Votre génome constitue la donnée la plus personnelle que vous possédiez. Il est immuable, permet de vous identifier de manière unique et présente par nature un caractère familial : il révèle des informations non seulement sur vous, mais aussi sur les membres de votre famille biologique. Contrairement à un mot de passe ou même à une empreinte digitale, les données génomiques ne peuvent pas être modifiées si elles sont compromises. Le cadre juridique régissant la collecte, le traitement et la protection de ces données revêt donc une importance plus grande que pour toute autre catégorie d’informations personnelles.
Ce qui distingue les données génétiques
Du point de vue de la protection des données, les données génétiques présentent plusieurs caractéristiques qui les distinguent des autres types de données à caractère personnel :
- Permanence : Votre génome ne change pas. Une violation de données impliquant des données génomiques entraîne une exposition permanente — il n’existe aucun équivalent à la réinitialisation d’un mot de passe.
- Caractère identifiable : Les données génomiques permettent intrinsèquement d’identifier une personne. Même des données génomiques partielles peuvent être utilisées pour réidentifier des individus, comme l’ont démontré plusieurs affaires de généalogie génétique à des fins judiciaires.
- Hérédité : Vos données génétiques révèlent des informations sur vos parents biologiques, vos frères et sœurs et vos enfants. Une violation de données ne touche pas seulement la personne concernée — elle touche toute sa famille biologique.
- Pouvoir prédictif : Les données génétiques peuvent prédire de futurs problèmes de santé, ce qui peut entraîner des discriminations dans les domaines de l’assurance, de l’emploi et dans d’autres secteurs si des personnes non autorisées y accèdent.
Ces caractéristiques impliquent que les données génétiques doivent bénéficier du plus haut niveau de protection juridique — pas seulement de politiques internes aux entreprises, mais de lois applicables prévoyant de réelles conséquences en cas d’infraction.
Comment le RGPD classe les données génétiques
Le règlement général sur la protection des données (RGPD), entré en vigueur en mai 2018, classe les données génétiques parmi les « données de catégorie particulière » au titre de l’article 9. Il s’agit de la catégorie bénéficiant de la protection la plus élevée en droit de l’Union européenne, au même titre que les données relatives à la santé, à l’origine raciale ou ethnique, les données biométriques et celles concernant l’orientation sexuelle.
Le traitement des données relevant de catégories particulières est interdit par défaut. Il n’est autorisé que dans un nombre limité de cas prévus par la loi — le plus pertinent en matière de génomique étant le consentement explicite (article 9, paragraphe 2, point a). Il s’agit d’une exigence plus stricte que les fondements de l’« intérêt légitime » ou de la « nécessité contractuelle » applicables aux données à caractère personnel ordinaires.
Concrètement, cela signifie :
- Une entreprise de génomique ne peut pas traiter vos données génétiques sur la base d’une case cochée par défaut ou d’une clause dissimulée dans les conditions d’utilisation. Le consentement doit être donné librement, spécifique, éclairé et univoque.
- Le consentement peut être retiré à tout moment (article 7, paragraphe 3). Le responsable du traitement doit alors cesser de traiter les données et, sur demande, les supprimer.
- Les données ne peuvent être utilisées qu’aux fins spécifiques auxquelles la personne a consenti. Toute nouvelle finalité nécessite un nouveau consentement.
Les droits que le RGPD vous confère sur votre génome
En vertu du RGPD, les personnes disposent d’un ensemble complet de droits sur leurs données personnelles. Pour les données génétiques, les plus pertinents sont les suivants :
- Droit d’accès (art. 15) : Vous pouvez demander une copie complète de toutes les données génétiques détenues à votre sujet, ainsi que des informations sur la manière dont elles sont traitées et sur les personnes avec lesquelles elles ont été partagées.
- Droit à l’effacement (art. 17) : Vous pouvez demander l’effacement définitif de vos données génétiques. Le responsable du traitement doit donner suite à votre demande dans un délai de 30 jours.
- Droit à la portabilité des données (art. 20) : Vous pouvez demander à recevoir vos données dans un format structuré et lisible par machine, et les transférer à un autre prestataire.
- Droit à la limitation du traitement (art. 18) : Vous pouvez demander la suspension du traitement pendant la résolution d’un litige ou d’une objection.
- Droit d’opposition (art. 21) : Vous pouvez vous opposer à certains types de traitement, y compris le profilage.
Il ne s’agit pas de simples gestes de courtoisie facultatifs. Ce sont des droits juridiquement opposables, garantis par des autorités de contrôle habilitées à infliger des amendes pouvant atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros.
RGPD vs protection des données génétiques aux États-Unis
Les États-Unis ne disposent pas d’un équivalent fédéral au RGPD pour les données génétiques. Le cadre juridique actuel est fragmenté :
- GINA (2008) : Interdit la discrimination génétique par les assureurs maladie et les employeurs, mais ne couvre pas l’assurance vie, l’assurance dépendance ni l’assurance invalidité. Cette loi ne prévoit aucune disposition concernant le traitement ou le stockage des données, ni les obligations en cas de violation de données.
- HIPAA : S’applique uniquement aux entités couvertes (prestataires de soins de santé, assureurs) et à leurs partenaires commerciaux. Les entreprises de génomique grand public qui vendent directement aux consommateurs ne sont généralement pas des entités couvertes.
- Lois des États : Une mosaïque de réglementations. L’Illinois, la Californie et quelques autres États ont adopté des lois sur la confidentialité des données génétiques, mais la plupart des États ne disposent d’aucune loi spécifique protégeant ces données.
Il en résulte que la politique de confidentialité d’une entreprise de génomique établie aux États-Unis constitue, dans la plupart des cas, un engagement volontaire, et non une obligation légale. Si l’entreprise change de propriétaire, fait faillite ou décide simplement de mettre à jour ses conditions, cette politique peut changer. Il n’existe aucun organisme fédéral de réglementation spécifiquement chargé de faire respecter la protection des données génétiques.
Pourquoi la juridiction — et pas seulement la politique de confidentialité — est importante
Le point essentiel est que les protections prévues par le RGPD sont liées à la juridiction. Elles s’appliquent aux données traitées au sein de l’UE, indépendamment de la nationalité de la personne concernée ou du pays dans lequel est constituée la société qui les a collectées. Si votre génome est séquencé et analysé dans un laboratoire établi dans l’UE, le RGPD régit l’intégralité du cycle de vie des données — de la réception de l’échantillon à la suppression des données.
Cela signifie que même si vous résidez aux États-Unis, vos données génétiques traitées dans l’UE bénéficient de la protection du RGPD. Il ne s’agit pas d’une option à activer. Cette protection découle automatiquement du lieu où le traitement est effectué.
Le laboratoire partenaire de Dante Labs est situé en Italie, un État membre de l’UE. Chaque génome séquencé par Dante est traité sous la juridiction du RGPD. Vos données ne peuvent être vendues, transférées à un tiers ni utilisées à une fin à laquelle vous n’avez pas explicitement consenti — et cette protection est garantie par le droit de l’UE, et non par une simple promesse d’entreprise.
Ce que cela signifie concrètement
Pour toute personne qui envisage un test de séquençage du génome entier, la protection des données devrait être aussi importante que la précision du test. Les données que vous générez constituent les informations les plus personnelles qui soient — et le cadre juridique qui les régit détermine ce qui peut ou non leur arriver, non seulement aujourd’hui, mais aussi pour le reste de votre vie.
Le RGPD n’est pas une certification que l’on obtient et que l’on affiche. C’est la législation en vigueur là où vos données sont traitées. Et pour les données génétiques — qui sont permanentes, identifiantes, familiales et prédictives — il constitue le cadre de protection le plus solide au monde.
Consultez notre page complète sur la confidentialité et la gouvernance des données →