27 штатів подають до суду на 23andMe, щоб заблокувати продаж генетичних даних після витоку 2023 року

Двадцять сім штатів та округ Колумбія подали позов проти 23andMe, щоб не дозволити збанкрутілій компанії з тестування ДНК продати генетичні дані своїх клієнтів. Позов, поданий до суду у справах про банкрутство, зосереджений на витоку 2023 року, який викрив конфіденційну інформацію про здоров’я майже 7 мільйонів людей, і стверджує, що 23andMe ввела споживачів в оману щодо серйозності цього інциденту. На кону — генетичні дані приблизно 15 мільйонів клієнтів, які ніколи не давали згоди на те, щоб їхню найінтимнішу біологічну інформацію виставили на аукціон для найвищого покупця.

Ця справа — не просто історія про корпоративну недбалість. Вона порушує більш складне й незручне питання для споживачів, які дбають про конфіденційність: що станеться, коли ризик для приватності — це не пароль, не IP-адреса і не електронна пошта, а ваша справжня ДНК?

Що насправді стверджує позов

Коаліція генеральних прокурорів аргументує на двох основних фронтах. По-перше, що 23andMe не змогла належним чином захистити дані користувачів до та під час витоку 2023 року, залишивши мільйони клієнтів під загрозою шкоди, яку вони не могли передбачити. По-друге, що компанія применшила масштаб інциденту, вводячи в оману клієнтів, які в іншому разі могли б вжити заходів для самозахисту або подати запит на видалення своїх даних.

Тепер, коли 23andMe подала заяву про банкрутство, існує занепокоєння, що генетичні дані, зібрані за одних обіцянок, можуть бути передані новому власнику, який діятиме за зовсім іншими правилами. Клієнти, які спочатку погодилися поділитися своєю ДНК для дослідження родоводу чи медичних висновків, можуть виявити, що ці дані поглинула невідома третя сторона, яка не зобов’язана дотримуватися початкових умов обслуговування.

У кількох штатах уже діють закони, які прямо регулюють такий сценарій. Наприклад, Флорида забороняє продаж генетичних даних без прямої згоди клієнта, що підкріплено кримінальними покараннями та штрафами. Але не кожен штат має такі гарантії, саме тому скоординований багатоштатний позов став необхідним.

Чому ваші інструменти захисту приватності не можуть захистити генетичні дані

Це та частина історії, яку більшість публікацій про цифрову конфіденційність оминають. VPN, месенджери з шифруванням, приватні браузери та подібні інструменти ефективно захищають одну категорію даних: інформацію, яку ви передаєте або генеруєте в цифровому вигляді. Вони можуть приховати вашу IP-адресу, історію переглядів та комунікації від перехоплення.

Але вони нічого не можуть вдіяти з даними, які ви вже добровільно передали у фізичній формі. Коли ви надсилаєте зразок слини в компанію з тестування ДНК, жоден мережевий захист конфіденційності не застосовується. Дані збираються, обробляються та зберігаються на серверах компанії. З цього моменту ваша конфіденційність повністю залежить від практик безпеки компанії, її контрактних зобов’язань та правових гарантій, доступних у вашій юрисдикції.

Ця різниця важлива, оскільки змінює природу ризику. При більшості загроз цифровій приватності користувачі зберігають постійну дієздатність. Ви можете припинити користуватися сервісом, очистити свої дані або перейти на більш приватну альтернативу. З генетичними даними інформація є незмінною. Вашу ДНК не можна змінити, скинути або відкликати. Як тільки її викрадено або продано, витік стає незворотним.

Що це означає для вас

Якщо ви є клієнтом 23andMe, позов означає, що наразі тривають активні юридичні зусилля, щоб не допустити продажу ваших даних без вашої згоди. Однак судові процеси потребують часу, а в суді у справах про банкрутство результат ніколи не гарантований, оскільки інтереси кредиторів часто прямо конкурують із захистом споживачів.

Є конкретні кроки, які варто зробити вже зараз. По-перше, перевірте, чи ви вже подали запит на видалення даних до 23andMe. Історично компанія пропонувала цю опцію, і хоча процедура банкрутства ускладнює справу, офіційний запит на видалення створює задокументований запис вашого наміру. По-друге, перегляньте будь-які згоди, які ви підписали під час створення облікового запису, оскільки ці документи можуть окреслювати ваші права під час корпоративної передачі.

Поза конкретним випадком 23andMe, ця справа є корисним приводом ширше задуматися про генетичну приватність. Будь-який сервіс, який збирає біометричні чи біологічні дані — для здоров’я, фітнесу, родоводу чи досліджень, — володіє інформацією, що перебуває поза межами дії звичайних інструментів захисту приватності. Законодавча база, яка захищає ці дані, суттєво відрізняється залежно від штату і досі наздоганяє технології.

Для тих, хто цікавиться, як розвивається ширше законодавство про конфіденційність у Сполучених Штатах, закон Лофгрена-Тілліса пропонує корисне вікно в те, як законодавці мислять про права на цифрові дані та межі існуючих засобів захисту.

Ширша картина ризику від брокерів даних

Ситуація з 23andMe також є нагадуванням про те, як працюють екосистеми брокерів даних. Навіть дані, зібрані з нешкідливою метою, можуть опинитися в руках сторін, чиї наміри та практики абсолютно невідомі початковому споживачеві. Продажі при банкрутстві — це один шлях, як це може статися. Корпоративні поглинання, ліцензійні угоди на дані та витоки безпеки — інші.

Генетичні дані є однією з найбільш чутливих категорій особистої інформації, що існує. Вони можуть виявити схильність до хвороб, родинні зв’язки та етнічне походження. У чужих руках вони можуть бути використані страховиками, роботодавцями або правоохоронними органами у спосіб, якого споживачі ніколи не передбачали і на який не погоджувалися.

Багатоштатний позов проти 23andMe є знаковим моментом для прав на генетичну приватність у Сполучених Штатах. Незалежно від того, чи вдасться заблокувати продаж, він уже продемонстрував, що генеральні прокурори штатів готові рішуче координуватися в питаннях захисту споживчих даних, і що генетичні дані все частіше розглядаються як категорія, яка заслуговує на посилений правовий захист.

Якщо у вас є генетичні дані, що зберігаються в будь-якій компанії з тестування, зараз саме час переглянути налаштування свого облікового запису, з’ясувати свої права на видалення та добре подумати, перш ніж передавати біологічні дані будь-якому сервісу в майбутньому. Жоден VPN не захистить вашу ДНК, але усвідомлені рішення до того, як ви поділитеся даними, є найпотужнішим інструментом захисту приватності.