Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia - 65

proposées sont activées par défaut
et renvoie aux «  Préférences
de confidentialité  »  «  pour les
désactiver »;
■	 les «  Préférences de confidentialité  » sont accessibles par un
lien : https://www.myheritage.fr/
privacy-definitions. Cette page
en ligne recense 24 types de
traitements de données personnelles associés aux différentes
fonctionnalités mises en œuvre
par MyHeritage et indique, pour
chacune, que la fonctionnalité est
activée par défaut. L'internaute
doit TOUTES les désactiver, une
par une dans la section « Ma vie
privée  » de «  Mon compte  ». Si
l'internaute n'est pas allé consulter ces « Préférences de confidentialité », il est par défaut supposé
par MyHeritage avoir accepté les
24 types de traitements.
Malgré leur formalisme apparent,
les trois documents mentionnés
ci-dessus indiquent de façon
confuse et non exhaustive quels
traitements seront faits des données
collectées, en précisant que les
fonctionnalités sont activées par
défaut. Le quatrième document,
permettant d'autoriser ou d'interdire
certains traitements, n'est accessible
que par l'intermédiaire du troisième
document.
Le consentement n'est pas explicite concernant ce traitement de
données sensibles  : l'identification
de parents plus ou moins éloignés
peut être effectuée à partir des
données génétiques (ADN) ou
ethniques (patronyme, lieu de naissance) sans que l'internaute testé en
ait connaissance et sans même qu'il
l'ait souhaité (les fonctionnalités sont
activées par défaut) et pour le savoir,
il faut avoir lu les quatre documents
contractuels, chacun accessible de
façon diverse (PDF téléchargeable,
page du site web accessible depuis
un des PDF).
Le consentement est ici demandé à
l'internaute comme s'il achetait un
produit de grande consommation
sur Internet, sans prendre en compte
le caractère sensible des données

collectées et des risques qui pourraient découler de leur traitement.
Le niveau d'explication fourni ne
permet pas à l'utilisateur de saisir les
enjeux du traitement et notamment
le traitement ultérieur de ses données
pour un « Projet de recherche » dont
les modalités ne sont pas explicites
(destinataires, finalités, sécurité).4
Par ailleurs, le dispositif se montre
particulièrement
vorace
en
données  personnelles  : l'utilisateur
doit renseigner l'identité de ses
parents aux 1er et 2ème degrés
(parents et grands-parents) sans que
ceux-ci en soient informés ni aient
donné leur consentement. Cette
collecte indirecte, indispensable à
la recherche de correspondances
généalogiques, devrait faire l'objet
d'une information et d'un recueil
de consentement spécifique auprès
des tiers concernés.

Une transparence
insuffisante concernant
les finalités poursuivies,
les destinataires des données
et les mesures de sécurité
Des finalités approximatives
La politique de confidentialité de
MyHeritage indique que  : «  Le
Site Internet sert de plate-forme
mondiale pour l'histoire familiale,
ce qui permet à ses utilisateurs de
(1) construire leurs arbres généalogiques et de bénéficier des synergies
de nombreux arbres généalogiques
venant du monde entier dans un
emplacement central, ainsi que
de la capacité pour trouver des
correspondances intelligentes entre
les arbres généalogiques, et de
permettre aux utilisateurs de rechercher d'autres arbres généalogiques,
et des documents historiques, pour
être utiles à leurs recherches sur leur
histoire familiale ; (2) d'utiliser les
services ADN connexes, y compris,
mais non limité à/au (i) la soumission
d' échantillons pour l'extraction
et le traitement de l'ADN, (ii) le
chargement d'une version numérique des informations génétiques
exportées à partir d'autres services
ADN, (iii) la réception et l'interaction
EXPERTISES Février 2021

avec les analyses génétiques fournies par le Site Internet (les «Services
ADN généalogiques »); (iv) la réception et l'interaction avec l'analyse
génétique de santé fournie par le
site internet (les «Services ADN de
santé  »); et (v) le téléchargement
des données ADN brutes (collectivement appelés les «  Services
ADN  »). Sauf indication contraire,
le Service inclut les Services ADN
aux fins de la présente Politique de
confidentialité. »
La description des finalités, volontairement formulée en termes
généraux, maintient l'utilisateur
dans le flou concernant les enjeux
et conséquences de la réalisation du
test génétique.
Ce n'est qu'après l'achat que l'utilisateur découvre, en paramétrant son
compte, de multiples finalités telles
que :
■	 l'identification de personnes
partageant
des
segments
d'ADN ;
■	 l'autorisation des correspondants génétiques à voir son
origine ethnique ;
■	 l'autorisation des correspondants génétiques à télécharger
les segments d'ADN partagés ;
■	 l'administration d'un site web
familial MyHeritage créé automatiquement à réception des
résultats ;
■	 l'intégration de son arbre
généalogique dans un moteur
de recherche MyHeritage public
pour tous les utilisateurs.
Toutes ces fonctionnalités sont par
ailleurs activées par défaut, et leur
désactivation, peu intuitive pour un
consommateur moyen, nécessite
un véritable effort de concentration.

Des sous-traitants non
identifiés (« fournisseurs de
services tiers »)
Les mentions relatives aux soustraitants restent vagues et évasives5.
En premier lieu, les sous-traitants
ne sont pas explicitement dénommés : MyHeritage évoque le recours
à des «  tiers  », des «  plateformes
tierces » ou encore à un « laboratoire

65
https://www.myheritage.fr/privacy-definitions
Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Février 2021 - N°465 - Le mensuel du droit de l'informatique et du multimédia
