Vous avez offert ou reçu un kit de test ADN pour connaître vos origines, puis renvoyé votre salive par la poste à une société installée aux États-Unis. Quelques semaines plus tard, les résultats arrivent : pourcentages d’origines géographiques, cousins génétiques inconnus, parfois prédispositions à certaines maladies. La curiosité est satisfaite, mais une question demeure : que conserve exactement cette société sur vous, où se trouvent ces informations, qui peut les racheter et comment les faire disparaître ?
La question n’est pas théorique. Entre un million et demi et deux millions de Français auraient déjà réalisé un test ADN généalogique en contournant l’interdiction nationale, et entre 100 000 et 150 000 kits salivaires seraient commandés chaque année depuis la France, selon l’avis adopté par le Conseil économique, social et environnemental en séance plénière le 14 avril 2026 avec 124 voix pour. Au même moment, la société américaine 23andMe, acteur majeur du secteur, a été placée en redressement judiciaire, ce qui a conduit la CNIL à publier le 28 mars 2025 une marche à suivre pour faire effacer ses données personnelles. Vos origines tiennent donc dans un fichier commercial situé hors d’Europe, entre les mains d’une société dont l’avenir capitalistique est incertain.
Cet article explique le cadre applicable en 2026 : ce que la loi française interdit vraiment à propos des tests récréatifs, ce que le règlement européen impose à la société qui détient votre génome, comment exiger concrètement la suppression de vos données et la destruction de votre échantillon, et quelles actions permettent d’obtenir réparation quand vos droits sont bafoués.
I. Des tests interdits en France mais un génome protégé partout en Europe
A. Le verrou français : ni examen ni identification génétique hors médecine, justice et recherche
En France, le test ADN dit récréatif n’est pas un produit de consommation comme un autre : il est interdit, même avec votre consentement. L’article 16-10 du code civil dispose que « L’examen des caractéristiques génétiques constitutionnelles d’une personne ne peut être entrepris qu’à des fins médicales ou de recherche scientifique », avec un consentement exprès recueilli par écrit après une information complète. La généalogie, la curiosité sur ses origines ou la recherche de cousins ne figurent pas dans cette liste. Symétriquement, l’article 16-11 du code civil limite l’identification par empreintes génétiques à cinq cas, dont l’enquête judiciaire, la médecine, la recherche et l’identification de personnes décédées inconnues, et précise que « En matière civile, cette identification ne peut être recherchée qu’en exécution d’une mesure d’instruction ordonnée par le juge saisi d’une action tendant soit à l’établissement ou la contestation d’un lien de filiation, soit à l’obtention ou la suppression de subsides ».
Le volet pénal suit la même logique. Le fait de rechercher l’identification par empreintes génétiques d’une personne en dehors des cas prévus à l’article 16-11 du code civil est puni d’un an d’emprisonnement ou de 15 000 euros d’amende, selon l’article 226-28 du code pénal. Côté client, la sanction existe aussi : « Le fait, pour une personne, de solliciter l’examen de ses caractéristiques génétiques ou de celles d’un tiers ou l’identification d’une personne par ses empreintes génétiques en dehors des conditions prévues par la loi est puni de 3 750 € d’amende », prévoit l’article 226-28-1 du code pénal. Commander un kit depuis la France expose donc l’acheteur à cette contravention, tandis que la société qui réalise l’analyse hors cadre médical, judiciaire ou scientifique encourt les peines de l’article 226-28. À cela s’ajoute l’exigence de laboratoire : à des fins médicales, l’examen ou l’identification « ne peuvent être pratiqués que dans des laboratoires de biologie médicale autorisés à cet effet », rappelle l’article L. 1131-2-1 du code de la santé publique, ce qu’un prestataire de kit postal ne satisfait pas.
Il en résulte une conséquence directe pour les procès de famille : un test privé commandé sur internet ne vaut jamais une preuve de filiation et ne peut pas être brandi devant un tribunal pour établir ou contester un lien de parenté, puisque le texte n’autorise cette identification qu’en exécution d’une mesure d’instruction ordonnée par le juge. Celui qui a fait un test récréatif pour préparer une action en filiation devra donc recommencer par la voie judiciaire, avec une expertise ordonnée par le juge et le consentement exprès des intéressés.
Reste une nuance honnête à signaler. Face à l’ineffectivité de l’interdiction — des centaines de milliers de kits circulent malgré la contravention — le Conseil économique, social et environnemental propose dans son avis d’avril 2026 de dépénaliser les tests à visée généalogique et de construire un bouclier européen pour les données génétiques. Cette position est une proposition, pas le droit en vigueur : en 2026, commander un kit demeure punissable de 3 750 euros d’amende et le prestataire étranger reste hors cadre légal français. L’avis du CESE éclaire le débat, il ne change pas la règle applicable à votre dossier aujourd’hui.
B. Le verrou européen : vos données génétiques sont des données sensibles interdites de traitement
Même quand le kit vient de l’étranger, le droit européen vous protège dès lors que vous résidez en France : le règlement général sur la protection des données s’applique au prestataire qui vise des personnes situées dans l’Union, où qu’il soit établi. Or les données issues d’un test ADN relèvent de la catégorie la plus protégée. L’article 9 du règlement (UE) 2016/679 pose que « ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits », sauf exception strictement prévue, dont la principale pour un service commercial : « la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques ». Un consentement noyé dans des conditions générales, pré-coché ou extorqué contre l’accès au service ne satisfait pas à cette exigence de consentement explicite et spécifique.
La CNIL décrit précisément l’ampleur de la collecte. Les entreprises récupèrent les informations contenues dans le génome — origine ethnique, données phénotypiques comme la couleur des yeux ou la morphologie, état de santé ou prédispositions à certaines maladies — auxquelles s’ajoutent les données d’identité et de contact nécessaires à l’envoi des résultats, puis souvent des données de questionnaire : relations familiales, événements de vie, goûts, photographies. Comme le relève la CNIL dans sa page du 28 mars 2025 consacrée à la société 23andMe, toutes ces données, prises isolément ou combinées, révèlent de très nombreuses informations sur les personnes et ont beaucoup de valeur. La même page souligne un point que les clients sous-estiment : les données génétiques peuvent concerner des personnes qui n’ont pas réalisé de test mais partagent les gènes de la personne testée — ascendants, descendants, famille proche — sans avoir consenti ni même été informées. Tester votre salive, c’est exposer vos parents, vos enfants et vos frères et sœurs sans leur demander leur avis.
Le risque ne s’arrête pas à la divulgation familiale. La CNIL alerte sur le partage de ces données avec des tiers qui ne sont pas toujours clairement identifiés dans les documents fournis aux utilisateurs, pour des finalités formulées de manière large, notamment des transmissions à des fins de recherche. Dans le contexte d’une vente ou d’un redressement judiciaire de la société, il devient encore plus difficile de prévoir quels acteurs accéderont au stock de données et quelles utilisations en seront faites. C’est exactement la situation créée par le redressement judiciaire de 23andMe : la base génétique de millions de clients devient un actif susceptible d’être cédé à un repreneur dont vous n’avez jamais accepté les services. À cela s’ajoute le transfert géographique : vos données sont traitées aux États-Unis, hors de l’Union européenne, dans un cadre juridique qui ne correspond pas aux garanties du règlement européen. Le chapitre V du règlement n’autorise un tel transfert qu’à des conditions strictes, dont le consentement explicite de la personne « après avoir été informée des risques que ce transfert pouvait comporter pour elle en raison de l’absence de décision d’adéquation et de garanties appropriées », selon l’article 49 du règlement. Une case cochée sans information réelle sur ces risques ne vaut pas ce consentement éclairé.
Concrètement, avant d’agir, rassemblez vos preuves : confirmation de commande du kit, échanges de courriels, captures de votre compte client montrant les consentements donnés ou refusés, politique de confidentialité applicable au jour de l’inscription, et relevés des tiers avec lesquels vos données ont été partagées si la société les mentionne. Ces pièces serviront pour chaque démarche décrite ci-dessous, de la demande d’effacement à l’action en réparation.
II. Reprendre la main : effacer, détruire, sanctionner et se faire indemniser
A. Effacer vos données, détruire l’échantillon et couper les transferts
Le règlement européen vous donne un droit direct contre la société, sans passer par un juge au préalable. Toute personne peut d’abord demander l’accès à ses données : l’article 15 du règlement reconnaît « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données », avec les finalités, les catégories de données, les destinataires — notamment ceux établis dans des pays tiers — et la durée de conservation envisagée. Cette demande d’accès est l’arme de départ : elle oblige la société à dresser l’inventaire de ce qu’elle détient sur vous, échantillon compris, et révèle les partages avec des tiers ou des partenaires de recherche que vous n’aviez jamais identifiés.
Vient ensuite l’effacement. L’article 17 du règlement, dit droit à l’oubli, ouvre l’effacement dans les meilleurs délais dans plusieurs cas qui correspondent exactement à la situation d’un test récréatif : quand « la personne concernée retire le consentement sur lequel est fondé le traitement […] et il n’existe pas d’autre fondement juridique au traitement », et quand « les données à caractère personnel ont fait l’objet d’un traitement illicite ». Or un traitement de données génétiques fondé sur un consentement non explicite, ou réalisé hors de tout fondement de l’article 9, est illicite : les deux motifs se cumulent. Vous pouvez donc exiger la suppression de votre compte, de vos résultats, de vos données brutes et de votre échantillon salivaire. Parallèlement, l’article 21 du règlement vous permet de vous opposer « à tout moment, pour des raisons tenant à sa situation particulière », au traitement fondé sur l’intérêt légitime, et de retirer votre consentement à l’utilisation de vos données à des fins de recherche : la société ne peut alors plus traiter vos données, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur vos droits, démonstration illusoire pour un service récréatif.
La CNIL a détaillé la marche à suivre pour la société 23andMe, transposable aux autres acteurs qui doivent mettre à disposition une procédure équivalente ou une adresse dédiée à l’exercice des droits dans leur politique de confidentialité. Connectez-vous à votre compte, ouvrez la page des paramètres, descendez jusqu’à la section des données personnelles, cliquez sur le bouton d’affichage puis sur la suppression définitive des données, et confirmez depuis le courriel reçu en cliquant sur la suppression permanente de l’ensemble des enregistrements. Selon la CNIL, cette suppression emporte automatiquement celle de l’échantillon salivaire et le retrait du consentement à l’utilisation des données pour la recherche. Depuis la même page de paramètres, demandez aussi la destruction de l’échantillon de salive si vous aviez accepté sa conservation, et retirez explicitement chaque consentement de recherche et de partage. Gardez les confirmations écrites de chaque étape : elles prouveront l’exercice de vos droits en cas de litige.
Une vigilance s’impose toutefois sur les données conservées après suppression. La CNIL relève que la politique de confidentialité de 23andMe prévoit la conservation, pour répondre à des obligations légales, de la date de naissance et du sexe, de la demande de suppression elle-même, et des « informations génétiques », ce dont il peut être déduit que les résultats produits à partir de l’échantillon pourraient être conservés. Contestez par écrit toute conservation qui dépasse le strict nécessaire : une obligation légale américaine formulée de manière vague ne justifie pas, à elle seule, la conservation de résultats génétiques de résidents européens, et la société doit vous indiquer précisément le texte qui l’y contraindrait. Si la réponse est évasive, cette conservation résiduelle alimentera votre plainte.
Le cas des proches mérite un traitement à part. Vos parents, enfants ou frères et sœurs n’ont rien signé, mais leurs informations génétiques se déduisent partiellement de votre test. Ils disposent de leurs propres droits d’opposition et d’effacement pour les données qui les concernent, et la société ne peut pas leur opposer votre consentement. Si un membre de votre famille subit un préjudice propre — par exemple la révélation non désirée d’une prédisposition ou d’un lien de parenté — il peut agir séparément, y compris en réparation. Enfin, pour les transferts vers les États-Unis, exigez de savoir sur quel fondement vos données ont quitté l’Europe et si ce fondement subsiste après le changement capitalistique de la société ; à défaut de réponse satisfaisante, l’illicéité du transfert renforce la demande d’effacement et la plainte devant l’autorité de contrôle.
Si vous avez reçu un courrier vous informant d’une fuite ou d’une revente de vos données, sécurisez immédiatement vos comptes exposés, conservez l’enveloppe et le courrier, et documentez chaque conséquence : courriels frauduleux, tentatives d’usurpation, anxiété médicalement constatée. Notre analyse des réflexes à adopter après une lettre vous informant d’une fuite de vos données personnelles détaille cette sécurisation et la constitution du dossier probatoire, indispensable avant toute action en réparation.
B. Faire sanctionner le prestataire et obtenir réparation de votre préjudice
Quand la société refuse d’effacer, répond à côté ou conserve vos résultats sans base claire, l’étape suivante est la plainte devant la CNIL. L’article 77 du règlement donne à toute personne « le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle […] si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». Résidant en France, vous pouvez saisir la CNIL, qui informera l’auteur de la réclamation de l’état d’avancement et de l’issue. Joignez à votre plainte l’historique complet : demande d’accès et réponse reçue, demande d’effacement, captures des paramètres, politique de confidentialité applicable, et démonstration du transfert hors d’Europe. Une plainte documentée sur des données génétiques — catégorie sensible par excellence — présente un poids particulier, car chaque manquement touche au noyau dur de l’article 9.
Attention à bien diriger votre plainte. La CNIL n’est pas compétente pour tous les fichiers génétiques. Le Conseil d’État a jugé le 25 juillet 2025 que « la Commission nationale de l’informatique et des libertés n’est pas compétente pour connaître d’une réclamation ayant pour objet l’effacement de données figurant au FNAEG », le fichier national automatisé des empreintes génétiques relevant du juge judiciaire — procureur de la République puis président de la chambre de l’instruction — et a validé la clôture de la plainte (CE, 10e ch., 25 juill. 2025, n° 495113). La leçon pour votre dossier : le FNAEG suit la voie judiciaire, tandis que les fichiers commerciaux des sociétés de tests relèvent bien de la CNIL et du règlement européen. Ne mélangez pas les deux circuits, sous peine de perdre des mois.
Parallèlement à la plainte, le volet pénal français vise le prestataire qui réalise des analyses hors cadre légal : un an d’emprisonnement ou 15 000 euros d’amende en application de l’article 226-28 du code pénal. En pratique, les poursuites contre une société établie hors de France sont délicates, mais le dépôt de plainte crée une trace officielle utile pour la suite civile et peut s’articuler avec un signalement à la CNIL. Pour l’acheteur, rappelons l’envers : solliciter un tel examen hors conditions légales reste puni de 3 750 euros d’amende, de sorte que la démarche contentieuse doit être présentée comme l’exercice de vos droits sur des données déjà collectées, jamais comme une revendication du test lui-même.
Le troisième levier est l’indemnisation. L’article 82 du règlement dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », avec une responsabilité solidaire de l’ensemble des acteurs du traitement afin de garantir une réparation effective. Le préjudice moral est expressément réparé : anxiété liée à l’exposition de votre génome, perte de contrôle sur des données intimes et irrévocables — on ne change pas d’ADN comme de mot de passe —, crainte d’usages par un repreneur inconnu, révélation d’informations à des proches. Faites constater ce préjudice : certificats médicaux si l’inquiétude a nécessité un suivi, attestations de proches, journal des incidents (démarchages suspects, tentatives d’escroquerie exploitant vos données). L’action se porte devant le juge judiciaire contre la société responsable, et le manquement aux articles 9, 13 à 15, 17 ou au chapitre des transferts fonde la faute. La conservation de vos preuves d’exercice des droits — demandes restées sans réponse, effacement partiel, conservation abusive — établira la persistance de la violation.
Deux erreurs fréquentes doivent être évitées. D’abord, croire que supprimer l’application ou fermer le compte suffit : sans demande expresse d’effacement et de destruction de l’échantillon avec confirmation écrite, vos données et votre salive restent stockées. Ensuite, accepter sans discuter une fin de non-recevoir fondée sur le droit américain : le règlement européen s’applique à votre situation et ses droits ne se négocient pas contre des conditions générales rédigées en anglais. Enfin, ne transformez pas votre test en preuve de filiation : comme l’a rappelé la Cour de cassation en juin 2025, seule l’expertise ordonnée par le juge dans une action de filiation ou de subsides produit effet en justice.
Conclusion
Le test ADN récréatif cumule trois fragilités : interdit par la loi française, assis sur des données sensibles dont le traitement est en principe prohibé par l’Europe, et hébergé hors de l’Union dans des sociétés à l’avenir incertain. La bonne nouvelle est que le droit vous donne des prises concrètes : accès à l’inventaire de vos données, effacement et destruction de l’échantillon, retrait des consentements de recherche, opposition aux traitements, plainte devant la CNIL, plainte pénale contre l’analyse illicite, et action en réparation du préjudice matériel et moral devant le juge. Agissez vite et par écrit, conservez chaque preuve, et faites vérifier que la suppression promise est réelle, y compris pour les résultats génétiques que certaines sociétés prétendent conserver. Votre génome ne se révoque pas : c’est précisément pour cela qu’il se défend avec méthode.
Besoin d’un avis rapide sur votre dossier
Vous avez commandé un test ADN en ligne et vous voulez faire effacer vos données génétiques, détruire votre échantillon ou contester un transfert hors d’Europe ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique la marche à suivre. Consultation téléphonique en 48 heures avec un avocat du cabinet : appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.