Actualités

“Les données de rendez-vous ne sont pas chiffrées de bout-en-bout” : quand un fichier JSON révèle la teneur des rendez-vous sur Doctolib !

A nouveau, Doctolib est éclaboussé par certaines pratiques en matière de gestion de la donnée numérique sur sa plate-forme de prise de rendez-vous. En version Bureau ou Mobile, Doctolib permet en quelques clic ou tap-écran, de prendre facilement et de manière pratique un rendez-vous en ligne avec une gestion, au besoins, de ces rendez-vous en passant par les documents administratifs stockés sur le compte-utilisateur. Dans une actualité du 20 Mai 2022, l’équipe d’investigation de France Inter (avec les analyses de Benjamin Sonntag, co-fondateur de la Quadrature du Net) a publié la mise à nue d’une brèche potentielle, au niveau de ce type de données (les rendez-vous) qui met en relief une absence partielle de chiffrement de bout-en-bout.

 

 

Le nœud se trouve au niveau de l’inspection de page-code (une manipulation aisée depuis un navigateur Web ou un debogueur dédié) : un fichier nommé appointments.json (rendez-vous) intègre (sans surprise à la vue du nom), l’ensemble des données de rendez-vous, par ligne d’enregistrements (base de données). En clair, sont affichées les données-patient(e)s suivantes :

 

  • le nom,
  • le prénom,
  • date du rendez-vous,
  • heure du rendez-vous,
  • motif de consultation ou détails (spécialité),
  • adresse postale (patient et praticien-spécialiste),
  • numéro de téléphone,
  • enfants rattachés ou non,
  • permissions rattachées au compte.

 

Les données de rendez-vous ne sont pas chiffrées de bout-en-bout. […] Cette technologie de pointe, encore peu répandue […] ne peut s’appliquer à l’ensemble des données traitées sans impact majeur pour les utilisateurs“, avait répondu, alors, Doctolib à France Inter. En complément et dans un communiqué officiel (à part), celui-ci confirme ce point : “nous mettons en place enfin une nouvelle méthode avant-gardiste (dite de chiffrement de bout en bout) pour la protection des documents médicaux, pour notre logiciel médical pour les médecins ainsi que pour la téléconsultation” tout en soulignant de manière ambiguë (ou, alors, maladroite) que les données “sont notamment toutes chiffrées” ou que “l’ensemble” de ces données “ne sont bien sûr pas en clair et sont bien chiffrées intégralement“. Chiffrement de bout-en-bout intégral ou partiel : il faut choisir et, surtout, il faut indiquer clairement à l’internaute (sans avoir deux discours) ce qui est chiffré de bout-en-bout (appellation exacte : chiffrement intégral étant une expression que certains éditeurs comme Zoom privilégiaient souvent pour tenter de minimiser l’absence d’un chiffrement de bout-en-bout).

Toujours selon le communiqué officiel de ce jour, le 20 Mai 2022, de Doctolib, ont accès aux données-utilisateur (patient(e)) :

 

  • les patients eux-mêmes,
  • les praticiens de santé inscrits sur la plate-forme,
  • “un nombre restreint de salariés” (sur demande – permission temporaire).

 

Sur les pages d’aide auxquelles Doctolib renvoie, la confirmation de ces points est, effectivement, avérée de même qu’il est souligné, hors incident, que ces données sont conservés par Doctolib pendant près de 20 ans (5 ans et “par défaut” pour les données relatives aux rendez-vous – étendue à décider par les praticiens).

Le mot (juridique) de la fin pour Alexandra Iteanu, avocate au barreau de Paris : “le RGPD (règlement européen sur la protection des données personnelles, NDLR) ne rend pas obligatoire le chiffrement de bout en bout. Il l’encourage simplement en disant qu’il faut mettre en place toutes mesures techniques et organisationnelles pour protéger ces données. Reste que Doctolib fait preuve de manque de transparence” sur un chiffrement de bout-en-bout “pas mis en place en pratique” ; en notant que depuis le 19 Juin 2020 et, comme rappelé par France Inter, Doctolib annonçait la mise en place du chiffrement de bout-en-bout sur l’ensemble des données-utilisateur… A veiller !

 

 

 

Sources :




  • 50% J'apprécieVS
    50% Je n'apprécie pas
    Pas de commentaire

    Laisser un commentaire

    ;) :zzz: :youpi: :yes: :xmas: :wink: :whistle: :warning: :twisted: :sw: :sleep: :sg1: :schwarzy: :sarko: :sante: :rollol: :roll: :rip: :pt1cable: :popcorn: :pff: :patapai: :paf: :p :ouch: :oops: :o :non: :na: :mrgreen: :mdr: :macron: :love: :lol: :kissou: :kaola: :jesuisdehors: :jap: :ilovesos: :idea: :houra: :hello: :heink: :grumpy: :fume: :frenchy: :fouet: :fouet2: :first: :fessee: :evil: :dispute: :demon: :cryy: :cry: :cpignon: :cool: :cassepc: :capello: :calin: :bug: :boxe: :bounce: :bluesbro: :bisou: :babyyoda: :assassin: :arrow: :annif: :ange: :amen: :D :??: :?: :/ :-| :-x :-o :-P :-D :-? :-8 :-1: :+1: :) :( 8-O

    Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

    Copyright © Association SOSOrdi.net 1998-2022 - v1.11.6