F. GESTION DES DONNÉES GÉNÉTIQUES
1. Encadrement en France
Lors de son audition par les rapporteurs, la Cnil a rappelé que les données de génétique constitutionnelle revêtaient un caractère particulier pour plusieurs raisons :
- ces données sont immuables. Les informations génétiques constitutionnelles d'une personne restent inchangées tout au long de sa vie, à la différence de résultats d'une prise de sang par exemple ;
- elles contiennent des informations particulièrement sensibles qui concernent non seulement la santé de la personne, mais peuvent également, pour les méthodes d'analyse pangénomiques comme le séquençage de l'exome ou du génome entier, révéler des caractéristiques de la personne telles que son origine géographique ;
- ces données sont également « pluripersonnelles », puisque leur caractère héréditaire implique les apparentés de la personne testée ;
- les connaissances scientifiques concernant le génome évoluent constamment. La même séquence ADN pourra être interprétée différemment quelques mois ou années après la réalisation du test ;
- les évolutions technologiques ayant facilité le déploiement des méthodes d'examen génétique, la massification des données disponibles « renforce encore leur sensibilité ».
Les données génétiques étant considérées comme sensibles selon le Règlement général sur la protection des données (RGPD), leur traitement est interdit par défaut, sauf dans des cas précis tels que la prise en charge médicale ou la recherche scientifique.
Concernant le traitement et le stockage des données à des fins médicales, la Cnil rappelle que les textes en vigueur ont mis en place une série de dispositions garantissant leur sécurité : encadrement par la politique générale de sécurité des systèmes d'information de santé (PGSSI-S)517(*), certification des hébergeurs de données de santé (HDS)518(*) ou encore renforcement de l'identitovigilance519(*).
La conservation de l'information peut concerner les échantillons biologiques d'ADN, les données génétiques brutes obtenues suite à l'examen, ou le compte-rendu d'analyse des données. Une réflexion est en cours sur la durée de conservation des données issues du séquençage qui sont, dans le cadre du soin, conservées par les laboratoires ayant effectué l'examen.
2. En contexte de recherche
Des données génétiques peuvent également être collectées dans le cadre de la recherche. Là aussi un cadre strict s'applique, et une autorisation de la Cnil est nécessaire pour tout projet impliquant le traitement de ces données. Celle-ci est également saisie de demandes d'autorisation de création d'entrepôts de données de santé (EDS), pour le cas où les données collectées ont vocation à être réutilisées520(*).
La plupart du temps, les données collectées à des fins de recherche sont des données pseudoanonymisées, à la différence des données traitées dans le cadre du soin, pour lesquelles un lien avec l'identité du patient doit être maintenu, à des fins d'identitovigilance notamment.
Les passerelles entre le soin et la recherche existent. Par exemple, des échantillons d'ADN collectés dans le cadre du soin peuvent, sur consentement éclairé et écrit du patient, être ensuite utilisés dans le cadre de la recherche, par exemple pour certaines pathologies d'intérêt. Dans le cadre d'examens réalisés par les plateformes du PFMG, les patients sont interrogés sur leur souhait ou non que leurs échantillons biologiques et/ou les données issues du séquençage puissent être utilisées à des fins de recherche521(*).
Le sujet des données génétiques fait aussi débat dans d'autres pays. Ainsi, le projet de recherche britannique UK Biobank, qui a permis de collecter un grand nombre de données sur plusieurs centaines de milliers de Britanniques, y compris des résultats d'analyse de sang, d'imagerie et de séquençage génétique, a récemment été critiqué pour sa gestion de la sécurité des données des participants. Des données issues du projet de recherche ont en effet été mises à disposition sur des sites en accès libre par des chercheurs ayant reçu une autorisation d'accès aux données522(*). Cet exemple illustre l'importance d'un cadre adéquat de protection des données dans le cadre de la recherche. Les professionnels entendus par les rapporteurs souhaitent que ce cadre soit suffisamment souple pour permettre aux chercheurs un accès aux données accumulées grâce aux nouvelles techniques d'analyse génétique, porteuses d'espoir pour une meilleure compréhension et prise en charge de nombreuses pathologies.
* 517 Agence du numérique en santé, « Politique générale de sécurité des systèmes d'information de santé », https://esante.gouv.fr/securite/politique-generale-de-securite-des-systemes-d-information-de-sante
* 518 Agence du numérique en santé, « Certification Hébergeur de Données de Santé », https://esante.gouv.fr/produits-services/hds
* 519 Ministère de la santé, de la famille, de l'autonomie et des personnes handicapées, « Identitovigilance », 2024, https://sante.gouv.fr/soins-et-maladies/qualite-securite-et-pertinence-des-soins/securite-des-prises-en-charge/securite-des-soins-et-des-patients/article/identitovigilance
* 520 Commission nationale de l'informatique et des libertés (Cnil), « Traitements de données de santé : comment faire la distinction entre un entrepôt et une recherche et quelles conséquences ? », 2023, https://www.cnil.fr/fr/traitements-de-donnees-de-sante-comment-faire-la-distinction-entre-un-entrepot-et-une-recherche-et
* 521 Audition par les rapporteurs de l'équipe de coordination du PFMG le 19 janvier 2026, op. cit.
* 522 H. Devlin et T. Burgis, « Confidential health records from UK BioBank project exposed online », The Guardian, 14 mars 2026, https://www.theguardian.com/science/2026/mar/14/confidential-health-records-exposed-online-uk-biobank