- Après avoir confirmé que la faille de sécurité révélée en octobre 2023 touchait 6,9 millions de personnes au total, 23andMe a appliqué une modification de ses conditions qui oriente les litiges vers l’arbitrage plutôt que vers les tribunaux
- La nouvelle procédure impose aux utilisateurs de passer d’abord par au moins 60 jours de négociations informelles avec le service client ; si aucune solution n’est trouvée, le dossier passe généralement en arbitrage
- La clause d’arbitrage interdit, sauf exceptions, les actions collectives et arbitrages collectifs, ce qui rend plus difficile une réponse commune des utilisateurs ayant subi le même préjudice
- Les utilisateurs doivent envoyer une notification écrite à arbitrationoptout@23andme.com dans les 30 jours suivant la date de référence, comme la date d’entrée en vigueur, pour s’en exclure, mais cette adresse ne figure pas dans l’e-mail d’information
- La modification entrée en vigueur le 30 novembre 2023 concerne aussi les utilisateurs déjà affectés par la faille et réduit fortement la possibilité de choisir une action en justice devant un tribunal lors de futurs litiges
Les conditions ont changé après la faille de sécurité
- 23andMe est une entreprise de génomique personnelle et de biotechnologie qui gère les suites d’une faille de sécurité révélée pour la première fois le 6 octobre 2023
- Le 19 octobre, le même pirate qui avait initialement revendiqué l’incident a affirmé l’existence d’une autre intrusion, disant avoir accédé à plus de 4 millions d’enregistrements de profils génétiques
- Le 4 décembre, 23andMe a confirmé que l’ampleur totale de la faille concernait 6,9 millions d’utilisateurs
- Dès le 14 octobre, plusieurs personnes avaient engagé des poursuites pour négligence contre 23andMe, et de nombreux utilisateurs estimaient que la réponse de l’entreprise avait été très insuffisante
L’essentiel de la nouvelle procédure de résolution des litiges
- Via une mise à jour de ses Terms of Service, 23andMe met en place une modification qui oriente les utilisateurs vers une procédure d’arbitrage contraignant
- L’arbitrage contraignant consiste pour les deux parties à présenter leurs arguments à un tiers neutre, l’arbitre, qui examine les preuves et rend une décision
- Le point clé est que la décision de l’arbitre est définitive et juridiquement exécutoire : les deux parties doivent l’accepter et ne peuvent pas faire appel devant un tribunal ordinaire
- Ce mécanisme est utilisé dans les contrats de consommation, les litiges liés à l’emploi ou les litiges commerciaux, et il est souvent plus rapide et moins formel qu’une procédure judiciaire
Principales clauses incluses dans les conditions
-
Période initiale de résolution du litige
- En cas de problème lié au service 23andMe, l’utilisateur doit d’abord contacter le service client
- Avant de passer à l’étape juridique suivante, il doit tenter une négociation informelle pendant au moins 60 jours
- Un e-mail détaillé est requis, comprenant la nature du litige, le moment où il est survenu, la solution souhaitée et les coordonnées de contact
- Si l’utilisateur a un avocat, celui-ci doit également participer aux discussions avec 23andMe
-
Arbitrage au lieu du tribunal
- Si le litige n’est pas résolu dans les 60 jours, il passe généralement en arbitrage plutôt qu’en procès devant un tribunal
- La procédure d’arbitrage suit les règles du service d’arbitrage JAMS
- En cas de nombreux litiges similaires, une procédure de Mass Arbitration via NAM peut être utilisée
-
Décision de l’arbitre
- La décision de l’arbitre est définitive
- L’arbitre doit appliquer la loi et peut rendre les décisions qu’un tribunal pourrait prononcer
-
Exceptions à l’arbitrage
- Certaines affaires, comme les litiges de propriété intellectuelle et les petites créances, peuvent être portées devant un tribunal par l’utilisateur ou par 23andMe
-
Interdiction des actions collectives
- Les utilisateurs ne peuvent pas intenter contre 23andMe une action collective ou un arbitrage collectif avec d’autres personnes
- Chaque litige est traité individuellement
-
Divisibilité
- Même si une partie des clauses de résolution des litiges est juridiquement inapplicable, les autres clauses continuent de s’appliquer
Effets sur les litiges liés à la faille de sécurité
- En cas de litige avec 23andMe lié à une faille de cybersécurité, l’utilisateur doit d’abord tenter de résoudre le problème avec le service client
- Si aucune solution n’est trouvée, le dossier ira en arbitrage plutôt qu’au tribunal, sauf exception applicable
- Les utilisateurs ne peuvent pas déposer une action collective avec d’autres personnes ayant subi le même problème, ce qui réduit les possibilités d’action commune
- La modification des conditions est entrée en vigueur le 30 novembre 2023 et concerne aussi les utilisateurs affectés par la faille de sécurité
Procédure d’opt-out de 30 jours
- 23andMe a commencé à informer les utilisateurs par e-mail de la modification des conditions d’utilisation
- Les utilisateurs peuvent s’exclure des clauses d’arbitrage et de renonciation aux actions collectives dans les 30 jours suivant la date de référence des nouvelles clauses
- L’e-mail d’information ne précise pas qu’il faut écrire à arbitrationoptout@23andme.com, l’adresse d’opt-out indiquée dans les conditions mises à jour
- Selon l’aperçu des conditions mises à jour, les utilisateurs doivent envoyer une notification écrite à cette adresse s’ils ne veulent pas être liés par les clauses d’arbitrage et de renonciation aux actions collectives
- La notification doit être envoyée dans les 30 jours suivant la première utilisation du service ou la date d’entrée en vigueur des conditions contenant les clauses de renonciation à l’arbitrage, aux actions collectives et aux arbitrages collectifs
- Si l’utilisateur opte pour l’exclusion de la clause d’arbitrage, 23andMe n’est pas non plus liée par cette clause
Pourquoi l’arbitrage peut défavoriser les consommateurs
- La Stanford Graduate School of Business a publié un article et une étude indiquant que l’arbitrage peut fonctionner au détriment des consommateurs
- L’article, fondé sur l’analyse d’environ 9 000 cas d’arbitrage dans le secteur des valeurs mobilières, estime que le système d’arbitrage est défavorable aux consommateurs
- Les entreprises disposent d’un avantage informationnel pour trouver des arbitres susceptibles de statuer en leur faveur
- Les arbitres savent aussi qu’en adoptant une position favorable aux entreprises dans une affaire, ils augmentent fortement leurs chances d’être choisis pour des dossiers futurs
- Cette modification des conditions protège davantage 23andMe que les consommateurs et pourrait servir de bouclier face à une vague massive de réclamations d’utilisateurs si une faille de sécurité d’ampleur comparable se reproduisait
Comment rédiger l’e-mail d’opt-out
- Si vous avez été affecté par la faille de sécurité et souhaitez vous exclure de l’arbitrage obligatoire, vous pouvez envoyer un e-mail aux adresses suivantes
- legal@23andme.com
- customercare@23andme.com
- arbitrationoptout@23andme.com
- Un exemple d’objet est
Request to Opt-Out of Updated TOS - L’e-mail doit inclure les éléments suivants
- Qu’il concerne la modification des conditions d’utilisation de 23andMe datée du 30 novembre 2023
- Le nom enregistré auprès de 23andMe
- L’adresse e-mail associée au compte 23andMe
- Une formulation demandant officiellement l’opt-out des conditions d’utilisation mises à jour
- Une formulation indiquant que vous n’acceptez pas les clauses mentionnées dans la récente mise à jour
- Les utilisateurs doivent conserver les réponses et demander explicitement une confirmation que l’opt-out a bien été traité
- En cas de nouvelle faille à l’avenir, cette réponse servira de preuve que l’utilisateur n’est pas lié par la modification des conditions
1 commentaires
Avis sur Hacker News
Plus je lis les conditions d’utilisation, plus il me semble qu’il faudrait une solution de type common law.
J’emploie ici l’expression common law de façon assez libre : par exemple, on pourrait classer les services logiciels dans quelques catégories prédéfinies — fournisseur d’information, réseau social, interface avec le monde réel, etc. — et fixer des règles par défaut pour chacune.
Le commerce de détail hors ligne dispose déjà d’un cadre similaire : chaque magasin ne peut pas inventer ses propres règles à sa guise, il doit exercer son activité dans le cadre de normes sociales.
La structure actuelle incite chaque entreprise à revendiquer dans ses conditions autant de droits juridiques que possible, ce qui finit par créer de facto des États-entreprises. Beaucoup de clauses seraient probablement inapplicables si elles étaient contestées devant un tribunal, ce qui affaiblit aussi culturellement l’État de droit ; l’utilisateur, lui, se retrouve toujours en position de grande faiblesse dans la négociation.
Plusieurs pays européens ont déjà pas mal de lois de ce type. Quand on achète quelque chose sur Internet, on peut le renvoyer sous 14 jours si ça ne convient pas, on bénéficie de garanties raisonnables, et les entreprises ne peuvent pas abuser des données personnelles sans consentement explicite. L’arbitrage obligatoire et contraignant n’est pas autorisé non plus.
Pas besoin d’imposer des modèles de conditions générales : il suffit de lois de base de protection des consommateurs.
À mon avis, ce qu’il faut, ce n’est donc pas de la common law, mais de véritables lois.
Le problème, c’est que la loi doit être très précise. Si l’on veut empêcher une entreprise de vendre « mes données », il faut d’abord définir ce qui relève de mes données et ce qui relève des données de l’entreprise, et c’est plus difficile qu’il n’y paraît. Un numéro de sécurité sociale m’appartient-il, ou l’État me le prête-t-il ? Les registres publics sont-ils des données publiques ? Ce genre de questions se pose.
Les données personnelles ne sont qu’une partie du sujet. Il faut aussi traiter la finance, la question de savoir si un service peut couper l’accès à un utilisateur, ce qui se passe s’il n’a jamais payé, si ses publications peuvent être supprimées, si les citations de publications supprimées peuvent rester, si les annonceurs peuvent cibler certains groupes démographiques, etc.
Il est difficile d’écrire tout cela dans une vraie loi, et il est presque impossible de produire une loi qui satisfasse une majorité de gens. Je comprends cette demande, mais une fois la loi rédigée, il y a de fortes chances qu’elle ne vous plaise pas.
Quand on achète une maison, on ne s’en sort pas avec une seule signature : en pratique, on signe toutes les pages, et même plusieurs endroits sur une même page. Il n’y a pas de raison que les conditions d’utilisation soient différentes.
En général, on ne peut pas renoncer à des droits que l’on n’a pas encore ; il ne devrait donc pas être possible de signer une clause d’arbitrage contraignant alors qu’aucun préjudice n’a encore eu lieu.
À cela s’ajoutent des lois qui fixent les limites des conditions générales présentées à un grand nombre de personnes, ce qui encadre fortement ces conditions, ainsi que des commissions d’arbitrage de la consommation qui aident les consommateurs à faire face aux entreprises.
Voici un brouillon de demande de refus des modifications des conditions à envoyer à
arbitrationoptout@23andme.com.Objet : Request to Opt-Out of Updated TOS
23andMe Team,
I am contacting you regarding the recent changes to the 23andMe Terms of Service, dated November 30, 2023. My name is [your name as registered with 23andMe], and the email associated with my 23andMe account is [your 23andMe account email].
I hereby formally request to opt out of the newly updated Terms of Service. I do not consent to the terms as outlined in the recent update.
Thank you for processing my request promptly.
[Your Name]
arbitrationoptout@23andme.com.Dans l’e-mail que j’ai reçu, il était écrit « please notify us », et le lien était un lien mailto vers
legal@23andme.com.C’est cette adresse que j’ai utilisée hier pour leur écrire que je n’acceptais pas les nouvelles conditions.
Ne vous contentez pas d’un e-mail : il faut un mode d’envoi permettant de prouver que vous l’avez bien envoyé.
C’est du genre « si vous ne nous notifiez pas, nous considérerons que vous avez accepté » ; mais est-il légal, ou même applicable, de modifier les conditions du contrat de service sans confirmation ni acceptation de l’utilisateur ?
« Amazon EU et Amazon Digital UK disposaient d’une procédure leur permettant de modifier unilatéralement le prix à partir d’une nouvelle période d’abonnement. De telles clauses sont particulièrement préjudiciables aux consommateurs lorsque la carte de paiement est liée au compte et que le professionnel s’arroge le droit de débiter automatiquement le nouveau montant pour la période d’abonnement suivante »
« Nous soutenons depuis des années que les conditions contractuelles doivent régir équitablement les obligations des parties au contrat. Dans les services d’abonnement, de plus en plus populaires, les consommateurs font confiance au fournisseur du service et lui confient les données de leur carte de paiement afin de remplir régulièrement leurs obligations. Cela ne signifie pas pour autant qu’à partir de ce moment, le professionnel puisse débiter un montant supérieur à celui précédemment accepté sans le consentement du consommateur »
« Il est inadmissible de procéder à des prélèvements automatiques selon une grille tarifaire modifiée en bloquant des fonds sur la carte de paiement liée, ou d’introduire unilatéralement des modifications substantielles aux conditions du contrat »
https://uokik.gov.pl/aktualnosci.php?news_id=20132 — communiqué en polonais
Il est ici question d’Amazon, mais l’autorité enquête aussi sur les services d’abonnement d’autres entreprises. Amazon EU et Amazon Digital UK ont coopéré avec l’autorité et prévoient désormais d’informer les clients des changements à venir, de leur permettre de les refuser puis de résilier le contrat sans pénalité
Ce mécanisme s’applique déjà aux fournisseurs d’accès à Internet, qui ne peuvent pas modifier les contrats à leur guise. Ils peuvent toutefois vous importuner au téléphone avec une « toute nouvelle offre parfaitement adaptée à vos besoins »
Il est possible de faire pression pour modifier le comportement des entreprises, mais on peut se demander si cela s’appliquerait tel quel à un service particulier comme 23andMe. Cela dit, cette fuite de données pourrait amener les autorités de protection des données de plusieurs pays à examiner de plus près ce que fait 23andMe
Ils sont définis comme défavorables au consommateur lorsqu’ils « entraînent, contrairement à l’exigence de bonne foi, un déséquilibre significatif entre les droits et obligations des parties au contrat »
https://www.legislation.gov.uk/ukpga/2015/15/section/62?view...
La formule « afin de résoudre rapidement les litiges et de simplifier les procédures d’arbitrage lorsque plusieurs réclamations similaires sont déposées » donne l’impression que quelqu’un se prépare aux répercussions de la fuite de données
Après un piratage, j’ai du mal à croire qu’on puisse modifier les conditions a posteriori pour réduire les dommages liés à une mauvaise sécurité
Si c’était possible, pourquoi se soucier de la sécurité ? Il suffirait de changer les conditions plus tard. De bons avocats devraient largement pouvoir contester ça
Indépendamment des conditions, les membres de la famille qui n’ont jamais accepté ces conditions pourraient toujours avoir qualité pour agir
Verra-t-on un proche touché par la fuite de données, mais n’ayant pas signé les conditions, mener un recours collectif à plusieurs milliers de milliards ?
Par « recours collectif », j’entends ici une action visant à faire craindre le public à une industrie sujette aux abus, et non un mécanisme qui enrichit seulement quelques avocats et permet à l’entreprise fautive de s’en tirer en ne reversant qu’une petite partie de ses profits indus
Ma mère a utilisé ce service sans trop y réfléchir, et a renseigné les noms de tous les membres de la famille dans le formulaire
Les résultats reçus n’étaient pas du tout utiles, et maintenant 50 % de mon ADN se trouve dans leur base de données douteuse, sans que je puisse refuser quoi que ce soit
Je déteste vraiment cette organisation
Même si une proportion étonnamment faible de la population mondiale voit son génome séquencé, il est possible de faire correspondre un échantillon avec des personnes dont le génome ne l’a pas été. Pour reprendre les termes de l’article, « la généalogie génétique pouvait fonctionner comme un outil universel de désanonymisation »
Donc il n’y a peut-être pas lieu d’en vouloir autant à ma mère de s’être inscrite. Il est difficile de considérer que notre ADN nous appartient de la même manière que les documents sur un disque dur, et il est probable que nous n’ayons jamais eu de droit de refus au départ
« Des informations personnelles sensibles liées aux arbres généalogiques, aux dates de naissance et à des localisations géographiques approximatives ont été exposées. Dans certains cas, l’entreprise a indiqué que, principalement via les comptes compromis, les photos et noms affichés de membres de la famille connectés utilisant le même service avaient aussi pu être exposés. 23andMe souligne qu’aucun matériel génétique réel ni aucun enregistrement ADN n’a été exposé »
« Un porte-parole de 23andMe a déclaré à Engadget que le pirate avait ainsi accédé aux profils DNAR d’environ 5,5 millions de clients, ainsi qu’aux informations de profil Family Tree de 1,4 million de participants à DNA Relative »
« Les profils DNAR contiennent des informations déclarées par les utilisateurs, comme le nom affiché et la localisation, ainsi que des détails sensibles comme le pourcentage d’ADN partagé dans les correspondances DNA Relatives, les noms de famille, les relations prédites et les rapports d’ascendance. Les profils Family Tree contiennent des informations comme les noms affichés et les libellés de relation, ainsi que l’année et le lieu de naissance ajoutés facultativement par l’utilisateur. Lorsque la faille a été révélée pour la première fois en octobre, l’entreprise a déclaré que son enquête avait conclu que “les résultats des tests génétiques n’avaient pas fuité” »
https://www.engadget.com/23andme-hack-now-estimated-to-affec...
Le journaliste de Stackdiary a probablement rendu « DNAR profile » par « genetic profile », mais ce terme n’a pas de définition standard. S’il en avait une, j’imagine toutefois qu’elle désignerait au moins une partie des informations ADN
23andMe ment peut-être, ou ne sait peut-être pas réellement ce qui s’est passé, mais dans ce cas cela fera de nouveau l’actualité lorsqu’une divulgation supplémentaire deviendra obligatoire
Imaginons que, dès demain, un service ADN responsable apparaisse, utilisant par exemple du chiffrement différentiel pour permettre de partager son ADN et de trouver des proches tout en protégeant dans une certaine mesure la vie privée
Il ne pourrait quand même même pas démarrer. Les proches sont déjà sur ce service, ou sur Ancestry, MyHeritage, FamilyTreeDNA. Ces entreprises sont toutes, sans exception, de grands groupes américains ou israéliens douteux, et on ne peut leur faire confiance qu’à la distance à laquelle on peut les lancer, c’est-à-dire même pas un pouce
Même si c’était un cousin qui l’avait fait, vous pourriez être facilement identifié. En gros, dès qu’une personne de votre famille utilise ce genre de service, vous devenez facilement identifiable
Il peut y avoir un avantage
Si l’arbitrage obligatoire et contraignant s’applique, ces mêmes entreprises peuvent finir par se tirer une balle dans le pied parce qu’elles ne parviennent pas à gérer des milliers de dossiers individuels
https://www.nytimes.com/2020/04/06/business/arbitration-over...
« Si au moins 25 demandes d’arbitrage portant sur des sujets identiques ou similaires et partageant des questions de droit ou de fait communes sont déposées, et si les parties ayant soumis ces demandes ont les mêmes avocats ou des avocats coordonnés », cela est considéré comme une « Mass Arbitration »
Tous les litiges d’arbitrage de masse seront traités par National Arbitration and Mediation, un « fournisseur d’arbitrage reconnu au niveau national »
[1] https://arstechnica.com/tech-policy/2023/12/23andme-changes-...
J’aimerais que quelqu’un confirme. L’arbitrage contraignant obligatoire est-il autorisé dans l’UE/EEE/AELE ?
Sinon, qu’en est-il des clients français ou allemands ? Ce contrat me semble totalement inapplicable.
Plus largement, j’aimerais que le fait de rédiger délibérément des contrats inapplicables soit illégal. Trop d’entreprises produisent des contrats terrifiants qu’une personne ordinaire ne peut pas comprendre, ni même savoir s’ils sont inapplicables.
L’article 10 de la directive 2013/11/UE dispose que « les États membres veillent à ce qu’un accord entre un consommateur et un professionnel visant à soumettre les plaintes à une entité de REL ne soit pas contraignant pour le consommateur si cet accord a été conclu avant la naissance du litige et s’il a pour effet de priver le consommateur de son droit de saisir les juridictions compétentes pour régler le litige ».
https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:...
Cela n’empêche toutefois pas, après la naissance du litige, un client de renoncer à ses droits, par exemple dans le cadre d’un accord amiable.
Parce qu’ici, les tests ADN sans décision de justice sont illégaux.