Docto-lib ou Docto-pas-lib ?

Le montage (et les dérives) de la paperasserie sanitaire, c’est comme le silence après la musique de Mozart : ce n’est plus de la santé, mais c’est toujours du dirigeo-libéralisme à la sauce Macron.

Résumons.

Structurellement : Doctolib fondée en 2013 est une société privée (sous forme de SAS) qui, quoique détenue majoritairement par ses fondateurs et ses dirigeants, a obtenu l’appui massif, et de la société d’investissement EURAZEO, et des finances publiques via la banque publique d’investissement BPIFRANCE, lesquels Eurazeo et Bpifrance viennent d’ailleurs de maitriser la dernière levée de fonds signée Doctolib à hauteur de 500 millions d’euros. Rien que ça.

Concrètement : Doctolib est une plateforme numérique de prise de rendez-vous médicaux dont le développement a littéralement explosé sous l’effet de la crise sanitaire et de la « vaccination » forcée par injection d’ARNm.

Comme le rappelait le Conseil d’État lui-même : « Dans le cadre de la campagne de vaccination contre la covid-19, le ministère des solidarités et de la santé a confié la gestion des rendez-vous de vaccination sur internet à différents prestataires, dont la société Doctolib ».

Dans un monde correctement organisé, il était permis d’espérer qu’à l’heure de confier à une société privée (et bénéficiaire de surcroît des largesses publiques) une mission aussi considérable en matière de santé publique, l’État se soucierait de la rectitude de l’opération en matière (notamment) de protection des données privées.

Hélas, le premier coup de canif à l’intérêt public n’a pas tardé puisque Doctolib n’a rien trouvé de mieux que de confier l’hébergement des données à … Amazon !

Evidemment, pour qui connait la perméabilité structurelle obligée entre l’État Américain et les sociétés du numérique américaines, l’inquiétude était plus que vive.

Et dès lors, ainsi que le relève le Conseil d’État, « des associations et syndicats professionnels de la santé ont demandé au juge des référés du Conseil d’État de suspendre le partenariat conclu entre le ministère de la santé et Doctolib. Ceux-ci estimaient que l’hébergement des données de Doctolib par la filiale d’une société américaine comportait des risques au regard de demandes d’accès par les autorités américaines ».

« Cette contestation s’inscrit dans la suite de l’arrêt « Schrems II » de la Cour de justice de l’Union européenne (CJUE)1 , qui a jugé que la protection des données transférées vers les États-Unis par le « Privacy Shield » (ou « bouclier de protection des données ») était insuffisante au regard du droit européen »

Précision en forme d’Obiter Dictum mais qui ne manque pas de sel : pendant que les organismes de défense des libertés se basaient sur cet arrêt de la CJUE, pour défendre nos droits, les USA et la Commission européenne ne perdaient pas de temps et négociaient activement afin de se débarrasser de cet arrêt bien encombrant. Et c’est ainsi que USA et Commission se sont récemment accordés sur un nouveau cadre pour le transfert des données personnelles entre l’Union Européenne et les Etats-Unis (ainsi que nous le relevions il y a peu) : « Washington et Bruxelles ont annoncé vendredi 25 mars 2022 avoir trouvé un accord de principe sur un nouveau cadre pour le transfert des données personnelles de l’Union européenne vers les Etats-Unis. … Le cadre juridique précédent, baptisé “Privacy Shield” (“bouclier de protection”), avait été invalidé en juillet 2020 par la justice européenne en raison de craintes sur les programmes de surveillance américains. Dans un arrêt retentissant, la Cour de justice avait estimé que ce texte, utilisé par 5 000 entreprises américaines, dont les géants comme Google ou Amazon, ne préservait pas de possibles “ingérences dans les droits fondamentaux des personnes dont les données sont transférées” de l’autre côté de l’Atlantique ».

Malheureusement cela dit (retour à l’arrêt du Conseil d’État) la décision du Conseil d’État (fondée donc sur l’état de la jurisprudence antérieur au nouvel accord USA-Europe) prêtait très largement le flanc à la critique, puisque considérant (sans rire) que « le niveau de protection des données [stockées par Doctolib chez Amazon] concernées n’est pas manifestement insuffisant »

La motivation de l’arrêt était inquiétante, puisque soutenant en substance que ces données n’étaient pas vraiment « médicales » (pourquoi donc alors avoir besoin des serveurs d’Amazon pour stocker une liste de rendez-vous ?) et que le contrat « entre Doctolib et la société AWS Sarl prévoit une procédure spécifique en cas de demandes d’accès par une autorité étrangère », prétexte qui fait carrément pouffer quand on connait le sans-gêne yankee à l’ouvrage dès qu’il s’agit de piétiner autrui.

Voilà en Haut Lieu administratif une naïveté dont on se serait bien passé.

Bien pire : manifestement, les travers n’ont nullement cessé, ni auprès de Doctolib, ni non plus auprès de l’État qui selon son habitude libéralo-macroniste laisse faire, puisque FRANCETVINFO, avec l’aide de LA QUADRATURE DU NET, vient de démontrer que contrairement aux affirmations de Doctolib, les données de santé ne sont pas « chiffrées de bout en bout et accessibles uniquement au patient et son médecin » !

« Alors que Doctolib a joué un rôle central dans la vaccination des Français contre la Covid-19, la cellule investigation de Radio France a effectué un test qui montre que la plateforme ne chiffre pas de bout en bout l’ensemble des données de ses utilisateurs. Elle a donc accès à certaines informations confidentielles, contrairement à ce que l’entreprise prétend. »

« Ce test est assez simple à réaliser. Nous nous sommes connectés via notre ordinateur sur notre compte Doctolib, en renseignant adresse mail et mot de passe. Nous avons alors accès à tous nos rendez-vous médicaux passés et à venir. Puis nous avons utilisé un débogueur pour inspecter le code de la page que nous avons sous les yeux, l’arrière-boutique en quelque sorte. « On voit ainsi les échanges entre Doctolib et votre ordinateur », explique le développeur Benjamin Sonntag, cofondateur de l’association La Quadrature du Net, qui effectue ce test à nos côtés. « Ce qu’on découvre c’est un document qui s’appelle appointments.json », poursuit-il. »

« En cliquant sur le lien en bleu nous arrivons à une arborescence qui donne accès à tous nos rendez-vous médicaux à venir. Les rendez-vous passés sont accessibles de la même manière. Et en cliquant sur 0, 1, 2, 3, 4, nous voyons les détails de nos prochains rendez-vous : nom et prénom du patient, date et heure du rendez-vous, nom et spécialité du médecin et même le motif de la consultation. »

« On a reçu de Doctolib les données en clair sur vos prochains rendez-vous. On ne les a pas reçues chiffrées, explique Benjamin Sonntag. Donc cela veut dire que Doctolib lui-même a ces informations en clair. » Or ces rendez-vous médicaux sont signifiants et renseignent sur l’état de santé d’une personne. « Si vous allez régulièrement chez un oncologue ou chez un psychologue, cela raconte quelque chose sur votre état de santé », poursuit Benjamin Sonntag. »

Certes, les données sont chiffrées entre Doctolib et le navigateur du patient, mais il ne s’agit pas d’un « chiffrement de bout en bout » puisque chez Doctolib même, les données de rendez-vous (qui sont bien des données médicales et personnelles) sont en clair, et donc non seulement accessibles à n’importe qui, mais aussi à portée d’un piratage de la plateforme.

Et la faille de sécurité est d’autant plus évidente que Doctolib en a déjà été victime !

 « Interrogé, Doctolib reconnaît effectivement dans un mail détaillé que « les données de rendez-vous ne sont pas chiffrées de bout-en-bout (…), mais prétend que « Cette technologie de pointe, encore peu répandue (…) ne peut s’appliquer à l’ensemble des données traitées sans impact majeur pour les utilisateurs » [car] si les données de rendez-vous étaient chiffrées de bout en bout, le service de rappel de rendez-vous par SMS ou e-mail ne pourrait pas exister aujourd’hui. »

L’argument fait sourire : prévoir un rappel de rendez-vous peut parfaitement être numériquement programmé au moment même où le rendez-vous est pris par le patient et ne nécessite nullement que les données restent en clair chez Doctolib, sinon même chez … Amazon.

Au reste, Doctolib est parfaitement consciente de l’inexactitude de ses affirmations puisque comme le relève FranceTvInfo «  dans un document interne (en anglais) datant de septembre 2019 que nous nous sommes procurés, il est écrit : « Ce n’est pas à strictement parler du chiffrement de bout en bout mais cela peut l’être en termes de communication. » »

Il y aurait donc le « vrai » chiffrement et le chiffrement « pour la communication », selon une formule qui transpire le « En-même-temps » cher à notre Prince qu’on n’a pas sorti.

Voilà aussi qui permet à Bruno Le Maire de saluer « une réussite totalement méritée » !

Fonds et missions publics, mais gestion et bénéfices privés : réussite singulière assurément.

Méritée, c’est une autre histoire …