Заявление о банкротстве 23andMe вызывает опасения по поводу конфиденциальности: данные ДНК миллионов людей выставлены на продажу

Компания 23andMe, занимающаяся генетическим тестированием, объявила о своем банкротстве и выставила на торги данные о ДНК миллионов пользователей. С 2006 года компания 23andMe, ставленник Кремниевой долины, неуклонно накапливала базу данных с фундаментальной генетической информацией людей, обещая помочь им понять свою предрасположенность к заболеваниям и потенциально наладить связь с родственниками. Но банкротство компании, о котором было объявлено в воскресенье, означает, что эта информация будет продана, что вызвало массовое беспокойство среди экспертов и защитников конфиденциальности. «У людей нет абсолютно никакого права голоса в том, куда пойдут их данные», - говорит Тазин Кан, генеральный директор некоммерческой организации Cyber Collective, которая занимается защитой прав на частную жизнь и кибербезопасность для маргинальных слоев населения. «Как мы можем быть уверены в том, что последующее влияние того, кто приобретет эти данные, не будет катастрофическим?» - сказала она. В пятницу генеральный прокурор Калифорнии Роб Бонта опубликовал заявление для прессы, в котором предупредил людей о том, что их данные могут быть проданы. В заявлении Бонта предложил пользователям инструкции о том, как удалить генетические данные из 23andMe, как проинструктировать компанию об удалении их тестовых образцов и как отозвать доступ к их данным, используемым в сторонних исследованиях. Данные ДНК чрезвычайно чувствительны. Их основное использование в 23andMe - составление карты потенциальной предрасположенности человека к генетическим заболеваниям - это данные, которые многие люди предпочли бы сохранить в тайне. В некоторых уголовных делах данные генетического тестирования вызывались в полицию и использовались для расследования уголовных дел в отношении родственников людей. Эксперты по безопасности предупреждают, что если злоумышленник получает доступ к биометрическим данным человека, таким как информация о ДНК, то реальных средств защиты не существует: В отличие от пароля или даже адреса или номера социального страхования, человек не может изменить свою ДНК. Представитель 23andMe сообщил NBC News по электронной почте, что никаких изменений в том, как компания хранит данные клиентов, не будет, и что она планирует следовать всем соответствующим законам США. Однако Эндрю Кроуфорд, юрист некоммерческой организации «Центр демократии и технологий», говорит, что генетические данные, полученные и хранящиеся технологической компанией на законных основаниях, практически не подлежат федеральному регулированию. По его словам, в США не только нет значимого общего закона о цифровой конфиденциальности, но и медицинские данные американцев подвергаются меньшему юридическому контролю, если они хранятся в технологической компании, а не у медицинского работника. Закон о переносимости и подотчетности медицинского страхования (HIPPA), который регулирует некоторые способы обмена и хранения медицинских данных в США, в основном применяется только тогда, «когда эти данные находятся у вашего врача, вашей страховой компании, людей, связанных с предоставлением медицинских услуг», - сказал Кроуфорд. «Защита HIPAA обычно не распространяется на организации, имеющие устройства IOT [Интернет вещей], такие как фитнес-трекеры, и во многих случаях на компании, занимающиеся генетическим тестированием, например 23andMe», - сказал он. У 23andMe есть прецедент потери контроля над данными пользователей. В 2023 году хакер получил доступ к данным около 6,9 миллиона человек, что, как позже признала компания, составляло почти половину ее пользовательской базы на тот момент. Это привело к тому, что на одном из хакерских форумов в темной паутине, подтвержденном NBC News как по крайней мере частично подлинный, появились сообщения о базе данных, в которой были названы и идентифицированы люди с еврейским наследием ашкенази. Впоследствии компания заявила, что защита данных пользователей остается «главным приоритетом», и пообещала продолжать инвестировать в защиту своих систем и данных. Эмили Такер, исполнительный директор Джорджтаунского юридического центра по защите частной жизни