Qu'arrive-t-il à vos données de santé dans les applications de rendez-vous ? Un guide de confidentialité

Par Paul - Consultant en technologie des soins de santé spécialisé dans les logiciels de pratique médicale et l'expérience patient.

Vous téléchargez une application de suivi de rendez-vous. Elle demande la permission d'accéder à votre calendrier, vos photos, votre localisation. Vous acceptez parce que l'application semble utile. Vous téléversez une capture d'écran de votre confirmation de rendez-vous. L'application la traite, extrait les détails, l'ajoute à votre calendrier. Pratique.

Mais qu'est-il arrivé à vos données de santé ?

La capture d'écran contenant le nom de votre médecin, la condition traitée, vos informations d'assurance—où est-elle allée ? Est-elle stockée sur les serveurs de l'entreprise ? A-t-elle été analysée par des systèmes d'apprentissage automatique ? Sera-t-elle utilisée pour le ciblage publicitaire ? Partagée avec des courtiers de données ? Vous n'en avez aucune idée.

La plupart des gens utilisant des applications de santé ne comprennent pas ce qui arrive à leurs données. Ils supposent que les politiques de confidentialité les protègent. Ils font confiance au fait que les applications de soins de santé sont sécurisées. Ils croient que les entreprises gèrent les informations de santé de manière responsable.

Ces hypothèses sont souvent fausses. Les applications de santé collectent, stockent et partagent fréquemment plus d'informations que les utilisateurs ne le réalisent, avec moins de protections que les utilisateurs ne le supposent.

Comprendre ce qui arrive réellement à vos données de santé dans les applications de rendez-vous vous aide à faire des choix éclairés sur les applications à utiliser et comment protéger votre confidentialité.

Quelles données les applications de rendez-vous collectent-elles ?

La plupart des applications de rendez-vous collectent beaucoup plus que les seuls détails de rendez-vous.

Collecte de données évidente :

• Dates et heures de rendez-vous
• Noms et spécialités des fournisseurs
• Emplacement des établissements médicaux
• Instructions de préparation
• Antécédents médicaux que vous saisissez
• Informations d'assurance

Collecte de données moins évidente :

• Identifiants d'appareil (ID publicitaire, ID d'appareil)
• Données de localisation (localisation actuelle, historique de localisation)
• Listes de contacts
• Modèles d'utilisation dans l'application
• Autres applications sur votre appareil
• Métadonnées de photos des captures d'écran que vous téléversez
• Informations réseau
• Informations système sur votre appareil

Cette collecte de métadonnées se produit silencieusement en arrière-plan. Vous pensez simplement saisir des rendez-vous. L'application collecte un profil détaillé de vous, de votre appareil et de votre comportement.

Examinez attentivement les permissions d'application. Les applications demandant l'accès aux contacts, à la localisation ou aux photos lorsque leur fonction principale ne nécessite pas ces permissions collectent des données au-delà des objectifs déclarés.

Où vont les données collectées ?

Une fois collectées, vos données de santé circulent généralement vers plusieurs destinations.

Serveurs de l'entreprise : La plupart des applications téléversent vos données vers des serveurs exploités par l'entreprise de l'application. Ces serveurs stockent vos informations « en toute sécurité » (soi-disant) et les synchronisent sur vos appareils.

Fournisseurs de services cloud : Les applications n'exploitent généralement pas leurs propres serveurs. Elles utilisent l'hébergement cloud d'AWS, Google Cloud ou Microsoft Azure. Vos données se trouvent sur une infrastructure exploitée par ces géants de la technologie.

Services d'analyse : Les applications intègrent souvent des plateformes d'analyse comme Google Analytics, Mixpanel ou Amplitude pour suivre le comportement des utilisateurs. Vos modèles de rendez-vous et votre utilisation de l'application circulent vers ces services tiers.

Réseaux publicitaires : Les applications gratuites ou financées par la publicité partagent des données avec des plateformes publicitaires pour le ciblage. Même les données « anonymisées » aident à construire des profils utilisés pour la publicité.

Agrégateurs de données : Certaines applications de santé vendent des données « dé-identifiées » ou « agrégées » à des entreprises de recherche en soins de santé, des sociétés pharmaceutiques ou des courtiers de données.

Services partenaires : Les applications avec des intégrations partenaires partagent des données avec ces partenaires. Intégrations de calendrier, vérificateurs d'assurance, plateformes de télésanté—chaque partenaire obtient certaines de vos données.

Vos informations ne restent pas seulement avec l'entreprise de l'application. Elles se propagent dans un écosystème de tiers. Pourquoi vos données de soins de santé devraient rester sur votre appareil explique l'approche alternative.

Comment les données sont-elles stockées ?

Les méthodes de stockage varient considérablement entre les applications et impactent significativement la confidentialité.

Chiffré au repos : Les bonnes applications chiffrent les données stockées donc si les serveurs sont violés, les données ne sont pas immédiatement lisibles. Mais les clés de chiffrement sont contrôlées par l'entreprise, leur permettant (ainsi qu'à quiconque ayant accès aux clés) de déchiffrer.

Chiffré de bout en bout : Les meilleures applications utilisent le chiffrement de bout en bout où seul vous détenez les clés de déchiffrement. L'entreprise ne peut pas lire vos données même si elle le veut. Peu d'applications de santé mettent en œuvre un véritable chiffrement de bout en bout.

Non chiffré ou faiblement chiffré : Certaines applications stockent des données avec un chiffrement faible ou inexistant. Les violations exposent tout immédiatement.

Systèmes de sauvegarde : Les données sont sauvegardées—parfois à plusieurs emplacements, parfois maintenues pendant des années même après la suppression de votre compte. Ces sauvegardes peuvent avoir une sécurité différente du stockage principal.

La plupart des politiques de confidentialité sont vagues sur les méthodes de stockage exactes. « Nous utilisons le chiffrement standard de l'industrie » ne vous dit pas si le chiffrement est fort, correctement mis en œuvre ou offre une protection significative. Comprendre l'IA sur appareil montre comment le traitement local élimine ces risques de stockage.

Combien de temps les données sont-elles conservées ?

De nombreuses applications de santé conservent vos données indéfiniment à moins que vous ne demandiez explicitement la suppression—et même alors, la suppression pourrait ne pas être complète.

Conservation de compte actif : Pendant que vous utilisez l'application, vos données sont évidemment conservées. C'est attendu.

Conservation post-suppression : Après la suppression de votre compte, de nombreuses applications conservent les données pour des « besoins commerciaux », la « conformité légale » ou l'« analyse ». Cette période de conservation peut être de mois ou d'années.

Conservation de sauvegarde : Les données supprimées peuvent rester dans les systèmes de sauvegarde. Certaines entreprises maintiennent des sauvegardes remontant à des années. Vos données « supprimées » peuvent encore exister dans les archives.

Conservation de données agrégées : Même si les données individuelles sont supprimées, les données agrégées ou anonymisées dérivées de vos informations peuvent être conservées en permanence.

Lisez attentivement les politiques de confidentialité pour le langage de conservation. Recherchez la section spécifique « Conservation des données » ou « Suppression des données » et vérifiez les engagements de suppression explicites avec des délais (par ex., « supprimé dans les 30 jours suivant la fermeture du compte »), pas des promesses vagues comme « conservé aussi longtemps que nécessaire ». Documentez les sections de politique spécifiques que vous trouvez pour référence future.

Qui peut accéder à vos données ?

Plusieurs parties peuvent accéder à vos données de santé, chacune avec des motivations et une fiabilité différentes.

Employés de l'entreprise de l'application : Les développeurs, le support client, les scientifiques des données et les dirigeants peuvent accéder aux données utilisateur à diverses fins. Les entreprises prétendent que l'accès est limité et surveillé, mais vous ne pouvez pas le vérifier.

Fournisseurs de services : L'hébergement cloud, les services d'analyse, les processeurs de paiement et d'autres vendeurs que l'application utilise peuvent avoir accès à vos données.

Demandes légales : Les agences gouvernementales, les forces de l'ordre, les poursuites civiles peuvent contraindre les entreprises à fournir des données utilisateur. Cela arrive plus fréquemment que la plupart des gens ne le réalisent.

Acquéreurs : Si l'entreprise de l'application est acquise, vos données sont transférées aux nouveaux propriétaires avec des pratiques de confidentialité potentiellement différentes.

Pirates informatiques : Malgré les mesures de sécurité, les violations arrivent régulièrement. Lorsque les applications sont violées, les attaquants accèdent à tout.

Partenaires de données : Les entreprises avec lesquelles l'application partage ou vend des données peuvent accéder à ce qui est partagé, construisant leurs propres profils et bases de données.

Vous avez une visibilité limitée sur qui accède réellement à vos données ou comment elles sont utilisées.

Comment les données sont-elles partagées ou vendues ?

« Nous ne vendons pas vos données » est une affirmation courante dans les politiques de confidentialité. C'est souvent techniquement vrai mais sans signification.

Les entreprises peuvent ne pas vendre les données directement mais :

• Partagent les données avec des partenaires pour un bénéfice mutuel
• Accordent des licences de données à des organisations de recherche
• Fournissent des données aux annonceurs pour le ciblage (sans paiement direct)
• Utilisent les données en interne pour de nouveaux produits ou services
• Agrègent les données et vendent l'analyse agrégée

Les politiques de confidentialité utilisent un langage prudent pour cacher le partage de données. Recherchez des phrases comme :

• « Partager avec des partenaires »
• « Fournisseurs de services tiers »
• « Données agrégées pour la recherche »
• « Améliorer nos services »
• « Fins commerciales légales »

Ces phrases vagues couvrent un partage de données étendu que les utilisateurs n'attendent pas ou ne comprennent pas.

Certaines applications de santé sont plus transparentes, listant explicitement chaque tiers qui reçoit des données. Ces applications sont rares mais valent la peine d'être recherchées.

Le mythe des données « dé-identifiées »

De nombreuses applications prétendent ne partager que des données « dé-identifiées » ou « anonymisées », impliquant que cela protège la confidentialité. C'est largement une fausse assurance.

La dé-identification implique généralement la suppression d'identifiants évidents comme les noms et les identifiants. Mais la recherche démontre à répétition que les données de santé « anonymisées » peuvent être ré-identifiées par recoupement avec d'autres ensembles de données.

Votre modèle de rendez-vous—quels spécialistes vous consultez, à quelle fréquence, dans quels établissements—est souvent assez unique pour vous identifier, même sans nom. Combiné avec des informations publiques comme le code postal ou l'âge, la dé-identification offre une protection minimale.

Certaines techniques d'anonymisation sophistiquées peuvent protéger la confidentialité. Mais la plupart des applications utilisent une dé-identification de base qui fournit une fausse impression de sécurité sans protection significative.

Ne faites pas confiance aux affirmations de partage de données « anonymisées ». Ce n'est souvent pas aussi anonyme que déclaré.

Qu'arrive-t-il lors des mises à jour d'application ?

Les mises à jour d'application changent la fonctionnalité—mais elles changent aussi les pratiques de confidentialité.

Les mises à jour peuvent :

• Ajouter de nouvelles intégrations tierces partageant plus de données
• Changer les fournisseurs d'analyse
• Modifier les politiques de conservation des données
• Introduire de nouvelles fonctionnalités nécessitant des permissions supplémentaires
• Changer les conditions d'utilisation avec des implications de confidentialité différentes

La plupart des utilisateurs acceptent les mises à jour automatiquement sans examiner les changements. Les politiques de confidentialité peuvent se mettre à jour simultanément, réduisant les protections sans que les utilisateurs ne le remarquent.

Activez les mises à jour d'application manuelles si possible. Examinez ce qui change avant de mettre à jour, surtout pour les applications gérant des informations de santé sensibles.

Lorsque les entreprises sont acquises ou ferment

Les entreprises d'applications sont achetées, fusionnent ou font faillite. Qu'arrive-t-il à vos données dans ces transitions ?

Acquisitions : Vos données sont généralement transférées à l'entreprise acquéreuse. Leurs pratiques de confidentialité—qui pourraient être pires—s'appliquent maintenant aux données collectées sous les politiques précédentes.

Fusions : Les données de plusieurs applications peuvent être combinées, créant des profils plus complets que n'importe quelle application seule n'en avait.

Fermetures : Lorsque les entreprises plient, les données utilisateur sont souvent vendues comme un actif ou transférées aux acquéreurs. Vous pourriez ne pas être notifié.

Les politiques de confidentialité réservent généralement des droits pour ces scénarios. Vous avez accepté que vos données puissent être transférées à de nouveaux propriétaires avec des pratiques différentes.

Évaluer les pratiques de confidentialité des applications

Comment pouvez-vous évaluer ce qui arrive réellement à vos données de santé dans des applications spécifiques ?

Lisez les politiques de confidentialité de manière critique : Recherchez des engagements spécifiques, pas des promesses vagues. Notez tous les tiers mentionnés. Vérifiez les périodes de conservation des données.

Examinez les permissions d'application : Les applications demandant des permissions au-delà de leur fonction principale collectent probablement des données supplémentaires. Questionnez pourquoi une application de rendez-vous a besoin d'accès à la localisation, aux contacts ou au microphone.

Vérifiez la réputation de l'entreprise : Recherchez l'historique de l'entreprise. Ont-ils eu des violations ? Changé les politiques négativement ? Fait l'objet d'enquêtes pour des problèmes de confidentialité ?

Recherchez la transparence : Les meilleures entreprises expliquent clairement quelles données elles collectent, où elles vont, combien de temps elles sont conservées et qui peut y accéder.

Préférez l'open source : Les applications open source permettent aux chercheurs en sécurité de vérifier les affirmations de confidentialité. Les applications à code fermé nécessitent de la confiance.

Considérez le modèle économique : Les applications gratuites monétisent d'une manière ou d'une autre—souvent par les données. Les applications payantes ont moins d'incitation à exploiter les données utilisateur.

Évaluez le chiffrement : L'application utilise-t-elle le chiffrement de bout en bout ? Qui détient les clés de chiffrement ? Le chiffrement est-il correctement mis en œuvre ?

Questions à poser sur les applications de rendez-vous

Avant d'utiliser une application pour des données de santé, demandez :

• Où sont stockées mes données ? (Leurs serveurs, mon appareil, ou les deux ?)
• Qui peut accéder à mes données stockées ?
• Combien de temps les données sont-elles conservées après la suppression de mon compte ?
• Mes données sont-elles partagées avec ou vendues à des tiers ?
• Qu'arrive-t-il à mes données si l'entreprise est vendue ?
• Les données sont-elles chiffrées, et qui détient les clés de chiffrement ?
• L'application fonctionne-t-elle sans connexion Internet ? (Si oui, suggère un traitement local)
• Y a-t-il des certifications ou des audits de confidentialité ?
• Puis-je exporter mes données ?
• Puis-je supprimer mes données de manière permanente ?

Si l'entreprise de l'application ne peut pas ou ne veut pas répondre clairement à ces questions, c'est un signal d'alarme. Les problèmes de confidentialité des portails montrent ce qui arrive lorsque la confidentialité n'est pas priorisée.

L'alternative sur appareil

L'option la plus privée est les applications qui traitent tout localement sur votre appareil sans stockage cloud.

Les applications sur appareil :

• Stockent les données uniquement sur votre appareil
• Traitent les informations localement
• Ne téléversent jamais rien sur des serveurs
• Restent privées même si l'entreprise est violée
• Vous permettent de supprimer en désinstallant simplement
• Ne créent pas de données pour le partage ou la vente

Le traitement sur appareil élimine la plupart des préoccupations de confidentialité. Vos données ne quittent jamais votre contrôle. Pas de serveurs à violer. Pas d'employés pour accéder à vos informations. Pas de partage de données avec des partenaires.

Cette approche sacrifie une certaine commodité (pas de synchronisation automatique entre appareils) pour un gain substantiel de confidentialité.

Se protéger

Lors de l'utilisation d'applications de santé, prenez des mesures pour limiter l'exposition des données :

• Minimisez les informations saisies—seulement ce qui est nécessaire
• Utilisez des applications qui traitent localement lorsque possible
• Examinez et restreignez régulièrement les permissions d'application
• Utilisez de fausses informations pour les champs non essentiels
• Supprimez les comptes lorsque vous avez fini d'utiliser les applications
• Demandez la suppression des données après la fermeture du compte
• Évitez de lier les applications de santé aux comptes de réseaux sociaux
• Utilisez un VPN lorsque les applications doivent transmettre des données

Rappelez-vous qu'une protection complète de la confidentialité peut signifier ne pas utiliser certaines applications. Parfois le choix optimal pour la confidentialité est d'utiliser des outils plus simples et moins pratiques qui ne collectent pas de données. Pourquoi les outils de soins de santé axés sur la confidentialité sont importants explique cette philosophie.

Protections réglementaires (limitées)

La confidentialité des applications de santé est mal réglementée dans la plupart des juridictions.

Le HIPAA aux États-Unis s'applique uniquement aux fournisseurs de soins de santé et à leurs associés commerciaux—pas directement aux applications de santé grand public. Certaines applications de santé prétendent être conformes au HIPAA, mais c'est souvent limité à la façon dont elles gèrent les informations reçues d'entités couvertes, pas à la façon dont elles gèrent les données fournies par les utilisateurs.

Le RGPD en Europe fournit des protections plus fortes autour du consentement, de l'accès aux données et des droits de suppression. Mais même sous le RGPD, déterminer exactement ce qui arrive à vos données de santé dans les applications reste difficile.

Ne supposez pas que les réglementations vous protègent. Elles fournissent des exigences minimales que les entreprises doivent respecter—pas une protection complète.

Le résultat final

Qu'arrive-t-il à vos données de santé dans les applications de rendez-vous ? Généralement plus que vous ne le souhaiteriez et moins que ce qu'on vous dit.

Les données sont collectées largement, stockées de manière centralisée, conservées à long terme, accessibles par plusieurs parties, partagées avec des partenaires et potentiellement vendues ou analysées de manières que vous n'attendez pas et ne pouvez pas contrôler.

Les politiques de confidentialité utilisent un langage vague qui cache ces pratiques. Les entreprises positionnent la collecte de données comme nécessaire pour la fonctionnalité alors qu'elle sert souvent leurs intérêts commerciaux à la place.

Votre meilleure protection est de choisir soigneusement les applications, de comprendre leurs pratiques et de préférer les solutions sur appareil qui ne collectent pas de données en premier lieu.

Vos informations de santé sont trop sensibles pour faire confiance négligemment. Sachez ce qui arrive à vos données avant que les applications n'arrivent à vos données.

Questions fréquemment posées

Les applications de rendez-vous de santé doivent-elles suivre les règles de confidentialité HIPAA ? Généralement non. Le HIPAA s'applique aux fournisseurs de soins de santé, aux assureurs et à leurs associés commerciaux—pas directement aux applications de santé grand public. Une application se connectant à votre portail patient pourrait être un « associé commercial » soumis au HIPAA, mais la plupart des applications de rendez-vous autonomes ne sont pas couvertes. Les applications peuvent prétendre être « conformes au HIPAA » comme terme marketing sans obligation légale significative. Cela signifie que les applications de rendez-vous ont souvent moins de protections de confidentialité que vous ne le supposez.

Si je supprime mon compte, mes données de santé sont-elles réellement supprimées des serveurs de l'application ? Pas nécessairement. De nombreuses applications conservent les données après la suppression du compte pour des « besoins commerciaux », l'« analyse » ou la « conformité légale ». Les systèmes de sauvegarde peuvent maintenir des copies pendant des mois ou des années. Les données « agrégées » ou « anonymisées » dérivées de vos informations peuvent être conservées en permanence. Lisez attentivement la section de conservation des données de la politique de confidentialité. Les meilleures applications fournissent des engagements de suppression explicites ; les applications vagues conservent probablement les données indéfiniment.

Les applications de rendez-vous peuvent-elles vendre mes informations de santé aux annonceurs ou aux courtiers de données ? Potentiellement oui, malgré les affirmations qu'elles « ne vendent pas de données ». Les applications peuvent partager des données avec des partenaires publicitaires pour le ciblage, accorder des licences de données « dé-identifiées » à des entreprises de recherche ou des sociétés pharmaceutiques, ou fournir une analyse agrégée à des courtiers de données. Les politiques de confidentialité utilisent un langage prudent : « partager avec des partenaires » ou « données agrégées pour la recherche » signifie souvent que les données vont à des tiers qui peuvent les monétiser. Les applications de santé grand public ont beaucoup moins de restrictions que les entités couvertes par le HIPAA.

Comment puis-je savoir si une application de rendez-vous traite les données localement ou les envoie à des serveurs ? Mettez votre téléphone en mode avion et testez l'application. Si les fonctionnalités principales fonctionnent hors ligne, le traitement est probablement local. Remarque : effectuez ce test après la fin de tous les téléchargements de première exécution, et soyez conscient que certains systèmes d'exploitation peuvent permettre une connectivité limitée via des exemptions—ce test est indicatif mais pas une preuve définitive. Vérifiez la politique de confidentialité pour des phrases comme « traitement sur appareil » ou « données traitées localement sur votre téléphone ». Au lieu de vous fier aux listes de permissions, testez si l'application fonctionne en mode avion et vérifiez les divulgations de gestion des données du développeur, car iOS et Android autorisent généralement l'accès réseau une fois l'application installée. Une grande taille d'application (20 Mo+) suggère des modèles d'IA sur appareil. Les petites applications qui nécessitent une connexion Internet constante utilisent probablement le traitement cloud.

Qu'arrive-t-il à mes données de rendez-vous si l'entreprise de l'application est vendue ou fait faillite ? Vos données sont généralement transférées à l'entreprise acquéreuse ou aux nouveaux propriétaires, qui peuvent avoir des pratiques de confidentialité complètement différentes. Les politiques de confidentialité réservent généralement ce droit : vos données sont considérées comme un actif de l'entreprise qui est transféré lors d'acquisitions ou de faillites. Vous pourriez ne pas être notifié. Avec les applications sur appareil, vos données restent sur votre appareil quoi qu'il arrive à l'entreprise—un autre avantage majeur du traitement local.

Articles connexes

• Pourquoi vos données de soins de santé devraient rester sur votre appareil
• Comprendre l'IA sur appareil pour la confidentialité des soins de santé
• Le problème de confidentialité des portails patients (et de meilleures alternatives)
• Pourquoi les outils de soins de santé axés sur la confidentialité sont importants
• Comment partager les informations de rendez-vous médical en toute sécurité

---

Vous vous demandez ce qui arrive à vos données de rendez-vous ? Avec le traitement sur appareil à venir d'Appointment Adder, vos données ne quittent jamais votre téléphone—jamais. Pas de serveurs, pas de partage, pas d'exposition. Essayez-le gratuitement sur appointmentadder.com