Ai făcut un test genetic pe 23andMe? Șterge-ți datele cât încă mai poți.21 min read

23andMe, una dintre cele mai mari companii care oferă teste genetice pentru stabilirea originii etnice, a intrat în procedura de faliment. Dar mai are ceva ce poate valorifica: datele genetice ale clienților.

Poate că, la un moment dat, ai fost curios să afli de unde proveneau strămoșii tăi direcți. Ai auzit de alte persoane care au făcut asta și au obținut rezultate interesante, ai făcut puțin research și ai văzut că, din multele servicii apărute în ultimii ani care oferă astfel de teste, 23andMe dă printre cele mai precise rezultate.

Ți-ai comandat kitul de testare, ai trimis înapoi mostra de salivă, ai primit rezultatele și o cerere ca datele tale să fie folosite, anonim, în cercetarea medicală. Și poate că ți-ai dat acordul, pentru că, până la urmă, sună nobil. În plus, poate ai citit că 23andMe ar avea printre cele mai bune standarde de protecție a intimității datelor.

Ei bine, datele acelea, împreună cu cele ale altor câteva milioane de clienți 23andMe, vor fi scoase la licitație în perioada următoare, în Statele Unite, ca parte a unor proceduri de faliment care ar putea crea un „potențial dezastru pentru intimitatea datelor genetice”.//„How a bankruptcy judge can stop a genetic privacy disaster”, technologyreview.com //

Mostre de salivă păstrate de companie. 23andMe

Ce s-a întâmplat cu 23andMe?

23andMe oferă, încă din 2006, testare genetică pentru a stabili compoziția originii etnice a unei persoane. Conform companiei, de atunci, aproximativ 15 milioane de clienți din întreaga lume au primit o analiză despre originile lor probabile. //„An Open Letter to 23andMe Customers”, 23andme.com //

În timp, însă, scopul testelor oferite de 23andMe s-a extins. Începând cu 2017, compania a primit aprobare să informeze clienții și despre potențiale semne de risc genetic pentru diferite boli. Iar, în ultimii ani, 23andme a început să se implice tot mai mult în zona de cercetare medicală, ba chiar a pornit parteneriate pentru studii clinice ale unor potențiale tratamente de cancer cu gigantul farmaceutic GlaxoSmithKline.//„23andMe and GSK Clinical Trial”, 23andme.com //

În 2024, compania oferea clienților date de risc genetic pentru aproximativ 50 de condiții medicale, care includeau Alzheimer, boala Parkinson și multiple riscuri de cancer.

Din păcate, 23andMe a avut un traseu similar multor start-upuri eșuate. S-a listat la bursă în 2021, a încercat să-și umfle valoarea cu achiziții scumpe în zona telemedicinei și cu noi tipuri de abonament, dar și-a pierdut 98% din valoarea de piață a acțiunilor în trei ani. Nici scurgerea majoră de date, în care hackeri au reușit să fure datele private a peste șapte milioane de clienți, // „23andMe’s Fall From $6 Billion to Nearly $0”, wsj.com// nu i-a ajutat.

Toate acestea, combinate cu scăderea generală a interesului pentru testele de origini, au adus 23andme în situația de a începe procedurile de faliment, în Statele Unite, în luna martie 2025.

Pentru minimizarea pagubei pentru creditorii actuali prin orice mijloace, atenția s-a mutat pe cel mai valoros bun rămas în companie: datele personale și genetice ale clienților din toată lumea.

În cadrul procedurii de faliment, compania va încerca inițial să caute un cumpărător – dar dacă nu reușește, s-ar putea ajunge la situația în care bunurile acesteia să fie vândute separat.

Anticipând astfel de scenarii, 23andme a cerut – și a primit – de la judecători permisiunea de a vinde datele genetice separat. //„23andMe says it won permission from a judge to sell customers’ medical and ancestry data. Here’s how to delete yours”, fortune.com //

În momentul de față, potențialii cumpărători pot depune oferte până pe 7 mai, iar o decizie ar putea fi luată, cel mai devreme, cândva în luna iunie.

23andMe

De ce sunt datele genetice sensibile?

Datele genetice sunt o mină de aur pentru cercetare, dar ar putea fi cumpărate și pentru utilizări mai puțin nobile.

Pe de o parte, o bază de date genetice complexă, care include persoane cu origini cât mai diverse, poate ajuta în multe studii biomedicale, de la cele despre ponderea diverselor mutații în anumite populații până la cercetarea farmaceutică – de exemplu, prin identificarea unor gene care scad riscul anumitor boli.

În același timp, pe baza datelor genetice se poate ajunge și la discriminare.

Asiguratorii medicali privați, de exemplu, ar fi extrem de interesați să afle dacă potențialii lor clienți au un risc genetic crescut pentru anumite afecțiuni – ceea ce poate duce la oferte personalizate cu prețuri mai mari sau chiar la refuzul de a le oferi polițe de asigurare.

În scenarii și mai distopice, dar care nu mai par acum atât de SF precum în trecut, genotiparea unui individ ar putea fi folosită chiar și pentru discriminarea la angajare, la accesul la credite bancare sau pentru profilarea acestuia în algoritmi de poliție predictivă (precum crearea unor baze de date care asociază riscul de criminalitate cu rasa sau etnia).

Este la fel de adevărat că astfel de scenarii, sunt, în prezent, interzise în Uniunea Europeană, Statele Unite și multe alte regiuni ale lumii. Discriminarea pe baze genetice și folosirea informațiilor genetice în scopuri de profilare sunt ilegale. Iar 23andMe se laudă că, deși a primit mai multe cereri de a împărtăși datele clienților cu autoritățile, li s-a opus de fiecare dată. //Detalii pe 23andme.com //

Totuși, precum în problema mai largă a privacy-ului din sfera online, astfel de mecanisme de protecție nu sunt neapărat gândite să fie preventive, și ar putea fi folosite de-abia după ce răul a fost deja făcut – asta dacă nu sunt slăbite, în timp, la presiunea grupurilor de lobby.

Deci întrebarea ar fi: cât de greu este, de fapt, să garantezi intimitatea datelor genetice, odată ce ele sunt procesate?

23andme

Și cu privacy pentru utilizator, și cu date valoroase pentru acționari

23andme susține că datele genetice ale clienților sunt gestionate, în principal, în funcție de preferințele lor.

După ce mostrele sunt analizate pentru a obține rezultatele clienților, li se adaugă un cod de bare unic și sunt separate de restul datelor din cont prin „mai multe nivele de securitate”, conform companiei.//Detalii pe 23andme.com // 

Clienții pot opta să-și dea acordul sau să refuze ca mostrele lor să fie folosite în cercetarea medicală, pe care compania o desfășura cu laboratoare partenere. Decizia poate fi schimbată ulterior, și există și opțiunea de a distruge mostra de material genetic.

Numai că datele genetice nu pot fi niciodată complet anonimizate, precum alte tipuri de date online. Genotipul fiecărui individ este unic și nu se schimbă (cel puțin în vreun mod semnificativ) pe durata vieții acestuia, iar astfel de date nu au nicio valoare dacă sunt parțial sau total obfuscate sau randomizate.

Cel mult, datele genetice pot fi separate de datele care pot duce la identificare persoanei, practica pe care o invocă și 23andme.

Dar există mereu riscul ca ele să fie recorelate cu datele personale. Acest lucru a fost dovedit încă din 2013: un studiu publicat la acea vreme în Science//„Identifying Personal Genomes by Surname Inference”, science.org // a reușit să identifice cinci participanți care au oferi anonim date genetice într-un studiu internațional, pornind de la vârstă, zona de reședință și date genealogice (în special numele de familie) ale rudelor disponibile în alte repozitorii publice.

Nu e clar nici dacă o atitudine proactivă a clientului duce la ștergerea completă a datelor genetice din baza de date a 23andMe. În 2024, cercetătoarea în privacy și protecția datelor Carey Lening, observa, pe blogul PrivaCat,//„Privacy Disasters: 23andMe, and You, and Our Genetic Data”, priva.cat // cum compania și-a schimbat în timp termenii de confidențialitate pentru a adăuga și clauza că anumite date ar putea fi păstrate chiar și în cazul în care un client își șterge contul.

23andMe invocă, printre altele, reglementări federale din Statele Unite care obligă reținerea mostrelor de secvențiere genetice prelevate în scop medical pentru perioade între doi și zece ani. Însă 23andMe nu intră sub umbrela unor astfel de reglementări, din moment ce a activat mereu ca un serviciu de testare genetic neclinic, despre care chiar compania spune că „nu este menit să dea indicații despre starea actuală de sănătate” a unui client.

Este un loophole legal care ridică semne de întrebare, mai ales în situația în care compania se află într-un conflict de interese: trebuie să-și maximizeze valoarea într-o eventuală licitație, iar valoarea vine aproape exclusiv de la baza de date genetice ale clienților. Dar, teoretic, ar trebui să protejeze și interesele lor de intimitate. Iar 23andMe nu doar că nu câștigă nimic din ștergerea datelor acestora, ba chiar își scade valoarea prin această practică.

E probabil unul din motivele pentru care compania se opune cererilor ca, în procesul de faliment, să integreze și un mediator special care să reprezinte interesul de intimitate al clienților (așa-numitul „privacy ombudsman”).//„23andMe Bankruptcy Court Could Appoint A Privacy Ombudsman. Will It?”, forbes.com //

În schimb, 23andMe a dat asigurări ca va lua în considerare numai ofertele care respectă condițiile actuale de confidențialitate ale datelor.

Bloomberg via Getty Images

Salvează GDPR-ul din nou clienții europeni?

E greu de zis cum afectează încrengătură de interese și practici legale datele clienților 23andMe din Europa, inclusiv România.

Teoretic, protecția datelor genetice intră în scopul regulamentului european GDPR, al cărui articol 9 le încadrează drept „categorii speciale de date personale”, și interzice procesarea lor în orice scop care poate duce la profilarea individului, cu anumite excepții.

Singura dintre ele care se aplică la situația 23andMe este cea în care individul în cauză își dă acordul explicit pentru astfel de utilizări. Iar, conform regulamentului, acest acord poate fi retras oricând, iar clientul are dreptul să ceară ulterior eliminarea tuturor datelor personale identificatoare.

Cel puțin la nivel declarativ, 23andMe susține explicit că GDPR-ul este norma pe care o aplică în procesarea datelor clienților săi din Uniunea Europeană, //„GDPR and 23andMe”, 23andme.com // și că aceștia pot își pot exercita și drepturile conferite de regulament care nu ar fi incluse în interfața de utilizator, prin contactarea companiei.

O incertitudine mare rămâne, însă, legată de potențialul cumpărător, care își poate da acordul pentru păstrarea termenilor de confidențialitate actuali în timpul procesului de vânzare, dar nu poate fi neapărat împiedicat să le schimbe ulterior.

Ce trebuie să faci pentru a cere ștergerea datelor ținute de 23andMe

Pentru moment, cea mai bună soluție aflată la îndemâna clienților este cererea de a șterge datele păstrate de 23andMe. Iată, mai jos, pașii pentru a face acest lucru, care vor fi disponibili în contul de utilizator, cel puțin până la vânzarea companiei:

1.       Loghează-te în contul de client de pe site-ul 23andMe.
2.       Intră la secțiunea „Settings”.
3.       Dă scroll până la capătul paginii, până ajungi la secțiunea „23andMe Data” și apasă „View”.
4.       Aici ai opțiunea de a descărca o copie a datelor genetice pentru uz personal. Descarcă rapoartele pe care vrei să le păstrezi sau sari la următorul punct;
5.       Dă scroll până la secțiunea „Delete Data”;
6.       Apasă „Permanently Delete Data”;
7.       Vei primi un email de la 23andMe pe mailul asociat contului; urmează link-ul din acesta pentru a confirma cererea de ștergere a datelor personale.

În cazul în care, anterior, ți-ai dat acordul pentru păstrarea mostrelor de salivă sau folosirea datelor genetice din cercetare, acestea pot fi retrase tot din pagina de setări, la secțiunile „Preferences” și „Research and Product Consents”.

Iar, dacă la un moment ai postat rezultatele testului de origine online, nu ar strica să faci curățenie prin conturile de social media și să ștergi urmele acestora – măcar pentru a face mai dificilă colectarea lor viitoare.