GAFAM & données de santé · Traceurs & courtiers de données
On imagine la fuite de données de santé comme le vol d’un dossier médical. Le mécanisme réel est plus banal et plus large : des briques logicielles publicitaires intégrées par le développeur lui-même, qui transmettent non pas un diagnostic, mais des signaux dont on déduit un état. La donnée la plus sensible n’est pas toujours celle qu’on croit.
Le mécanisme : ce qu’un SDK tiers fait réellement
Une application n’est presque jamais écrite intégralement par son éditeur. Pour mesurer son audience, analyser les parcours, attribuer les installations à une campagne publicitaire ou afficher des annonces, le développeur intègre des SDK — des kits de développement fournis par des tiers. C’est un choix d’ingénierie ordinaire : réécrire ces fonctions coûterait cher et n’apporterait rien à l’utilisateur.
La conséquence l’est moins. Un SDK s’exécute à l’intérieur de l’application et peut, selon sa configuration, remonter vers le serveur du tiers des événements d’usage : ouverture d’un écran, clic sur un bouton, saisie d’un formulaire, ainsi que des identifiants techniques — identifiant publicitaire du téléphone, adresse IP, modèle d’appareil. L’éditeur de l’application ne maîtrise pas toujours l’étendue exacte de ce qui part, et l’utilisateur, lui, ne le voit jamais.
C’est précisément ce mécanisme qui a été au cœur de la procédure de la FTC contre Easy Healthcare, éditeur de l’application de suivi d’ovulation Premom : l’autorité américaine lui a reproché en 2023 d’avoir transmis des données de santé via des outils de ce type, alors que sa politique de confidentialité promettait le contraire. L’entreprise a accepté de payer 100 000 dollars de pénalité civile à la FTC, plus 100 000 dollars répartis entre le Connecticut, l’Oregon et le District de Columbia.
Sur le web : le pixel de suivi
L’équivalent côté navigateur s’appelle un pixel — un fragment de code inséré dans une page pour mesurer l’efficacité d’une campagne. Quand il est posé sur une page de santé, il transmet le contexte de la visite : l’URL consultée, parfois le texte du bouton cliqué.
En juin 2022, le média d’investigation américain The Markup a publié une enquête sur ce point. En testant les sites des cent premiers hôpitaux américains selon un classement de Newsweek, ses journalistes ont trouvé le pixel Meta sur 33 d’entre eux, transmettant des informations lors de la prise de rendez-vous médical. Le pixel a également été repéré à l’intérieur d’espaces patients protégés par mot de passe de sept groupes hospitaliers.
Un point mérite d’être souligné, parce qu’il nuance le tableau : dans un suivi publié en septembre 2022, The Markup constatait que 28 des 33 hôpitaux avaient retiré le pixel de leurs pages de rendez-vous ou bloqué l’envoi. La pression documentaire a produit un effet. Il faut aussi rappeler qu’il s’agit d’une enquête journalistique : des recours collectifs ont été engagés, mais une allégation portée en justice n’est pas une faute établie.
L’inférence : quand une donnée « non médicale » devient une donnée de santé
Le nœud du problème est là. Ces transmissions ne contiennent presque jamais de diagnostic. Elles n’en ont pas besoin.
Le fait d’ouvrir quotidiennement une application de suivi menstruel, de sevrage tabagique ou d’accompagnement psychologique constitue en soi une information sur l’état de la personne. Le nom de l’application suffit. Une visite répétée à une page consacrée à une pathologie, un rendez-vous pris auprès d’une spécialité donnée, une géolocalisation récurrente à proximité d’un établissement de soins : aucune de ces données n’est un dossier médical, et toutes permettent d’inférer un état de santé avec une confiance suffisante pour cibler une publicité.
Le droit européen a anticipé ce raisonnement. Le RGPD ne protège pas seulement les données médicales au sens strict, mais les données concernant la santé, catégorie particulière définie par ce qu’elles révèlent — y compris par déduction. Une donnée devient une donnée de santé dès lors qu’elle est traitée pour en tirer une information sur l’état d’une personne.
Ce qui a été établi par une autorité, et ce qui ne l’est pas
Trois procédures américaines constituent aujourd’hui la jurisprudence de référence, et elles ont un point commun : ce n’est pas le partage en lui-même qui a été sanctionné, mais l’écart entre la promesse faite à l’utilisateur et la pratique réelle.
GoodRx, service de coupons de réduction sur les médicaments, a payé en février 2023 une pénalité civile de 1,5 million de dollars. C’était la première application de la Health Breach Notification Rule de la FTC. L’entreprise promettait depuis 2017 de ne jamais partager d’informations de santé personnelles avec des annonceurs ; la FTC a établi qu’elle l’avait fait, notamment vers Facebook et Google, sans notifier les personnes concernées.
BetterHelp, plateforme de téléconsultation psychologique, s’est engagée en 2023 à verser 7,8 millions de dollars, destinés à indemniser partiellement des utilisateurs — première action de la FTC restituant des fonds à des personnes dont les données de santé avaient été compromises. Les réponses au questionnaire de santé et les adresses e-mail avaient été transmises à plusieurs plateformes publicitaires.
Le cas Flo Health, application de suivi de cycle, est instructif par sa modération : le règlement conclu avec la FTC en 2021 n’a comporté aucune sanction financière. Il imposait un consentement explicite avant tout partage, un audit indépendant, l’information des utilisatrices et l’instruction faite aux tiers de détruire les données reçues. Un règlement n’est d’ailleurs pas une reconnaissance de culpabilité.
Courtiers de données : ce que la recherche documente
En aval de cette collecte existe un marché d’intermédiaires qui agrègent, recoupent et revendent des profils. Aux États-Unis, ce secteur reste faiblement encadré au niveau fédéral, en partie parce que la loi HIPAA protège les données détenues par les acteurs du soin et leurs sous-traitants — pas celles qu’une application de bien-être collecte directement auprès de vous.
Une étude publiée en février 2023 par l’université Duke, menée par la chercheuse Joanne Kim, a tenté d’en mesurer l’accessibilité. Sur 37 courtiers contactés, onze se sont déclarés disposés et en mesure de vendre des données relatives à la santé mentale d’Américains, avec un contrôle de l’acheteur que l’étude décrit comme minimal.
La FTC a par ailleurs poursuivi le courtier Kochava à partir d’août 2022, lui reprochant de vendre des données de géolocalisation précises permettant de retracer des passages dans des lieux sensibles, dont des établissements de santé. Le litige s’est conclu en mai 2026 par une ordonnance interdisant la vente de données de localisation sensibles sans consentement explicite — sans pénalité financière.
Le RGPD change la donne, sans la régler
En Europe, le cadre est nettement plus contraignant. Le traitement de données de santé est en principe interdit sauf exception, le consentement doit être libre et spécifique, et le dépôt de traceurs non essentiels exige un accord préalable. La CNIL a d’ailleurs sanctionné Doctissimo le 11 mai 2023 : 280 000 euros au titre du RGPD — notamment pour avoir collecté des données de santé via des tests en ligne sans consentement valable — et 100 000 euros au titre des règles sur les cookies, soit 380 000 euros. La procédure faisait suite à une plainte de l’association Privacy International.
Reste que le droit ne supprime pas le mécanisme. Il en déplace la charge : sur des bandeaux de consentement que peu de gens lisent, sur des contrôles a posteriori et des effectifs limités, sur des applications éditées hors d’Europe. Un utilisateur français dispose de droits réels et d’une autorité qui les fait appliquer ; il ne dispose pas d’une garantie technique que rien ne part.
| Affaire | Nature | Issue |
|---|---|---|
| GoodRx (FTC, 2023) | Sanction d’autorité | 1,5 M$ de pénalité civile |
| BetterHelp (FTC, 2023) | Règlement avec autorité | 7,8 M$ affectés à des remboursements |
| Easy Healthcare / Premom (FTC, 2023) | Règlement avec autorité | 200 000 $ au total (FTC + 3 États) |
| Flo Health (FTC, 2021) | Règlement avec autorité | Obligations, aucune sanction financière |
| Doctissimo (CNIL, 2023) | Sanction d’autorité | 380 000 € |
| Kochava (FTC, 2022–2026) | Contentieux, puis ordonnance | Interdiction sans consentement |
| Pixel sur sites hospitaliers | Enquête journalistique | Retraits constatés, litiges en cours |
Ce qu’un utilisateur peut faire, et où s’arrête son pouvoir
Quelques gestes ont un effet mesurable. Réinitialiser ou désactiver l’identifiant publicitaire du téléphone — possible sur iOS comme sur Android — casse une partie du recoupement entre applications. Refuser le pistage lorsque l’invitation apparaît, refuser les traceurs non essentiels sur les sites de santé, et préférer une application dont le modèle économique est l’abonnement plutôt que la publicité, réduisent la surface d’exposition.
Il faut cependant être honnête sur les limites. Ces gestes n’empêchent pas la transmission décidée côté serveur, invisible depuis le téléphone. Ils ne s’appliquent pas rétroactivement aux données déjà transmises. Et ils reportent sur l’individu une responsabilité qui relève, structurellement, du développeur et du régulateur. Lire une politique de confidentialité ne dit d’ailleurs pas grand-chose : les affaires ci-dessus concernent toutes des entreprises dont la politique affichée promettait la confidentialité.
Le mouvement de fond est néanmoins réel : sous la pression réglementaire et médiatique, une partie du secteur s’est assainie — retraits de pixels, obligations de consentement explicite, audits indépendants imposés. Le problème n’est pas résolu ; il n’est plus invisible.
Questions fréquentes
Mon appli de santé revend-elle mes données ?
Rien ne permet de l’affirmer pour une application donnée sans vérification. Le mécanisme documenté est plus souvent la transmission à des prestataires publicitaires ou analytiques intégrés par le développeur, ce qui n’est pas la même chose qu’une revente. Seul un examen technique ou une décision d’autorité permet de trancher pour un cas précis.
Le RGPD me protège-t-il vraiment ?
Il offre un cadre nettement plus strict qu’aux États-Unis et des droits opposables, et la CNIL sanctionne effectivement. Il ne garantit pas techniquement qu’aucune donnée ne soit transmise, en particulier par des applications éditées hors d’Europe.
Une donnée sans diagnostic est-elle une donnée de santé ?
Oui, dès lors qu’elle est traitée pour en déduire un état de santé. Le nom d’une application de sevrage ou de suivi psychologique suffit à révéler une situation sans qu’aucune pathologie ne soit nommée.
Que change la désactivation de l’identifiant publicitaire ?
Elle rend plus difficile le recoupement de vos activités entre applications et sites différents. Elle n’empêche pas les transmissions opérées directement de serveur à serveur.
Les sanctions ont-elles changé les pratiques ?
En partie, et c’est documenté : après l’enquête de The Markup, la majorité des hôpitaux concernés ont retiré le traceur. Les décisions de la FTC ont par ailleurs imposé des interdictions durables de partage à des fins publicitaires.
• Federal Trade Commission, action contre GoodRx Holdings (février 2023), première application de la Health Breach Notification Rule.
• Federal Trade Commission, décisions BetterHelp (2023) et Easy Healthcare / Premom (2023).
• Federal Trade Commission, règlement Flo Health (2021) et contentieux FTC v. Kochava (2022–2026).
• CNIL, sanction du 11 mai 2023 à l’encontre de Doctissimo (380 000 €) ; fiche EDPB correspondante.
• The Markup, « Facebook Is Receiving Sensitive Medical Information from Hospital Websites » (16 juin 2022) et son suivi de septembre 2022.
• J. Kim, Data Brokers and the Sale of Americans’ Mental Health Data, Duke University, février 2023.
• À lire aussi : nos décryptages des applis de suivi du cycle menstruel, de la stratégie santé d’Apple et du règlement européen EHDS, dans la rubrique GAFAM & données de santé.
À lire aussi : Health Data Hub et souveraineté : où sont hébergées vos données.
Information générale sur la santé numérique, à but éducatif. Ne constitue pas un avis médical.