En mars 2025, 23andMe s'est placée sous la protection du chapitre 11 de la loi américaine sur les faillites. Sa base de données génétiques ne s'est pas évaporée avec l'entreprise : elle est devenue un actif à céder, racheté en juillet par une fondation à but non lucratif dirigée par la cofondatrice de la société.
Le droit à l'effacement s'appliquait pendant toute l'opération. Il n'a pas empêché la base de changer de mains : pour produire un effet, il fallait l'avoir exercé, un par un, avant.
Le RGPD est une procédure : il ouvre des recours contre quelqu'un. Une architecture décide de ce qui existe. Un recours suppose un interlocuteur ; une serrure, non.
Ce que l'article 9 interdit, et par où on entre quand même
L'article 9 du RGPD range les données concernant la santé parmi les catégories particulières. Le principe est plus fort qu'on ne le croit : leur traitement est interdit. Pas encadré, pas soumis à autorisation. Interdit par défaut.
Le même article énumère ensuite dix situations qui lèvent l'interdiction. La première est ton consentement explicite, celui que tu donnes à l'inscription, et il suffit à lui seul. Rien d'anormal là-dedans : c'est le mécanisme prévu, et c'est lui qui permet qu'une app te serve à quelque chose.
Mais il déplace le sujet. La loi ne garde pas la porte, elle fixe les conditions dans lesquelles tu remets la clé.
Ton sommeil et ta stack sont des données de santé
La CNIL retient trois familles : les données de santé par nature, celles qui le deviennent par croisement avec d'autres, et celles qui le deviennent par l'usage médical qui en est fait. La deuxième est celle qu'on sous-estime : l'exemple donné est une mesure de poids croisée avec un nombre de pas et des apports caloriques. Rien de médical ligne à ligne, et le régime des données sensibles s'applique quand même au résultat.
Un journal de sommeil, une liste de compléments avec doses et horaires, et trois mois de bilans sanguins dépassent largement ce seuil. C'est un dossier médical reconstitué par accumulation, sans qu'aucun médecin soit intervenu.
Trois endroits où le droit s'arrête
Les droits d'accès, de portabilité, de rectification et d'effacement sont réels. Ils partagent une dépendance : quelqu'un doit être là, en état de répondre, et atteignable par un régulateur.
Quand l'entreprise change de mains
En juin 2025, l'autorité britannique de protection des données a infligé une amende de 2,31 millions de livres à 23andMe, au terme d'une enquête menée avec son homologue canadien : ni authentification à plusieurs facteurs obligatoire, ni contrôle d'accès aux données génétiques brutes.
L'attaque remontait à 2023. Du bourrage d'identifiants, c'est-à-dire l'essai en masse de mots de passe volés lors de fuites antérieures sans rapport. Résultat : l'accès aux informations de 155 592 résidents britanniques, dont l'origine ethnique, les arbres généalogiques et des rapports de santé. L'entreprise n'a ouvert une enquête complète qu'en octobre, quand un salarié a découvert les données mises en vente sur Reddit.
« Contrairement à un identifiant, un mot de passe ou une adresse email, tu ne peux pas changer ton patrimoine génétique quand une fuite se produit. »
Une personne touchée par la fuite, citée par l'ICO, juin 2025
La sanction est lourde. Elle n'a pas reconstitué la confidentialité de ce qui était sorti, et elle n'a pas empêché la base d'être cédée le mois suivant. Une amende punit. Elle ne restaure pas.
Quand l'hébergeur est européen et le droit ne l'est pas
« Hébergé en Europe » est devenu un argument commercial. Il répond à une question de localisation, pas à une question de juridiction.
Le CLOUD Act américain, adopté en 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur soumis à leur droit la communication des données qu'il détient, quelle que soit la localisation des serveurs. Le comité européen de la protection des données et le contrôleur européen ont pris position en juillet 2019 : une injonction de ce type ne constitue pas à elle seule une base de transfert au sens du RGPD, dont l'article 48 renvoie à un accord international.
Les deux textes disent des choses différentes, et le fournisseur se trouve au milieu. La localisation des serveurs et la juridiction de l'entreprise qui les opère sont deux informations distinctes, et seule la seconde décide qui peut réquisitionner.
Quand « anonymisé » ne veut pas dire anonyme
Une donnée réellement anonyme sort du RGPD. C'est ce qui explique la présence du mot dans presque toutes les politiques de confidentialité.
Retirer le nom ne suffit pas. Une étude parue dans Nature Communications en 2019 estime que 99,98 % des Américains seraient correctement ré-identifiés dans n'importe quel jeu de données à partir de 15 attributs démographiques. Même fortement échantillonnés, concluent les auteurs, ces jeux de données ont peu de chances de satisfaire aux critères d'anonymisation du RGPD.
Quinze attributs, sur un profil santé, ce n'est pas beaucoup. Âge, sexe, code postal, taille, poids, et la liste est à moitié faite.
| Situation | Ce que le RGPD prévoit | Ce dont l'exécution dépend |
|---|---|---|
| Fuite de données | Notification à l'autorité sous 72 heures | Que la fuite soit détectée, et datée |
| Rachat ou faillite | Les droits suivent la base chez le repreneur | Que le repreneur les honore et reste atteignable |
| Réquisition étrangère | Article 48 : un accord international est requis | Le droit auquel l'entreprise est soumise |
| Réutilisation « anonymisée » | Les données anonymes sortent du règlement | Que l'anonymisation en soit réellement une |
| Effacement | Réponse sous un mois, sans justification | Que la copie de référence soit chez eux |
La protection qui n'a pas besoin d'être exercée
Il existe une catégorie de données sur lesquelles aucun droit n'a besoin d'être exercé : celles qui ne sont jamais parties.
La CNIL le note à propos des applications mobiles de santé : la réglementation ne s'applique pas de la même façon quand les données sont collectées exclusivement sur l'appareil, sans connexion extérieure et à des fins exclusivement personnelles. Ni responsable de traitement, ni transfert, ni sous-traitant, parce qu'il n'y a rien à traiter ailleurs.
C'est ce que veut dire local-first, débarrassé du vocabulaire d'ingénieur : ta donnée est écrite d'abord sur ton téléphone et y reste par défaut. Pas de base centrale à pirater, et l'effacement est immédiat parce que la copie de référence est déjà chez toi.
Les questions à poser avant de confier ton sang
- 1
De quel droit relève l'entreprise ?
Pas où sont les serveurs : qui détient le capital, et sous quelle juridiction.
- 2
Que devient la base si elle est vendue ?
Si les mots « fusion » ou « cession d'actifs » n'apparaissent nulle part dans la politique de confidentialité, personne n'y a réfléchi.
- 3
Quels sous-traitants y accèdent ?
La liste doit être publique et à jour. Un prestataire de mesure d'audience n'a rien à faire dans une base de biomarqueurs.
- 4
Combien de temps après la fermeture du compte ?
Une durée chiffrée est attendue, par catégorie. « Le temps nécessaire » n'est pas une durée.
- 5
La donnée sert-elle à de la publicité ?
Si la réponse n'est pas un non net, c'est un oui avec des étapes intermédiaires.
- 6
Y a-t-il un DPO joignable et un registre consultable ?
Une adresse dédiée et un registre en ligne valent tous les labels de confiance, et se vérifient en trente secondes.
Ce que cet article ne dit pas
- Que le RGPD serait inutile. Sans lui, l'amende britannique n'existerait pas et aucune liste de sous-traitants ne serait publique.
- Que l'hébergement européen ne servirait à rien. Il supprime une classe entière de problèmes de transfert, pas la question de la juridiction.
- Que le local-first serait sans coût. Perdre son téléphone sans sauvegarde, c'est perdre l'historique. Le partage avec un médecin demande une étape explicite au lieu d'un lien.
- Que ceci soit un avis juridique. C'est la lecture de quelqu'un qui doit prendre ces décisions d'architecture, textes en main, et qui préfère les exposer.
« La souveraineté des données n'est pas une case juridique, c'est une décision d'architecture. »
La position d'Helix
Helix est construit en Europe, avec un hébergement européen et un registre des traitements public : sous-traitants, finalités et durées de conservation sont consultables sans créer de compte. Consentement granulaire pour tout ce qui n'est pas nécessaire au service. Aucune publicité, aucune revente.
Les données sensibles restent local-first sur ton appareil. Ce choix coûte cher et complique la synchronisation. Il a un seul avantage, et il suffit : il n'existe pas de base centrale dont la cession pourrait un jour figurer dans un dossier de faillite.
Vérifier ce qui est collecté, par qui et pour combien de temps, avant même de créer un compte.
Lire le registre des traitements