Les données de 500 000 volontaires de UK Biobank mises en vente sur Alibaba

Le 23 avril 2026, le ministre britannique de la Technologie Ian Murray a annoncé à la Chambre des communes que des données de UK Biobank, la ressource de recherche gérée par une fondation caritative qui détient des informations de santé et génétiques sur environ un demi-million de volontaires britanniques, avaient été proposées à la vente en ligne en Chine. UK Biobank avait alerté le gouvernement le 20 avril après avoir repéré des annonces publiées par plusieurs vendeurs sur les plateformes de commerce en ligne d'Alibaba.

Trois annonces semblaient vendre des données de participants de UK Biobank, et au moins un jeu de données semblait couvrir l'ensemble des 500 000 participants. D'autres annonces proposaient une aide non autorisée pour accéder aux données et les analyser. Avec le soutien des gouvernements britannique et chinois, Alibaba a retiré les annonces avant qu'aucune vente n'ait lieu.

Comment les données ont fuité

Il ne s'agissait pas d'un piratage externe. Les données ont été diffusées par trois établissements universitaires qui disposaient d'un accès légitime à UK Biobank à des fins de recherche et qui ont enfreint leurs contrats en les rendant disponibles à la vente. Les jeux de données étaient désidentifiés : ils ne comportaient ni noms, ni adresses, ni coordonnées, ni numéros de téléphone, mais pouvaient inclure des attributs comme le sexe, l'âge et le mois et l'année de naissance, en plus d'informations de santé.

UK Biobank a suspendu l'accès des établissements et des personnes concernés, interrompu temporairement l'accès à sa plateforme de recherche pour tous les utilisateurs, imposé des limites strictes à la taille des fichiers pouvant être exportés et lancé une enquête forensique.

Pourquoi c'est important

UK Biobank est l'une des bases de données biomédicales les plus utilisées au monde, fondée sur la confiance des volontaires dans le fait que leurs dossiers ne serviront qu'à des recherches de santé approuvées. Même sans les noms, des données de santé et génétiques détaillées combinées à l'âge, au sexe et à la date de naissance posent un risque de réidentification. L'incident montre que les contrôles d'accès à la recherche et les garanties contractuelles, et pas seulement la sécurité périmétrique, déterminent la protection des jeux de données sensibles.