Doctolib : le chiffrement des données incomplet ?

Pour prendre rendez-vous avec un médecin, ou pour se faire vacciner, de plus en plus d’utilisateurs ont recours à la plateforme de prise de rendez-vous en ligne Doctolib. Pour ce faire, il faut créer un compte, fournir des informations basiques comme ses coordonnées. Mais Doctolib va aussi mémoriser une somme d’autres informations, comme les médecins consultés, la fréquence de  rendez-vous et même parfois, le motif de ce rendez-vous.

Ces informations constituent des données sensibles, protégées par plusieurs règlements : par le droit européen grâce au RGPD, mais aussi, pour les plateformes telles que Doctolib, l'obligation de les stocker chez des hébergeurs agréés données de santé. Doctolib a choisi de confier les données à Amazon Web Services (AWS). Nous avons donc procédé à un test qui consiste à vérifier si les données sont chiffrées lorsque l’on se connecte à son compte, et qu’une requête est envoyée au serveur d’Amazon. Ce procédé, qui consiste à lire les données telles qu’elles apparaissent dans le serveur avant d’être envoyées à l'usager lorsqu'il se connecte à son compte, a permis de constater que les données étaient déjà en clair à ce niveau, donc qu’elles n’étaient plus chiffrées. Doctolib comme AWS semblent avoir accès à ces informations.

Selon Doctolib, l'hébergeur n'a pas accès aux données en clair

Selon les développeurs qui ont procédé à ce test, il aurait été possible de procéder à un chiffrement jusqu’à ce que les données arrivent sur l’ordinateur de l’utilisateur pour assurer une sécurisation complète. Doctolib, de son côté, estime que la majorité des sociétés fonctionnent avec un système identique au leur. Si les données sont affichées en clair dans le navigateur de l’utilisateur, “c’est pour qu’il puisse avoir accès à ses propres informations.” Contacté, le PDG de Doctolib, Stanislas Niox-Château, réfute totalement l’existence d’un danger et la possibilité, pour AWS, d’accéder aux données en clair. “Une clé de chiffrement est générée et processée par Atos, de telle sorte que AWS n’a aucun accès à cette clé de chiffrement, ni en transit ni au repos.” Pourtant, c’est bien chez AWS qu’on a constaté que les données étaient en clair, et non plus chiffrées. Le PDG réfute avoir jamais communiqué sur un chiffrement des données de bout en bout. “Le chiffrement de bout en bout ne peut pas se fabriquer sur l’ensemble des cas d’usage et la sécurité à 100% n’existe jamais, sur aucun système au monde.” Au sein de la société, le chiffrement de bout en bout est effectif “pour la protection des documents médicaux et pour notre nouveau logiciel médical pour les médecins libéraux.” Doctolib assure être avant-gardiste sur la question de la protection et du chiffrement des données.

Ce lundi matin, le Conseil d’État examinait un recours déposé par un collectif d’associations qui demandait l’annulation du partenariat entre la plateforme et l’État pour la campagne de vaccination contre la Covid-19. Le collectif souhaite obtenir l’annulation du partenariat avec Doctolib “car elle constitue une atteinte grave au droit au respect de la vie privée.” L’une des inquiétudes de ce collectif réside justement dans la sécurité des données des patients récupérées par la plateforme de prise de rendez-vous et de téléconsultation.

Réponse attendue avant la fin de la semaine.