Données de santé: le chiffrement de Doctolib décrié, la plateforme dément

La plateforme de prise de rendez-vous médicaux, qui a trouvé ces dernières semaines sa place dans la campagne de vaccination, est accusée de chiffrer ses données de façon incomplète. Doctolib s'en défend fermement.

On y renseigne aussi bien ses simples coordonnées que le motif de consultation ou encore la spécialité de son médecin. Doctolib s'est rapidement imposé comme référence pour la prise de rendez-vous médicaux en ligne. Tant et si bien que le gouvernement a jeté son dévolu sur la plateforme franco-allemande pour faciliter la réservation de créneaux de vaccination contre la Covid-19. Près de cinq millions de rendez-vous ont d'ores et déjà été pris par ce biais.

Dans un article publié le 8 mars, France Inter relève un défaut de chiffrement de bout en bout de ces données, pourtant revendiqué par Doctolib pour sécuriser encore davantage les données de santé de ses utilisateurs. Plus concrètement, Amazon Web Services, choisi par Doctolib pour héberger ses données, aurait de la sorte accès à certaines informations sur les utilisateurs de la plateforme.

De "fausses" allégations

Doctolib dément fermement de telles allégations. Par la voix de son fondateur Stanislas Niox-Chateau, l'entreprise les a qualifiées de "fausses", en rappelant que Doctolib avait mis en place le chiffrement des données de ses utilisateurs "à plusieurs niveaux", et que le chiffrement de bout en bout était utilisé pour la protection de documents médicaux, dont les ordonnances envoyées en fin de rendez-vous.

D'après les observations d'un chercheur en informatique, Rémy Grünblatt, Doctolib pourrait se montrer "trop bavard", du moins via la version Android de son application mobile. Premier exemple en la matière: "Lorsqu'une recherche est effectuée par un utilisateur de Doctolib pour trouver un médecin ou un établissement de santé, les images liées sont chargées par le biais des serveurs de Cloudinary, un service de gestion d'images", explique Rémy Grünblatt. De quoi permettre de retracer, rétroactivement, les spécialités recherchées par un utilisateur de Doctolib.

Cloudinary peut savoir si l'utilisateur cherche un oncologue, un chirugien dentiste, et peut techniquement reconstruire la requête de l'utilisateur en utilisant les photos des praticiens", complète-t-il ainsi, en indiquant qu'il serait dans ces conditions possibles d'associer un profil médical à l'adresse IP d'un utilisateur.

Autre observation réalisée, qui implique cette fois-ci la "télémétrie", à savoir la remontée automatique de données et métadonnées, bien souvent à des fins statistiques. Toujours d'après Rémy Grünblatt, l'application de Doctolib envoie de la télémétrie à Amazon. Parmi les métadonnées en circulation, des adresses URL complètes, accessibles en clair, qui comportent notamment le nom de praticiens consultés ou de cabinets médicaux visités par des inscrits sur Doctolib.

Enfin, certaines informations concernant les rendez-vous, le nom du patient, la localisation du praticien et sa spécialité transiteraient vers Cloudflare, un outil utilisé par Doctolib pour assurer la sécurisation de sa plateforme.

Une décision du Conseil d'Etat attendue

Doctolib ferait-il pour autant preuve d'un manque de vigilance? "Ce que j'observe, c'est que des données de santé sont envoyées à d'autres acteurs que Doctolib, acteurs basés à l'étranger, et donc je ne mettrais pas ma main à couper que ces données ne sont pas utilisées pour d'autres finalités que simplement faire fonctionner le service", estime Rémy Grünblatt.

Ce lundi matin, le Conseil d’État examinait un recours déposé par un collectif d’associations, qui demande l'annulation du partenariat entre l'Etat et Doctolib, dans le cadre de la campagne de vaccination contre la Covid-19. Ce même collectif avance une "atteinte grave au droit au respect de la vie privée", en raison de l'hébergement de données par Amazon, et du fait que l'entreprise puisse y avoir accès. Une décision est attendue au cours de la semaine.

https://twitter.com/Elsa_Trujillo_?s=09 Elsa Trujillo Journaliste BFM Tech