Doctolib, fondateurs

Stanislas Niox-Chateau, Ivan Schneider et Jessy Bernal, les fondateurs de DoctoLib.
Je pensais que le dernier sanctuaire de la vie privée en ligne serait nos données de santé; hélas il n'en est rien et nombreux acteurs publics comme privés semblent se laisser aller à la dérive.

Préambule

Vendredi 19 juin 2020, le juge des référés du Conseil d'État a retoqué (source : Conseil d'État) le Health Data Hub, la plateforme française des données de santé, pointant notamment la logique actuelle des certifications HDS (Hébergement des Données de Santé).

Le Conseil d'État relève une faille (source : CNIL) béante du système, qui concerne la collecte et la conservation de ces données :

- les datas de santé des patients peuvent être entreposées chez un hébergeur non certifié si l'activité de ce dernier n'est pas dans le domaine médical. On croit rêver !

Par exemple, un hôpital psychiatrique pourrait proposer à la scientologie d'héberger des informations sur les faiblesses des malades ; une assurance vie pourrait gérer les données sensibles des maisons de santé françaises.

Enfin, la chaîne de valeur de sécurité des données personnelles de santé n'est pas complètement certifiée. Les hébergeurs, infogérants, éditeurs de logiciels ne sont pas soumis aux mêmes types de certifications, les éditeurs s'en dispensent selon les vides juridiques liés à l'immaturité des lois.

Bref, il est urgent de faire travailler nos députés et sénateurs.

Doctolib, un service puissant et apprécié des utilisateurs

Depuis quelques, années la start-up Doctolib a pris une position dans un domaine que L'État aurait du aborder dans le cadre du service public :

- la gestion des rendez-vous médicaux entre les particuliers et le corps médical, la consultation vidéo et la gestion de documents (ordonnances, imageries, etc.)

Un partenariat a été signé entre les CHU et Doctolib, lequel facilite la vie et le travail de nombreux de nos concitoyens. Il permet d'optimiser la prise de rendez-vous et de prévenir le patient par SMS ou par courriel, ce qui évite bien des oublis.

La consultation vidéo en période de COVID a été d'une utilité considérable.

Les médecins se félicitent pour la plupart de l'utilisabilité de ce service qui est mieux conçu que celui de la Carte Vitale, ou d'ApiCRYPT.

Doctolib fait désormais partie du Next 40 au même titre que Blablacar, Deezer et 37 autres «pépites» et bénéficie ainsi d'un accompagnement spécifique de l'État pour croître plus rapidement, notamment vers l'Allemagne et reste de l'Europe. L'objectif est une entrée en bourse, et si possible un jour au Cac 40.

BPI France est présente à son capital depuis quelques années et a participé en 2019 par l'intermédiaire de son département Large Venture à un tour de table de 150 millions d'Euros.

J'ai fait une sorte de rêve

J'avais pris l'avion pour New York, l'hôtesse nous avait donné la petite fiche verte à remplir pour présenter à la douane américaine.

Name : ok
Last Name : ok
Passport number ok,

Puis, cette question est arrivée comme une gifle : Do you have a physical or mental discorder ?

Zut alors, dois-je parler de mes antihypertenseurs, antidépresseurs, benzodiazépines... Bizarre, ça ne les regarde pas. Et si je conduis et que j'ai un accident, que va-t-il se passer ? Je me suis réveillé avec encore dans la tête l'image de Trump qui me poursuivait dans l'aéroport avec son club de golf.

Dans sa page de politique de protection des données personnelles, Doctolib écrit au dernier paragraphe de l'introduction :

- « Les données personnelles de santé des utilisateurs sont hébergées par trois hébergeurs ayant reçu la certification HDS (Hébergeur de Données de Santé), et un hébergeur ayant reçu la certification HADS (Hébergeur Agréé Données de Santé), validée par l'ANS (Agence du numérique en santé). »

En revanche, Doctolib n'annonce pas la couleur du nom de l'hébergeur (Art 28.2 et28.4 du RGPD), pourtant obligatoire en vertu du RGPD.

Dans son article (source : FranceTVInfo) sur Doctolib , la journaliste Marjelaine Koch mentionne que l'hébergeur de Doctolib serait Amazon Web Service.

Par ailleurs, en parcourant les offres d'emplois de Doctolib, j'ai trouvé une annonce (source : Doctolib) pour des compétences Microsoft Azure. Que fait Doctolib avec Azure, le cloud de Microsoft ?

Nos données Doctolib semblent donc être hébergées par des entreprises américaines ou, via leurs filiales en Europe ; ces dernières sont soumises de plein droit au Patriot-act, au Cloud-act, etc. Nos rendez-vous, nos documents et imageries médicales sont-elles à disposition de la NSA, de la CIA et du FBI ?


Commentaire : La politique de protection des donnée à visiblement été mise à jour :

Doctolib, données personnelles
source : https://www.doctolib.fr/terms/agreement


Comment ces données sont-elles chiffrées, qui peut les lire, nous n'en savons rien. Depuis quelques jours sur le site de Doctolib, on nous parle d'un partenariat (source ZDNet) avec la start-up française Tanker concernant le chiffrement ; c'est sans doute une bonne direction mais cela n'exclut pas de respecter la loi sur le nom de l'hébergeur.

Doctolib ne cite pas nom plus le lieu de l'hébergement ; il semble que sur ce point, l'entreprise se rapproche des règles du RGPD car cette mention ne serait pas obligatoire à partir du moment ou la localisation est en Europe. Mais comme on ne sait pas qui héberge, et encore moins où tout cela est hébergé, il est difficile de leur faire confiance. Le minimum à faire serait la création d'un code de bonne conduite. Une députée comme Olivia Grégoire pourrait initier ce type de charte renforcée auprès du groupe LREM ; c'est urgent.

Un autre principe que service Doctolib ne respecte pas : le principe de consentement (source : CNIL)

Quand on prend rendez-vous à l'hôpital par téléphone sans avoir de compte Doctolib, on reçoit un SMS de Doctolib ; le consentement du patient est bien forcé par l'hôpital avec la complicité de Doctolib; ne pas utiliser Doctolib pour gérer son rendez-vous devient un problème (source : La Dépêche) ; ne pas ouvrir un compte Doctolib place par défaut l'usager en dehors d'un suivi médical optimal.

De plus, l'accès aux données personnelles et le droit à l'oubli ne sont pas respectés.

Nous devrions pouvoir demander à Doctolib d'effacer nos données. Le statut cette entreprise est conçu de telle sorte que l'obligation de conservation des données de santé de 10 à 20 ans par le corps médical puisse la dédouaner.


Commentaire :



La position de Doctolib en tant qu'intermédiateur la soumet pourtant à une réelle responsabilité. Lors du dernier arrêt du 5 juin 2020, le tribunal judiciaire de Paris considère Airbnb, co-éditeur de son service ; c'est un précédent qui ne manquera pas de concerner Doctolib sur ses devoirs.

Hélas, actuellement Doctolib n'est même pas co-responsable comme le souligne Guillaume Desgens-Pasanau, ancien Directeur juridique de la CNIL. Cela leur permet de se soustraire au droit de consultation de nos propres données en abandonnant cette responsabilité au corps médical (source : FranceTV Info).

Pour récupérer nos données ou les effacer, il faudrait s'adresser à chaque médecin et à chaque hôpital ; ça n'a pas de sens et c'est juste impossible pratiquement.

Confiance et valeurs morales

Il y a aussi le problème des métadonnées. On nous dit que Doctolib vaut 1 milliard d'euros, tant mieux pour ses actionnaires. Mais comment une telle valorisation est-elle possible si ses seuls clients sont à ce jour 30.000 médecins inscrits et les établissements de santé ? Cela veut-il dire que le bigdata fait partie du modèle économique de Doctolib ?

Comment garantir l'anonymisation et pseudonymisation de nos données chez Doctolib ?

Du coté des investisseurs de Doctolib

Ni Doctolib ni ses investisseurs ne défendent correctement la souveraineté nationale et l'économie française. Il y a de nombreuses entreprises françaises capables d'héberger des données de santés sur du Cloud. Orange, Atos, Sigma, Claranet, Adista, ainsi que de nombreux acteurs OpenSource. Pourquoi ne pas faire d'une pierre deux coups : localiser en France chez des français et aider les opérateurs de notre pays avec de nouveaux contrats.

Comment se fait-t-il que BPI France n'ai pas de convention qui oblige les entreprises qu'elle aide, à travailler avec des acteurs français, quel gâchis.

Les investisseurs dont PKM devraient pousser cette entreprise à plus de transparence ; et dans un premier temps à agir pour la création d'un code de conduite, qui serait le brouillon d'une législation plus mûre.

En conclusion, j'appelle le législateur à refondre d'urgence son approche sur les lois des données sensibles de santé et conseil aux investisseurs de Doctolib à devenir pro-actif, plus transparents et à mieux respecter ses usagers. A défaut, la confiance des patients et/ou des médecins pourrait s'envoler.

Pire, une décision pourrait venir entacher l'image et ralentir cette jeune entreprise très utile mais bien opaque.