L'ancien 23andMe paie 6 millions de dollars à la Californie, trois ans après la fuite de ses données génétiques

Le 21 octobre 2026, Insurance Journal rapporte que Chrome Holding Co., la société qui a succédé à 23andMe, a conclu un accord de 6 millions de dollars avec le procureur général de Californie, Rob Bonta. Le tribunal doit encore l'homologuer. L'accord solde deux affaires. La première est la fuite de 2023, qui a touché près de 7 millions de clients aux États-Unis, dont plus de 855 000 Californiens. L'État reprochait à l'entreprise ses pratiques de sécurité et des déclarations trompeuses.

La seconde affaire date de la faillite de 2025. Pendant cette faillite, 23andMe a vendu ses données génétiques et ses échantillons biologiques à TTAM Research Institute, une fondation créée par sa cofondatrice et ancienne directrice générale. La Californie jugeait la vente contraire à sa loi sur la confidentialité des informations génétiques, qui exige le consentement exprès du client. Le tribunal des faillites, puis le tribunal de district, ont rejeté son opposition. L'État avait fait appel. L'accord met fin à cet appel, et les clients concernés peuvent demander l'effacement de leurs données et la destruction de leurs échantillons.

Pour un souscripteur, la date compte plus que le montant. L'enquête s'ouvre en 2023. L'accord arrive en octobre 2026. Entre les deux, l'entreprise a fait faillite et changé de nom. La garantie de responsabilité cyber se souscrit le plus souvent en base réclamation. La police qui répond est celle de l'année où la réclamation a été faite et déclarée, pas celle où l'on paie. Si l'enquête de 2023 a été déclarée à temps, l'exercice 2023 n'est pas clos. Il se règle trois ans plus tard, pour un assuré qui n'a plus d'activité.

Le montant, lui, paraît faible. Rapporté aux seuls Californiens touchés, il représente environ sept dollars par personne, pour des données qu'on ne change pas comme un mot de passe. Mais il ne dit pas tout ce que l'État a obtenu. La Californie avait perdu deux fois devant les juges sur la vente des données. Par la transaction, elle obtient l'effacement à la demande, que les tribunaux ne lui avaient pas accordé.

Ce point compte pour qui assure des entreprises qui détiennent des données sensibles. Dans une faillite, la base de clients est un actif qu'on vend pour payer les créanciers. Le régulateur intervient dans la procédure, et son action continue après le jugement. Le 19 octobre, nous écrivions que quarante procureurs généraux voulaient encadrer la vente des conversations d'enfants dans la faillite de Character.AI. L'affaire 23andMe montre où une telle démarche peut finir. La vente a eu lieu. L'effacement a été obtenu après coup.

Le même jour, Reinsurance News rapporte que CyberCube ajoute une vue Asie-Pacifique à son outil d'analyse destiné aux courtiers. Selon la société, les modèles cyber utilisés en Asie se calaient jusqu'ici sur une moyenne mondiale unique. L'affaire 23andMe pousse ce raisonnement plus loin. Le coût d'une fuite ne dépend pas seulement de la région. Il dépend de la loi de chaque État où vivent les clients, et de ce qu'elle permet à son procureur d'obtenir. Aux États-Unis, une base de clients nationale relève d'autant de régimes qu'il y a d'États.

Notre lecture, datée du 22 octobre : le coût d'une fuite de données sensibles se mesure sur trois ans au moins, et la faillite de l'assuré ne l'arrête pas. Pour l'assureur, la question pratique devient la garantie subséquente. Une entreprise qui cesse son activité ne renouvelle plus sa police. Les réclamations présentées après coup ne sont couvertes que pendant une période prolongée, dont la durée dépend du contrat et du droit applicable. Nous relirons cette lecture à l'homologation de l'accord.

Ce qu'on ne sait pas encore. L'accord publié ne dit pas quelle part des 6 millions est une pénalité civile. Or une police cyber ne couvre les amendes que si la loi applicable le permet. On ignore aussi qui paie : la masse de la faillite, un assureur, ou les deux. On ne sait pas non plus combien de clients demanderont l'effacement, ni ce qu'il restera alors de la base achetée par TTAM.