Vaccination contre le Covid-19 : le Conseil d'Etat maintient le partenariat avec Doctolib pour la gestion des rendez-vous

Le Conseil d'Etat a validé, vendredi 12 mars, le partenariat entre le ministère de la Santé et la plateforme Doctolib pour la gestion des rendez-vous de vaccination contre le Covid-19. Plusieurs associations et syndicats avancent que ce partenariat ne permet pas de protéger suffisament les données médicales. Des inquiétudes jugées infondées par la plus haute juridiction administrative, qui a rejeté leur demande de suspension de ce contrat entre Doctolib et l’Etat, signé en janvier.

>> Covid-19 : suivez les dernières infos sur l'épidémie dans notre direct

Les 13 requérants, dont la Fédération des médecins de France et le Syndicat de la médecine générale, "estimaient que l’hébergement des données de Doctolib par la filiale d’une société américaine comportait des risques au regard de demandes d’accès par les autorités américaines", détaille le Conseil d'Etat dans un communiqué. Doctolib, de son côté, argue que des protections juridiques ont été mises en place pour protéger les données hébergées par Amazon des autorités américaines, rapporte Le Monde (article payant).

>> Quatre choses à savoir sur AWS, le lucratif business d'Amazon dont vous n'avez sans doute jamais entendu parler

Le juge des référés a conclu que "le niveau de protection des données concernées n’est pas manifestement insuffisant au regard du risque invoqué par les associations et syndicats requérants", ajoutant que le contrat avec Doctolib comprend "une procédure spécifique en cas de demandes d’accès par une autorité étrangère prévoyant la contestation de toute demande ne respectant pas la règlementation européenne".

Une décision qui provoque l'"indignation"

Le juge des référés a par ailleurs avancé que "les données recueillies dans le cadre des rendez-vous de vaccination ne comprennent pas d’indications sur les motifs médicaux d’éligibilité à la vaccination, mais portent uniquement sur l'identification des personnes et la prise de rendez-vous", explique le Conseil d'Etat. 

La décision a suscité l'"indignation" des requérants. Les garanties juridiques sont "insuffisantes", selon l'association InterHop, l'une des parties. "Le juge considère que les données en cause ne sont pas des données de santé", ajoutent les requérants. Cette interprétation (...) contrevient à la définition juridique telle que prévue par le RGPD [règlement général sur la protection des données]".

Les parties regrettent en outre que la Commission nationale de l'informatique et des libertés (Cnil), le gendarme des données personnelles, n'ait pas été saisie "malgré les maintes demandes" de l'avocate des requérants.