Doctissimo realizou questionários de saúde sem consentimento e com senhas MD5 — CNIL multou-o em €380 mil

O Doctissimo é um dos sites de saúde mais visitados da França, conhecido por seus artigos médicos e fóruns movimentados. Em junho de 2020, o grupo ativista Privacy International denunciou que suas práticas de dados eram 'particularmente graves e sistêmicas'. A CNIL investigou, atuou como autoridade principal para os reguladores da UE envolvidos e, em 17 de maio de 2023, multou o site — então pertencente à Reworld Media — em €380.000: €280.000 por violações do GDPR e €100.000 por cookies.

O problema central eram os questionários interativos do site sobre temas como câncer de cólon e endometriose. Em cerca de 5 por cento deles, as respostas de saúde dos usuários eram coletadas sem aviso e sem mecanismo de consentimento, embora dados de saúde sejam 'particularmente sensíveis' sob o GDPR. A retenção de 24 meses das respostas dos questionários foi julgada excessiva e injustificada, e contas inativas por três anos ainda eram mantidas sem anonimização.

A própria anonimização era ilusória. O Doctissimo pediu ao seu subcontratado de hospedagem que anonimizasse os dados dos questionários, e o fornecedor 'anonimizou' endereços IP aplicando hash com SHA-256 — sem qualquer chave de hash. A CNIL considerou que um hash puro não é anonimização de forma alguma. A segurança não foi melhor: o site ainda servia páginas via HTTP não criptografado e armazenava senhas com hash MD5, algoritmo que o regulador observou estar obsoleto desde 2004 e proscrito para uso de segurança.

Cada falha remete à mesma decisão: tratar uma marca de mídia de saúde como máquina de publicidade em primeiro lugar e como controladora de dados em segundo. Cookies eram depositados na página inicial sem forma de recusa — meses após o prazo de 1 de abril de 2021 da CNIL para botões de recusa — e o consentimento para as respostas mais íntimas dos questionários simplesmente nunca foi projetado. A multa foi modesta, mas a deliberação tornou-se um marco: hashes sem salt não anonimizam, e recursos de saúde exigem fluxos de consentimento de nível sanitário.

Multa de €380.000 (€280 mil GDPR + €100 mil cookies); respostas de saúde de cerca de 5% dos questionários coletadas sem consentimento; senhas armazenadas em MD5

Os produtos de questionário foram construídos para alcance, não para conformidade: respostas de saúde eram coletadas em cerca de 5% dos testes sem mecanismo de consentimento, embora o GDPR classifique dados de saúde como particularmente sensíveis.

A retenção foi definida generosamente e nunca revista: 24 meses para respostas de questionários era 'excessivo e injustificado', e contas dormentes eram mantidas sem anonimização.

A pseudonimização foi confundida com anonimização: o subcontratado aplicou hash em IPs com SHA-256 sem salt, o que a CNIL decidiu não tornar os dados anônimos.

A dívida de segurança era visível e barata de corrigir: navegação HTTP não criptografada e hash de senhas MD5 — obsoleto desde 2004 — persistiam em um site que tratava dados sensíveis.

O muro de cookies ignorou um prazo conhecido: dois cookies eram depositados na chegada sem opção de recusa, meses após a data de conformidade de 1 de abril de 2021 da CNIL.

Conteúdo de saúde é dado de saúde: um questionário sobre câncer é tratamento de dados sensíveis, não um gerador de tráfego. E 'com hash' não é 'anônimo' — um hash sem salt é um pseudônimo que um regulador verá através.

A multa e a deliberação publicada saíram em 17 de maio de 2023, com a CNIL atuando como autoridade supervisora principal para outros reguladores da UE cujos residentes usavam o site. A Privacy International acolheu a decisão e pressionou sites médicos a serem totalmente transparentes sobre dados sensíveis e a dar aos usuários controle sobre o compartilhamento. O Doctissimo continua em operação sob a Reworld Media, mas a deliberação sobreviveu à manchete: agora é uma referência padrão em francês sobre por que hashes sem salt não são anonimização e por que recursos de saúde exigem design de consentimento de nível sanitário.