Adresses IP, noms des médecins consultés, pathologies, listes de médicaments… Vous n’imaginez pas ce que Facebook peut parfois collecter sur les internautes à leur insu.
Utiliser les sites web d’établissements de santé n’est pas sans risque pour la protection de vos données. Le site d’investigation The Markup vient de révéler que plusieurs dizaines d’hôpitaux aux États-Unis ont utilisé sur leurs sites web un outil de marketing et d’analyse de trafic de Facebook, baptisé « Meta Pixel ». C’est un code Javascript qui il surveille les faits et gestes des internautes et transmet à la firme de Mark Zuckerberg un certain nombre de données dont des prescriptions médicales, des états de santé et des rendez-vous avec des spécialistes. L’adresse IP de l’internaute fait systématiquement partie des envois.
Un tiers des hôpitaux US sont concernés
The Markup s’est penché sur les sites des 100 plus gros hôpitaux du pays et a détecté la présence de Meta Pixel sur 33 d’entre eux. Les tests effectués montrent que les informations transmises peuvent parfois être très sensibles. Sur plusieurs sites, il est ainsi possible de caler un rendez-vous avec un médecin. Pour le trouver, l’internaute peut effectuer une recherche par mots clés ou sélectionner une pathologie dans un menu déroulant. Au moment de la validation du rendez-vous, Meta Pixel transfert à Facebook le nom du médecin et les mots clés ou le terme de la pathologie. Par exemple : « interruption de grossesse » ou « Alzheimer ».
Mais il y a pire. Pour sept hôpitaux, il s’avère que le code Meta Pixel est également intégré dans les pages de l’espace personnel du patient, ce qui lui donne accès à encore plus de données. Dans les transferts, on voit ainsi apparaître leurs noms, leurs médicaments ou leurs allergies éventuelles. Et s’il se trouve que l’internaute est connecté en même temps sur son compte Facebook, c’est le jackpot. Dans le cas d’une prise de rendez-vous, ce n’est pas seulement le nom du médecin et la pathologie qui partent vers les serveurs du géant informatique, mais aussi une partie de son profil Facebook par le biais des cookies : prénom, nom, adresse e-mail, numéro de téléphone, code postal, lieu de résidence. Certes, ces données sont alors « hachées », mais cela n’empêchera pas Meta de réaliser des calculs de concordances.
Des transferts probablement illicites
Tous ces transferts ne sont probablement pas légaux. Aux États-Unis, le partage de données personnelles de santé avec des tiers ne peut se faire que dans certaines conditions exceptionnelles, ou si le patient donne son consentement. Mais ce n’est le cas pour aucun des transferts analysés. En théorie, les internautes pourraient donc porter plainte, voire initier une action de groupe. Ce risque a visiblement été identifié, car certains hôpitaux ont supprimé le mouchard après avoir été contacté par The Markup. Du côté de Meta, on se veut rassurant. La firme disposerait d’un mécanisme capable d’identifier et de supprimer automatiquement des données personnelles particulièrement sensibles, comme celles relatives à la santé. Malheureusement, il est impossible de le vérifier. Par ailleurs, on peut avoir des doutes sur l’efficacité d’un tel outil. Dans un document interne révélé par Vice en avril dernier, un ingénieur expliquait que personne ne savait ce que deviennent vraiment les données ingérées par les systèmes de Facebook.
Source :
The Markup