Doctissimo、同意なしの健康クイズとMD5パスワードでCNILから38万ユーロの制裁金

Doctissimoはフランスで最も訪問者の多い健康サイトの一つで、医療記事と活発なフォーラムで知られている。2020年6月、活動家団体Privacy Internationalは、同サイトのデータ慣行が「特に重大かつ体系的」であると申し立てた。CNILは調査を行い、関係するEU各国の規制当局の主導当局として行動し、2023年5月17日に、当時Reworld Mediaが所有していた同サイトに38万ユーロの制裁金を科した。内訳はGDPR違反で28万ユーロ、Cookieで10万ユーロである。

中心的な問題は、大腸がんや子宮内膜症といったテーマに関する同サイトのインタラクティブなクイズだった。そのおよそ5パーセントで、ユーザーの健康に関する回答が、警告も同意取得の仕組みもなしに収集されていた。もっともGDPRの下では健康データは「特に機微」な情報である。クイズ回答の24か月間の保存は過剰かつ正当化不能と判断され、3年間非アクティブだったアカウントも匿名化されずに保持されていた。

匿名化そのものも実効性のないものだった。Doctissimoはホスティング下請け業者にクイズデータの匿名化を依頼し、その業者はIPアドレスをハッシュ鍵なしでSHA-256によってハッシュ化することで「匿名化」した。CNILは、単なるハッシュは匿名化では全くないと判断した。セキュリティも同様に劣悪だった。同サイトは依然としてページを暗号化されていないHTTPで配信し、パスワードをMD5でハッシュ化して保存していた。規制当局は、このアルゴリズムが2004年以来時代遅れであり、セキュリティ用途には禁止されていると指摘した。

それぞれの失敗は同じ判断に由来する。すなわち、健康メディアブランドをまず広告マシンとして扱い、データ管理者としては二の次にしたことである。Cookieはホームページ上で、拒否する手段なしに設定されていた。これはCNILが拒否ボタンの期限とした2021年4月から数か月も後のことだった。そして最も内密なクイズ回答に対する同意は、そもそも設計されていなかった。制裁金は控えめだったが、この決定は基準となった。すなわち、ソルトなしのハッシュは匿名化せず、健康機能には健康データ相応の同意フローが必要である。

制裁金38万ユーロ（GDPRで28万ユーロ＋Cookieで10万ユーロ）。クイズの約5パーセントで健康に関する回答が同意なく収集され、パスワードはMD5で保存されていた。

クイズ製品はコンプライアンスではなくリーチを目的に作られていた。健康に関する回答は、GDPRが特に機微と位置づける健康データであるにもかかわらず、約5パーセントのテストで同意取得の仕組みなしに収集されていた。

保存期間は寛大に設定され、見直されることがなかった。クイズ回答の24か月間は「過剰かつ正当化不能」とされ、休眠アカウントは匿名化されずに保持されていた。

仮名化が匿名化と取り違えられていた。下請け業者はIPをソルトなしのSHA-256でハッシュ化したが、CNILはこれではデータは匿名にならないと判断した。

セキュリティ上の負債は目に見えており、修正も安価だった。暗号化されていないHTTPでの閲覧と、2004年以来時代遅れのMD5によるパスワードハッシュ化が、機微なデータを扱うサイトで存続していた。

Cookieウォールは既知の期限を無視していた。到着時に2つのCookieが拒否オプションなしで設定されていた。これはCNILの2021年4月1日の遵守期限から数か月も後のことだった。

健康コンテンツは健康データである。がんに関するクイズはトラフィックを稼ぐ手段ではなく、機微データの処理である。そして「ハッシュ化済み」は「匿名」ではない。ソルトなしのハッシュは、規制当局に見抜かれる仮名にすぎない。

制裁金と公表された決定は2023年5月17日に下され、CNILは同サイトを利用した居住者を持つ他のEU規制当局の主導監督当局として行動した。Privacy Internationalはこの決定を歓迎し、医療サイトに対し、機微データについて完全な透明性を確保し、ユーザーに共有を管理する手段を与えるよう求めた。DoctissimoはReworld Mediaの下で運営を続けているが、この決定は見出しよりも長く残った。今では、ソルトなしのハッシュがなぜ匿名化ではないのか、健康機能になぜ健康データ相応の同意設計が求められるのかについての、フランス語の標準的な参照資料となっている。