Kalifornia otrzyma 6 mln dolarów po wycieku danych klientów 23andMe

Kalifornia otrzyma 6 mln dolarów w ramach ugody dotyczącej wycieku danych w firmie 23andMe. Informację przekazał 19 października prokurator generalny stanu Rob Bonta. Incydent z 2023 roku dotknął 6,9 mln klientów na całym świecie, w tym ponad 855 tys. mieszkańców Kalifornii.

Sprawa ma znaczenie nie tylko z powodu wysokości płatności. Dotyczy również dalszego losu danych genetycznych po upadłości firmy oraz sprzedaży jej aktywów. Kalifornijskie władze próbowały zablokować transakcję, argumentując, że przekazanie informacji wymaga wyraźnej zgody klientów.

Najważniejsze fakty

Wyciek objął dane genetyczne i inne informacje osobowe

Według informacji opisanych przez „The Guardian” naruszenie z 2023 roku ujawniło dane genetyczne oraz inne informacje osobowe klientów 23andMe. W przypadku danych DNA ryzyko jest szczególne: nie można ich po prostu zmienić tak jak hasła czy numeru telefonu.

Kalifornijski prokurator generalny wskazywał, że skala incydentu obejmowała ponad 855 tys. osób mieszkających w tym stanie. Władze wiązały swoje roszczenia z przepisami Kalifornii dotyczącymi prywatności informacji genetycznych.

Sama ugoda nie oznacza, że wszystkie spory zostały rozstrzygnięte na korzyść stanu. Kalifornia wcześniej sprzeciwiała się sprzedaży aktywów 23andMe, ale sąd upadłościowy nie uwzględnił tych zastrzeżeń. Później sąd uznał również, że stan nie może dochodzić pieniędzy od następcy upadłej spółki. Kalifornia przegrała odwołanie w sądzie federalnym i w ramach ugody zgodziła się zakończyć dalsze próby zaskarżenia sprzedaży.

Upadłość 23andMe i sprzedaż aktywów

Firma, która spopularyzowała domowe testy DNA, złożyła wniosek o ochronę przed wierzycielami w marcu 2025 roku. Powodem postępowania była między innymi słabsza sytuacja biznesowa po spadku popytu oraz konsekwencje prawne wycieku danych.

Aktywa 23andMe zostały sprzedane za 305 mln dolarów organizacji TTAM Research Institute. Zgodnie z przytoczonymi informacjami jest to organizacja non profit kontrolowana przez współzałożycielkę 23andMe Anne Wojcicki.

Kalifornia twierdziła, że transakcja narusza stanową ustawę Genetic Information Privacy Act. Władze argumentowały, że klienci nie wyrazili wyraźnej zgody na przekazanie ich danych nowemu właścicielowi. Sąd zgodził się jednak na przeprowadzenie sprzedaży.

Klienci mogli usunąć swoje dane

W toku postępowania upadłościowego klienci 23andMe zachowali możliwość usunięcia swoich danych. Kalifornijski prokurator generalny Rob Bonta przypomniał, że użytkownicy mogą skasować prywatne informacje genetyczne niezależnie od tego, kto jest właścicielem firmy.

To praktyczna informacja dla osób, które korzystały z usług 23andMe, choć zakres dostępnych działań i ich skuteczność zależą od procedur firmy oraz etapu postępowania. W przekazanych materiałach nie ma informacji, czy podobne zasady dotyczą wszystkich klientów poza Stanami Zjednoczonymi.

Odrębnie od ugody dla Kalifornii 23andMe zgodziło się zapłacić 46,75 mln dolarów ofiarom wycieku w ramach postępowania upadłościowego. Dostępne informacje nie określają jednak, ile pieniędzy otrzyma pojedyncza osoba ani kiedy nastąpią wypłaty.

Co ta sprawa oznacza dla klientów w Polsce

Sprawa dotyczy przede wszystkim prawa i postępowania upadłościowego w Stanach Zjednoczonych, dlatego nie można automatycznie zakładać, że ugoda obejmie klientów z Polski. Nie ma również podstaw, by na podstawie tych informacji przesądzać o skutkach dla polskich użytkowników 23andMe.

Dla klientów korzystających z usług badań genetycznych sprawa pokazuje jednak, że przed przekazaniem próbki i danych warto sprawdzić zasady ich przechowywania, udostępniania oraz usuwania. Szczególne znaczenie ma to w sytuacji zmiany właściciela firmy albo jej niewypłacalności. Polityka prywatności powinna wyjaśniać, czy dane mogą zostać przekazane następcy prawnemu lub nabywcy aktywów.

Na tym etapie potwierdzone są informacje o ugodzie Kalifornii, skali wycieku oraz możliwości usunięcia danych przez klientów. Materiał nie rozstrzyga natomiast, jakie konkretne działania mogą podjąć użytkownicy z innych państw ani jak zostaną podzielone środki przeznaczone dla poszkodowanych.

Źródło: The Guardian World, „California to receive $6m settlement after 23andMe data breach”, https://www.theguardian.com/us-news/2026/oct/19/california-settlement-23andme-data-breach