23andMe enfrenta um futuro incerto – seus dados genéticos também

A empresa de testes genéticos e de DNA 23andMe está em crise após uma violação de dados no ano passado e seu contínuo declínio financeiro. A gigante outrora pioneira enfrenta agora um futuro incerto no meio de esforços para tornar a empresa privada, intensificando as preocupações sobre o que poderá acontecer aos dados genéticos dos cerca de 15 milhões de clientes da 23andMe.

Mais conhecida por seus kits de teste baseados em saliva que oferecem um vislumbre da ancestralidade genética de uma pessoa, a 23andMe viu seu valor despencar mais de 99% em relação ao pico de US$ 6 bilhões desde que abriu o capital no início de 2021, após não ter obtido lucro.

Essa falta de lucro foi atribuída à diminuição do interesse do consumidor nos kits de teste de uso único da 23andMe e ao fraco crescimento de seus serviços de assinatura. A empresa também foi atingida por uma enorme violação de dados que durou meses, em que hackers roubaram os dados ancestrais de quase 7 milhões de usuários ao longo de 2023. A empresa concordou em setembro em pagar US$ 30 milhões para resolver uma ação judicial relacionada à violação.

Menos de uma semana depois, a fundadora e CEO da 23andMe, Anne Wojcicki, disse que estava “considerando propostas de aquisição de terceiros” para a empresa. Wojcicki rapidamente voltou atrás na declaração, dizendo que planejava fechar o capital da empresa. Mas o estrago estava feito e todos os membros independentes do conselho de administração da empresa renunciaram com efeito imediato.

Onde isso deixa os dados genéticos de milhões de pessoas?

23andMe está em grande parte sujeito às suas próprias regras

Conforme evidenciado pela violação de dados do ano passado, que viu hackers roubarem informações como predisposição genética dos usuários e relatórios de ancestralidade, a 23andMe coleta uma tonelada de informações sobre seus usuários.

Se você é um dos muitos milhões que enviaram sua saliva para a 23andMe para saber mais sobre sua ancestralidade, você pode ter presumido que esses dados permanecerão privados sob a lei, como a Lei de Responsabilidade e Portabilidade de Seguros de Saúde. A HIPAA, como é conhecida, estabelece os padrões para proteger informações confidenciais de saúde contra divulgação sem o conhecimento ou consentimento de uma pessoa.

No entanto, a 23andMe não é uma empresa coberta pela HIPAA. Como tal, a 23andMe está em grande parte vinculada apenas às suas próprias políticas de privacidade, que pode alterar a qualquer momento.

Andy Kill, porta-voz da 23andMe, disse ao TechCrunch que a empresa acredita que este é “um modelo mais apropriado e transparente para os dados que gerenciamos, em vez do modelo HIPAA empregado pelo setor de saúde tradicional”.

A falta de regulamentação federal e uma confusão de leis estaduais de privacidade significam, em última análise, que se a 23andMe enfrentar uma venda, os dados de milhões de americanos também estarão em cima da mesa. A política de privacidade da empresa diz que as informações pessoais de seus clientes “podem ser acessadas, vendidas ou transferidas” como parte de uma falência, fusão, aquisição, reorganização ou venda.

O facto de os dados dos clientes serem um activo vendável também foi esclarecido por Wojcicki, que alegadamente disse aos investidores que a 23andMe deixará de prosseguir os seus programas de desenvolvimento de medicamentos dispendiosos e, em vez disso, concentrar-se-á na comercialização da sua vasta base de dados de dados de clientes para empresas farmacêuticas e pesquisadores.

A 23andMe afirma que suas políticas de privacidade de dados não mudariam em caso de venda. Estas políticas estabelecem que a empresa nunca partilhará informações dos utilizadores com companhias de seguros ou com autoridades policiais sem um mandado. Estas últimas têm recorrido cada vez mais a empresas de ADN terceiras para obter informações genéticas, mas a 23andMe tem resistido até agora a todos os pedidos de tais dados pelas autoridades dos EUA, de acordo com o seu relatório de transparência de longa data.

Os potenciais compradores da 23andMe podem ter ideias totalmente diferentes sobre como usar o tesouro potencialmente valioso de dados de DNA da empresa. Os defensores da privacidade do grupo de direitos digitais Electronic Frontier Foundation já instaram a 23andMe a resistir à venda a qualquer empresa ligada à aplicação da lei, alertando que os dados genéticos dos clientes poderiam ser usados ​​pela polícia para procurar indiscriminadamente provas de crimes.

“Nosso próprio compromisso de aplicar os termos de nossa política de privacidade às informações pessoais de nossos clientes no caso de uma venda ou transferência é claro: os Termos de Serviço e a Declaração de Privacidade da 23andMe permaneceriam em vigor a menos e até que os clientes fossem apresentados com, e concordar com os novos termos e declarações – e somente após receber a notificação apropriada de quaisquer novos termos, de acordo com as leis de proteção de dados aplicáveis”, disse Kill ao TechCrunch.

Excluindo sua conta proativamente

Embora a 23andMe pareça estar resistindo à venda para uma empresa terceirizada por enquanto, os comentários retratados de Wojcicki já soaram o alarme entre os defensores da privacidade, que estão instando os clientes da 23andMe a tomar medidas agora para proteger seus dados de serem vendidos, solicitando que a 23andMe exclua seus dados.

Meredith Whittaker, presidente do aplicativo de mensagens criptografadas de ponta a ponta Signal, disse em um post no X: “Não é só você. Se alguém da sua família deu seu DNA para (23andMe), para o seu bem, feche sua conta agora.”

Eva Galperin, diretora de segurança cibernética da EFF, também alertou os usuários para agirem. “Se você tem uma conta 23andMe, hoje é um bom dia para fazer o login e solicitar a exclusão dos seus dados”, disse Galperin em postagem no X.

Solicitar a exclusão dos seus dados no 23andMe é relativamente fácil.

Faça login em sua conta 23andMe e navegue até Configurações > Informações da conta > Exclua sua conta. 23andMe solicitará que você confirme sua decisão, avisando que a exclusão de sua conta é permanente e irreversível.

Há uma advertência importante. Conforme observado na política de privacidade da 23andMe, a exclusão da conta está “sujeita a requisitos de retenção e certas exceções”, o que significa que a empresa pode reter alguns de seus dados por um período de tempo indeterminado.

Por exemplo, a 23andMe reterá suas informações genéticas, data de nascimento e sexo “conforme necessário para conformidade” e reterá dados limitados relacionados à sua solicitação de exclusão, “incluindo, entre outros, seu endereço de e-mail, identificador de solicitação de exclusão de conta, comunicações relacionadas a consultas ou reclamações e acordos legais.”

Da mesma forma, se você já concordou com o 23andMe compartilhar seus dados para fins de pesquisa, você pode reverter esse consentimento, mas não há como excluir essas informações. Kill disse ao TechCrunch que cerca de 80% dos clientes da 23andMe – cerca de 12 milhões de pessoas – consentem em participar de seu programa de pesquisa.