La Californie et le successeur corporatif de 23andMe ont conclu un règlement proposé de 6 millions de dollars concernant la violation de données génétiques de 2023. Le règlement de 6 M$ entre la Californie et 23andMe, s'il est approuvé, résoudrait les allégations de l'État selon lesquelles l'entreprise de tests génétiques n'a pas protégé les informations sensibles de ses clients. Il résoudrait également l'opposition de l'État aux procédures liées à la faillite de 23andMe, selon le résumé de l'accord publié par Law360. Seule une partie limitée du rapport nous est accessible, de sorte que certains détails des termes restent flous.

Ce que résout le règlement de 6 M$

Selon le rapport, l'accord est conclu entre l'État de Californie et l'entreprise qui a succédé à 23andMe. Il n'est pas définitif. Le règlement doit être approuvé avant d'entrer en vigueur, et la source ne précise pas quand cette approbation pourrait intervenir.

L'accord réglerait deux choses. Premièrement, il répond aux accusations de l'État selon lesquelles l'entreprise n'a pas protégé adéquatement les informations sensibles de ses clients lors de la violation de 2023. Deuxièmement, il répond à l'opposition de l'État aux procédures de 23andMe, que le résumé de la source interrompt avant d'en décrire tous les détails. Nous ne spéculerons pas sur les détails de ce second point.

Le règlement fait suite à l'action en justice de l'État contre l'entreprise. Pour le contexte de la plainte initiale, consultez notre couverture antérieure de la poursuite de la Californie contre 23andMe concernant la violation de données génétiques de 7 millions d'utilisateurs, qui décrit l'exploitation de l'entreprise sous le nom de Chrome Holding Co.

Ce que la violation de 23andMe de 2023 a exposé

Nos reportages antérieurs ont décrit l'incident de 2023 comme une violation ayant exposé les données génétiques et ancestrales des utilisateurs, la poursuite citant environ 7 millions d'utilisateurs concernés. La nature des données impliquées est ce qui distingue cette affaire. Un mot de passe divulgué peut être changé. Les informations génétiques d'une personne, non.

Les données génétiques peuvent également révéler des informations sur des proches qui ne se sont jamais inscrits au service. C'est l'une des raisons pour lesquelles les régulateurs prennent ces affaires au sérieux, et pourquoi une seule violation peut avoir des effets qui perdurent au-delà d'une fuite d'identifiants typique.

Ce que cela signifie pour vous

Si vous étiez client de 23andMe, ce règlement est un rappel que le processus juridique entourant une violation peut prendre des années, et que l'argent versé à un État ne répare pas en soi l'exposition de vos données. L'article source ne précise pas si le règlement comprend des paiements directs aux clients, alors ne présumez pas que vous recevrez une compensation.

Si vous n'avez jamais utilisé le service, la leçon s'applique tout de même. De nombreuses entreprises grand public détiennent des données hautement personnelles, et leur propriété peut changer par le biais d'une vente ou d'une faillite. Les données que vous avez partagées avec une entreprise peuvent finir sous le contrôle d'une autre.

Ce que les clients concernés devraient faire maintenant

  • Connectez-vous et examinez votre compte. Vérifiez quelles données sont stockées, y compris les résultats génétiques, les correspondances familiales et tout profil partagé.
  • Changez votre mot de passe. Utilisez un mot de passe unique et long que vous n'utilisez nulle part ailleurs, idéalement généré par un gestionnaire de mots de passe.
  • Activez l'authentification multifacteur (MFA). Une application d'authentification ou une clé matérielle est plus robuste que les codes SMS.
  • Envisagez de supprimer vos données. Si le service propose la suppression du compte et la destruction des échantillons, examinez ces options et suivez les étapes officielles.
  • Soyez vigilant face au hameçonnage. Les personnes liées à une violation sont souvent ciblées par des courriels ou des messages faisant référence à l'incident. Ne cliquez pas sur les liens contenus dans des messages inattendus.

Protéger les données génétiques et de compte à l'avenir

Aucun outil ne peut protéger des données qu'une entreprise stocke puis perd. Un VPN, par exemple, chiffre votre connexion, mais il ne sécurise pas les informations détenues sur les serveurs d'une entreprise. L'étape la plus efficace consiste à limiter ce que vous transmettez dès le départ.

Avant d'utiliser tout service qui collecte des données biométriques ou liées à la santé, lisez sa politique de confidentialité, vérifiez ce qu'il advient de vos données si l'entreprise est vendue ou fait faillite, et recherchez des options de suppression claires. Utilisez des mots de passe uniques et la MFA sur chaque compte contenant des informations sensibles, afin qu'une connexion compromise n'ouvre pas la porte aux autres.

Les violations de ce type ne sont pas isolées. Notre couverture de la violation de données du Texas Parks and Wildlife touchant 3 millions de titulaires de permis montre comment les dossiers personnels détenus par des organisations de toutes sortes peuvent être exposés, ce qui explique pourquoi minimiser ce que vous partagez est important.

Points clés à retenir

Le règlement de 6 M$ entre la Californie et 23andMe reste une proposition, et ses conditions complètes ne sont pas disponibles dans la source que nous avons examinée. Ce qui est clair, c'est que les données génétiques sont permanentes, de sorte que leur protection exige plus qu'un mot de passe robuste. Examinez dès aujourd'hui vos comptes de données génétiques, activez la MFA, supprimez les données stockées lorsque cela est possible, et lisez notre couverture antérieure de la poursuite de la Californie concernant la violation pour tout le contexte.