Doctissimo führte Gesundheitsquiz ohne Einwilligung durch und speicherte Passwörter in MD5 — CNIL verhängte 380.000 € Geldbuße

Doctissimo ist eine der meistbesuchten Gesundheitswebsites Frankreichs, bekannt für ihre medizinischen Artikel und belebten Foren. Im Juni 2020 beschwerte sich die Aktivistengruppe Privacy International, die Datenpraktiken der Seite seien „besonders schwerwiegend und systemisch“. Die CNIL untersuchte den Fall, handelte als federführende Behörde für die betroffenen EU-Aufsichtsbehörden und verhängte am 17. Mai 2023 eine Geldbuße von 380.000 € gegen die Seite — damals im Besitz von Reworld Media: 280.000 € wegen DSGVO-Verstößen und 100.000 € wegen Cookies.

Das Kernproblem waren die interaktiven Quiz der Seite zu Themen wie Darmkrebs und Endometriose. Bei etwa 5 Prozent davon wurden die Gesundheitsantworten der Nutzer ohne Warnung und ohne Einwilligungsmechanismus erhoben, obwohl Gesundheitsdaten nach der DSGVO „besonders sensibel“ sind. Die 24-monatige Aufbewahrung der Quizantworten wurde als übermäßig und nicht gerechtfertigt bewertet, und seit drei Jahren inaktive Konten wurden weiterhin ohne Anonymisierung aufbewahrt.

Die Anonymisierung selbst war illusorisch. Doctissimo bat seinen Hosting-Subunternehmer, die Quizdaten zu anonymisieren, und der Anbieter „anonymisierte“ IP-Adressen, indem er sie mit SHA-256 hashte — ohne jeglichen Hashschlüssel. Die CNIL befand, dass ein bloßer Hash überhaupt keine Anonymisierung darstellt. Auch die Sicherheit war nicht besser: Die Seite lieferte Seiten weiterhin über unverschlüsseltes HTTP aus und speicherte Passwörter, die mit MD5 gehasht waren, einem Algorithmus, der laut der Aufsichtsbehörde seit 2004 veraltet und für Sicherheitszwecke unzulässig ist.

Jedes Versäumnis geht auf dieselbe Entscheidung zurück: eine Gesundheitsmedienmarke in erster Linie als Werbemaschine und erst in zweiter Linie als Datenverantwortlicher zu behandeln. Cookies wurden auf der Startseite ohne Ablehnungsmöglichkeit gesetzt — Monate nach der Frist der CNIL vom April 2021 für Ablehnungsbuttons — und eine Einwilligung für die intimsten Quizantworten wurde schlicht nie technisch umgesetzt. Die Geldbuße war bescheiden, doch die Erwägung wurde zum Maßstab: Ungesalzene Hashes anonymisieren nicht, und Gesundheitsfunktionen benötigen Einwilligungsabläufe in Gesundheitsqualität.

380.000 € Geldbuße (280.000 € DSGVO + 100.000 € Cookies); Gesundheitsantworten aus etwa 5 % der Quiz ohne Einwilligung erhoben; Passwörter in MD5 gespeichert

Quizprodukte wurden auf Reichweite ausgelegt, nicht auf Compliance: Gesundheitsantworten wurden bei etwa 5 % der Tests ohne Einwilligungsmechanismus abgeschöpft, obwohl die DSGVO Gesundheitsdaten als besonders sensibel einstuft.

Die Aufbewahrungsdauer wurde großzügig festgelegt und nie überprüft: 24 Monate für Quizantworten waren „übermäßig und nicht gerechtfertigt“, und ruhende Konten wurden ohne Anonymisierung aufbewahrt.

Pseudonymisierung wurde mit Anonymisierung verwechselt: Der Subunternehmer hashte IPs mit ungesalzenem SHA-256, was nach dem Urteil der CNIL Daten nicht anonym macht.

Die Sicherheitsschuld war sichtbar und kostengünstig zu beheben: unverschlüsselte HTTP-Navigation und MD5-Passwort-Hashing — seit 2004 veraltet — blieben auf einer Seite bestehen, die sensible Daten verarbeitet.

Die Cookie-Mauer ignorierte eine bekannte Frist: Zwei Cookies wurden beim Besuch ohne Ablehnungsoption gesetzt, Monate nach dem Compliance-Datum der CNIL vom 1. April 2021.

Gesundheitsinhalte sind Gesundheitsdaten: Ein Quiz über Krebs ist die Verarbeitung sensibler Daten, kein Traffic-Treiber. Und „gehasht“ ist nicht „anonym“ — ein ungesalzener Hash ist ein Pseudonym, das eine Aufsichtsbehörde durchschaut.

Die Geldbuße und die veröffentlichte Erwägung ergingen am 17. Mai 2023, wobei die CNIL als federführende Aufsichtsbehörde für andere EU-Aufsichtsbehörden handelte, deren Einwohner die Seite nutzten. Privacy International begrüßte die Entscheidung und drängte medizinische Websites, vollständig transparent über sensible Daten zu sein und Nutzern Kontrolle über die Weitergabe zu geben. Doctissimo ist weiterhin unter Reworld Media in Betrieb, doch die Erwägung überdauerte die Schlagzeile: Sie ist heute eine französischsprachige Standardreferenz dafür, warum ungesalzene Hashes keine Anonymisierung sind und warum Gesundheitsfunktionen ein Einwilligungsdesign in Gesundheitsqualität erfordern.