La California e il successore aziendale di 23andMe hanno raggiunto un accordo transattivo proposto da 6 milioni di dollari sulla violazione dei dati genetici del 2023. L'accordo da 6 milioni di dollari tra 23andMe e la California, se approvato, risolverebbe le accuse dello Stato secondo cui l'azienda di test genetici non è riuscita a proteggere le informazioni sensibili dei clienti. Risolverebbe inoltre l'obiezione dello Stato ai procedimenti di 23andMe legati al fallimento, secondo il riepilogo dell'accordo di Law360. Solo una parte limitata del rapporto è disponibile per noi, quindi alcuni dettagli dei termini rimangono poco chiari.

Cosa risolve l'accordo da 6 milioni di dollari

Secondo il rapporto, l'accordo è tra lo Stato della California e la società che ha succeduto a 23andMe. Non è definitivo. L'accordo deve essere approvato prima di entrare in vigore, e la fonte non indica quando potrebbe arrivare l'approvazione.

L'accordo risolverebbe due questioni. In primo luogo, affronta le accuse dello Stato secondo cui l'azienda non ha protetto adeguatamente le informazioni sensibili dei clienti nella violazione del 2023. In secondo luogo, affronta l'obiezione dello Stato ai procedimenti di 23andMe, che il riepilogo della fonte interrompe prima di descriverla completamente. Non faremo supposizioni sui dettagli di quella seconda questione.

L'accordo fa seguito all'azione legale dello Stato contro l'azienda. Per il contesto sulla denuncia originale, consulta la nostra precedente copertura della causa della California contro 23andMe per la violazione dei dati genetici di 7 milioni di utenti, che descrive l'operatività dell'azienda con il nome Chrome Holding Co.

Cosa ha esposto la violazione di 23andMe del 2023

La nostra precedente copertura ha descritto l'incidente del 2023 come una violazione che ha esposto i dati genetici e di ascendenza degli utenti, con la causa che cita circa 7 milioni di utenti colpiti. I dati coinvolti sono ciò che rende questo caso eccezionale. Una password trapelata può essere cambiata. Le informazioni genetiche di una persona no.

I dati genetici possono anche rivelare informazioni su parenti che non si sono mai iscritti al servizio. Questo è uno dei motivi per cui le autorità di regolamentazione trattano questi casi con serietà, e per cui una singola violazione può avere effetti che durano più a lungo di una tipica fuga di credenziali.

Cosa significa per te

Se eri un cliente di 23andMe, questo accordo è un promemoria del fatto che il processo legale attorno a una violazione può richiedere anni, e che il denaro versato a uno Stato non annulla di per sé l'esposizione dei tuoi dati. L'articolo di origine non indica se l'accordo include pagamenti diretti ai clienti, quindi non dare per scontato che riceverai un risarcimento.

Se non hai mai utilizzato il servizio, la lezione vale comunque. Molte aziende di consumo detengono dati altamente personali, e la loro proprietà può cambiare attraverso vendite o fallimenti. I dati che hai condiviso con un'azienda possono finire sotto il controllo di un'altra.

Cosa dovrebbero fare ora i clienti colpiti

  • Accedi e rivedi il tuo account. Controlla quali dati sono archiviati, inclusi risultati genetici, corrispondenze familiari e eventuali profili condivisi.
  • Cambia la tua password. Usa una password unica e lunga che non usi da nessun'altra parte, idealmente generata da un gestore di password.
  • Attiva l'autenticazione a più fattori (MFA). Un'app di autenticazione o una chiave hardware è più sicura dei codici SMS.
  • Considera la possibilità di eliminare i tuoi dati. Se il servizio offre l'eliminazione dell'account e la distruzione del campione, rivedi queste opzioni e segui i passaggi ufficiali.
  • Fai attenzione al phishing. Le persone coinvolte in una violazione sono spesso prese di mira con email o messaggi che fanno riferimento all'incidente. Non cliccare sui link in messaggi inaspettati.

Proteggere i dati genetici e dell'account in futuro

Nessuno strumento può proteggere i dati che un'azienda archivia e successivamente perde. Una VPN, ad esempio, crittografa la tua connessione, ma non mette al sicuro le informazioni conservate sui server di un'azienda. Il passo più efficace è limitare ciò che consegni in primo luogo.

Prima di utilizzare qualsiasi servizio che raccoglie dati biometrici o relativi alla salute, leggi la sua informativa sulla privacy, controlla cosa succede ai tuoi dati se l'azienda viene venduta o fallisce, e cerca opzioni chiare di eliminazione. Usa password uniche e MFA su ogni account che contiene informazioni sensibili, così un login compromesso non apra la porta ad altri.

Le violazioni di questo tipo non sono isolate. La nostra copertura della violazione dei dati del Texas Parks and Wildlife che colpisce 3 milioni di titolari di licenze mostra come i documenti personali detenuti da organizzazioni di ogni tipo possano essere esposti, ed è per questo che minimizzare ciò che condividi è importante.

Punti chiave

L'accordo da 6 milioni di dollari tra 23andMe e la California è ancora una proposta, e i suoi termini completi non sono disponibili nella fonte che abbiamo esaminato. Ciò che è chiaro è che i dati genetici sono permanenti, quindi proteggerli richiede più di una password sicura. Rivedi oggi i tuoi account di dati genetici, attiva l'MFA, elimina i dati archiviati ove possibile, e leggi la nostra precedente copertura della causa della California sulla violazione per il contesto completo.