Communiqué

Les autorités de protection de la vie privée du Canada et du Royaume-Uni défendent la protection des données pendant la procédure relative à la faillite de 23andMe

Le 1er mai 2025

Le Commissariat à la protection de la vie privée du Canada et le Commissariat à l’information du Royaume-Uni ont envoyé une lettre conjointe au syndic de faillite américain chargé de superviser la procédure relative à la faillite de 23andMe. Cette lettre a pour but de présenter les obligations en matière de protection de la vie privée prévues par les lois du Canada et du Royaume-Uni dans ce domaine.

Le Commissaire à la protection de la vie privée du Canada, Philippe Dufresne, et le Commissaire à l’information du Royaume-Uni, John Edwards, ont lancé une enquête conjointe en juin 2024 sur l’atteinte à la sécurité des données à l’échelle mondiale survenue à l’entreprise qui vend des services de dépistage génétique directement aux consommateurs.

23andMe s’est récemment placée sous la protection du chapitre 11 de la loi sur les faillites aux États-Unis afin de permettre la vente de l’entreprise. Cette possible vente a suscité l’inquiétude des clients canadiens quant à la manière dont leurs renseignements personnels, notamment les échantillons d’ADN, les données génétiques, l’adresse, les renseignements relatifs au paiement et d’autres renseignements, pourraient être communiqués et utilisés à l’avenir.

Le 28 avril 2025, les deux autorités de protection de la vie privée ont envoyé une lettre au syndic de faillite qui supervise la procédure, afin que ce dernier veille à ce que le traitement de tout renseignement personnel concernant des individus situés au Royaume-Uni et au Canada se fasse dans le respect des lois en matière de protection des renseignements personnels en vigueur dans les deux pays.

Au cours d’une procédure au titre du chapitre 11 qui a eu lieu le 29 avril, un juge de faillite a ordonné la nomination d’un ombudsman chargé de la protection de la vie privée des consommateurs. Le rôle de ce dernier consistera notamment à examiner la manière dont les renseignements personnels des clients, dont leurs données génétiques, sont traités afin d’aider la Cour à prendre des décisions éclairées durant la procédure relative à la faillite.

Le Commissariat à la protection de la vie privée du Canada et le Commissariat à l’information du Royaume-Uni prévoient de communiquer avec l’ombudsman afin de lui fournir des renseignements sur les obligations prévues par les lois sur la protection de la vie privée en vigueur dans les deux pays.

La faillite de 23andMe pourrait entraîner la vente ou le transfert de renseignements personnels sensibles concernant des millions de clients dans le monde entier. La lettre a été envoyée aux autorités américaines en vue de leur rappeler que les obligations générales prévues par la Loi sur la protection des renseignements personnels et les documents électroniques, la loi fédérale sur la protection des renseignements personnels dans le secteur privé au Canada, continueront de s’appliquer aux renseignements personnels actuellement confiés à 23andMe, peu importe qui sera le propriétaire de l’entreprise à l’avenir.

L’enquête conjointe est un exemple important qui illustre comment la collaboration en matière de réglementation peut mieux servir à s’attaquer à des problèmes de portée mondiale.

La mise en commun des ressources et de l’expertise des deux commissariats permet d’optimiser l’impact de ces derniers en ce qui concerne la protection et la promotion du droit fondamental à la vie privée des individus partout dans le monde. Les commissariats ont fait part à 23andMe de leurs conclusions provisoires et comptent publier leur décision définitive dans les semaines à venir.

Citations

« 23andMe détient des renseignements personnels très sensibles, notamment de l’ADN, de millions de clients. Le Commissariat suit de près la vente de 23andMe pour s’assurer que tout renseignement personnel concernant des individus situés au Canada est traité conformément à notre loi fédérale sur la protection des renseignements personnels dans le secteur privé. Il s’agit d’une situation de la plus haute importance compte tenu des préoccupations majeures que les Canadiennes et les Canadiens peuvent avoir quant à la protection de leurs renseignements personnels à l’avenir, surtout si l’on considère que certaines données ont déjà fait l’objet d’une atteinte. »

Philippe Dufresne
Commissaire à la protection de la vie privée du Canada

« L’entreprise 23andMe détient des renseignements qui sont parmi les plus personnels et les plus sensibles qui soit à propos de ses clients, tels que des données génétiques, des rapports sur leur état de santé et des problèmes de santé déclarés par les clients. Cette semaine, nous avons écrit au syndic de faillite américain pour lui rappeler de protéger ces données sensibles pendant et après la procédure relative à la faillite de l’entreprise. Les citoyens du Royaume-Uni doivent avoir la certitude que leurs renseignements personnels seront protégés contre toute utilisation non autorisée ou malveillante durant la procédure ainsi que dans le cadre d’une possible vente de l’entreprise ou de ses actifs. Nous sommes là pour défendre leurs intérêts et nous n’hésiterons pas à prendre des mesures contre 23andMe ou tout acheteur éventuel si nous constatons que les lois en matière de protection des renseignements personnels ne sont pas respectées. »

John Edwards
Commissaire à l’information du Royaume-Uni

Liens connexes

• Lettre conjointe sur la protection des renseignements personnels pendant la procédure relative à la faillite de 23andMe Holding Co.
• Communiqué – Les autorités de protection de la vie privée du Canada et du Royaume-Uni ont lancé une enquête conjointe sur l’atteinte à la sécurité des données de 23andMe (10 juin 2024)

Relations avec les médias

Commissariat à la protection de la vie privée du Canada
communications@priv.gc.ca

Commissariat à l’information du Royaume-Uni
pressoffice@ico.org.uk