Каліфорнія та корпоративний наступник 23andMe досягли попередньої мирової угоди на $6 млн щодо витоку генетичних даних 2023 року. Каліфорнійська мирова угода з 23andMe на $6 млн, якщо її буде затверджено, врегулює звинувачення штату в тому, що компанія з генетичного тестування не змогла захистити конфіденційну інформацію клієнтів. Вона також врегулює заперечення штату проти пов'язаних із банкрутством проваджень 23andMe, згідно з оглядом угоди від Law360. Нам доступна лише обмежена частина звіту, тому деякі деталі умов залишаються нез'ясованими.

Що врегульовує угода на $6 млн

Згідно зі звітом, угода укладена між штатом Каліфорнія та компанією, яка стала наступником 23andMe. Вона не є остаточною. Мирову угоду необхідно затвердити, перш ніж вона набуде чинності, і джерело не вказує, коли може надійти затвердження.

Угода врегулює дві речі. По-перше, вона стосується звинувачень штату в тому, що компанія не забезпечила належний захист конфіденційної інформації клієнтів під час витоку 2023 року. По-друге, вона стосується заперечення штату проти проваджень 23andMe, яке огляд джерела обриває, не описуючи повністю. Ми не будемо здогадуватися про деталі цього другого пункту.

Мирова угода є наслідком судового позову штату проти компанії. Для ознайомлення з передумовами первісного позову дивіться наше попереднє висвітлення позову Каліфорнії проти 23andMe щодо витоку генетичних даних 7 млн користувачів, де описано діяльність компанії під назвою Chrome Holding Co.

Що викрив витік 23andMe 2023 року

У нашому попередньому репортажі інцидент 2023 року було описано як витік, що exposed генетичні дані та дані про походження користувачів, а в позові згадувалося близько 7 млн постраждалих користувачів. Саме дані, які були задіяні, вирізняють цю справу. Витік пароля можна змінити. Генетичну інформацію людини змінити неможливо.

Генетичні дані також можуть розкривати інформацію про родичів, які ніколи не реєструвалися в сервісі. Це одна з причин, чому регулятори ставляться до таких справ серйозно, і чому один витік може мати наслідки, що тривають довше за типовий витік облікових даних.

Що це означає для вас

Якщо ви були клієнтом 23andMe, ця мирова угода є нагадуванням про те, що судовий процес навколо витоку може тривати роками, і що гроші, сплачені штату, самі по собі не скасовують exposure ваших даних. У статті-джерелі не вказано, чи передбачає угода прямі виплати клієнтам, тому не припускайте, що отримаєте компенсацію.

Якщо ви ніколи не користувалися сервісом, урок усе одно застосовний. Багато споживчих компаній зберігають надзвичайно особисті дані, і їхня власність може змінюватися через продаж або банкрутство. Дані, які ви поділили з однією компанією, можуть опинитися під контролем іншої.

Що постраждалим клієнтам слід зробити зараз

  • Увійдіть і перегляньте свій обліковий запис. Перевірте, які дані зберігаються, зокрема генетичні результати, збіги з родичами та будь-які спільні профілі.
  • Змініть пароль. Використовуйте унікальний довгий пароль, який ви не використовуєте більше ніде, ідеально — згенерований менеджером паролів.
  • Увімкніть багатофакторну автентифікацію (MFA). Застосунок-автентифікатор або апаратний ключ надійніші за SMS-коди.
  • Розгляньте видалення своїх даних. Якщо сервіс пропонує видалення облікового запису та знищення зразків, перегляньте ці опції та дотримуйтеся офіційних кроків.
  • Стежте за фішингом. Люди, пов'язані з витоком, часто стають ціллю електронних листів або повідомлень, що посилаються на інцидент. Не переходьте за посиланнями в неочікуваних повідомленнях.

Захист генетичних даних і даних облікового запису надалі

Жоден інструмент не може захистити дані, які компанія зберігає, а згодом втрачає. VPN, наприклад, шифрує ваше з'єднання, але не захищає інформацію, що зберігається на серверах компанії. Найдієвіший крок — обмежити те, що ви передаєте в першу чергу.

Перш ніж користуватися будь-яким сервісом, що збирає біометричні дані або дані про здоров'я, прочитайте його політику конфіденційності, перевірте, що станеться з вашими даними, якщо компанію буде продано або вона збанкрутує, і знайдіть чіткі опції видалення. Використовуйте унікальні паролі та MFA для кожного облікового запису, що містить конфіденційну інформацію, щоб один скомпрометований логін не відкривав двері до інших.

Витоки такого роду не є поодинокими. Наше висвітлення витоку даних Texas Parks and Wildlife, що зачепив 3 млн власників ліцензій показує, як особисті записи, що зберігаються організаціями всіх видів, можуть бути exposed, і саме тому мінімізація того, чим ви ділитеся, має значення.

Ключові висновки

Каліфорнійська мирова угода з 23andMe на $6 млн усе ще є пропозицією, і її повні умови недоступні в джерелі, яке ми розглянули. Зрозуміло одне: генетичні дані є незмінними, тому для їх захисту потрібно більше, ніж надійний пароль. Перегляньте свої облікові записи з генетичних даних сьогодні, увімкніть MFA, видаліть збережені дані, де це можливо, і прочитайте наше попереднє висвітлення позову Каліфорнії щодо витоку для повного контексту.