UK Biobank : 500 000 dossiers santé en vente sur Alibaba

Ce qui s'est passé

Le gouvernement britannique a confirmé le 24 avril 2026 que les données pseudonymisées d'environ 500 000 participants à UK Biobank, l'une des plus vastes cohortes biomédicales au monde, étaient mises en vente sur Alibaba. Trois listings distincts avaient été repérés sur la place de marché chinoise, exposant des informations démographiques, des habitudes de vie, des antécédents médicaux et des mesures biologiques détaillées. L'affaire UK Biobank Alibaba 500000 données illustre la fragilité des dispositifs de partage scientifique international, où des jeux de données confiés à des chercheurs tiers échappent au contrôle de l'organisme dépositaire. Au-delà du préjudice individuel, la réidentification reste possible par recoupement avec des sources ouvertes, transformant un corpus prétendument anonyme en profil nominatif. Cet incident interroge la gouvernance des données de santé et les garanties contractuelles imposées aux partenaires académiques ou industriels étrangers.

UK Biobank précise que le jeu de données ne contient ni nom, ni adresse, ni numéro NHS, mais que les profils restent ré-identifiables par recoupement, en particulier dans les zones géographiques peu peuplées. Trois instituts de recherche chinois, qui avaient obtenu un accès légitime via le portail de recherche, ont vu leurs comptes suspendus. L'organisation britannique a également gelé temporairement l'ensemble des téléchargements et annonce de nouvelles limites par utilisateur.

L'incident relance un débat politique sensible. Plusieurs ministres britanniques demandent désormais une suspension immédiate du partage de données médicales avec la Chine, dans la lignée des restrictions appliquées aux États-Unis pour la recherche biomédicale.

Pourquoi c'est important

UK Biobank est un actif scientifique stratégique : 500 000 volontaires suivis depuis près de vingt ans, avec génotypage, imagerie et historique médical. Voir ce trésor de recherche se retrouver en vente sur une marketplace publique souligne la fragilité du modèle « accès chercheur sous contrat » : une fois les fichiers téléchargés, le contrôle technique disparaît et il ne reste que la confiance contractuelle.

Pour les entreprises et organismes qui partagent des données sensibles avec des partenaires académiques, l'épisode est un avertissement direct. La chaîne de responsabilité juridique entre l'organisme propriétaire des données, l'institut de recherche et le pays hôte devient quasi inopérante quand les données traversent une frontière. L'affaire s'inscrit dans un contexte déjà chargé, avec la fuite ANTS sur 19 millions de Français et l'intrusion Vercel qui ont exposé ces dernières semaines la difficulté de protéger des données sensibles dès qu'elles sortent du périmètre initial de collecte.

Ce qu'il faut retenir

• La pseudonymisation ne suffit plus : UK Biobank revendique l'absence de noms, mais les profils biomédicaux restent ré-identifiables.
• Les contrats d'accès chercheur deviennent vulnérables dès que les données sont copiées hors juridiction d'origine.
• Pour les RSSI manipulant des données santé partagées, il devient nécessaire d'imposer des watermarks et des audits actifs des téléchargements, pas seulement des engagements contractuels.

Un précédent qui rappelle l'affaire 23andMe

Cet incident n'est pas isolé dans l'écosystème des données génomiques et biomédicales. Fin 2023, la fuite de 23andMe avait exposé les profils génétiques de près de 6,9 millions d'utilisateurs après une attaque par credential stuffing, une affaire qui avait débouché sur une amende de la CNIL britannique (ICO) et plusieurs recours collectifs aux États-Unis. Le cas UK Biobank s'en distingue sur un point crucial : il ne s'agit pas d'un piratage technique, mais d'une fuite par un canal légitime — des chercheurs autorisés qui ont contourné les clauses contractuelles de leur Data Use Agreement (DUA) pour monétiser un accès pourtant strictement encadré. Cette distinction change la nature de la réponse : aucun correctif logiciel ne peut empêcher un utilisateur autorisé de copier un fichier et de le revendre, ce qui pousse UK Biobank à renforcer ses contrôles contractuels et son audit des usages plutôt que sa seule infrastructure technique.

Une pression géopolitique croissante sur le partage de données biomédicales

L'épisode s'inscrit dans un contexte de défiance grandissante entre le Royaume-Uni et la Chine sur les transferts de données de santé et de génomique. Washington a déjà restreint, via un décret présidentiel de 2024, l'exportation de données génomiques américaines vers des entités chinoises jugées à risque, invoquant des craintes de constitution de bases de données biométriques à grande échelle pouvant servir à la surveillance ou au développement d'armes biologiques ciblées. Londres n'avait jusqu'ici pas suivi cette voie restrictive, UK Biobank revendiquant plus de 30 000 chercheurs enregistrés dans le monde, dont une part significative d'institutions chinoises actives en oncologie et en pharmacogénomique. Le gel annoncé des téléchargements et les appels à suspendre le partage avec la Chine marquent donc un tournant potentiel dans la politique britannique d'ouverture scientifique, avec un arbitrage délicat entre coopération de recherche internationale et souveraineté des données de santé.

Le risque de ré-identification, talon d'Achille des données « pseudonymisées »

Plusieurs études académiques, notamment des travaux publiés dans Nature Genetics, ont démontré qu'un jeu de données combinant génotype, âge, code postal partiel et pathologies rares permet de ré-identifier un individu avec un taux de succès supérieur à 80 % lorsqu'il est croisé avec des registres publics ou des données généalogiques commerciales (type GEDmatch). C'est précisément ce type de recoupement que redoutent les autorités britanniques dans le cas présent : même sans nom ni identifiant NHS, un profil biomédical détaillé sur vingt ans de suivi constitue une empreinte quasi unique. Pour les DPO et RSSI d'organismes de recherche, l'affaire illustre la limite du concept réglementaire de « pseudonymisation » au sens du RGPD/UK GDPR, qui n'exonère pas de l'obligation de sécuriser les données comme des données personnelles à part entière tout au long de leur cycle de vie, y compris après leur sortie du périmètre technique de l'organisme responsable.