23andMe、ハッキング被害を受けた顧客の集団訴訟を防ぐため利用規約を変更
(engadget.com)- 23andMeは10月のハッキングで約700万人の個人情報にアクセスされた事実が明らかになった直後、顧客の集団訴訟や陪審裁判への参加を制限する利用規約に変更
- 新しい利用規約では、紛争を個別仲裁で処理するよう定めており、顧客が通知後30日以内にメールで拒否しなければ自動的に同意したものとみなされる
- 侵害された情報には写真、フルネーム、位置情報、家系図に関する情報、親族の名前などが含まれていたが、同社は遺伝物質やDNA記録は流出していないと説明
- 23andMeはSEC提出資料で、カリフォルニア州、イリノイ州、カナダの裁判所で、すでに複数の集団訴訟請求が提起されていると明らかにした
- 集団訴訟の制限は、紛争を非公開の仲裁に移して公開情報を減らせる可能性があるが、Axiosが引用したナンシー・キムは、利用規約の変更だけでは法廷での防御として十分ではないと見ている
集団訴訟を個別仲裁へ切り替える新しい利用規約
- 23andMeは顧客向けメールを通じて、利用規約の「Dispute Resolution and Arbitration」セクションを更新したと通知
- 同社が説明した更新の目的は、類似の請求が複数提起された際に、紛争解決を迅速化し、仲裁手続きを簡素化すること
- 新しい利用規約は、適用法が許す最大限の範囲で、双方の紛争提起を個人資格にのみ制限
- 集団訴訟、集団的行動、集団仲裁は認められない
- 顧客は通知を受けた日から30日以内に、メールで同意しない旨を知らせなければならない
- 拒否しなければ、新しい利用規約に同意したものとみなされる
- 23andMeは関連するコメント要請に応じていない
ハッキングの規模と、すでに提起された訴訟
- 10月、23andMeはハッカーが機微なユーザー情報にアクセスしたと発表
- アクセスされた情報には、写真、フルネーム、地理的位置、家系図関連情報、関係する家族構成員の名前が含まれる
- 同社は遺伝物質やDNA記録は流出していないと述べた
- 攻撃後、ハッカーらはアシュケナージ系ユダヤ人と中国人の数十万人分のプロフィールをインターネット上で販売用に掲載
- その後明らかになった被害規模は約700万人で、同社のユーザー基盤の半分に相当する
- 23andMeはSEC提出資料で、複数の管轄で集団訴訟請求がすでに提起されていると明らかにした
- カリフォルニア州の連邦・州裁判所
- イリノイ州裁判所
- カナダの裁判所
非公開仲裁とオンラインでの反発
- Axiosによると、集団訴訟の禁止は、影響を受けた当事者が非公開仲裁で紛争を解決することになり、手続き情報が公開されなくなる可能性がある
- Chicago-Kent College of Lawのナンシー・キム教授は、利用規約の変更だけでは23andMeを法廷で守るには十分ではないとAxiosに語った
- オンラインでは新しい利用規約に対する反発が出ている
- Xユーザーのダニエル・アロヨは、会社が先に問題を起こした後でユーザーに不利な行動を取っていると批判
- Xユーザーのポール・デュークは、同社が顧客の個人情報ハッキング公表後に訴訟を防ごうとしているように見えると書いた
1件のコメント
Hacker Newsの意見
顧客を、より制約の強いサービス規約に自動的に同意したものとして扱うのはかなり怪しく、特にそのタイミングを見るとなおさらだ
弁護士ではないが、侵害事故の後に規約を変更して、事後的に法的問題を避けようとしている意図が明らかに見えるので、裁判所が受け入れない可能性が高そうに思える
裁判所は侵害当時に有効だった規約を基準に判断するはずで、その後に作られた新しい規約で「歴史の書き換え」を認めることはなさそう
顧客が実際には同意していない契約に縛られているかのように契約内容を虚偽表示したのだから、原告に最も有利な規約を基準に見るべきで、それは23andMeが同意を得られず無効な規約だ
これは消費者保護法を弱体化させようとする試みなので、政府が直接的な攻撃として扱うべきだ。他の企業も見ているのだから、こうしたことは容認されないというシグナルを早く送る必要がある
法務責任者も American Bar Association 規則1.2(d)に基づき、資格剥奪の対象だと思う
目的は、できるだけ被害者のせいにして、そもそも訴訟を起こす人を減らすことにある可能性が高い。次の段階は、人々が「当然同意していた」規約を思い出させるようなやり方になるだろう
規約は法律ではない
法廷で会社が困ったことになったという話は聞いたことがなく、あったとしても世論の問題程度だった
同意した後に勝手に変更できるなら、サービス規約に同意することに何の意味があるのか分からない
新しい規約からオプトアウトするには、legal@23andme.com に以下のようなメールを送ればよい
To Whom It May Concern:
My name is [name], and my 23andMe account is under the email [email]. I am writing to declare that I do not agree to the new terms of service at https://www.23andme.com/legal/terms-of-service/
このコメントを見て初めて、迷惑メールフォルダからそのメールを見つけた。こんな会社は今回の件で完全につぶれてほしい
一部の会社は実際にそう要求する。たとえばPayPalの手続きはここにある: https://www.paypal.com/us/legalhub/useragreement-full#table-...
DNAベースのターゲティング広告が、最も従順な消費者だけを選び出す方向に進むこともあり得る
セキュリティ意識のある人たち、特に技術業界の人たちは、自分のゲノム情報をそんなに簡単には渡さないだろうと思っていた
23andMeの顧客の大半は一般人口の一部だろうと思っていたが、WorldCoinやスタートアップのパーティーで網膜スキャンを喜んで差し出す人たちを見ると混乱する。なぜ誰かが自発的にそんなことをするのか分からない
これは23andMeのレポートよりはるかに多くのデータを含む完全なヒトゲノムだ。自分でダウンロードしてリスク要因を探してもよい。当時、遺伝カウンセラーたちは信頼できる遺伝的リスク要因がないことに驚いていた
私のやったことがなぜ賢明でなかったのか、技術的な用語と合理的な論証で説明してほしい。よくある論拠はすでに知っているし、生物学の博士号、ヒトゲノム解析の経験、技術プロダクトのローンチ経験を踏まえて評価したと仮定してよい
技術と医療の両方におけるプライバシー知識に照らして、ゲノムの秘密保持がなぜ必要なのか一貫した論理を何度も尋ねてきたが、「Gattacaのようになり得る」「予測不能な何かがある」「保険の問題がある」といったバリエーション以外には、まだ新しい話を聞いていない
23andMeに登録したとき、いつかはハッキングされ、すべてのデータが流出すると確信していた。それでも、潜在的に重要な健康・遺伝的バイオマーカーを知る価値と比べて判断した
結局、ゲノムのプライバシーよりも、こうしたマーカーを知る価値のほうを高く見た。前者は行動に移せ、健康と寿命の最適化に使えるが、後者は価値が曖昧で、特殊な脅威モデルの外では大きく悪用されにくいと考えた
それでも23andMeは、少なくとも一部の人には実際の価値を提供していた
奇妙なのは、23andMeがデータを30日後に自動削除しなかった、あるいは少なくともオフラインに下ろして要求時だけ提供するようにしなかった点だ
結果が準備できたと知らせ、最初のダウンロード後30日間だけデータを利用できると案内すればよかったはずだが、これは非常にセンシティブなデータであり、23andMeの対応を見ると彼らもそれを分かっているようだ。なのに、なぜデータを保管し続けたのかは無責任で、会社にとっても危険に見える
今なら当然、そんなことは絶対にしないが、もう遅い。当時は先見の明が足りなかった
仲裁に関する事実情報をできる限り集めている
まだ完成してはいないが、かなり有用で出典もしっかり付けている: https://grimreaper.github.io/arbitration/docs/problems/
共有ありがとう
新しい規約は確実に拒否し、すでに提起されている集団訴訟に加わるつもりだ
特に超センシティブなデータを扱うときは、セキュリティを真剣に考えるべきだ
インターネット上のどこかのスタートアップに自分のDNAを送るのは、初日から悪い選択だということはかなり明白だった
相互に矛盾する内容を読んだ
3年後に0.25ドルの小切手を受け取るのが楽しみだ。真面目な話、少額訴訟のようなものも併せて起こすべきなのか気になっている
弁護士ではないが、裁判所では行為時点が重要なので、今回の規約変更は大きな意味を持たないと思う
ユーザーが登録時に規約Aに同意し、その後23andMeが規約Aを規約Bに変更したからといって、ユーザーを退会させてから再登録させ、新しい規約Bへの同意を強制することはできない
新しい規約に同意してほしいと求めることはできても、ユーザーが必ず同意しなければならないわけではない。規約は法律ではなく、会社と顧客の間の自発的な法的合意だ
遡及適用は政府にもできない。例えば2023年に法人税20%を払ったのに、5年後に政府が法人税は今や30%だから過去の差額を補填しろ、とは言えない
次回ログイン時に大きな規約画面を表示できるし、ほとんどのユーザーはそのまま受け入れるだろう
しかもメールで、30日以内に「拒否」の意思を示さなければ、デフォルトで新しい規約に同意したものと見なすと送っていた
取引が成立した後で、一方に有利なように条件を変える行為には名前がある
詐欺だ
「10月、San Franciscoに拠点を置く遺伝子検査会社23andMeを率いるAnne Wojcickiは、ハッカーが写真、氏名、地理的位置、祖先の家系図に関する情報、親族の名前まで含むセンシティブなユーザー情報にアクセスしたと発表した」
知らない人のために付け加えると、彼女の姉妹は1999年からGoogleで働いてきた古参のマーケティング関係者で、AdWords、AdSense、DoubleClick、GoogleAnalytics、そして赤字のデータ収集・広告子会社YouTubeに関わっていた
個人情報収集で収益化することが、一家の伝統のように見える
以前の規約と新しい規約をざっと比較してみたが、大きな変更は見つけられなかった
実際の変更内容が何なのか知りたい。新しい規約を批判する記事は多いが、実際の文言の差分を示しているところは見当たらない
誰か実際の diff を持っているのか気になる
https://www.23andme.com/legal/terms-of-service/full-version/...
https://www.23andme.com/legal/terms-of-service/full-version/
専門家ではない立場で見ると、2点が目についた
責任制限条項の途中に「WITHIN THE LIMITS ALLOWED BY APPLICABLE LAWS, YOU EXPRESSLY ACKNOWLEDGE AND AGREE THAT 23ANDME SHALL NOT BE LIABLE FOR ANY DAMAGES」が挿入されていた
紛争解決 の部分がかなり変わっており、大量仲裁に関する新しい内容も追加されていた。ただし以前の規約にも、拘束力のある仲裁条項と集団訴訟に関する内容はすでにあった
数年前、その会社の セキュリティ職 の面接を受けたが、面接プロセスが終わる前にその役割自体がなくなった
セキュリティを優先していなかったように感じるし、結局はまいた種を刈り取っているということだ