California y el sucesor corporativo de 23andMe han alcanzado un acuerdo propuesto de 6 millones de dólares por la violación de datos genéticos de 2023. El acuerdo de 6 millones de dólares entre 23andMe y California, si se aprueba, resolvería las acusaciones del estado de que la empresa de pruebas genéticas no protegió la información confidencial de los clientes. También resolvería la objeción del estado a los procedimientos de 23andMe relacionados con la quiebra, según el resumen del acuerdo de Law360. Solo una parte limitada del informe está disponible para nosotros, por lo que algunos detalles de los términos siguen sin estar claros.

Qué resuelve el acuerdo de 6 millones de dólares

Según el informe, el acuerdo es entre el Estado de California y la empresa que sucedió a 23andMe. No es definitivo. El acuerdo debe ser aprobado antes de que entre en vigor, y la fuente no indica cuándo podría llegar la aprobación.

El acuerdo resolvería dos cosas. Primero, aborda las afirmaciones del estado de que la empresa no protegió adecuadamente la información confidencial de los clientes en la violación de 2023. Segundo, aborda la objeción del estado a los procedimientos de 23andMe, que el resumen de la fuente corta antes de describir por completo. No especularemos sobre los detalles de ese segundo punto.

El acuerdo se produce tras la acción legal del estado contra la empresa. Para obtener antecedentes sobre la demanda original, consulte nuestra cobertura anterior de la demanda de California contra 23andMe por la violación de datos genéticos de 7 millones de usuarios, que describe la operación de la empresa bajo el nombre Chrome Holding Co.

Qué expuso la violación de 23andMe de 2023

Nuestra cobertura anterior describió el incidente de 2023 como una violación que expuso los datos genéticos y de ascendencia de los usuarios, y la demanda citó aproximadamente 7 millones de usuarios afectados. Los datos involucrados son lo que hace que este caso destaque. Una contraseña filtrada se puede cambiar. La información genética de una persona no.

Los datos genéticos también pueden revelar información sobre familiares que nunca se registraron en el servicio. Esa es una de las razones por las que los reguladores tratan estos casos con seriedad, y por las que una sola violación puede tener efectos que perduran más que una filtración típica de credenciales.

Qué significa esto para usted

Si usted era cliente de 23andMe, este acuerdo es un recordatorio de que el proceso legal en torno a una violación puede tardar años, y que el dinero pagado a un estado no revierte por sí solo la exposición de sus datos. El artículo fuente no indica si el acuerdo incluye pagos directos a los clientes, así que no asuma que recibirá una compensación.

Si nunca utilizó el servicio, la lección sigue aplicándose. Muchas empresas de consumo poseen datos altamente personales, y su propiedad puede cambiar mediante una venta o una quiebra. Los datos que compartió con una empresa pueden terminar bajo el control de otra.

Qué deberían hacer ahora los clientes afectados

  • Inicie sesión y revise su cuenta. Compruebe qué datos se almacenan, incluidos los resultados genéticos, las coincidencias familiares y cualquier perfil compartido.
  • Cambie su contraseña. Utilice una contraseña única y larga que no use en ningún otro lugar, preferiblemente generada por un gestor de contraseñas.
  • Active la autenticación multifactor (MFA). Una aplicación de autenticación o una clave de hardware es más segura que los códigos por SMS.
  • Considere eliminar sus datos. Si el servicio ofrece la eliminación de la cuenta y la destrucción de la muestra, revise esas opciones y siga los pasos oficiales.
  • Esté atento al phishing. Las personas vinculadas a una violación suelen ser objetivo de correos electrónicos o mensajes que hacen referencia al incidente. No haga clic en enlaces de mensajes inesperados.

Proteger los datos genéticos y de la cuenta en el futuro

Ninguna herramienta puede proteger los datos que una empresa almacena y luego pierde. Una VPN, por ejemplo, cifra su conexión, pero no protege la información que se encuentra en los servidores de una empresa. El paso más eficaz es limitar lo que entrega en primer lugar.

Antes de utilizar cualquier servicio que recopile datos biométricos o relacionados con la salud, lea su política de privacidad, compruebe qué ocurre con sus datos si la empresa se vende o quiebra, y busque opciones claras de eliminación. Utilice contraseñas únicas y MFA en todas las cuentas que contengan información confidencial, para que un inicio de sesión comprometido no abra la puerta a otras.

Las violaciones de este tipo no son aisladas. Nuestra cobertura de la violación de datos de Texas Parks and Wildlife que afecta a 3 millones de titulares de licencias muestra cómo los registros personales en poder de organizaciones de todo tipo pueden quedar expuestos, y por eso minimizar lo que comparte importa.

Puntos clave

El acuerdo de 6 millones de dólares entre 23andMe y California sigue siendo una propuesta, y sus términos completos no están disponibles en la fuente que revisamos. Lo que está claro es que los datos genéticos son permanentes, por lo que protegerlos requiere más que una contraseña segura. Revise hoy sus cuentas de datos genéticos, active la MFA, elimine los datos almacenados cuando sea posible y lea nuestra cobertura anterior de la demanda de California por la violación para obtener todos los antecedentes.