Prokurator generalny James otrzymuje 18 milionów dolarów od firmy 23andMe za brak ochrony danych genetycznych klientów
NOWY JORK – Prokurator generalna stanu Nowy Jork Letitia James i dwupartyjna koalicja 42 innych prokuratorów generalnych otrzymały dziś 18 milionów dolarów od firmy zajmującej się testami genetycznymi 23andMe za brak ochrony prywatnych danych genetycznych klientów. W październiku 2023 r. firma 23andMe ogłosiła odkrycie naruszenia bezpieczeństwa danych, które dotknęło 6,9 mln konsumentów, w tym 305 245 w Nowym Jorku. Naruszenie bezpieczeństwa ujawniło szeroki zakres danych klientów, w tym informacje o pochodzeniu genetycznym. Dane niektórych klientów zostały nawet wystawione na sprzedaż w dark webie. W ramach ugody prokurator generalny James i koalicja zaapelowali o wprowadzenie nowych wymogów w zakresie ochrony danych w celu zabezpieczenia danych klientów 23andMe. 23andMe zapłaci również Nowemu Jorkowi ponad 705 000 dolarów.
„Firmy mają obowiązek chronić dane osobowe swoich klientów przed hakerami, ale 23andMe naraziło miliony swoich klientów na ryzyko, stosując nieskuteczne środki bezpieczeństwa” – powiedział prokurator generalny James. „Mieszkańcy Nowego Jorku powierzyli firmie 23andMe swoje wrażliwe i osobiste dane genetyczne, a następnie odkryli, że dane te zostały skradzione i wystawione na sprzedaż w ciemnych zakamarkach internetu. W wyniku działań naszej koalicji firma 23andMe pokryje koszty łamania prawa, a w celu ochrony swoich klientów zostaną wprowadzone surowe zasady.
Naruszenie bezpieczeństwa danych w firmie 23andMe w październiku 2023 r. ujawniło poufne informacje genetyczne należące do milionów klientów. Część tych danych została następnie wystawiona na sprzedaż w darknecie, narażając klientów na kolejne ataki hakerskie i kradzieże tożsamości. Firma 23andMe dowiedziała się o naruszeniu kilka miesięcy po tym, jak zagrożone dane osobowe stały się publicznie dostępne. Firma najpierw zaprzeczyła naruszeniu, a następnie, gdy już je potwierdziła, obwiniła klientów o sposób założenia ich kont i użycia haseł.
Bezpośrednio po naruszeniu danych prokurator generalny James i koalicja rozpoczęli dochodzenie obejmujące wiele stanów i ustalili, że firma 23andMe nie podjęła kluczowych środków bezpieczeństwa, w tym:
- Zabezpieczenia przed atakami cybernetycznymi wykorzystującymi skradzione dane uwierzytelniające, w tym porównywanie haseł z listami bloków znanych złamanych haseł lub wymaganie uwierzytelniania wieloskładnikowego;
- Odpowiednie ograniczanie przepustowości lub zapobieganie włamaniom;
- Rejestrowanie, monitorowanie lub inne narzędzia mogące wykryć naruszenie danych;
- Badanie i rozwiązywanie nietypowych wzorców logowania, w tym na przykład gwałtownego wzrostu liczby prób logowania;
- Naprawianie znanych luk w zabezpieczeniach; i
- Prawidłowe przeglądanie i testowanie cech projektu.
W marcu 2025 r. firma 23andMe złożyła wniosek o ochronę przed bankructwem, a prokurator generalny James i koalicja złożyli roszczenia w związku z dochodzeniem w sprawie naruszenia danych. W czerwcu 2025 r. prokurator generalny James i dwupartyjna koalicja 27 innych prokuratorów generalnych pozwała firmę 23andMe, domagając się ochrony danych genetycznych Amerykanów podczas bankructwa firmy.
W wyniku bankructwa dane klientów 23andMe zostały sprzedane TTAM Research (TTAM), organizacji non-profit utworzonej przez założyciela i byłego dyrektora generalnego 23andMe. Prokurator generalny James i koalicja wprowadzili nowe wymogi dotyczące bezpieczeństwa informacji i danych w TTAM, aby chronić dane klientów i zapobiegać przyszłym naruszeniom. Środki te obejmują odpowiednią analizę ryzyka, powołanie Rady Doradczej ds. bezpieczeństwa danych i dalsze oferowanie konsumentom prawa do usunięcia swoich danych. Warunki te zagwarantują, że TTAM, obecnie zarejestrowany ponownie jako 23andMe Research Institute, będzie w przyszłości bezpieczniejszym depozytariuszem danych genetycznych.
W zabezpieczeniu tej ugody, do prokuratora generalnego Jamesa dołączyli prokuratorzy generalni stanów: Alabama, Alaska, Arizona, Arkansas, Kolorado, Connecticut, Delaware, Floryda, Georgia, Idaho, Illinois, Indiana, Iowa, Kansas, Kentucky, Luizjana, Maine, Maryland, Massachusetts, Michigan, Minnesota, Karolina Północna, Dakota Północna, New Hampshire, New Jersey, Nowy Meksyk, Ohio, Oklahoma, Oregon, Pensylwania, Karolina Południowa, Dakota Południowa, Tennessee, Teksas, Utah, Wirginia, Vermont, Waszyngton, Wisconsin, Wirginia Zachodnia i Dystrykt Kolumbii.
W Nowym Jorku sprawą zajął się zastępca szefa biura Clark Russell pod nadzorem szefa biura Kim Berger z Biura Internetu i Technologii. Biuro ds. Internetu i Technologii jest częścią Wydziału Sprawiedliwości Ekonomicznej, na którego czele stoi zastępca prokuratora generalnego Chris D'Angelo, a nadzór nad nim sprawuje pierwsza zastępca prokuratora generalnego Jennifer Levy.