TL;DR : 23andMe possédait les profils génétiques de 14 millions de personnes. Avec la faillite déclarée en 2025, ces données sont des actifs susceptibles d’être vendus à un acheteur inconnu. Les Canadiens ont des droits — et une démarche concrète pour demander la suppression maintenant. Ce guide explique ce qui se passe, ce que ça signifie pour les données canadiennes, et quoi faire immédiatement.
En 2023, des hackers ont exfiltré les données génétiques de 6,9 millions d’utilisateurs de 23andMe. En 2025, l’entreprise a déclaré faillite.
La base de données génétique de 14 millions de personnes — incluant des centaines de milliers de Canadiens — est maintenant un actif dans une procédure de liquidation américaine.
C’est exactement le scénario que les défenseurs de la vie privée avaient identifié comme le risque ultime des tests ADN commerciaux.
Ce qui s’est passé avec 23andMe
2006-2024 : 23andMe construit une base de données de 14 millions de profils génétiques. Le modèle économique initial reposait sur la vente de tests à 99-249 $ et sur la monétisation des données de recherche — des partenariats avec des entreprises pharmaceutiques comme GSK (Glaxo Smith Kline a payé 300 millions $ US en 2018 pour un accès à la recherche).
Octobre 2023 : Une attaque par credential stuffing (réutilisation de mots de passe) expose les données de 6,9 millions d’utilisateurs — profils génétiques, ancêtres, parenté avec d’autres utilisateurs.
2024 : 23andMe commence à restructurer, licencie 40% de ses effectifs, tente de se vendre.
Mars 2025 : Déclaration de faillite (Chapter 11) aux États-Unis. Les actifs — incluant la base de données génétique — sont mis en vente.
Pourquoi l’ADN est différent de toutes les autres données
L’ADN contient des informations sur toi, mais aussi sur des gens qui n’ont jamais consenti à partager leur ADN.
Ta mère, ton père, tes frères, sœurs, enfants partagent 50% de ton ADN. Tes cousins partagent 12,5%. Quand tu soumets ton ADN à 23andMe, tu révèles aussi des informations génétiques sur ta famille entière — sans leur consentement.
Des recherches ont montré que, avec une base de données suffisamment large, il est possible d’identifier n’importe qui — même des personnes qui n’ont jamais fait de test ADN — en comparant avec les profils de leurs proches.
Ce que l’ADN révèle sur toi :
- Prédispositions génétiques à certaines maladies (Alzheimer, cancers, maladies cardiaques)
- Origine ethnique et ancestrale
- Relations biologiques (paternité, fratrie)
- Caractéristiques physiques (couleur des yeux, type de cheveux, sensibilité à certains médicaments)
Ces informations ne peuvent pas être changées. Jamais.
Ce que la faillite signifie pour les données canadiennes
La loi américaine s’applique
23andMe est une entreprise américaine. Sa faillite est régie par le chapitre 11 du Code américain des faillites. Un tribunal américain supervisera la vente des actifs.
Un acheteur américain ou étranger qui achète la base de données génétique n’est pas directement lié par les lois canadiennes de protection des données — la LPRPDE s’applique aux entreprises opérant au Canada, pas nécessairement à une entité qui achète des actifs de données hors du Canada.
La Loi canadienne sur la non-discrimination génétique
La Loi (2017) interdit aux assureurs vie et maladie canadiens d’exiger des tests génétiques ou d’utiliser des résultats génétiques pour refuser une couverture ou ajuster les primes.
Ce qu’elle ne fait pas :
- Elle ne protège pas tes données déjà dans une base américaine
- Elle ne s’applique pas aux assureurs dans d’autres pays
- Elle ne couvre pas toutes les formes de discrimination potentielle
Les données de recherche partagées
Si tu avais consenti au programme de recherche de 23andMe, tes données génétiques ont probablement été partagées sous forme agrégée ou dépersonnalisée avec des partenaires pharmaceutiques. Ces copies ne peuvent pas être supprimées rétroactivement.
Comment supprimer tes données maintenant
Étape 1 — Supprimer ton compte
- Aller sur
23andme.com - Se connecter → Settings
- 23andMe Data → Delete data
- Suivre la procédure de confirmation
23andMe s’engage à supprimer le profil génétique numérique dans les 30 jours.
Étape 2 — Demander la destruction de l’échantillon physique
Si tu avais conservé ton échantillon de salive en stockage chez 23andMe :
- Settings → Biobank sample → Discard sample
- Confirmation par email
L’échantillon physique est détruit dans les 60 jours selon leur politique.
Étape 3 — Télécharger tes données d’abord
Avant de supprimer, tu peux télécharger tes données génétiques brutes (fichier .zip contenant ton génotype).
Settings → 23andMe Data → Download data
Ces données raw peuvent être analysées via des outils comme Promethease ou OpenSNP pour accéder à ta propre information génétique sans dépendre de 23andMe.
Étape 4 — Vérifier les données de recherche
Settings → Research & Product Consents — vérifier ce que tu as consenti à partager et avec qui.
Les autres services génétiques — même logique
| Service | Propriétaire | Incident notable | Démarche suppression |
|---|---|---|---|
| 23andMe | En faillite | 2023 : 6,9M profils volés | 23andme.com/settings |
| Ancestry.com | Blackstone | Aucun incident majeur connu | support.ancestry.com |
| MyHeritage | Fondateurs israéliens | 2018 : 92M emails/mots de passe | myheritage.com/privacy |
| FamilyTreeDNA | Auto-financé | 2019 : collaboration FBI sans mandat | ftdna.com/privacy |
Règle générale : Avant tout test ADN commercial, lire la section “Research” des termes de service. Si l’entreprise a un programme de recherche ou des partenariats pharmaceutiques, tes données agrégées peuvent être monétisées.
Recommandations
Immédiatement si tu as un compte 23andMe :
- Télécharger tes données brutes (pour conserver ton accès à l’information)
- Demander la destruction de l’échantillon physique
- Supprimer ton compte
Pour les autres services :
- Ancestry, MyHeritage : vérifier les paramètres de partage de recherche
- FamilyTreeDNA : vérifier si tu as consenti au partage avec les forces de l’ordre
Avant tout futur test ADN :
- Lire les termes de service complets — chercher “research” et “third party”
- Choisir des services dont le modèle économique ne repose pas sur la monétisation des données (tests médicaux via médecin, avec cadre légal de confidentialité médicale)
→ Comprendre les autres données à longue durée de vie : Biométrie, ADN, seed phrase — données à risque 10+ ans → Ce que Clearview AI fait avec ton visage : Clearview AI opt-out Canada
