Californië en de zakelijke opvolger van 23andMe hebben een voorgestelde schikking van $6 miljoen getroffen over het genetische datalek van 2023. De schikking van $6 miljoen tussen 23andMe en Californië zou, indien goedgekeurd, de beschuldigingen van de staat weerleggen dat het bedrijf voor genetische tests er niet in is geslaagd de gevoelige informatie van klanten te beschermen. Het zou ook het bezwaar van de staat tegen de faillissementsgerelateerde procedures van 23andMe weerleggen, volgens de samenvatting van de deal door Law360. Slechts een beperkt deel van het rapport is voor ons beschikbaar, dus sommige details van de voorwaarden blijven onduidelijk.

Wat de schikking van $6 miljoen weerlegt

Volgens het rapport is de overeenkomst tussen de staat Californië en het bedrijf dat 23andMe is opgevolgd. De overeenkomst is niet definitief. De schikking moet worden goedgekeurd voordat deze van kracht wordt, en de bron vermeldt niet wanneer de goedkeuring zou kunnen komen.

De deal zou twee zaken regelen. Ten eerste behandelt het de claims van de staat dat het bedrijf de gevoelige informatie van klanten bij het datalek van 2023 niet adequaat heeft beschermd. Ten tweede behandelt het het bezwaar van de staat tegen de procedures van 23andMe, die de samenvatting van de bron afkapt voordat deze volledig wordt beschreven. We zullen niet gissen naar de details van dat tweede punt.

De schikking volgt op de juridische stappen van de staat tegen het bedrijf. Voor achtergrondinformatie over de oorspronkelijke klacht, zie onze eerdere berichtgeving over de rechtszaak van Californië tegen 23andMe over het genetische datalek van 7 miljoen gebruikers, waarin de activiteiten van het bedrijf onder de naam Chrome Holding Co worden beschreven.

Wat het 23andMe-datalek van 2023 blootlegde

Onze eerdere berichtgeving beschreef het incident van 2023 als een datalek dat de genetische en afstammingsgegevens van gebruikers blootlegde, waarbij de rechtszaak ongeveer 7 miljoen getroffen gebruikers noemde. De betrokken gegevens zijn wat deze zaak bijzonder maakt. Een gelekt wachtwoord kan worden gewijzigd. De genetische informatie van een persoon niet.

Genetische gegevens kunnen ook informatie onthullen over familieleden die zich nooit voor de dienst hebben aangemeld. Dat is een van de redenen waarom toezichthouders dit soort zaken serieus nemen, en waarom een enkel datalek gevolgen kan hebben die een typisch gelekte inloggegevens overstijgen.

Wat dit voor jou betekent

Als je een klant van 23andMe was, is deze schikking een herinnering dat het juridische proces rond een datalek jaren kan duren, en dat geld dat aan een staat wordt betaald op zichzelf de blootstelling van je gegevens niet ongedaan maakt. Het bronartikel vermeldt niet of de schikking directe betalingen aan klanten omvat, dus ga er niet van uit dat je een vergoeding zult ontvangen.

Als je de dienst nooit hebt gebruikt, geldt de les nog steeds. Veel consumentenbedrijven bewaren zeer persoonlijke gegevens, en hun eigendom kan veranderen door verkoop of faillissement. Gegevens die je met het ene bedrijf hebt gedeeld, kunnen onder de controle van een ander bedrijf terechtkomen.

Wat getroffen klanten nu moeten doen

  • Log in en controleer je account. Controleer welke gegevens zijn opgeslagen, inclusief genetische resultaten, familieovereenkomsten en eventuele gedeelde profielen.
  • Wijzig je wachtwoord. Gebruik een uniek, lang wachtwoord dat je nergens anders gebruikt, idealiter gegenereerd door een wachtwoordmanager.
  • Schakel multi-factor authenticatie (MFA) in. Een authenticator-app of hardwarematige sleutel is sterker dan sms-codes.
  • Overweeg je gegevens te verwijderen. Als de dienst accountverwijdering en vernietiging van monsters aanbiedt, bekijk die opties dan en volg de officiële stappen.
  • Let op phishing. Mensen die met een datalek in verband worden gebracht, worden vaak het doelwit van e-mails of berichten die naar het incident verwijzen. Klik niet op links in onverwachte berichten.

Genetische en accountgegevens in de toekomst beschermen

Geen enkel hulpmiddel kan gegevens beschermen die een bedrijf opslaat en later verliest. Een VPN versleutelt bijvoorbeeld je verbinding, maar beveiligt geen informatie die op de servers van een bedrijf wordt bewaard. De meest effectieve stap is om te beperken wat je überhaupt overdraagt.

Lees voordat je een dienst gebruikt die biometrische of gezondheidsgerelateerde gegevens verzamelt het privacybeleid, controleer wat er met je gegevens gebeurt als het bedrijf wordt verkocht of failliet gaat, en zoek naar duidelijke verwijderingsopties. Gebruik unieke wachtwoorden en MFA op elk account met gevoelige informatie, zodat één gecompromitteerde login niet de deur opent naar andere.

Datalekken van dit soort zijn niet geïsoleerd. Onze berichtgeving over het datalek bij Texas Parks and Wildlife dat 3 miljoen licentiehouders trof laat zien hoe persoonlijke gegevens die door allerlei soorten organisaties worden bewaard, kunnen worden blootgelegd, en dat is waarom het minimaliseren van wat je deelt ertoe doet.

Belangrijkste punten

De schikking van $6 miljoen tussen 23andMe en Californië is nog steeds een voorstel, en de volledige voorwaarden zijn niet beschikbaar in de bron die we hebben bekeken. Wat duidelijk is, is dat genetische gegevens permanent zijn, dus het beschermen ervan vereist meer dan een sterk wachtwoord. Controleer vandaag nog je accounts voor genetische gegevens, schakel MFA in, verwijder opgeslagen gegevens waar mogelijk, en lees onze eerdere berichtgeving over de rechtszaak van Californië over het datalek voor de volledige achtergrond.