Votre génome au regard du RGPD : pourquoi la réglementation européenne en matière de protection des données constitue la référence absolue en matière d'informations génétiques

Votre génome constitue la donnée la plus personnelle dont vous disposez. Il est immuable, unique et intrinsèquement familial : il révèle des informations non seulement sur vous, mais aussi sur vos parents biologiques. Contrairement à un mot de passe ou même à une empreinte digitale, les données génomiques ne peuvent pas être modifiées si elles sont compromises. Le cadre juridique régissant la collecte, le traitement et la protection de ces données revêt une importance bien plus grande que pour toute autre catégorie d’informations personnelles.

En quoi les données génétiques sont-elles différentes ?

Du point de vue de la protection des données, les données génétiques présentent plusieurs caractéristiques qui les distinguent des autres types de données à caractère personnel :

• Caractère permanent : votre génome ne change pas. Une fuite de données génomiques entraîne une exposition permanente — il n'existe pas d'équivalent à la réinitialisation d'un mot de passe.
• Identifiabilité : les données génomiques sont intrinsèquement identifiantes. Même des données génomiques partielles peuvent servir à réidentifier des individus, comme l'ont démontré de nombreuses affaires de généalogie médico-légale.
• Hérédité : vos données génétiques fournissent des informations sur vos parents biologiques, vos frères et sœurs, ainsi que vos enfants. Une violation de données n'affecte pas seulement la personne concernée, mais toute la famille biologique.
• Capacité prédictive : les données génétiques permettent de prédire l'état de santé futur, ce qui peut donner lieu à des discriminations dans les domaines de l'assurance, de l'emploi et autres si elles sont utilisées à mauvais escient.

Ces caractéristiques impliquent que les données génétiques nécessitent le plus haut niveau de protection juridique — pas seulement une politique d'entreprise, mais une loi applicable dont le non-respect entraîne des conséquences concrètes.

Comment le RGPD classe-t-il les données génétiques ?

Le règlement général sur la protection des données (RGPD), entré en vigueur en mai 2018, classe les données génétiques dans la catégorie des « données de catégorie particulière » en vertu de l'article 9. Il s'agit de la catégorie la plus protégée en droit européen, au même titre que les données relatives à la santé, à l'origine raciale ou ethnique, aux données biométriques et à l'orientation sexuelle.

Le traitement des données relevant de catégories particulières est interdit par défaut. Il n'est autorisé que sur la base d'un ensemble limité de fondements juridiques — le plus pertinent en matière de génomique étant le consentement explicite (article 9, paragraphe 2, point a)). Il s'agit d'une norme plus stricte que les fondements de l'« intérêt légitime » ou de la « nécessité contractuelle » qui s'appliquent aux données à caractère personnel ordinaires.

Concrètement, cela signifie :

• Une entreprise spécialisée dans la génomique ne peut pas traiter vos données génétiques sur la base d'une case cochée par défaut ou d'une clause cachée dans les conditions d'utilisation. Le consentement doit être donné librement, être spécifique, éclairé et sans ambiguïté.
• Le consentement peut être retiré à tout moment (article 7, paragraphe 3), et le responsable du traitement doit alors cesser le traitement et, sur demande, effacer les données.
• Les données ne peuvent être utilisées qu'aux fins spécifiques pour lesquelles le consentement a été donné. Toute nouvelle utilisation nécessite un nouveau consentement.

Les droits que le RGPD vous confère concernant votre génome

En vertu du RGPD, les personnes physiques disposent d'un ensemble complet de droits concernant leurs données à caractère personnel. En ce qui concerne les données génétiques, les plus pertinents sont les suivants :

• Droit d'accès (art. 15) : vous pouvez demander une copie complète de toutes les données génétiques vous concernant, ainsi que des informations sur la manière dont elles sont traitées et les personnes avec lesquelles elles ont été partagées .
• Droit à l'effacement (art. 17) : vous pouvez demander la suppression définitive de vos données génétiques. Le responsable du traitement doit donner suite à cette demande dans un délai de 30 jours.
• Droit à la portabilité des données (art. 20) : vous pouvez demander que vos données vous soient fournies dans un format structuré et lisible par machine, et les transférer vers un autre prestataire.
• Droit à la limitation du traitement (art. 18) : vous pouvez demander que le traitement soit suspendu le temps qu'un litige ou une opposition soit réglé.
• Droit d'opposition (art. 21) : Vous pouvez vous opposer à certains types de traitement, y compris le profilage.

Il ne s'agit pas là de simples courtoisies. Ce sont des droits juridiquement contraignants, garantis par des autorités de contrôle habilitées à infliger des amendes pouvant atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros.

Le RGPD face à la protection des données génétiques aux États-Unis

Les États-Unis ne disposent pas d'un équivalent fédéral du RGPD pour les données génétiques. Le paysage juridique actuel est fragmenté :

• GINA (2008) : empêche la discrimination génétique de la part des assureurs santé et des employeurs, mais ne s'applique pas à l'assurance vie, à l'assurance dépendance ni à l'assurance invalidité. Elle ne contient aucune disposition concernant le traitement des données, leur stockage ou les obligations en cas de violation.
• HIPAA : s'applique uniquement aux entités concernées (prestataires de soins de santé, assureurs) et à leurs partenaires commerciaux. Les entreprises de génomique grand public qui vendent directement aux consommateurs ne sont généralement pas considérées comme des entités concernées.
• Législations des États : un patchwork. L'Illinois, la Californie et quelques autres États ont adopté des lois sur la confidentialité des données génétiques, mais la plupart des États ne disposent d'aucune loi spécifique sur la protection des données génétiques.

Il en résulte que la politique de confidentialité d'une entreprise de génomique basée aux États-Unis constitue, dans la plupart des cas, un engagement volontaire — et non une obligation légale. Si l'entreprise change de propriétaire, fait faillite ou décide simplement de mettre à jour ses conditions générales, cette politique peut être modifiée. Il n'existe aucune autorité fédérale spécifiquement chargée de veiller au respect de la protection des données génétiques.

Pourquoi la compétence juridictionnelle — et pas seulement la politique — est importante

Il est essentiel de comprendre que les protections prévues par le RGPD sont de nature juridictionnelle. Elles s’appliquent aux données traitées au sein de l’UE, quelle que soit la nationalité de la personne concernée ou le pays d’enregistrement de la société qui les a collectées. Si votre génome est séquencé et analysé dans un laboratoire situé dans l’UE, le RGPD régit l’ensemble du cycle de vie des données — de la réception de l’échantillon à la suppression des données.

Cela signifie que même si vous résidez aux États-Unis, vos données génétiques traitées dans l'UE bénéficient de la protection du RGPD. Il ne s'agit pas d'une option à laquelle vous devez souscrire. C'est une conséquence automatique du lieu où le traitement a lieu.

Le laboratoire partenaire de Dante Labs est situé en Italie, un État membre de l'Union européenne. Chaque génome séquencé par Dante est traité dans le cadre de la réglementation du RGPD. Vos données ne peuvent être vendues, transmises à un tiers, ni utilisées à des fins pour lesquelles vous n'avez pas donné votre consentement explicite — et cette garantie repose sur la législation européenne, et non sur une simple promesse de l'entreprise.

Concrètement, cela signifie

Pour toute personne envisageant de passer un test de séquençage du génome entier, la question de la protection des données devrait revêtir autant d’importance que celle de la fiabilité du test. Les données que vous générez constituent les informations les plus personnelles qui soient — et le cadre juridique qui les régit détermine ce qui peut ou ne peut pas être fait avec ces données, non seulement aujourd’hui, mais pour le reste de votre vie.

Le RGPD n'est pas une certification que l'on obtient pour ensuite l'afficher. Il s'agit de la législation en vigueur dans le pays où vos données sont traitées. Et pour les données génétiques — qui sont permanentes, identifiantes, familiales et prédictives —, il constitue le cadre de protection le plus solide qui existe à l'échelle mondiale.

Consultez notre page complète sur la confidentialité et la gouvernance des données →