Doctissimo a réalisé des quiz santé sans consentement et avec des mots de passe MD5 — la CNIL l'a condamné à 380 000 €

Doctissimo est l'un des sites de santé les plus visités de France, connu pour ses articles médicaux et ses forums très fréquentés. En juin 2020, le groupe militant Privacy International a dénoncé des pratiques de données « particulièrement graves et systémiques ». La CNIL a enquêté, a agi en tant qu'autorité chef de file pour les régulateurs européens concernés et, le 17 mai 2023, a infligé au site — alors détenu par Reworld Media — une amende de 380 000 € : 280 000 € pour des manquements au RGPD et 100 000 € pour les cookies.

Le problème central résidait dans les quiz interactifs du site sur des sujets comme le cancer du côlon et l'endométriose. Sur environ 5 % d'entre eux, les réponses de santé des utilisateurs étaient collectées sans avertissement ni mécanisme de consentement, alors que les données de santé sont « particulièrement sensibles » au sens du RGPD. La conservation des réponses aux quiz pendant 24 mois a été jugée excessive et injustifiée, et les comptes inactifs depuis trois ans étaient toujours conservés sans anonymisation.

L'anonymisation elle-même était illusoire. Doctissimo a demandé à son sous-traitant d'hébergement d'anonymiser les données des quiz, et le prestataire a « anonymisé » les adresses IP en les hachant avec SHA-256 — sans aucune clé de hachage. La CNIL a estimé qu'un simple hachage ne constitue pas du tout une anonymisation. La sécurité n'était pas meilleure : le site servait encore des pages en HTTP non chiffré et stockait les mots de passe hachés avec MD5, un algorithme que le régulateur a noté comme obsolète depuis 2004 et proscrit pour un usage de sécurité.

Chaque défaillance renvoie à la même décision : traiter une marque de médias de santé d'abord comme une machine publicitaire et ensuite comme un responsable de traitement. Des cookies étaient déposés sur la page d'accueil sans possibilité de refus — des mois après la date limite du 1er avril 2021 fixée par la CNIL pour les boutons de refus — et le consentement pour les réponses aux quiz les plus intimes n'a tout simplement jamais été conçu. L'amende était modeste, mais la délibération est devenue une référence : les hachages non salés n'anonymisent pas, et les fonctionnalités de santé exigent des parcours de consentement de niveau santé.

Amende de 380 000 € (280 K€ RGPD + 100 K€ cookies) ; réponses de santé d'environ 5 % des quiz collectées sans consentement ; mots de passe stockés en MD5

Les produits de quiz ont été conçus pour la portée, pas pour la conformité : les réponses de santé étaient collectées sur environ 5 % des tests sans mécanisme de consentement, alors que le RGPD classe les données de santé comme particulièrement sensibles.

La conservation a été fixée généreusement et jamais revue : 24 mois pour les réponses aux quiz ont été jugés « excessifs et injustifiés », et les comptes dormants étaient conservés sans anonymisation.

La pseudonymisation a été confondue avec l'anonymisation : le sous-traitant a haché les IP avec SHA-256 non salé, ce que la CNIL a jugé insuffisant pour rendre les données anonymes.

La dette de sécurité était visible et peu coûteuse à corriger : la navigation en HTTP non chiffré et le hachage des mots de passe en MD5 — obsolète depuis 2004 — persistaient sur un site traitant des données sensibles.

Le mur de cookies ignorait une échéance connue : deux cookies étaient déposés dès l'arrivée sans option de refus, des mois après la date de conformité du 1er avril 2021 fixée par la CNIL.

Le contenu de santé est une donnée de santé : un quiz sur le cancer est un traitement de données sensibles, pas un générateur de trafic. Et « haché » ne signifie pas « anonyme » — un hachage non salé est un pseudonyme que le régulateur verra à travers.

L'amende et la délibération publiée ont été rendues le 17 mai 2023, la CNIL agissant en tant qu'autorité de contrôle chef de file pour les autres régulateurs européens dont les résidents utilisaient le site. Privacy International a salué la décision et a pressé les sites médicaux d'être pleinement transparents sur les données sensibles et de donner aux utilisateurs le contrôle du partage. Doctissimo reste en activité sous Reworld Media, mais la délibération a survécu à la une : elle est désormais une référence de langue française pour expliquer pourquoi les hachages non salés ne sont pas une anonymisation et pourquoi les fonctionnalités de santé exigent une conception du consentement de niveau santé.