Covid-19 : Le partenariat pour la vaccination entre l'Etat et Doctolib attaqué en justice

Des associations et des syndicats ont déposé une requête devant le Conseil d'Etat pour obtenir l'annulation du partenariat liant l'Etat et la pépite Doctolib dans le cadre de la prise de rendez-vous pour la vaccination contre le Covid-19, révèle Mediapart.

Le référé-liberté, qui permet de demander au juge administratif de prendre en urgence une mesure nécessaire à la sauvegarde d'une ou de plusieurs libertés fondamentales, a été signé par des professionnels de santé, le collectif InterHop, le professeur Didier Sicard, le Syndicat de la médecine générale, l’Union pour une médecine libre, le Syndicat national des jeunes médecins généralistes et la Fédération des médecins de France, ainsi que par des associations de patients, comme ActUp santé Sud-Ouest ou Marie Citrini, représentante des usagers de l’AP-HP.

Les données sont stockées par Amazon
Ils estiment que les données médicales liées à la campagne de vaccination ne sont pas suffisamment protégées puisqu'elles sont hébergées par Amazon Web Services (AWS), le provider de cloud choisi par Doctolib dans le cadre de ses activités.

Amazon est certifié "hébergeur de données de santé" (HDS). Mais ce label, qui est obligatoire pour stocker les données de santé des Français, n'est pas une garantie suffisante puisque depuis le juge européen a invalidé le Privacy Shield en juillet dernier. Ce texte facilitait les transferts de données outre-Atlantique en reconnaissant que la législation américaine offrait le même niveau de garantie que le Règlement général sur la protection des données (RGDP).

Doctolib a accès à d'importantes quantités de données
Au cœur du contentieux : les programmes de surveillance des Etats-Unis qui permettent aux autorités d'avoir accès aux données des Européens. Et c'est cet aspect qui inquiète les requérants rappelant que Doctolib dispose d'une importante quantité d'informations sur de nombreux patients. "En croisant les données recueillies en lien avec la vaccination contre le Covid-19 avec l’historique des rendez-vous, il est possible de définir directement les pathologies dont souffre le patient et de renseigner son état de santé", expliquent-ils.

Ils citent l’exemple d’un candidat à la vaccination dont l’historique révélerait de nombreux rendez-vous chez un néphrologue. "Il est dès lors très facile d’en déduire, en croisant les données, qu’il est prioritaire en raison d’une maladie rénale sévère, voire nécessitant d’être dialysé", alertent les requérants.

Une situation similaire à celle du Health Data Hub
Cette problématique n'est pas sans rappeler celle soulevée par le Health Data Hub, cette base de données qui regroupera l'ensemble des informations de santé des Français. Le choix de Microsoft pour héberger cette base a été critiqué par de nombreuses autorités au nom de la souveraineté numérique. Dernièrement, c'est le conseil de la Caisse nationale de l'assurance maladie (Cnam) qui s'est à nouveau opposé à ce choix.

"Par analogie (...), les risques qui entourent l’entrepôt de données de santé hébergé par une société de droit américain sont identiques à ceux liés à une solution privée de prise de rendez-vous dont les données de santé sont hébergées par une société de droit américaine", indiquent les demandeurs. Ainsi, ils exigent "la suspension du partenariat avec Doctolib" et que le ministère des Solidarités et de la Santé change de prestataire pour la campagne de vaccination.

Doctolib se veut rassurant
Contacté par Mediapart, Doctolib s'est défendu. L'entreprise franco-allemande souligne le fait qu'Amazon héberge ses données "en France et en Allemagne". Elle affirme également avoir mis en place "un chiffrement systématique de l'ensemble des données hébergées chez AWS" et ajoute que "les clefs de chiffrement et déchiffrement sont quant à elles hébergées en France chez un hébergeur français" sans préciser son identité.

Sélectionné pour vous

Les Européens sont plutôt favorables à la numérisation des documents de voyage

L'Europe pose les premiers jalons de son marché unique des données

Londres et Washington s'accordent sur un "pont de données" pour sécuriser les transferts