A Califórnia e a sucessora corporativa da 23andMe chegaram a um acordo proposto de US$ 6 milhões referente à violação de dados genéticos de 2023. O acordo de US$ 6 milhões entre a Califórnia e a 23andMe, se aprovado, resolveria as alegações do estado de que a empresa de testes genéticos não protegeu as informações sensíveis dos clientes. Também resolveria a objeção do estado aos procedimentos relacionados à falência da 23andMe, de acordo com o resumo do acordo feito pela Law360. Apenas uma parte limitada do relatório está disponível para nós, portanto alguns detalhes dos termos permanecem incertos.

O que o acordo de US$ 6 milhões resolve

De acordo com o relatório, o acordo é entre o Estado da Califórnia e a empresa que sucedeu a 23andMe. Ele não é definitivo. O acordo precisa ser aprovado antes de entrar em vigor, e a fonte não informa quando a aprovação pode ocorrer.

O acordo resolveria duas coisas. Primeiro, trata das alegações do estado de que a empresa não protegeu adequadamente as informações sensíveis dos clientes na violação de 2023. Segundo, trata da objeção do estado aos procedimentos da 23andMe, que o resumo da fonte interrompe antes de descrever por completo. Não vamos especular sobre os detalhes desse segundo item.

O acordo decorre da ação judicial movida pelo estado contra a empresa. Para contexto sobre a reclamação original, veja nossa cobertura anterior sobre o processo da Califórnia contra a 23andMe pela violação de dados genéticos de 7 milhões de usuários, que descreve a operação da empresa sob o nome Chrome Holding Co.

O que a violação da 23andMe de 2023 expôs

Nossa reportagem anterior descreveu o incidente de 2023 como uma violação que expôs dados genéticos e de ancestralidade dos usuários, com o processo citando aproximadamente 7 milhões de usuários afetados. O tipo de dado envolvido é o que torna este caso notável. Uma senha vazada pode ser alterada. A informação genética de uma pessoa não pode.

Dados genéticos também podem revelar informações sobre parentes que nunca se cadastraram no serviço. Essa é uma das razões pelas quais os reguladores tratam esses casos com seriedade, e por que uma única violação pode ter efeitos que duram mais do que um vazamento típico de credenciais.

O que isso significa para você

Se você era cliente da 23andMe, este acordo é um lembrete de que o processo legal em torno de uma violação pode levar anos, e que o dinheiro pago a um estado não desfaz por si só a exposição dos seus dados. O artigo fonte não informa se o acordo inclui pagamentos diretos aos clientes, portanto não presuma que você receberá compensação.

Se você nunca usou o serviço, a lição ainda se aplica. Muitas empresas de consumo detêm dados altamente pessoais, e sua propriedade pode mudar por meio de venda ou falência. Dados que você compartilhou com uma empresa podem acabar sob o controle de outra.

O que os clientes afetados devem fazer agora

  • Faça login e revise sua conta. Verifique quais dados estão armazenados, incluindo resultados genéticos, correspondências familiares e quaisquer perfis compartilhados.
  • Altere sua senha. Use uma senha longa e exclusiva que você não use em nenhum outro lugar, de preferência gerada por um gerenciador de senhas.
  • Ative a autenticação multifator (MFA). Um aplicativo autenticador ou uma chave de hardware é mais forte do que códigos por SMS.
  • Considere excluir seus dados. Se o serviço oferece exclusão de conta e destruição de amostras, revise essas opções e siga os passos oficiais.
  • Fique atento a phishing. Pessoas ligadas a uma violação costumam ser alvo de e-mails ou mensagens que fazem referência ao incidente. Não clique em links de mensagens inesperadas.

Protegendo dados genéticos e de conta daqui em diante

Nenhuma ferramenta pode proteger dados que uma empresa armazena e depois perde. Uma VPN, por exemplo, criptografa sua conexão, mas não protege as informações mantidas nos servidores de uma empresa. A medida mais eficaz é limitar o que você entrega em primeiro lugar.

Antes de usar qualquer serviço que colete dados biométricos ou relacionados à saúde, leia sua política de privacidade, verifique o que acontece com seus dados se a empresa for vendida ou falir e procure opções claras de exclusão. Use senhas exclusivas e MFA em todas as contas que contêm informações sensíveis, para que um login comprometido não abra a porta para outros.

Violações desse tipo não são isoladas. Nossa cobertura da violação de dados do Texas Parks and Wildlife que afetou 3 milhões de detentores de licenças mostra como registros pessoais mantidos por organizações de todos os tipos podem ser expostos, e é por isso que minimizar o que você compartilha é importante.

Principais conclusões

O acordo de US$ 6 milhões entre a Califórnia e a 23andMe ainda é uma proposta, e seus termos completos não estão disponíveis na fonte que analisamos. O que está claro é que dados genéticos são permanentes, portanto protegê-los exige mais do que uma senha forte. Revise suas contas de dados genéticos hoje, ative a MFA, exclua os dados armazenados sempre que possível e leia nossa cobertura anterior sobre o processo da Califórnia relacionado à violação para o contexto completo.