Le collectif "Laissons les médecins prescrire" collecte illégalement des données personnelles.

Le site stopcovid19.today du collectif “Laissons les médecins prescrire” recueille en toute illégalité les données personnelles et professionnelles de ses utilisateurs. Les infractions au règlement général sur la protection des données (RGPD) sont nombreuses. Tour d’horizon des infractions telles que définies par la commission nationale de l’informatique et des libertés (CNIL) et la DGCCRF.

- Publicité -

Absence de mentions légales

Tout site internet doit permettre d’identifier son responsable et son hébergeur, en application de la loi pour la confiance dans l’économie numérique du 21 juin 2004. A minima, ici, nom, dénomination ou raison sociale et adresse et numéro de téléphone de l’hébergeur de son site internet.

Cette infraction relève de la DGCCRF (direction générale de la Concurrence, de la Consommation et de la Répression des fraudes)

Le non-respect de ces obligations peut être sanctionné d’une peine de prison pouvant aller jusqu’à 1 an et de 75 000 € d’amende. Source : Légifrance / Service public

Absence de mentions relatives à l’utilisation de cookies

Un cookie est un fichier déposé par le navigateur sur votre ordinateur lorsque vous surfez sur Internet. Il s’agit d’un fichier texte généré par le serveur du site web que vous visitez.

Dans un article du 4 février 2021, la CNIL a constaté que la grande majorité des sites web du secteur public ne respectait pas les dispositions légales relatives aux cookies.

Les éditeurs de sites ou d’applications qui utilisent des cookies doivent :

informer les internautes de la finalité des cookies,
obtenir leur consentement,
fournir aux internautes un moyen de les refuser.

Le site en dénombre plus d’une vingtaine. Parmi eux, les cookies de traçage Google Analytics pour mesurer l’audience d’un site. Bien que ces derniers ne soient pas soumis à l’exigence du consentement préalable, le site utilise d’autres cookies qui eux le sont. De plus, aucun bandeau de consentement n’est présent et donc aucun moyen de les refuser.

L’absence de mentions relatives à l’utilisation de données personnelles (RGPD)

Les sites qui utilisent des données personnelles doivent obligatoirement mentionner les informations suivantes :

Coordonnées du délégué à la protection des données (DPO ou DPD) de l’organisme, s’il a été désigné, ou d’un point de contact sur les questions de protection des données personnelles
Finalité poursuivie par le traitement auquel les données sont destinées
Caractère obligatoire ou facultatif des réponses et conséquences éventuelles à l’égard de l’internaute d’un défaut de réponse
Destinataires ou catégories de destinataires des données
Droits d’opposition, d’interrogation, d’accès et de rectification
Au besoin, transferts de données à caractère personnel envisagés à destination d’un État n’appartenant pas à l’Union européenne
Base juridique du traitement de données (c’est-à-dire ce qui autorise légalement le traitement : il peut s’agir du consentement des personnes concernées, du respect d’une obligation prévue par un texte, de l’exécution d’un contrat notamment)
Droit d’introduire une réclamation auprès de la Cnil

L’absence d’une information obligatoire est punie d’une amende de 1 500 €. Tout traitement informatique non consenti des données recueillies est puni de 5 ans d’emprisonnement et de 300 000 € d’amende.

Source : Service Public

- Publicité -

Le site stopcovid19.today n’en possède aucune. Et pourtant, les différents formulaires d’adhésions au collectif nécessitent une collecte importante de données personnelles et professionnelles. Nom, prénom, adresse postale, e-mail, téléphone, département d’exercice et copie de la carte CPS ou de l’ordre.

Que deviennent ces données une fois envoyées ? Qui les traite et pourquoi ? Où est le droit d’opposition à l’utilisation des données ? Où sont-elles hébergées ? Sont-elles vendues ou cédées à des sociétés tiers ? Impossible de le savoir.

Déroulé du processus d’adhésion :

En d’autres termes, le site collecte des données sans informer les utilisateurs de leur finalité et sans consentement éclairé.

La liste

Le collectif a publié sur son site une liste d’environ 2400 “médecins engagés”. Cette liste fut analysée par l’association Citizen4Science puis reprise dans une enquête du Monde.

Cette liste est publiée sur leur site secondaire manifestes-libertes.org. Site sur lequel les mêmes infractions aux RGPD sont également constatées.

Le consentement

Joint par mail, le collectif assure qu’il “respecte la loi en matière de traitement de données privées” en se référant à la mention encadrée dans le formulaire. (capture ci-dessus)

Problème : cette mention n’est nullement une preuve de consentement dont les conditions sont définies par les articles 4 et 7 du RGPD.

Dans cet article, la CNIL explique qu’un consentement doit être : libre, spécifié, éclairé et univoque.

Contactées par téléphone, des personnes présentes dans la liste affirment ne pas avoir explicitement donné leur accord pour une telle parution.

J’ai bien adhéré au collectif, mais je n’ai pas rempli de formulaire spécifique pour paraitre dans une quelconque liste publique
Médecin de la liste “Médecins engagés”

Pourtant, un détail sur le site laisse penser que le collectif a bien compris les règles du consentement pour l’inscription à sa newsletter :

La CNIL

Par téléphone, la CNIL explique : “la collecte et la diffusion de données personnelles sans consentement éclairé constitue plusieurs infractions aux RGPD, conformément aux articles 12, 13 et 14. Si aucun consentement explicite n’a été donné, l’existence et la diffusion d’une telle liste sont parfaitement illégales.”

A ce jour, le collectif “Laissons les médecins prescrire” a recueillit les données personnelles de plus de 102.000 signataires sans consentement explicite. Que sont devenues ces données ? La réponse à cette question n’a toujours pas été apportée par le collectif à ce jour.

- Publicité -

Le flou total

Les titulaires des deux noms de domaine utilisés par le collectif (manifestes-libertes.org & stopcovid19.today) sont anonymisés. Rien d’illégal à cela.

Cependant, compte tenu de la confusion qui règne dans le traitement des données personnelles, il est en plus impossible de connaitre la personne ou l’organisme qui traite les données envoyées sur le site.

Enfin, comme le dit si bien FranceSoir dans son article du 08.03.2021 : “il semble clair que l’association (…) ne se conforme pas à la règlementation en vigueur.“

A lire également

Article mis à jour le 10.03.2021 à 13h00

Objet : Liste des liens vers les sauvegardes des sites du collectif tels qu’ils étaient au 09.03.2021