Tout semblait aller pour le mieux pour la société de décodage d’ADN 23andMe qui proposait à tout un chacun de décrypter son code génétique et d’obtenir ainsi de précieux renseignements sur les origines géographiques, ethniques et familiales révélées par cette séquence unique à chaque être humain. La capitalisation de la société américaine est désormais dans le bas du tableau : la faute à un piratage massif de ses données il y a environ un an qui a permis à des malfrats informatiques de récupérer les profils génétiques de 6,9 millions clients – près de la moitié des personnes ayant eu recours à ses services. Des informations hautement sensibles qui sont désormais dans la nature et facilement exploitables par des personnes mal intentionnées.

Depuis lors, la société 23andMe a fait l’objet d’une « class action » de la part de victimes : sa condamnation par la justice pourrait la conduire à devoir payer jusqu’à 10.000 dollars par victime résidant sur le territoire US au moment des faits qui se présentera, au motif que la société n’avait pas pris les mesures indispensables à la protection de ces données par nature confidentielles. Le fait que 23andMe ait tardé à rendre publique l’information, au moins pour partie, n’a pas aidé…

23andMe a subi le piratage de 6,9 millions de données ADN

La société a proposé une somme de 30 millions de dollars pour dédommager les victimes, mais comme pour la rumeur, le mal est fait : une fois répandue, on ne la rattrape pas. Les versements de 10.000 dollars seront réservés aux utilisateurs pouvant prouver une usurpation d’identité, pour les autres, la majorité des versements ne dépasseront pas les 100 dollars.

La société sise à San Francisco en Californie avait ainsi annoncé en octobre 2023 que des pirates avaient eu accès à des données dans une opération lancée au mois d’avril précédent, mais sans révéler l’étendue des dégâts : pour cela, elle avait attendu le mois de décembre. Encore avait-elle omis de notifier personnellement certains utilisateurs ayant des ascendances juives ashkenazes ou chinoises que leurs données avaient fait l’objet d’un ciblage particulier et rendues accessibles sur le dark web.

Sans surprise, 23andMe peine désormais à trouver de nouveaux clients, et a dû se séparer de 40 % de ses employés, tandis que son chiffre d’affaires dégringole.

Qu’on se le dise, envoyer un peu de salive à une société comme celle-là pour obtenir des informations sur ses ancêtres, voire sur ses propres particularités et risques génétiques, n’est pas une action anodine. Cela revient à la rendre propriétaire de vos informations génétiques personnelles, sans avoir par ailleurs la moindre information au sujet de leurs mesures de sécurité. 23andMe assure aujourd’hui avoir renforcé celles-ci, mais une telle assurance verbale n’est en rien une garantie.

Les kits ADN récréatifs, un jeu trop dangereux

Autre motif de méfiance : la directrice générale de 23andMe, Anne Wojcicki, a laissé entendre qu’elle était prête à vendre la société. Mais à qui ? Et avec les données privées de ses clients passés, clefs en mains ?

Le site australien MercatorNet encourage ainsi ces anciens clients à effacer immédiatement leurs données des fichiers de 23andMe selon une procédure qui, heureusement, est prévue (mais qui depend de la bonne foi de la société) et qui reste incomplète puisqu’en tout état de cause, elle prévoit que certaines informations « limitées » seront conservées.

Mais c’est avant tout une mise en garde contre le partage de ses données génétiques, puisque la confidentialité des données informatiques n’est jamais totalement garantie, souligne MercatorNet. La collecte d’informations génétiques personnelles est un business lucratif, très utile à la recherche médicale et pharmaceutique ainsi qu’aux enquêtes policières. Face à cette demande, les sociétés privées proposant le décodage ADN aux particuliers sont légion – on pense notamment à celles qui opèrent dans le cadre de sites de généalogie, comme Ancestry.com, MyHeritage et Color Genomics. Mais de telles sociétés ne sont pas soumises aux lois de protection de la vie privée comme le sont les sociétés médicales, et elles ne voient pas leur action limitée par des lois strictes. Aux Etats-Unis, la fourniture d’assurances-vie ou d’assurances pour le risque de handicap ou de soins à long terme ne sont pas protégées par les lois existantes.

En France, le recours privé aux tests ADN est purement et simplement interdit, y compris lorsqu’ils ont une visée généalogique. Ceux qui les achètent confient de multiples informations, depuis les origines ethniques à la couleur des yeux ou aux prédispositions à certaines maladie, à des sociétés avec des coordonnées complètes permettant une identification immédiate : nom et adresse des clients accompagnent les tests.

Quand elles tombent entre les mains d’Etats tyranniques, les conséquences sont encore pires.

S’il est interdit en France de vendre de tels tests, on sait moins que l’achat d’un test génétique sur Internet par des personnes résidant en France est passible de 3.750 € d’amende. Aujourd’hui, en France, les tests génétiques ne peuvent être réalisés que dans le cadre d’une enquête judiciaire, pour la prise en charge médicale ou à des fins de recherche. Sauf dans ces cas très particuliers, le consentement de la personne doit être recueilli.

Anne Dolhein