Doctissimo es uno de los sitios de salud más visitados de Francia, conocido por sus artículos médicos y sus concurridos foros. En junio de 2020, el grupo activista Privacy International denunció que sus prácticas de datos eran «especialmente graves y sistémicas». La CNIL investigó, actuó como autoridad principal ante los reguladores de la UE afectados y el 17 de mayo de 2023 multó al sitio —entonces propiedad de Reworld Media— con 380 000 €: 280 000 € por infracciones del RGPD y 100 000 € por cookies.
El problema central eran los cuestionarios interactivos del sitio sobre temas como el cáncer de colon y la endometriosis. En aproximadamente el 5 por ciento de ellos, las respuestas de salud de los usuarios se recopilaban sin advertencia ni mecanismo de consentimiento, aunque los datos de salud son «especialmente sensibles» según el RGPD. La conservación de las respuestas de los cuestionarios durante 24 meses se consideró excesiva e injustificada, y las cuentas inactivas durante tres años seguían conservándose sin anonimización.
La propia anonimización era ilusoria. Doctissimo pidió a su subcontratista de alojamiento que anonimizara los datos de los cuestionarios, y el proveedor «anonimizó» las direcciones IP aplicándoles un hash SHA-256, sin ninguna clave de hash. La CNIL sostuvo que un hash sin más no es en absoluto una anonimización. La seguridad no fue mejor: el sitio seguía sirviendo páginas por HTTP sin cifrar y almacenaba contraseñas con hash MD5, un algoritmo que, según señaló el regulador, está obsoleto desde 2004 y proscrito para uso de seguridad.
Cada fallo remite a la misma decisión: tratar una marca de medios de salud como una máquina publicitaria primero y como responsable del tratamiento de datos después. Las cookies se depositaban en la página de inicio sin forma de rechazarlas —meses después de la fecha límite de la CNIL de abril de 2021 para los botones de rechazo— y el consentimiento para las respuestas más íntimas de los cuestionarios simplemente nunca se diseñó. La multa fue modesta, pero la deliberación se convirtió en un referente: los hashes sin sal no anonimizan, y las funciones de salud necesitan flujos de consentimiento de nivel sanitario.
Multa de 380 000 € (280 000 € por RGPD + 100 000 € por cookies); respuestas de salud de aproximadamente el 5 % de los cuestionarios recopiladas sin consentimiento; contraseñas almacenadas en MD5
Los productos de cuestionarios se diseñaron para el alcance, no para el cumplimiento: las respuestas de salud se recopilaban en aproximadamente el 5 % de las pruebas sin mecanismo de consentimiento, aunque el RGPD clasifica los datos de salud como especialmente sensibles.
La conservación se fijó de forma generosa y nunca se revisó: 24 meses para las respuestas de los cuestionarios era «excesivo e injustificado», y las cuentas inactivas se conservaban sin anonimización.
Se confundió la seudonimización con la anonimización: el subcontratista aplicó hash a las IP con SHA-256 sin sal, lo que, según resolvió la CNIL, no hace que los datos sean anónimos.
La deuda de seguridad era visible y barata de corregir: la navegación por HTTP sin cifrar y el hash de contraseñas MD5 —obsoleto desde 2004— persistían en un sitio que trataba datos sensibles.
El muro de cookies ignoró una fecha límite conocida: se depositaban dos cookies al llegar, sin opción de rechazo, meses después de la fecha de cumplimiento de la CNIL del 1 de abril de 2021.
El contenido de salud es dato de salud: un cuestionario sobre cáncer es tratamiento de datos sensibles, no un generador de tráfico. Y «con hash» no es «anónimo»: un hash sin sal es un seudónimo que un regulador descubrirá.
La multa y la deliberación publicada se conocieron el 17 de mayo de 2023, con la CNIL actuando como autoridad de control principal para otros reguladores de la UE cuyos residentes usaban el sitio. Privacy International celebró la decisión e instó a los sitios médicos a ser plenamente transparentes sobre los datos sensibles y a dar a los usuarios control sobre su compartición. Doctissimo sigue operando bajo Reworld Media, pero la deliberación sobrevivió al titular: ahora es una referencia estándar en francés sobre por qué los hashes sin sal no son anonimización y por qué las funciones de salud exigen un diseño de consentimiento de nivel sanitario.
CONSULTA LAS PRUEBAS
Las fuentes
- La CNIL inflige une amende de 380 K€ à Doctissimo Le Monde Informatique · lemondeinformatique.fr ·
- Doctissimo condamné à une amende de 380 000 euros pour de multiples violations du droit des données personnelles L'Express avec AFP · lexpress.fr ·
- Données personnelles : le site Doctissimo écope d'une sanction de 380.000 euros infligée par la Cnil ICI (Radio France) · ici.fr ·