Vos données génétiques sont-elles en sécurité? Comment protéger vos renseignements d’ADN

Tout le monde souhaite que ses renseignements de santé restent confidentiels et protégés. Les atteintes à la sécurité des données dans des banques, des laboratoires et des entreprises de tests génétiques font régulièrement les manchettes, et les tests génétiques n’ont jamais été aussi accessibles. Cet article explique pourquoi les données génétiques exigent une protection particulière, ce que dit la loi canadienne, quelles questions poser à une entreprise avant d’acheter un test, comment Pillcheck protège vos données et ce que vous pouvez faire pour sécuriser votre propre compte.

Pourquoi les données génétiques exigent-elles une protection particulière?

La plupart des renseignements personnels peuvent être modifiés après une atteinte à la sécurité. Vous pouvez annuler une carte de crédit ou changer un mot de passe, mais vous ne pouvez pas changer votre ADN. Les données génétiques peuvent aussi révéler des renseignements sur vos parents, vos frères et sœurs, vos enfants et des membres plus éloignés de votre famille, qui n’ont jamais accepté d’être testés.

Même lorsque des données génétiques sont communiquées sans les noms, il est parfois possible de remonter jusqu’à la personne. Dans une étude publiée en 2018, des chercheurs ont estimé qu’une base de données généalogique couvrant seulement environ 2 % d’une population suffirait pour identifier un membre de la famille de presque n’importe qui dans cette population, puis la personne elle-même. C’est pourquoi les données génétiques étendues, comme les fichiers bruts produits par les tests d’ascendance, doivent être communiquées avec prudence.

Que peut-il arriver? Un exemple réel

En 2023, une grande entreprise de tests génétiques offerts directement aux consommateurs a confirmé une atteinte à la sécurité des données touchant près de 7 millions de clients dans le monde, dont près de 320 000 personnes au Canada. Selon une enquête conjointe menée en 2025 par le Commissaire à la protection de la vie privée du Canada et le Commissaire à l’information du Royaume-Uni :

• Le pirate n’est pas entré directement dans les systèmes de l’entreprise. Il a plutôt utilisé des noms d’utilisateur et des mots de passe volés lors d’atteintes antérieures à d’autres sites Web et les a essayés sur la page de connexion de l’entreprise jusqu’à ce que certains fonctionnent, une attaque appelée « bourrage d’identifiants ».
• En cinq mois, le pirate a accédé à plus de 18 000 comptes de clients.
• Grâce à une fonction qui permettait aux clients de communiquer des renseignements à des membres de leur parenté génétique, ces comptes ont exposé des renseignements sur des millions d’autres personnes, notamment des renseignements sur la santé, l’origine ethnique, l’année de naissance et le lieu de résidence.
• Les commissaires ont conclu que l’entreprise n’avait pas mis en place de mesures de protection adéquates pour ces renseignements très sensibles et n’avait pas signalé l’atteinte correctement.

Deux leçons s’en dégagent. D’abord, la sécurité d’une entreprise de tests génétiques est importante. Ensuite, vos propres habitudes en matière de mots de passe le sont aussi : la réutilisation d’un mot de passe d’un autre site Web a suffi pour ouvrir la porte.

Que dit la loi canadienne sur les tests génétiques?

La Loi sur la non-discrimination génétique fédérale est entrée en vigueur en 2017, et la Cour suprême du Canada l’a confirmée en 2020. Personne ne peut vous obliger à subir un test génétique, ou à en communiquer les résultats, comme condition pour vous fournir des biens ou des services ou pour conclure un contrat, y compris un contrat d’assurance.

Comme le souligne le Commissariat à la protection de la vie privée du Canada, le Parlement a clairement indiqué que les Canadiens ne devraient pas avoir à choisir entre une possible discrimination et un test génétique, surtout si ce test pouvait améliorer leur santé et leur bien-être. Les lois fédérales et provinciales sur la protection des renseignements personnels encadrent aussi la façon dont les entreprises recueillent, utilisent et communiquent les renseignements personnels, y compris les renseignements génétiques.

Quelles questions poser à une entreprise de tests génétiques?

Le Commissariat à la protection de la vie privée du Canada propose une liste de questions à poser avant d’acheter un test génétique offert directement aux consommateurs. Essentiellement, une entreprise ne devrait demander que les renseignements personnels dont elle a besoin pour fournir le service. Voici de bonnes questions à poser :

• Quel est l’objectif du test (santé, ascendance, paternité) et correspond-il à vos attentes?
• Quels renseignements personnels l’entreprise recueillera-t-elle en plus de votre échantillon, et comment les traitera-t-elle et les protégera-t-elle?
• Avec qui l’entreprise propose-t-elle de communiquer vos résultats, par exemple des chercheurs, des sociétés pharmaceutiques, des spécialistes du marketing ou des sociétés affiliées? Vous a-t-on demandé d’y consentir librement et par écrit? Vous avez le droit de refuser ces communications.
• Qu’advient-il de votre échantillon d’ADN après le test?
• L’entreprise met-elle vos résultats à jour à mesure que la science évolue, et facture-t-elle ces mises à jour?

Les résultats pharmacogénétiques peuvent-ils servir à vous identifier?

Les tests d’ascendance analysent des centaines de milliers de marqueurs génétiques répartis dans l’ensemble du génome. Cette étendue est nécessaire pour estimer l’ascendance et trouver des membres de la parenté, mais elle crée aussi une empreinte génétique unique pour chaque personne testée.

Un test pharmacogénétique clinique est très différent. Pillcheck analyse seulement un ensemble défini de variations bien établies dans 24 gènes qui influencent la réponse de votre corps aux médicaments. Ce n’est pas assez d’information génétique pour vous identifier ou trouver des membres de votre famille, et le test n’évalue pas votre risque de maladie.

Comment Pillcheck protège-t-il vos données?

La protection de la vie privée dès la conception est un principe fondamental chez GeneYouIn, l’entreprise derrière Pillcheck, depuis le début. Nos systèmes ont été conçus pour :

• conserver les différents types de données dans des emplacements distincts, les données génétiques étant stockées séparément de vos renseignements personnels;
• appliquer un chiffrement robuste;
• communiquer vos résultats à vos professionnels de la santé seulement avec votre consentement;
• exiger l’authentification à deux facteurs pour chaque compte client, de sorte qu’un mot de passe volé ne suffit pas pour accéder à votre compte.

Votre échantillon est identifié par un code-barres unique, de sorte qu’aucun renseignement personnel ne figure sur l’échantillon, et le laboratoire qui l’analyse ne détient pas vos renseignements d’identification. Seules les variations liées à la réponse aux médicaments du panel Pillcheck sont analysées; le reste de votre ADN n’est pas examiné, et l’échantillon restant est détruit une fois le test terminé. Nous testons et surveillons aussi régulièrement nos systèmes.

Vos gènes ne changent pas, alors votre rapport Pillcheck reste pertinent toute votre vie. À mesure que de nouvelles lignes directrices sont publiées, votre rapport est mis à jour gratuitement, et Pillcheck vous avise lorsqu’un rapport à jour est déposé dans le portail sécurisé Pillcheck. Chaque rapport porte un identifiant de version, afin que vous et vos professionnels de la santé sachiez quelle version vous consultez.

Comment protéger votre propre compte?

Comme pour tout compte contenant des renseignements de santé sensibles, restez attentif aux tentatives d’accès à votre compte Pillcheck. Les courriels et les textos d’hameçonnage peuvent sembler convaincants et paraître provenir d’un service que vous utilisez. Ils cherchent à vous faire ouvrir une pièce jointe, cliquer sur un lien menant à un faux site Web ou envoyer des renseignements personnels.

• Utilisez un mot de passe robuste et unique pour votre compte Pillcheck, et ne réutilisez jamais un mot de passe d’un autre site Web. Un gestionnaire de mots de passe peut vous aider.
• Protégez votre deuxième facteur. Pillcheck exige l’authentification à deux facteurs pour chaque compte. Ne communiquez jamais un code de vérification à qui que ce soit, y compris à une personne qui dit travailler pour Pillcheck, et communiquez avec nous si vous recevez un code que vous n’avez pas demandé.
• N’ouvrez pas les pièces jointes inattendues. Votre rapport Pillcheck est accessible uniquement dans le portail Pillcheck, une fois connecté. Il n’est jamais envoyé en pièce jointe par courriel.
• Accédez vous-même au portail. Ajoutez la page de connexion du portail Pillcheck (portal.pillcheck.net) à vos favoris et utilisez ce favori plutôt que les liens reçus par courriel. Vérifiez l’adresse Web exacte avant de vous connecter. Un cadenas ou « https » ne prouve pas à lui seul qu’un site est authentique, car de nombreux sites d’hameçonnage les utilisent aussi.
• Conservez les copies téléchargées en lieu sûr. Si vous téléchargez votre rapport pour le communiquer à votre médecin ou à votre pharmacien, conservez-le dans un endroit sécurisé. Le portail contient toujours la version la plus récente.
• Communiquez avec nous si quelque chose vous semble suspect, par exemple un message qui crée un faux sentiment d’urgence, menace de conséquences immédiates ou vous demande de renvoyer des renseignements personnels par courriel.

Comment Pillcheck peut-il vous aider?

Le test pharmacogénétique aide votre médecin et votre pharmacien à choisir les médicaments et les doses les plus susceptibles de vous convenir, avec moins d’effets secondaires. Pillcheck combine un simple prélèvement à l’intérieur de la joue et un rapport personnalisé que vous contrôlez et pouvez communiquer à vos professionnels de la santé.

Les tests Pillcheck sont effectués dans des laboratoires de génétique clinique accrédités CAP et COLA situés au Canada. Pillcheck rapporte 24 gènes, en élargissant sa couverture au fil des nouvelles lignes directrices et monographies (voir l’onglet des gènes), et couvre 355 médicaments, qui représentent plus de 70 % des ordonnances délivrées. Le panel de test Pillcheck assure une grande précision pour les personnes d’ascendance non européenne et mixte. Vos résultats sont valables à vie, et les mises à jour du rapport sont gratuites.

À lire aussi : Puis-je utiliser les résultats de mon test génétique d’ascendance pour obtenir un rapport Pillcheck?

Résumé

• Les données génétiques sont permanentes et peuvent révéler des renseignements sur les membres de votre famille; elles exigent donc une protection particulière.
• En 2023, une atteinte à la sécurité des données chez une entreprise de tests génétiques a exposé des renseignements sur près de 7 millions de personnes, à partir de mots de passe réutilisés.
• La Loi sur la non-discrimination génétique du Canada vous protège contre l’obligation de subir un test génétique ou d’en communiquer les résultats.
• Avant d’acheter un test, demandez ce que l’entreprise recueille, avec qui elle communique les résultats et ce qu’il advient de votre échantillon.
• Pillcheck analyse seulement un petit ensemble de variations liées à la réponse aux médicaments, conserve séparément les données génétiques et personnelles, détruit l’échantillon restant après le test et exige l’authentification à deux facteurs pour chaque compte.
• Protégez votre propre compte avec un mot de passe unique, ne communiquez jamais vos codes de vérification et accédez au portail au moyen de votre propre favori.

Questions fréquentes

Mon employeur ou mon assureur peut-il m’obliger à communiquer les résultats de mon test génétique?

Non. En vertu de la Loi sur la non-discrimination génétique du Canada, personne ne peut vous obliger à subir un test génétique ou à en communiquer les résultats comme condition d’un contrat, y compris un contrat d’assurance, ou de la fourniture de biens ou de services.

Mes résultats Pillcheck peuvent-ils servir à retrouver des membres de ma famille?

Non. Pillcheck analyse seulement un petit ensemble de variations dans des gènes liés à la réponse aux médicaments. C’est beaucoup trop peu d’information pour vous identifier ou trouver des membres de votre famille, contrairement aux données étendues produites par les tests d’ascendance.

Qu’advient-il de mon échantillon d’ADN après le test?

Seules les variations liées à la réponse aux médicaments du panel Pillcheck sont analysées. Le reste de votre ADN n’est pas examiné, et l’échantillon restant est détruit une fois le test terminé.

Comment mon compte Pillcheck est-il protégé?

Chaque compte du portail Pillcheck exige l’authentification à deux facteurs. En plus de votre mot de passe, vous avez besoin d’un code de vérification à usage unique pour vous connecter, de sorte qu’un mot de passe volé ou deviné ne suffit pas. Vos données sont aussi chiffrées, et les données génétiques sont stockées séparément de vos renseignements personnels.

Pillcheck m’enverra-t-il un jour mon rapport en pièce jointe par courriel?

Non. Votre rapport est accessible uniquement dans le portail sécurisé Pillcheck, une fois connecté. Si vous recevez un courriel avec une pièce jointe qui prétend être votre rapport, ne l’ouvrez pas et communiquez avec nous.

Références

1. Commissariat à la protection de la vie privée du Canada. Conclusions en vertu de la LPRPDE no 2025-001 : Enquête conjointe menée par le Commissaire à la protection de la vie privée du Canada et le Commissaire à l’information du Royaume-Uni sur une atteinte à la sécurité des données survenue chez 23andMe. Juin 2025. priv.gc.ca
2. Erlich Y, Shor T, Pe'er I, Carmi S. Identity inference of genomic data using long-range familial searches. Science. 2018;362(6415):690-694. doi:10.1126/science.aau4832
3. Loi sur la non-discrimination génétique, L.C. 2017, ch. 3. laws-lois.justice.gc.ca
4. Renvoi relatif à la Loi sur la non-discrimination génétique, 2020 CSC 17.
5. Commissariat à la protection de la vie privée du Canada. Déclaration de principes concernant la collecte, l’utilisation et la communication des résultats de tests génétiques. priv.gc.ca
6. Commissariat à la protection de la vie privée du Canada. Tests génétiques offerts directement aux consommateurs et protection de la vie privée. priv.gc.ca