Vous n'avez pas envoyé un tube de salive. Vous avez envoyé une carte. Une carte de ce que vous êtes, d'où vous venez, et à qui vous êtes lié par le sang. Et cette carte, on vous l'a d'abord volée. Puis, quand l'entreprise qui la gardait s'est effondrée, on l'a mise sur la table des négociations.

C'est cela, l'histoire de 23andMe, racontée sans détour. Elle mérite qu'on s'y arrête, non pas pour s'indigner une après-midi, mais parce qu'elle dit quelque chose de très simple sur la manière dont nous confions aujourd'hui ce que nous avons de plus intime.

VIDÉO · 29 SECONDES

Presque tout le monde a un secret. Presque personne n'a d'endroit sûr pour le garder.

Découvrez comment Everkeep garde vos données les plus privées hors ligne — numérotées, scellées, surveillées.

Commencer à protéger — CAD 187 dollars canadiens/an

Ce que vous avez vraiment confié

Un mot de passe, on le change. Un compte, on le ferme. Une photo, à la rigueur, on peut espérer qu'elle s'efface avec le temps. Un génome, non.

Votre ADN ne se change pas comme un code. Il ne s'oublie pas, il ne se révoque pas. Et il ne parle pas seulement de vous : il parle de vos parents, de vos enfants, de vos frères et sœurs, de cousins que vous n'avez peut-être jamais rencontrés. Quand vous déposez un échantillon dans une enveloppe, vous déposez en réalité un document qui concerne toute une famille, sans que cette famille ait signé quoi que ce soit.

C'est la première chose à comprendre, avant même de parler d'entreprise ou de technologie. Ce que vous avez confié n'était pas un fichier parmi d'autres. C'était une carte d'identité biologique, définitive, partagée. Et une fois qu'elle est sortie de vos mains, vous ne pouvez plus la reprendre.

D'abord, on l'a volée

En octobre 2023, la presse a rapporté une fuite de données d'utilisateurs de 23andMe. Des informations personnelles liées à des comptes ont circulé hors de tout contrôle. L'entreprise a réagi, comme les entreprises réagissent toujours : communiqués, mesures de sécurité renforcées, conseils de prudence adressés aux utilisateurs.

Mais regardez la séquence avec du recul. Vous aviez confié vos données à un système centralisé, protégé par un mot de passe et par la promesse d'une grande entreprise. Et un jour, quelqu'un d'autre y a eu accès. Ce n'est pas une anomalie exotique. C'est le risque structurel de tout coffre dont la clé est un compte en ligne : il suffit d'une faille, d'une négligence, d'un maillon faible, pour que la porte s'ouvre.

En France, nous avons une sensibilité particulière à cette question. La CNIL existe parce que nous avons appris, parfois à nos dépens, que la centralisation des données personnelles n'est jamais neutre. Un fichier unique, consultable à distance, bien rangé, bien indexé, c'est aussi un fichier unique, consultable à distance, bien rangé, bien indexé — par quelqu'un d'autre que vous. La commodité et l'exposition sont les deux faces de la même pièce.

Ensuite, on l'a mise en vente

En mars 2025, 23andMe a demandé la protection contre ses créanciers, l'équivalent américain d'une procédure de faillite. Et soudain, la question n'était plus « vos données sont-elles en sécurité ? », mais « à qui vont-elles appartenir demain ? ».

Car c'est ainsi que fonctionne une entreprise : quand elle vacille, ses actifs se négocient. Ses bureaux, ses brevets, ses marques — et ses bases de données. Des millions de personnes qui avaient cru confier quelque chose à une entreprise de génétique se sont retrouvées à se demander si leur carte intime allait changer de propriétaire, être reprise par un acheteur aux intentions inconnues, être exploitée dans un cadre qu'elles n'avaient jamais accepté.

On peut discuter des détails juridiques, des garanties promises, des déclarations rassurantes publiées à ce moment-là. Mais le point essentiel ne change pas : vous aviez confié l'irrévocable au révocable. Votre génome, qui ne change jamais, reposait sur la santé financière d'une société, qui change tout le temps. Une société peut faire faillite. Elle peut être rachetée. Ses conditions d'utilisation peuvent être réécrites d'une page à l'autre. Votre ADN, lui, reste le même.

C'est la deuxième leçon, plus dure que la première. La fuite est un accident. La faillite est une destinée possible de toute entreprise. Confier ce qui ne peut pas être repris à une structure qui peut disparaître, c'est accepter que le sort de vos données dépende d'un bilan comptable.

L'illusion du « grand acteur responsable »

Il y a une croyance tenace, surtout quand on n'est pas spécialiste : une grande entreprise, bien connue, valorisée, couverte par la presse, prendra soin de vos données parce qu'elle y a intérêt. Son image est en jeu, ses équipes sont compétentes, ses serveurs sont gardés.

Cette croyance confond deux choses : la compétence technique et la permanence. Une entreprise peut être excellente en sécurité informatique et disparaître quand même. Elle peut être parfaitement honnête et être rachetée par quelqu'un qui ne partage pas ses engagements. Elle peut tenir ses promesses pendant dix ans et les réécrire le onzième, parce que ses nouveaux propriétaires, ses nouveaux créanciers ou ses nouvelles contraintes l'exigent.

Un compte en ligne est un point unique de défaillance. Il concentre l'accès, il centralise la décision, il repose sur des conditions que vous n'avez pas négociées et que vous ne contrôlez pas. Quand tout va bien, on ne le voit pas. Quand ça va mal, on découvre d'un coup l'étendue de ce qu'on avait délégué : non seulement la garde, mais le droit de décider du destin de ce qu'on a déposé.

Les Français connaissent bien ce réflexe de prudence dans d'autres domaines. On ne confie pas ses papiers de famille à une société dont on ne connaît ni les locaux ni les responsables, simplement parce que son site est bien fait. On les confie à quelqu'un dont on connaît le nom, le bureau, la manière de travailler — ou on les garde chez soi, sous clé. Pourquoi accepterions-nous moins d'exigence pour ce qui nous définit biologiquement que pour un acte notarié ?

La certitude ne s'achète pas, elle se construit

Alors que faire ? La réponse n'est pas de renoncer à toute conservation, ni de vivre dans la peur. Elle est de remettre la question à l'endroit : avant de confier quelque chose, demandez-vous qui en aura la garde, dans quelles conditions, et ce qui se passera dans le pire des cas.

La certitude, en matière de conservation, ne vient pas d'une promesse commerciale. Elle vient d'un dispositif dont vous pouvez vérifier chaque élément : un objet identifié par un numéro, scellé sous vos yeux, photographié à la réception, conservé hors ligne, hors de portée de tout réseau, de tout compte, de tout serveur. Un dispositif où personne ne peut « consulter » vos données à distance, parce qu'il n'y a rien à consulter à distance : il n'y a qu'un support physique, fermé, numéroté, gardé par des personnes identifiables, selon une procédure écrite.

C'est là que la technique reprend sa juste place, en note de bas de page : le chiffrement protège le contenu, la déconnexion protège l'accès, mais ni l'un ni l'autre ne remplace la confiance dans les mains qui gardent. Ce qui compte, c'est la chaîne humaine : qui reçoit, qui vérifie, qui scelle, qui conserve, et qui peut en témoigner.

Une garde sérieuse se reconnaît d'ailleurs à sa discipline ordinaire. Tous les six mois, un contrôle visuel : le sceau est-il intact, l'extérieur est-il en bon état, une photographie atteste-t-elle de l'état de conservation ? Aucun contact avec le contenu, aucune ouverture, aucune manipulation. Et si un contrôle plus approfondi est un jour souhaité, il n'a lieu que sur votre demande écrite, explicite, préalable. Jamais par défaut, jamais par routine. C'est cette retenue qui fait la confiance : on ne touche pas à ce qu'on garde, sauf si vous l'avez expressément demandé.

Confier à des personnes, pas à un bilan

L'histoire de 23andMe ne parle pas seulement de génétique. Elle parle de tout ce que nous confions aujourd'hui à des entreprises qui peuvent changer de mains, de politique ou d'existence. Des photos, des lettres, des journaux, des documents de famille, tout ce qui, une fois vu, ne peut plus être « dé-vu ».

La leçon est simple, et elle vaut pour chacun de ces dépôts : ne confiez l'irrévocable qu'à ce qui ne dépend pas d'un cours de Bourse. Un support hors ligne n'a pas de bilan. Un sceau numéroté ne fait pas faillite. Une procédure vérifiée par deux personnes ne se réécrit pas d'un clic. Et un contrat qui prévoit noir sur blanc ce qui se passe dans le pire des cas — qui reçoit, qui détruit, qui atteste — vaut mieux que toutes les pages de conditions générales que personne ne lit.

Vous n'avez pas besoin d'un système plus intelligent. Vous avez besoin d'un gardien identifiable, d'une procédure visible, et d'une certitude qui ne dépende de personne d'autre que de ceux à qui vous l'avez confiée. C'est cela, confier : non pas remettre ses secrets à une entreprise en espérant qu'elle dure, mais les remettre à des personnes, selon des règles écrites, dans un lieu où personne d'autre ne peut les atteindre.

La carte de vous-même ne devrait jamais être un actif négociable. Elle devrait être un dépôt, scellé, numéroté, gardé — et rendu, ou détruit, exactement comme vous l'avez décidé, quoi qu'il arrive autour.