Une experte en protection des données alerte sur les vides juridiques du RGPD concernant les données des fœtus et des défunts, un enjeu éthique et sociétal majeur.

En images

Dans un contexte marqué par les fuites massives de données de santé, comme celles de l’UNSS ou de Cegedim Santé, de nouvelles questions éthiques et juridiques émergent. Selon Guillemette Songy, Privacy Officer chez Adequacy, le Règlement Général sur la Protection des Données (RGPD), conçu pour protéger les « personnes physiques », révèle ses limites aux deux extrémités de la vie. Les données des enfants à naître et des personnes décédées évoluent aujourd’hui dans une zone grise, posant des défis inédits en matière de droit, de dignité et d’héritage numérique.

Le fœtus : une donnée sans sujet de droit ?

L’un des paradoxes les plus troublants du droit numérique actuel concerne les données prénatales. Juridiquement, en France, la personnalité juridique s’acquiert à la naissance. Le fœtus n’est donc pas considéré comme une « personne concernée » au sens du RGPD. Pourtant, les technologies modernes génèrent un volume considérable d’informations à son sujet : séquençage génomique, échographies 3D haute résolution, dépistages prénataux.

Ces données, qui peuvent déjà révéler des pathologies ou des prédispositions futures pour l’enfant, sont aujourd’hui rattachées au dossier médical de la mère. L’experte pointe un double risque en cas de fuite : l’exposition de l’intimité de la mère, mais aussi un potentiel « marquage » numérique de l’enfant avant même son existence légale. La question se pose : une compagnie d’assurance pourrait-elle, dans vingt ans, utiliser une donnée fœtale qui aurait fuité pour ajuster une prime d’assurance ?

L’héritage numérique : la survie des données post-mortem

À l’autre bout du spectre, le RGPD cesse de s’appliquer au décès d’une personne. Si le règlement européen est silencieux sur ce point, la France a légiféré dès 2016 avec la loi pour une République numérique (dite loi Lemaire). L’article 85 de la loi Informatique et Libertés permet à toute personne de définir des « directives post-mortem » pour décider de la conservation, de l’effacement ou de la communication de ses données après sa mort.

Cependant, cette possibilité reste méconnue. En l’absence de directives claires, les droits des héritiers sont limités. Ils ne peuvent accéder aux données que si cela est nécessaire à la liquidation de la succession ou à la protection de la mémoire du défunt. Pour les proches d’une victime d’une fuite de données décédée peu après, obtenir la suppression des informations sensibles circulant sur le web peut se transformer en un véritable parcours du combattant administratif.

Des paradoxes quotidiens aux leviers pour les professionnels

Ces vides juridiques créent des situations complexes dans des cas d’usage courants. Le Dossier Médical Partagé (DMP), par exemple, est clôturé au décès mais ses données sont conservées dix ans, rendant l’accès difficile pour des proches en quête d’antécédents génétiques familiaux. De même, les données issues de tests ADN récréatifs peuvent rester la propriété commerciale des plateformes après le décès de l’utilisateur.

Face à ces enjeux, Guillemette Songy souligne la responsabilité critique des professionnels, notamment dans le secteur de la santé. Plusieurs leviers stratégiques sont préconisés : réaliser des analyses d’impact (AIPD) spécifiques pour les données prénatales afin d’évaluer les risques de discrimination future, mettre en place des protocoles clairs pour gérer les demandes des ayants droit et systématiser le chiffrement de bout en bout pour garantir la confidentialité des données, que le patient soit né ou décédé.

Une éthique au-delà de la conformité

En conclusion, la protection des données des fœtus et des défunts dépasse le simple cadre de la conformité légale. Elle touche au respect de la dignité humaine dans le temps long et à la protection des lignées familiales. Pour les entreprises et les institutions, la gestion responsable de l’héritage numérique devient un impératif éthique, prolongeant la protection bien au-delà de la simple existence d’un client dans une base de données active.

via Presse Agence (rédigé à partir d’un communiqué de presse transmis à la rédaction).