute l’Union européenne. Ce règlement encadre la collecte, le traitement et l’utilisation des données numériques personnelles en Europe. Problème : pour la gestion de ses données, Doctolib utilise les services d’Amazon Web Service et de Cloudflare, deux sociétés états-uniennes, non soumises au RGPD. Ces sociétés pourraient être obligées, si Washington le demande, de fournir les données qu’elles gèrent en vertu de deux textes de loi états-uniens qui permettent l’accès à ces données sans que l’autorisation d’un juge soit nécessaire [2].

Une faille dans la chiffrement des données personnelles des patients (...)

« Le chiffrement de bout en bout garantit que les données personnelles de santé des patients qui utilisent Doctolib ne sont accessibles qu’aux patients et à leurs professionnels de santé en toutes circonstances », assure la société sur son site [3] Ces informations ne seraient donc lisibles que par le patient ou la patiente concernée et son médecin, jamais par un tiers. L’efficacité de cette protection est remise en cause par plusieurs organisations, notamment l’association InterHop qui met à disposition des logiciels libres pour la santé. « Doctolib semble faire comprendre qu’il y a un chiffrement de bout en bout en affirmant qu’à aucun moment, les données ne sont en clair, nous indique Juliette Alibert, avocate spécialisée dans la défense des libertés fondamentales. Mais ce que le travail d’investigation technique mené par InterHop et par d’autres ingénieurs a démontré, c’est que les données sont accessibles à un moment en clair. » Ces ingénieurs ont pu avoir accès aux données Doctolib alors qu’elles étaient stockées sur les serveur d’Amazon sans qu’elles soient chiffrées. Elles peuvent donc, à ce moment, être lisibles par Doctolib, ses prestataires comme Amazon, le gouvernement américain s’il demande à récupérer ces données, et à d’éventuels hackers.

Des journalistes de France Inter ont également constaté cette faille. (...)

« Ces informations donnent une indication très précise sur l’état de santé de la personne » (...)

Le Conseil d’État estime aussi « que des garanties ont été mises en place pour faire face à une éventuelle demande d’accès par les autorités américaines », notamment par des clauses négociées entre Doctolib et Amazon pour empêcher ces transferts de données. Pour les requérants, ces garanties sont insuffisantes. « Amazon n’aura pas le choix. Elle est soumise au droit américain et doit appliquer ce qu’on lui ordonne, le cas échéant de façon confidentielle. Les garanties contractuelles ne font pas le poids juridiquement face à ces lois extra-territoriales. Et puisque les données de Doctolib ne sont pas vraiment chiffrées de bout en bout, techniquement, elles sont accessibles à Amazon et aux autorités américaines », réagit Juliette Alibert.
Près de 20 000 téléconsultations en vidéo chaque jour

Par ailleurs, le Conseil d’État a affirmé lors de l’audience que les données de rendez-vous médicaux n’étaient pas des données de santé. Pour Juliette Alibert, cette position est particulièrement problématique (...)

« cette décision est extrêmement grave, parce qu’elle ne repose sur aucun critère juridique. La Cnil, le RGPD et l’Ordre des médecins sont très fermes là-dessus. Les rendez-vous donnent bien une information précise sur l’état de santé, notamment en ce qui concerne la vaccination contre le Covic. » (...)

Un nouveau service de Doctolib pose également question aux professionnels : Doctolib médecin. « C’est un logiciel de gestion de cabinet médical pour organiser les dossiers des patients. A priori, ils vont pouvoir recueillir encore davantage de données, en particulier indirectes, tout en étant obligés de rester prudemment dans les marges de l’intimité de la consultation. Le nombre de consultations par personne, le nombre d’ordonnances par patient, il y aura beaucoup plus de facilités pour tracer ces choses-là », alerte le secrétaire général adjoint du syndicat MG France, Jean-Christophe Nogrette. (...)

Les services de Doctolib sont-ils incontournables ? Non. Il existe des alternatives. L’État français lui-même a été en mesure de développer une plateforme de prise de rendez-vous en opensource pour les services sociaux départementaux, via son programme Beta.gouv.

Le contrat d’engagement républicain, outil de mise au pas du monde associatif

Créé afin de lutter contre « l’islamisme radical » et « tous les séparatismes », le contrat d’engagement républicain (CER) n’a, à ce jour, jamais en réalité été invoqué à l’égard d’associations confessionnelles, qu’elles soient islamistes ou liées à d’autres mouvements radicaux ou séparatistes, révèle un décompte réalisé par l’Observatoire des libertés associatives.

Et sur les vingt-quatre cas relevés, seuls trois portent sur des faits liés à la religion musulmane au sein d’associations telles qu’une section locale du Planning familial, accusée d’avoir représenté une femme voilée sur une affiche, une MJC, à laquelle on a reproché d’avoir embauché des femmes voilées, et une association d’aide aux femmes, accusée sans preuve de « prosélytisme religieux ».

Pour le reste, le CER, que les associations doivent obligatoirement signer lorsqu’elles demandent une subvention, a été brandi à l’égard de l’association Alternatiba Poitiers accusée de « désobéissance civile » ; d’une association d’aide aux mal-logé·es, l’Atelier populaire d’urbanisme (APU), dont une salariée est accusée de violences verbales envers des agents municipaux ; d’une association d’aide aux immigré·es ayant appelé à une manifestation contre les violences policières interdites ; d’une télévision associative, Canal Ti Zef à Brest, mobilisée dans la lutte contre l’évacuation d’un squat ; ou encore d’une compagnie de théâtre, la compagnie Arlette Moreau à Poitiers, ayant moqué son préfet. (...)

Lors de l’adoption de la loi séparatisme, à l’été 2021, des député·es de l’opposition et des responsables associatifs avaient déjà alerté sur les risques d’un détournement du CER dans un but de répression politique. (...)

Parler de détournement du CER est excessif. Lorsqu’on relit les débats parlementaires, on se rend en effet compte que la majorité assumait, dès le départ, le fait de ne pas viser exclusivement les associations séparatistes radicales mais toute association ayant recours à certains modes d’action liés à la désobéissance civile. (...)

Pourtant, malgré ce champ d’application particulièrement large, le contrat d’engagement républicain est en partie un échec pour le gouvernement. « Le bilan est encore loin d’être concluant », constatait un rapport d’évaluation du Sénat publié au mois de mars, qui soulignait le peu de cas de mobilisation du CER – quatre selon le rapport – et des modalités d’application disparates en fonction des collectivités. « Cette loi ne fait peur à personne. Surtout pas aux islamistes », assénait même sa rapporteuse, Jacqueline Eustache-Brinio.

Comment le gouvernement s’est lui-même piégé (...)

En créant ce contrat, le gouvernement s’est en quelque sorte piégé lui-même. Il n’existe pas en effet de droit à la subvention pour les associations. Chaque collectivité dispose de ce fait d’un droit discrétionnaire en matière d’attribution et elle peut refuser ou accorder telle ou telle subvention sans avoir à se justifier.

En créant le CER, la loi séparatisme a créé un nouvel acte administratif qui offre une prise juridique, un recours possible pour les associations. Or, dans la seule décision visant directement le CER rendue à ce jour, le tribunal administratif de Poitiers a rejeté la demande du préfet de la Vienne visant à obtenir le remboursement d’une subvention versée à l’association Alternatiba pour avoir tenu un atelier de désobéissance civile.

D’autres recours lancés ces derniers mois devraient permettre de préciser cette jurisprudence naissante. (...)

il n’est par exemple qu’évoqué à l’oral dans une réunion ou dans un mail ou brandit comme une menace, sans que l’on sache s’il est vraiment à l’origine d’une sanction à non.

Au mois d’août dernier, Le Monde révélait ainsi qu’il existe une « liste rouge » d’associations basées dans la région du plateau de Millevaches qui seraient privées de subventions par la préfecture sans que cela leur ait été officiellement notifié, leur ôtant ainsi toute possibilité de recours.

Plus récemment, une association d’aide aux immigré·e·s, l’Asti du Petit-Quevilly en Seine-Maritime, s’est vu « rappeler » ses engagements par la préfecture pour avoir appelé à une manifestation contre les violences policières interdite. Celle-ci a transmis cet « avertissement » aux partenaires financiers, dont la métropole de Rouen, qui a en conséquence suspendu l’examen des demandes de subvention de l’Asti. (...)

« Il y a chez certaines collectivités une profonde incompréhension du CER, qui est utilisé à tort et à travers, et notamment comme un moyen de pression, de régulation des relations avec les associations », analyse Claire Thoury, présidente du Mouvement associatif, une organisation regroupant environ 700 000 associations, et qui avait publié, en janvier 2023, un premier bilan de l’application du CER. (...) « Le CER a désormais un effet presque plus symbolique que pratique », ajoute Julien Talpin, chercheur en science politique au CNRS et l’un des fondateurs, en 2019, de l’Observatoire des libertés associatives. « On peut penser que certaines associations n’oseront plus aborder certains sujets comme les violences policières ou en ce moment le conflit israélo-palestinien. Le problème est de réussir à objectiver ces effets indirects et diffus et cette autocensure. » (...)

« Il y a donc une dissonance entre ce que prétend défendre le CER et les conséquences de son application à certaines associations, pointe-t-elle. Cela ne fait en outre qu’ajouter de la confusion à ce que sont les valeurs républicaines. » (...)

L’entrée en vigueur du CER est en outre intervenue dans un contexte de défiance croissante entre le monde associatif et les autorités. « Nous sommes en fait dans un contexte de dérive générale », affirme Claire Thoury. (...)

« Il y a également eu récemment le maire de Saint-Raphaël qui impose à toutes les associations touchant des subventions de participer aux manifestations patriotiques de la ville. C’est hallucinant ! », s’indigne la présidente du Mouvement associatif. (...)

« Les associations ne sont pas là pour faire plaisir aux pouvoirs publics, insiste Claire Thoury. Ce n’est pas leur mission. Mais l’inverse non plus ! Une association peut très bien s’opposer à une collectivité sur un sujet précis et être en accord sur un autre. C’est ce qu’on appelle un contre-pouvoir et c’est tout simplement le cours normal de la vie démocratique. » (...)

Source

Dans la même rubrique