加州就涉及700万用户的基因数据泄露事件起诉23andMe
加州总检察长已对DNA检测公司23andMe（现以Chrome Holding Co.名义运营）提起诉讼，指控该公司在处理2023年一起导致近700万用户基因和祖先数据暴露的泄露事件时存在不当行为。诉讼围绕两个核心主张：23andMe未能充分保护现存最敏感的部分个人数据，以及它在数据暴露的实际严重性上误导了客户。对于任何思考基因数据泄露隐私保护的人来说，本案是一个尖锐的提醒——没有任何隐私工具或消费者习惯能够阻止这种结果。
加州对23andMe的诉讼实际指控了什么
加州总检察长的诉状重点在于，23andMe被指控未能对包括DNA档案和健康倾向信息在内的数据采取足够的安全措施。首次披露泄露事件时，批评者指出该公司的对外沟通淡化了事态的波及范围。此次诉讼将这些关切正式化了，主张消费者在暴露的严重性上受到了误导。
本案在法律上之所以意义重大，是因为基因数据在加州法律下属于特殊类别。与泄露的电子邮件地址甚至信用卡号不同，DNA数据无法更改。它直接关联到健康隐患、家庭关系和祖先背景，并且是永久性的。加州方面主张，23andMe有法律和道德义务以远超乎其实际表现的谨慎程度对待这些数据。
遗传和健康数据为何是另一类风险
大多数数据泄露都会造成严重伤害，但基因数据泄露的后果远不止于个体本身。你的DNA包含亲属的信息，包括那些从未同意与任何第三方分享任何信息的人。它可能揭示疾病倾向、种族渊源和生物学家族联系——这些细节在泄露发生后的数年甚至数十年间，都可能被保险公司、雇主或恶意行为者利用。
这正是基因数据与大多数企业数据泄露所暴露的凭证和行为档案之间的区别所在。你的基因组没有“重置密码”这回事。这一现实将巨大的责任负担放在了收集和存储此类信息的公司身上，而这正是加州在法庭上力争的论点。
这种情况呼应了人们对大型公司在没有实质性问责的情况下如何处理敏感用户信息的更广泛担忧。正如关于德州总检察长就Netflix秘密收集用户数据提起诉讼的报道所述，全国各地的总检察长越来越倾向于追诉那些滥用或未能保护其所收集个人数据的科技和消费类公司。
在发生企业数据泄露后，VPN能做什么和不能做什么
对于注重隐私的读者，这个案例值得一个诚实的框架分析。VPN是一种有价值的工具，可以加密你的互联网流量，向网站和广告商隐藏你的IP地址，并保护你在公共网络上的活动。这些都是真实而有意义的益处。
但23andMe的数据泄露事件并非有人在数据传输过程中进行截获。它是公司自身系统内部的故障，涉及用户多年前就已提交的数据。在泄露发生那一刻，你设备上运行的VPN对于保护存储在23andMe数据库中的DNA档案将毫无作用。
这一区别之所以重要，是因为消费者有时被误导，以为像VPN这样的隐私工具能够在其数字生活周围建立一道全面的屏障。事实并非如此。一旦你将数据交给第三方，你的保护就完全取决于该公司的安全实践、法律义务以及在出现问题时保持透明的意愿。23andMe的这起诉讼表明，这些保护措施中至少有一项在多个方面失效了。
超越VPN：限制个人数据暴露的实际步骤
理解任何单一隐私工具的局限性是第一步，也是最重要的一步。在此基础上，一些具体的习惯可以切实降低你面对持有敏感数据的公司时的风险。
审慎选择你分享的内容。 基因检测服务是带有真实隐私取舍的消费品。在提交DNA样本之前，请仔细审查该公司的数据保留政策、其在执法数据请求方面的历史记录，以及如果公司被收购或破产，你的数据将何去何从。23andMe的破产程序已经引发了对其数据库命运的另一重担忧。
查阅并使用删除选项。 许多基因检测公司提供删除你存储的DNA数据和账户信息的选项。如果你曾使用过某项服务且不再希望数据被保留，请行使该项权利。并非所有公司都会让这一操作变得容易，但通常可以做到。
仔细阅读泄露通知。 公司在法律上有义务通知你符合条件的数据泄露事件，但正如加州诉讼所表明的，这些通知的措辞可能淡化实际危害范围。如果你收到泄露通知，无论其措辞如何，都应认真对待，并查阅独立报道以获取更全面的图景。
理解同意到底涵盖了什么。 注册一项服务意味着同意该公司的隐私政策，但这些政策通常包含关于与第三方共享数据的宽泛措辞。基因数据、健康记录和生物识别信息在你点击接受之前，值得做额外的仔细审查。
这对你意味着什么
加州总检察长对23andMe的诉讼不仅仅是针对一家公司的监管行动。它是一个信号，表明州层面对基因数据泄露隐私保护的执法正变得越来越强硬，DNA及健康记录的暴露将日益招致法律后果，公司无法简单地将其视为做生意的成本来消化。
对于消费者而言，得到的启示既赋予人力量，也发人深省。你可以就更信任哪些公司来处理你最敏感的数据做出更好的决策。你可以要求删除数据，阅读细则，并在你曾信任的公司面临审查时保持知情。你不能做的是依赖任何单一工具，包括VPN，来保护已经存在于第三方系统内部的数据。
要理解这一模式在其他行业如何上演，关于德州总检察长对Netflix的数据诉讼的报道提供了一个有用的参照：企业数据滥用是在个人隐私工具完全无法应对的层面上运作的。及时了解这些案例的进展，是你能做的最实际的事情之一。
