Africa-Press – Togo. Que vont devenir les 15 millions de dossiers génétiques collectés par la firme 23andMe? La firme américaine, qui propose des tests génétiques destinés à « connaître ses origines », a annoncé être en faillite et chercher un repreneur. Elle a annoncé mettre en vente sa base de données généalogiques. Depuis, face au flou de la situation, de nombreux experts appellent à supprimer ses données ADN et son compte. L’entreprise, elle, « s’engage à continuer de protéger les données des clients et à être transparente sur la gestion des données des utilisateurs à l’avenir, la confidentialité des données sera une préoccupation majeure », écrit-elle dans un communiqué.
En 2023 déjà, un piratage massif met du plomb dans l’aile à l’entreprise. En tout, 6,9 millions de comptes ont été affectés, soit environ la moitié des utilisateurs revendiqués de 23andMe. Parmi les informations ayant fuité: le nom d’utilisateur, du pourcentage de patrimoine génétique commun, parfois de la localisation, de l’année de naissance voire des photos mises en ligne par l’utilisateur.
Chez 1,4 million d’utilisateurs, c’est l’arbre généalogique qui est passé dans les mains de cybercriminels. Ces données personnelles et médicales, regroupées en set, se revendent sur le « dark web ». A l’époque, un hacker appelé « Golem » avait revendiqué le vol de données et avait spécifiquement visé des utilisateurs d’origine chinoise et juive ashkénaze. Il proposait alors de vendre « des data sets individualisés, constitués sur mesure pour certains groupes ethniques, [et] des liens vers des centaines de parents potentiels. »
« Une fois qu’on a confié son patrimoine génétique à un tiers, on ne peut plus neutraliser les effets »
Désormais, 23andMe est en faillite et a annoncé mettre en vente sa base de données généalogiques. Les vendre à qui, pour en faire quoi? Rien n’a été précisé pour le moment. « Ce n’est pas comme un mot de passe qu’on peut changer. Une fois qu’on a confié son patrimoine génétique à un tiers, on ne peut plus neutraliser les effets », prévient auprès de Sciences et Avenir Nicolas Arpagian, enseignant à Sciences Po et auteur de La Cybersécurité (PUF). « C’est le risque lorsqu’un business s’arrête. La maintenance des serveurs, la sécurisation des données vont s’arrêter à un moment, ouvrant le risque aux quatre vents. D’autant que la firme n’a pas communiqué sur une possible ventilation des données. On sait juste que les autorisations des clients stipulent que les bases peuvent être données par des tiers. C’est une notion très vague. »
Les données des utilisateurs ont déjà été largement partagées avec de nombreux laboratoires pharmaceutiques, comme GSK (GlaxoSmithKline), avec qui 23andMe collabore depuis 2018. A l’époque, la compagnie pharmaceutique avait payé 300 millions de dollars pour avoir accès aux dossiers génétiques des utilisateurs, dans l’espoir de mettre au point de nouveaux médicaments. Parmi 50 programmes lancés au fil des années, l’un d’entre eux portait sur un anticorps utilisé en oncologie. Idem pour Pfizer et Genentech, qui travaillaient tous deux sur un traitement contre la maladie de Parkinson. En plus de ces quelques accords officialisés dans la presse, 23andMe aurait aussi traité avec Lundbeck, Janssen, Biogen et Alynlam Pharmaceuticals selon Wired. « Ils sont discrètement devenus la plus large étude génétique que le monde n’ait jamais connu », déclarait Euan Ashley, cardiologue à l’Université de Stanford (Etats-Unis), à Nature en 2017.
Depuis l’annonce de la faillite, d’innombrables experts à travers le monde ont appelé à supprimer les données recueillies par 23andMe. En France aussi, la CNIL bat le rappel. Elle publie sur son site un guide complet afin de supprimer son compte, ses données personnelles et même de demander la destruction physique de son échantillon. Mais dans sa politique de confidentialité, 23andMe précise que malgré la suppression des données et d’un compte, les données relatives aux « informations génétiques » seront conservées. « Il peut donc en être déduit que les résultats produits à partir de l’échantillon pourraient être conservés », précise la CNIL.
« Ces données ont une valeur sur la durée et ne périmeront pas avec le temps, même au-delà de la mort »
A ceux qui se pensent en sécurité car ils n’ont pas eu recours à ce genre de tests, la CNIL rappelle qu’ils sont tout de même exposés à un risque. Il suffit qu’un membre de la famille se soit soumis à ce genre de tests. « Ce risque est accru dans la mesure où les données génétiques peuvent concerner des personnes qui n’ont pas réalisé de test mais partagent les gènes de la personne qui en est à l’origine (ascendants, descendants, famille proche), et qui n’ont ni consenti ni même été informées de cette réalisation. »
En cadeau de Noël, d’anniversaire ou en activité à faire en famille, les tests génétiques ont connu un fort succès ces dernières années. Malgré leur interdiction en France, où la loi de bioéthique de 2011 interdit le recours aux tests ADN en dehors des domaines médical, scientifique et judiciaire, ils ont tout de même pu être réalisés à distance, en envoyant un échantillon de salive par la poste auprès de firmes comme 23andMe.
A l’annonce de sa faillite, de nombreux experts élèvent la voix pour prévenir des dangers de ces tests récréatifs. « Il faut inciter les gens à penser sur le long terme, prévient Nicolas Arpagian. Les dossiers comprennent des éléments sur les pathologies, sur les liens familiaux. Ces données ont une valeur sur la durée et ne périmeront pas avec le temps, même au-delà de la mort des utilisateurs. »
En France, l’achat d’un test génétique sur Internet par des personnes résidant en France est passible de 3 750 € d’amende, rappelle la CNIL. Le recours à l’un de ces tests génétiques en dehors des domaines médical et scientifique est interdit, passible de 15 000 € d’amende et d’un an de prison pour les personnes ou entreprises proposant ces tests.
Pour plus d’informations et d’analyses sur la Togo, suivez Africa-Press
