Doctissimo未经同意开展健康测验并使用MD5密码——CNIL对其处以38万欧元罚款

Doctissimo是法国访问量最大的健康网站之一，以其医学文章和活跃的论坛而闻名。2020年6月，活动组织Privacy International投诉称其数据做法“特别严重且系统性”。CNIL展开调查，作为相关欧盟监管机构的主导机构，并于2023年5月17日对该网站——当时已归Reworld Media所有——处以38万欧元罚款：其中28万欧元针对GDPR违规，10万欧元针对cookie问题。

核心问题在于该网站围绕结肠癌和子宫内膜异位症等主题开展的互动测验。在约5%的测验中，用户的健康答案在没有任何警告、也没有任何同意机制的情况下被收集，尽管健康数据在GDPR下属于“特别敏感”数据。测验答案保留24个月被判定为过度且缺乏正当理由，而三年未活动的账户仍被保留且未作匿名化处理。

所谓的匿名化本身形同虚设。Doctissimo要求其托管分包商用SHA-256对IP地址进行哈希处理来“匿名化”测验数据——且没有任何哈希密钥。CNIL认定，单纯的哈希根本不构成匿名化。安全方面同样糟糕：该网站仍通过未加密的HTTP提供页面，并以MD5存储密码哈希，监管机构指出该算法自2004年起就已过时，并被禁止用于安全用途。

每一项失误都源于同一个决定：把一个健康媒体品牌首先当作广告机器，其次才当作数据控制者。Cookie在首页被投放，却没有任何拒绝方式——此时距CNIL设定的2021年4月拒绝按钮截止期限已过去数月——而对最私密的测验答案的同意机制则从未被设计出来。罚款金额不大，但该裁决成为了基准：无盐哈希不能实现匿名化，健康功能需要健康级别的同意流程。

38万欧元罚款（28万欧元GDPR + 10万欧元cookie）；约5%的测验中的健康答案在未经同意的情况下被收集；密码以MD5存储

测验产品为覆盖面而非合规而建：约5%的测试在没有任何同意机制的情况下采集健康答案，尽管GDPR将健康数据列为特别敏感数据。

保留期限设定得过于宽松且从未重新审视：测验答案保留24个月被认定为“过度且缺乏正当理由”，休眠账户被保留而未作匿名化处理。

伪匿名化被误当作匿名化：分包商用无盐SHA-256对IP进行哈希处理，CNIL裁定这并不能使数据匿名化。

安全欠账显而易见且修复成本低廉：未加密的HTTP浏览和MD5密码哈希——自2004年起即已过时——在一个处理敏感数据的网站上持续存在。

Cookie墙无视了已知的截止期限：用户一进入网站即被投放两个cookie且无拒绝选项，此时距CNIL设定的2021年4月1日合规期限已过去数月。

健康内容就是健康数据：关于癌症的测验属于敏感数据处理，而不是流量驱动工具。而且“已哈希”不等于“匿名”——无盐哈希只是一种监管机构能够看穿的假名化。

罚款和公布的裁决于2023年5月17日落地，CNIL作为主导监管机构，代表其居民使用该网站的其他欧盟监管机构行事。Privacy International对该决定表示欢迎，并敦促医疗网站对敏感数据保持完全透明，并让用户掌控共享。Doctissimo在Reworld Media旗下仍在运营，但该裁决比新闻头条更持久：它如今已成为法语世界的标准参考，说明为何无盐哈希不构成匿名化，以及为何健康功能需要健康级别的同意设计。