Jaksa Agung California keluarkan peringatan konsumen untuk pelanggan 23andMe

• Seiring meningkatnya ketidakpastian finansial 23andMe, Jaksa Agung California Rob Bonta memberi tahu pelanggan tentang hak mereka untuk menghapus data genetik
• Perusahaan telah melaporkan kesulitan keuangan secara terbuka, dan dalam pengajuan sekuritas menyatakan ada keraguan besar apakah perusahaan dapat terus beroperasi sebagai going concern
• Inti dari peringatan ini adalah data konsumen sensitif yang dimiliki 23andMe, dan warga California dapat meminta penghapusan berdasarkan GIPA dan CCPA
• Di pengaturan akun, pengguna dapat menghapus informasi pribadi dan data genetik, serta meminta pemusnahan sampel air liur dan sampel DNA yang sebelumnya dipilih untuk disimpan
• Pelanggan yang sebelumnya menyetujui penggunaan untuk riset dapat mencabut persetujuan penggunaan data dan sampel oleh 23andMe serta peneliti pihak ketiga di Research and Product Consents

---

Hak yang diberitahukan kepada pelanggan 23andMe

• Jaksa Agung California Rob Bonta mengeluarkan peringatan konsumen yang mengingatkan pelanggan 23andMe tentang hak untuk menghapus data genetik
• 23andMe adalah perusahaan tes dan informasi genetik yang berbasis di California, dan telah melaporkan kesulitan keuangan secara terbuka
• Dalam pengajuan sekuritas, perusahaan menyatakan ada keraguan besar apakah dapat terus bertahan sebagai going concern
• Karena data konsumen sensitif yang dimiliki 23andMe, warga California dapat menggunakan hak hukum mereka
• Hak hukum yang berlaku adalah sebagai berikut
  • GIPA: Konsumen California dapat menghapus akun dan data genetik mereka serta meminta pemusnahan sampel biologis
  • GIPA: Setelah pengujian awal selesai, konsumen dapat mencabut persetujuan yang diberikan untuk pengumpulan, penggunaan, dan pengungkapan data genetik serta penyimpanan sampel biologis
  • CCPA: Memberikan kepada konsumen California hak untuk menghapus informasi pribadi, termasuk data genetik, dari perusahaan yang mengumpulkan informasi pribadi dari konsumen
• Informasi tambahan tentang CCPA dapat dilihat di sini

Tindakan yang dapat dilakukan di akun

• Untuk menghapus akun dan informasi pribadi di 23andMe, masuk ke situs web lalu lanjutkan dari pengaturan akun
  • Masuk ke akun 23andMe
  • Buka bagian “Settings” di profil
  • Gulir ke bagian “23andMe Data” di bagian bawah halaman
  • Klik “View” di samping “23andMe Data”
  • Jika memerlukan salinan data genetik untuk arsip pribadi, unduh ke perangkat sebelum menghapus
  • Gulir ke bagian “Delete Data”
  • Klik “Permanently Delete Data”
  • Ikuti tautan di email dari 23andMe untuk mengonfirmasi permintaan penghapusan
• Jika sebelumnya memilih untuk menyimpan sampel air liur dan DNA di 23andMe, preferensi penyimpanan sampel dapat diubah di Preferences pada halaman pengaturan akun
• Pelanggan yang telah menyetujui agar 23andMe dan peneliti pihak ketiga menggunakan data genetik dan sampel untuk riset dapat mencabut persetujuan di Research and Product Consents pada pengaturan akun

[GN⁺]

Pendapat di Hacker News

• Saya bekerja di bidang genomika populasi, dan pernah terlibat langsung dalam riset genotiping hampir seluruh genom pada masa awal ketika microarray masih menjadi teknologi arus utama
  Namun selama hampir 20 tahun, saya sudah menyarankan kerabat agar tidak ikut analisis genotipe skala besar dari 23andMe atau perusahaan komersial serupa. Sebab jika strukturnya membuat perusahaan memegang hak atas data, saya melihat kemungkinan besar hal seperti ini akan terjadi
  Beberapa tahun lalu genotiping 23andMe sempat populer seperti hadiah Natal, tetapi secara pribadi saya tidak mengerti mengapa begitu banyak orang ingin menyerahkan data sebanyak itu kepada badan usaha komersial
  Informasi sekuensing skala besar mungkin cocok untuk sebagian orang, tetapi jika memang benar-benar membutuhkannya, Anda harus sebisa mungkin memastikan kepemilikan atas data Anda sendiri

  • “Tidak mengerti” pada akhirnya bisa dilihat sebagai perhitungan biaya/manfaat sederhana
    Bagi lebih dari 90% orang, manfaat atau ketertarikan melihat laporan analisis leluhur terasa lebih besar daripada biaya atau risiko menyerahkan DNA
    Namun tetap valid untuk bertanya mengapa lebih banyak orang tidak memandang serius privasi pribadi. Secara realistis, perusahaan seperti Google atau 23andMe mungkin sulit ada jika semua orang sama sensitifnya terhadap privasi seperti pembaca HN. Baik atau buruk, Google ada karena konsumen menerima berbagi data
  • Saat mendaftar, saya mengambil keputusan dengan cukup informasi
    Ini adalah genotiping SNP, jadi secara realistis tidak terlalu mampu memprediksi sebagian besar kondisi kesehatan selain memberi tahu informasi leluhur dan beberapa kondisi kesehatan. Genotiping hanya menangkap sebagian kecil dari keseluruhan informasi genetik, dan bukan sekuensing seluruh genom, sehingga masih terlalu mahal dibandingkan harga yang dibayar. Jadi saya menganggap data aktualnya cukup terbatas dan risikonya secara realistis kecil
    Privasi adalah soal risiko dan imbalan. Alih-alih menerapkan prinsip kehati-hatian pada semua hal, dalam hidup kita membuat berbagai kompromi
  • Berkat 23andMe, saya menemukan adik tiri perempuan dan ayah biologis saya
    Kalau melihat kasus seperti ini, mungkin jadi bisa dimengerti. Sebagian orang bersedia membayar harga yang cukup besar untuk mengetahui siapa diri mereka
  • Skor risiko genetik dan estimasi campuran populasi dari 23andMe benar-benar buruk
    Sulit memahami mengapa hasilnya seburuk ini, padahal mereka mempekerjakan peneliti yang cukup bagus. Membuat model seperti ini sebenarnya cukup sederhana, dan model-model gratis yang tersedia secara publik jauh melampaui hasil yang disediakan situs tersebut
    Mirip dengan uBiome, mereka merusak reputasi tes langsung ke konsumen dengan menjual banyak produk yang dilebih-lebihkan. Sayang sekali, karena layanan seperti 23andMe, jika ditambah sedikit dengan tes epigenetik yang menangkap faktor lingkungan, bisa menjadi cara yang sangat baik untuk memperoleh snapshot kesehatan secara umum
  • Dalam kasus 23andMe, pengguna memiliki datanya sendiri. Jika mengunduh data dan meminta penghapusan, pada saat itu pengguna menjadi satu-satunya pemilik
    Namun jika tertarik pada silsilah, hubungan kekerabatan, dan beberapa SNP yang lebih dapat ditindaklanjuti seperti SNP terkait ADME obat, antarmuka 23andMe berguna dan juga bermanfaat secara medis. Saya sendiri menemukan dua varian yang berguna secara medis, dan juga memperoleh hasil menarik seperti kecepatan metabolisme kafein
    Menurut saya antarmukanya juga lebih baik daripada AllofUs

• Masalah inti yang tidak disebutkan adalah bahwa kebangkrutan dapat menghapus kewajiban perusahaan terhadap pelanggan. Ini termasuk kewajiban privasi[1]
  Masalahnya menjadi lebih besar terutama jika aset dijual kepada perusahaan di luar California atau di luar AS
  [1] https://harvardlawreview.org/print/vol-138/data-privacy-in-b...

  • Benar
    Kewajiban yang melekat pada data pribadi seharusnya bisa ikut berpindah bersama data tersebut. Mirip dengan properti, jika seseorang menyepakati kewajiban seperti hak akses dengan tetangga, kewajiban itu dapat dibuat mengikat pemilik di masa depan. Jika tidak, hak akses itu bisa hilang setiap kali tanah tersebut dijual. Mekanisme seperti ini biasanya ditetapkan ketika tanah dipecah
  • Kebangkrutan terjadi 24 jam kemudian

• Fakta bahwa 23andMe berada dalam kondisi berisiko apakah bisa bertahan sebagai going concern saja sudah memberi jawaban yang diperlukan soal kemungkinan monetisasi data genetik dalam jumlah besar
  Artinya, pada akhirnya sulit mengekstrak nilai besar dari sini. Kalau bisa, mereka pasti sudah melakukannya
  Saya juga tidak melihat data DNA ini akan sebegitu bernilai bagi perusahaan asuransi kesehatan besar seperti Humana atau Aetna
  Rekam medis yang dibayangkan bisa dikaitkan perusahaan asuransi dengan data genetik mungkin bahkan nilainya lebih rendah daripada nilai sekuens DNA ini
  Ini pandangan mantan ekonom kesehatan yang pernah menangani puluhan juta catatan keluar rumah sakit, serta survei terperinci yang secara terpisah dilengkapi data genetik

  • Mengingat hukum AS saat ini, cara terbaik bagi perusahaan asuransi memanfaatkan data ini mungkin adalah mengajak keluarga-keluarga mengikuti perawatan preventif khusus berdasarkan profil DNA dalam basis data
    Arah ini bisa menghasilkan keuntungan yang cukup baik, dan berpotensi memperoleh tingkat penerimaan yang cukup tinggi
  • Saya sudah lama mencurigai bahwa data sekuens tidak banyak nilainya selain bagi lembaga penegak hukum
    Jika mengaitkan sekuens dengan penyakit semudah itu, kita pasti sudah melihat kemajuan cepat dalam kemampuan menangani penyakit tersebut. Data genetik saja bukan prediktor yang memadai

• Setiap kali saya merasa bangga karena selama ini cukup berhati-hati terhadap data broker, saya teringat bahwa kerabat saya mungkin sudah menyerahkan DNA yang cukup banyak ke tempat seperti 23andMe sehingga upaya saya bisa saja menjadi tidak berarti

  • Kemungkinan besar kerabat-kerabat itu juga membagikan foto, video, dan detail pribadi Anda di media sosial
  • Saya mengakui bahwa privasi itu penting, tetapi misalnya jika seseorang memiliki DNA saya, saya penasaran jalur serangan konkret apa yang muncul. Apa yang benar-benar bisa terjadi?
  • Apakah Facebook pernah membuat cara untuk menghapus profil bayangan yang dibuatnya tentang non-pengguna?
    Sepertinya mereka mungkin akan menyuruh membuat akun

• Belum jelas bagaimana hal ini benar-benar menimbulkan kerugian. Jadi saya ingin mengujinya dengan cara menanggung risikonya sendiri
  Genom saya yang dianalisis dengan Nebula Genomics terbuka untuk siapa pun yang menginginkannya. Ada file FASTQ mentah, dan untuk mengaksesnya perlu membayar sedikit biaya
  Dulu saya pernah berbicara dengan seorang teman untuk membuat situs tempat orang-orang bisa mengirimkan genom dan informasi kesehatan mereka agar studi populasi berskala besar dapat dilakukan. Saya juga sudah mengirimkan data saya ke All Of Us dan lainnya, tetapi saya menganggap perlunya persetujuan khusus untuk mengakses data sebagai sebuah kerugian
  Sepertinya sekarang saatnya meninjau kembali masalah ini. Mungkin lebih baik memublikasikan VCF saja. Ukurannya jauh lebih kecil dan mungkin lebih mudah diakses orang. Bagaimanapun, kalau Anda membutuhkan FASTQ saya, kirim saja email

  • Data saya ada di sini, dan gratis:
    https://my.pgp-hms.org/profile/hu80855C
    Saya melakukannya karena saat memulai Google Cloud Genomics, kami membutuhkan data yang bisa digunakan tanpa batasan. Konselor genetik Illumina mengatakan “tidak ada faktor risiko genetik yang dapat terdeteksi”, dan itu kurang lebih seperti yang saya perkirakan. Bukan berarti tidak ada faktor risiko sama sekali, melainkan lebih mendekati bahwa kemampuan konseling genetik Illumina tidak terlalu baik
  • Pemerintah bisa saja memutuskan bahwa mereka tidak menyukai fenotipe tertentu, lalu mencari orang-orang berdasarkan database
    Hal serupa pernah terjadi dengan pertanyaan “apa agama Anda” yang tampak tidak berbahaya pada formulir sensus akhir 1930-an dan awal 1940-an
  • Ini bukan masalah satu individu; nilainya lebih besar ketika ada database berskala besar
    Saat Anda pergi ke kafe, seorang penguntit bisa mengambil DNA dari sidik jari, lalu menggunakan database 23andMe yang bocor atau dijual untuk mengaitkannya dengan identitas atau alamat rumah
    Menariknya, cara seperti ini juga bisa bekerja jika kerabat langsung Anda menggunakan layanan tersebut
  • Saya ingin menganalisis genom saya. Saya tidak melihat data ini sebagai sesuatu yang privat. Menurut saya, pihak yang benar-benar bertekad bisa mengumpulkannya dengan sedikit usaha saja
    Bagaimana pengalaman Anda menggunakan Nebula Genomics? Kalau melakukannya sekarang, apakah Anda akan merekomendasikan mereka, atau tempat lain?
  • Saya sependapat dengan orang-orang di kubu George Church. Saya juga berada di kubu itu
    Gambar wajah beresolusi tinggi memuat data pribadi yang secara fungsional berguna sebanyak VCF, atau bahkan lebih
    Sulit untuk optimistis terhadap arah Amerika Serikat saat ini, tetapi saya percaya GINA akan tetap menjadi undang-undang
    https://en.wikipedia.org/wiki/Genetic_Information_Nondiscrim...
    Jika saya salah, keamanan DNA saya akan menjadi masalah paling kecil bagi saya maupun kita

• Mereka mengatakan data bisa dihapus, tetapi pada akhirnya mereka akan terus menyimpannya dengan alasan “kewajiban regulasi”. Saya beberapa kali berkorespondensi dengan tim privasi, dan jawaban terakhirnya seperti ini
  “Tim 23andMe menindaklanjuti dengan jawaban berikut. Untuk memperjelas, kami dan mitra laboratorium kami mematuhi berbagai kewajiban hukum dan regulasi yang mungkin mengharuskan penyimpanan informasi tertentu. Program penyimpanan data kami mematuhi persyaratan hukum yang berlaku, yang dapat berbeda tergantung negara atau negara bagian tempat pelanggan tinggal, negara bagian tempat laboratorium kontrak berada, serta kewajiban lisensi federal atau negara bagian terkait produk keturunan dan kesehatan yang kami jual. Sampel dan hasil tes genetik akan dihapus sesuai hukum yang berlaku, dan kami menegaskan bahwa kewajiban penyimpanan secara hukum merupakan pengecualian yang sesuai terhadap permintaan penghapusan data berdasarkan undang-undang privasi data.”

  • Saya penasaran permintaan seperti apa yang Anda ajukan hingga mendapat jawaban ini. Misalnya, apakah setelah meminta penghapusan data Anda mengonfirmasi lewat email apakah data sudah dihapus? Saya juga penasaran apakah Anda penduduk California
  • Sepertinya ini bisa digugat. Ini sepenuhnya masuk ranah hukum

• Bagian pentingnya adalah bahwa perusahaan berbasis California ini mengalami kesulitan keuangan dan dalam laporan sekuritasnya mengungkapkan adanya keraguan besar atas kemampuannya untuk terus beroperasi sebagai going concern
  Ini salah satu alasan saya memakai Signal dibanding aplikasi pesan lain. Saya tidak ingin pesan pribadi tetap berada di database ketika perusahaan bangkrut lalu dijual dalam proses obral murah
  Aplikasi seperti kamera keamanan, pengelola kata sandi, otomasi rumah, penyimpanan, dan wiki juga sebisa mungkin saya hosting secara lokal

  • Untuk kamera keamanan, penyimpanan, dan pengelolaan kata sandi, apa yang Anda gunakan untuk home hosting?
    Apakah solusi penyimpanannya juga bekerja untuk backup otomatis data ponsel?

• Jika 23andMe sudah membuat kesepakatan dengan konsumen tentang cara menangani data, kesepakatan itu harus tetap berlaku terlepas dari apakah perusahaan diakuisisi atau tidak. Selama konsumen tidak secara aktif mengubah kesepakatan tersebut, kesepakatan itu harus berlaku permanen
  Jika Dropbox dijual, orang mungkin tidak akan mengatakan bahwa data pribadi akan dijarah; jadi saya tidak mengerti mengapa ini menjadi bahan pembicaraan untuk 23andMe
  Saya bukan bermaksud mengkritik jaksa agung, melainkan mengatakan bahwa perlindungan konsumen sudah sedemikian longgar sampai pembicaraan seperti ini diperlukan

  • Benar, seharusnya memang tidak perlu jadi masalah. Akan menyenangkan jika dunia seperti itu, tetapi kenyataannya tidak demikian
    Perusahaan sering mengabaikan kesepakatan seperti ini. Bahkan ketika sesekali ketahuan, hukumannya hanya sebatas teguran ringan
    Menurut saya, yang lebih sering terjadi adalah kita bahkan tidak pernah tahu bahwa kesepakatan itu dilanggar sejak awal
    Hampir seperti hukum alam bahwa perusahaan yang sedang kesulitan keuangan mulai memasang label harga pada data pribadi yang pernah mereka janjikan tidak akan pernah dijual. Seperti kartun tentang orang-orang kelaparan di sekoci, mereka melihat data Anda bukan lagi sebagai kesepakatan hukum yang harus dilindungi, melainkan sebagai paha ayam yang lezat
    Soal pernyataan bahwa ketika Dropbox dijual orang tidak akan mengatakan data pribadi akan dijarah, pandangan orang tentang itu bisa saja berbeda-beda
  • Kebijakan privasi 23andMe dan Dropbox sama-sama hanya mengharuskan mereka memberi tahu pengguna jika kebijakan privasi berubah, tanpa batasan pada cakupan perubahan
    Jadi jika Dropbox dijual, mungkin kita juga harus membicarakan hal itu

• Ada aturan sederhana
  Sekalipun sebuah perusahaan berjanji tidak akan menangani data penting secara ceroboh atau menjualnya, jika tidak ada konsekuensi atau jaminan hukum, perusahaan itu atau perusahaan lain yang terkait pada akhirnya pasti akan melakukannya

• Harga saham 23andMe turun 99,12% dibanding lima tahun lalu. Sebenarnya apa yang terjadi? Saya penasaran apakah model bisnisnya memang tidak berjalan, atau pengelolaannya yang sangat buruk

  • Beberapa tahun lalu ada artikel yang cukup bagus tentang kejatuhan 23andMe. Sepertinya di The Atlantic
    Intinya, dalam beberapa tahun mereka hampir menghabiskan seluruh calon pelanggan potensial. Jika seluruh bisnisnya adalah menganalisis DNA seseorang, ternyata sulit mendapatkan pelanggan yang membeli ulang
    Setelah itu mereka mencoba beralih ke model langganan yang memberikan saran kesehatan berdasarkan urutan gen, tetapi masalahnya informasi kesehatan yang bisa diperoleh dari DNA umumnya meragukan dan sebagian besar nyaris tidak berguna
  • Kalau dipikir-pikir, pada 2013 ini memang produk yang menarik. Saya membayar 99 dolar, dan sampai sekarang masih bisa mengakses fitur situs web yang menampilkan informasi leluhur serta pengetahuan serba-serbi terkait kesehatan
    Orang-orang yang tertarik pada hal seperti ini sudah mencobanya semua. Ke depan, pendapatan apa lagi yang tersisa?
  • Mengapa perusahaan tes darah untuk konsumen harus menjadi perusahaan publik?
    Jawabannya sederhana. IPO adalah cheat code bagi perusahaan yang merugi besar untuk mendapatkan uang tunai jutaan dolar dengan menjual cerita yang terdengar meyakinkan kepada dana pensiun yang sedang mencari tempat menaruh uang. Taburkan sedikit bubuk peri “kami adalah perusahaan teknologi” di atasnya, maka lengkap sudah