À qui appartient désormais votre ADN ?
Un pionnier de la génomique personnelle fondé sur la confiance est aujourd’hui confronté à l’ironie de la vente des données que les utilisateurs pensaient contrôler.
Face aux difficultés croissantes, 23andMe, une importante société américaine de tests génétiques, s’est placée sous la protection de la loi sur les faillites afin d’ouvrir la voie à une vente potentielle, une démarche qui défend la vie privée des individus à une époque où les inquiétudes concernant les données se multiplient.
Dimanche en fin de journée, l’entreprise a annoncé qu’elle s’était volontairement placée sous la procédure du chapitre 11 auprès du tribunal des faillites américain du district oriental du Missouri, dans le but de « faciliter un processus de vente visant à maximiser la valeur de son entreprise ». Ce changement stratégique coïncide avec la démission de sa cofondatrice et PDG, Anne Wojcicki, qui s’est retirée pour mener une offre indépendante de rachat de l’entreprise après avoir essuyé des refus répétés de la part de son conseil d’administration.
Wojcicki, qui a lancé 23andMe en 2006 avec Linda Avey et Paul Cusenza, s’est heurtée à d’importants obstacles dans sa volonté de transformer l’entreprise en un géant du développement de médicaments. Son ambition s’est essoufflée lorsque les revenus ont chuté, sous l’effet d’une vague de clients – sur un total de 15 millions – qui se sont empressés d’effacer leur ADN des systèmes de l’entreprise à la suite d’une faille.
Le vaste répertoire de données d’utilisateurs de 23andMe, accumulées au fil des années de tests d’ascendance basés sur la salive, est à la merci des lignes directrices que l’entreprise s’est elle-même imposées, plutôt que d’un contrôle fédéral rigoureux.
La violation de données de l’entreprise en 2023, qui a révélé des détails sensibles tels que les prédispositions génétiques et les rapports d’ascendance de près de 7 millions d’utilisateurs, a mis en évidence le volume considérable d’informations personnelles détenues par l’entreprise. Les millions d’utilisateurs qui ont confié leur ADN à 23andMe auraient pu penser que ces données intimes bénéficient des protections infaillibles de la loi HIPAA (Health Insurance Portability and Accountability Act), qui vise à protéger les informations sensibles sur la santé contre toute divulgation non autorisée. Or, 23andMe opère en dehors du champ d’application de la loi HIPAA, ce qui l’oblige à respecter ses propres politiques de confidentialité – des règles qu’elle peut réécrire à sa guise.
Cette lacune réglementaire jette une ombre sur l’avenir de l’entreprise, d’autant plus qu’elle est sur le point d’être vendue à la suite de son dépôt de bilan. Une mosaïque de lois nationales incohérentes sur la protection de la vie privée, associée à l’absence d’un cadre fédéral cohérent, signifie que les profils génétiques de 15 millions d’Américains pourraient être mis en vente.
Selon la politique de confidentialité de 23andMe, les informations personnelles des clients « peuvent être consultées, vendues ou transférées » dans des scénarios tels que la faillite, les fusions ou les acquisitions. Bien que l’entreprise insiste sur le fait que ses pratiques en matière de données resteront inchangées après la vente – s’engageant à ne jamais partager les informations des utilisateurs avec les compagnies d’assurance ou les forces de l’ordre sans mandat – les défenseurs de la vie privée devraient rester sceptiques. Le rapport de transparence de 23andMe souligne notamment que l’entreprise n’a pas répondu aux demandes des forces de l’ordre américaines concernant les données ADN, une position qu’elle a maintenue jusqu’à présent.
Néanmoins, la perspective d’un nouveau propriétaire tire la sonnette d’alarme. Les acheteurs potentiels pourraient considérer le trésor de matériel génétique de 23andMe comme un actif lucratif à exploiter d’une manière à laquelle la direction actuelle a résisté.
En théorie, 23andMe a besoin de l’accord des utilisateurs pour transférer des données lors d’une acquisition, mais les utilisateurs pourraient le refuser. Plus d’une douzaine d’États, dont le Montana, ont adopté des lois sur la protection de la vie privée en matière de génétique qui exigent un consentement explicite – la loi 2023 du Montana, par exemple, exige un consentement autonome mentionnant le nom de l’acheteur. Des règles comparables s’appliquent dans des États comme l’Alabama, l’Arizona, la Californie et d’autres, le Wyoming étant le seul à offrir un droit d’action privé permettant aux consommateurs de faire valoir leurs droits devant les tribunaux.
Le sort de l’entreprise étant en suspens, les défenseurs des droits de l’homme exhortent les utilisateurs à agir rapidement pour protéger leurs données d’un avenir incertain.
Le procureur général de Californie, Rob Bonta, s’est fait le champion de cette cause, affirmant dans une déclaration après l’annonce de la faillite que les résidents de l’État peuvent légalement exiger l’effacement de leurs dossiers génétiques.
La suppression d’un compte 23andMe est simple : les utilisateurs peuvent se connecter, aller dans Paramètres, sélectionner Informations sur le compte et choisir Supprimer votre compte, confirmant l’étape irréversible après une invite.
Toutefois, la procédure comporte un inconvénient. La politique de confidentialité de l’entreprise indique que la suppression est « soumise à des exigences de conservation et à certaines exceptions », ce qui signifie que certaines données – comme les profils génétiques, les dates de naissance, le sexe et même les adresses électroniques liées aux demandes de suppression – peuvent être conservées pendant des périodes indéterminées afin de respecter les obligations de conformité.
De même, pour les personnes qui ont précédemment consenti à l’utilisation de leurs données à des fins de recherche, la rétractation de cette autorisation est possible, mais l’effacement complet des informations ne l’est pas.
Source : Reclaim The Net – Traduit par Anguille sous roche
