En octobre 2023, nous apprenions le piratage de 23andMe, l'une des principales entreprises américaines de test ADN en ligne. Près de 7 millions de profils génétiques étaient alors mis aux enchères sur le dark web. Pour se rendre compte du danger que comporte cette fuite, j'en veux pour preuve la compilation des données génétiques de personnes d'origine juive ashkénaze sous le titre Ashkenazi DNA Data. Dans les scénarios les plus cauchemardesques, on peut très bien imaginer l'achat d'une telle compilation à caractère ethnique par un groupuscule extrémiste, un proto-État (ce que fut l'État Islamique en Syrie et en Irak au cours des années 2010) ou un loup solitaire antisémite. Si elle se présente comme un cauchemar, la collecte de données génétiques est un rêve pour quiconque voudrait cibler avec précision une oppression envers un groupe ethnique, à l'instar de ce que fait la Chine depuis plusieurs années à l'égard des Ouïghours. On estime que plus de 26 millions d'individus ont confié leur salive à une entreprise de ce type. Impossible à l'heure actuelle de connaître le nombre exact de Belges qui ont sauté le pas. 1. Comment s'assurer aujourd'hui de la protection des données génétiques? 2. Les start-up qui offrent des informations attractives pour les personnes (liens de parenté, origines, prédispositions médicales, etc.) se trouvant essentiellement dans la Silicon Valley, le Règlement général sur la protection des données est-il un outil suffisamment robuste pour protéger ces données sensibles?
B011
Les données génétiques sont considérées comme des données sensibles selon le Règlement Général sur la Protection des Données (RGPD), et bénéficient donc d'une protection renforcée. Le RGPD stipule qu'elles ne peuvent être traitées qu'avec le consentement explicite de la personne concernée, ou dans un cadre législatif spécifique, sous réserve de garanties adéquates. Les entreprises collectant des échantillons cellulaire ou salivaires doivent informer clairement les utilisateurs sur les finalités du traitement, afin qu'ils puissent donner un consentement éclairé. P. ex. 23andMe s'engage à fournir ces informations sur son site, garantissant que l'utilisateur est pleinement informé avant de consentir. Il est également essentiel que les entreprises réalisent une évaluation d'impact sur la vie privée (privacy impact assessment) avant tout traitement de données génétiques. Si des risques élevés sont identifiés, l'entreprise doit soumettre son projet à l'avis de l'autorité de protection des données. 23andMe a mis en place des mesures de sécurité, comme le cryptage des données, mais il est préoccupant que ces mesures aient été insuffisantes, ce qui constitue une infraction au RGPD. En cas de piratage, l'entreprise doit informer immédiatement l'Autorité de Protection des Données (APD) ainsi que les personnes concernées. À ce jour, je n'ai pas d'informations concernant les citoyens belges affectés par cette fuite, ni si 23andMe a bien contacté l'APD. L'APD ne communique pas sur les enquêtes en cours, mais il vous est loisible d'interroger directement l'APD, qui est un organe collatéral de la Chambre, pour obtenir des informations précises. Les citoyens belges peuvent également porter plainte auprès de l'APD si nécessaire. Le RGPD s'applique aux entreprises établies en Europe, mais aussi à celles situées hors de l'Union européenne, qui proposent des biens ou des services à des personnes établies en Europe. C'est le cas de l'entreprise américaine 23andMe qui doit donc respecter des normes équivalentes à celles du RGPD et offrir un niveau de sécurité aux données des citoyens européens. Le Data Privacy Framework entre l'Union européenne et les États-Unis permet aux entreprises américaines de collecter légalement des données des citoyens européens, à condition de respecter les règles de protection des données. La Federal Trade Commission veille à ce respect. Malgré l'arsenal juridique en place, il est impossible de garantir à 100 % l'absence de fuites de données, tout comme le droit pénal ne peut prévenir tous les crimes. Toutefois, le cadre juridique actuel constitue une protection essentielle pour la sécurité des données personnelles des citoyens européens. Cela souligne l'importance de renforcer le contrôle du RGPD. À ce titre, je travaille avec mes collègues européens sur un projet de règlement complémentaire visant à améliorer la coopération entre les autorités de protection des données et à renforcer le contrôle des entreprises internationales. Ce règlement, actuellement en négociation avec le Parlement européen, devrait être adopté dans les six prochains mois.