カリフォルニア州司法長官、23andMe顧客向けに消費者警告を発令
(oag.ca.gov)- 23andMeの財務上の不確実性が高まる中、カリフォルニア州司法長官 Rob Bonta は顧客に対し、遺伝データを削除する権利を案内
- 同社は公に財務的困難を報告しており、証券関連の届け出で、継続企業として存続できるかに重大な疑義があると明らかにした
- 警告の核心は、23andMe が保有する機微な消費者データであり、カリフォルニア州民は GIPA と CCPA に基づいて削除を請求できる
- アカウント設定から個人情報と遺伝データを削除でき、保管を選択していた唾液サンプルと DNA サンプルについても廃棄を依頼できる
- 研究利用に同意していた顧客は、Research and Product Consents で 23andMe および第三者研究者によるデータ・サンプル利用への同意を撤回できる
23andMe顧客に案内された権利
- カリフォルニア州司法長官 Rob Bonta は、23andMe 顧客に対して遺伝データ削除の権利を改めて知らせる消費者警告を発令した
- 23andMe はカリフォルニア州に拠点を置く遺伝子検査・情報企業であり、公に財務的困難を報告した
- 同社は証券関連の届け出で、継続企業として存続できるかに重大な疑義があると述べた
- 23andMe が保有する機微な消費者データのため、カリフォルニア州民は法的権利を行使できる
- 適用される法的権利は次のとおり
- GIPA: カリフォルニア州の消費者は、アカウントと遺伝データの削除、および生体サンプルの廃棄を要求できる
- GIPA: 初回検査の終了後、遺伝データの収集・使用・開示および生体サンプル保管に与えた同意を撤回できる
- CCPA: 消費者から個人情報を収集する企業に対し、遺伝データを含む個人情報の削除権をカリフォルニア州の消費者に付与する
- CCPA の詳細情報は こちら で確認できる
アカウントでできる操作
- 23andMe でアカウントと個人情報を削除するには、Webサイトにログインした後、アカウント設定から進める
- 23andMe アカウントにログイン
- プロフィールの「Settings」セクションへ移動
- ページ下部の「23andMe Data」セクションまでスクロール
- 「23andMe Data」の横にある「View」をクリック
- 個人保管用の遺伝データのコピーが必要なら、削除前に端末へダウンロード
- 「Delete Data」セクションまでスクロール
- 「Permanently Delete Data」をクリック
- 23andMe から届くメール内のリンクに従って削除要求を確認
- 過去に唾液サンプルと DNA を 23andMe に保存することを選択していた場合は、アカウント設定ページのPreferencesでサンプル保管設定を変更できる
- 23andMe と第三者研究者が遺伝データとサンプルを研究に利用することに同意していた顧客は、アカウント設定のResearch and Product Consentsで同意を撤回できる
1件のコメント
Hacker News の意見
集団ゲノミクス分野で働いており、マイクロアレイが主流技術だった時代の初期の、ほぼ全ゲノム規模のジェノタイピング研究にも直接関わったことがある。
それでも、ほぼ20年にわたって親戚には、23andMeや同様の商業企業による大規模ジェノタイピングには参加しないよう言ってきた。企業がデータの権利を保有する構造なら、今のようなことが起きる可能性が高いと考えていたからだ。
数年前、23andMeのジェノタイピングがクリスマスプレゼントのように流行したが、個人的には、なぜそこまで大量のデータを商業法人に渡したがるのか理解できなかった。
大規模な塩基配列情報が一部の人には適切な場合もあるが、本当に必要なら、自分のデータの所有権をできるだけ確保すべきだ。
90%以上の人にとっては、祖先解析レポートを見る利点や興味のほうが、DNAを渡すコストやリスクより大きく感じられる。
ただし、なぜもっと多くの人が個人のプライバシーを真剣に受け止めないのか、と問うのは妥当だ。現実的に、Googleや23andMeのような企業は、全員がHN読者層ほどプライバシーに敏感だったなら存在しにくかっただろう。良くも悪くも、消費者がデータ共有を受け入れているからGoogleは存在している。
これはSNPジェノタイピングなので、現実的には祖先情報といくつかの健康状態を示す以外、大半の健康状態をうまく予測できない。ジェノタイピングは全遺伝情報のごく一部しか捉えず、全ゲノムシーケンスでもないため、支払った価格に対してまだ高すぎる。だから実際のデータはかなり限定的で、リスクも現実的には小さいと見ていた。
プライバシーはリスクとリターンの問題だ。あらゆることに予防原則を適用するのではなく、人生ではさまざまな妥協をすることになる。
こうしたケースを見ると理解できるかもしれない。自分が何者なのかを知るために、かなり大きな代償を払う意思のある人もいる。
かなり優秀な研究者を雇っているのに、なぜここまで悪いのか理解しがたい。こうしたモデルを作るのはかなり単純で、無料で公開されているモデルのほうがサイトで提供される結果をはるかに上回っている。
uBiomeと同様に、誇張された商品を多く売り、消費者向け検査の評判を傷つけた。23andMeのようなサービスに、環境要因を捉えるエピジェネティクス検査を少し足せば、全体的な健康スナップショットを得る優れた方法になり得たはずなのに、残念だ。
ただし、系譜、親族関係、そして薬物ADME関連SNPのような、より実行可能性のある一部のSNPに関心があるなら、23andMeのインターフェースは有益で、医学的にも役に立つ。実際に医学的に有用な変異を2つ見つけ、カフェイン代謝速度のような面白い結果も得られた。
インターフェースもAllofUsより優れていると思う。
明示されていない核心的な問題は、破産が企業の顧客に対する義務を消し去り得るということだ。ここにはプライバシー義務も含まれる[1]。
特に資産がカリフォルニア州外や米国外の企業に売却されると、さらに問題になる。
[1] https://harvardlawreview.org/print/vol-138/data-privacy-in-b...
個人データに付随する義務は、データとともに引き継がれるようにできるべきだ。不動産と同じように、隣人との通行権のような義務に合意すれば、将来の所有者にも拘束力を持たせることができる。そうでなければ、土地が売られるたびに通行権を失う可能性がある。こうした仕組みは通常、土地が分割されるときに設定される。
23andMeが継続企業として存続できるか危うい状態だという事実だけでも、大量の遺伝データの収益化可能性について必要な答えは出ているようなものだ。
結局、ここから大きな価値を引き出すのは難しいということだ。可能なら、すでにやっていただろう。
HumanaやAetnaのような大手健康保険会社にとっても、このDNAデータがそれほど価値のあるものだとは思わない。
保険会社が遺伝データと結び付けられると想像している医療記録は、このDNA配列の価値よりもさらに低いかもしれない。
数千万件の入退院記録と、別途遺伝データで補完された詳細な調査データを扱ったことのある元医療経済学者としての見解だ。
この方向ならかなり良い収益を上げられ、相当な好感も得られる可能性がある。
塩基配列と病気を結び付けるのがそれほど簡単なら、その病気に対処する能力において、すでに急速な進展があったはずだ。遺伝データだけでは十分な予測因子にならない。
データブローカーに対してこれまでかなり慎重にやってきたと得意になりかけるたびに、親戚がすでに23andMeのようなところに十分なDNAを渡していて、自分の努力が無意味になっているかもしれないという事実を思い出す。
おそらくアカウントを作れと言ってくる気がする。
これが実際にどのような被害をもたらすのかは、まだ明確ではない。だから自分でリスクを取る形で試してみようと思っている
Nebula Genomicsで解析した私のゲノムは、望む人なら誰にでも公開している。生のFASTQファイルがあり、アクセスするには少額の支払いが必要
以前、友人と一緒に、人々がゲノムと健康情報を提出すれば大規模な集団研究ができるサイトを作ろうと話したことがある。All Of Usなどにも自分のデータを提出したが、データへのアクセスに特別な承認が必要な点は損失だと思う
そろそろこの問題を見直す時期かもしれない。代わりにVCFを公開するほうがよい可能性もある。はるかに小さく、人々がアクセスしやすいかもしれない。いずれにせよ私のFASTQが必要ならメールしてくれればいい
https://my.pgp-hms.org/profile/hu80855C
Google Cloud Genomicsを始める際、制約なく使えるデータが必要だったので実施した。Illuminaの遺伝カウンセラーは「検出可能な遺伝的リスク要因はない」と言っており、概ね予想通りだった。リスク要因がまったくないという意味ではなく、Illuminaの遺伝カウンセリング能力がそれほど優れていなかったという意味に近い
1930年代後半から1940年代前半にかけての国勢調査票にあった、一見無害な「宗教は何か」という質問で、似たようなことが起きたことがある
カフェに行ったとき、ストーカーが指紋からDNAを採取し、流出または販売された23andMeのデータベースを使って、それを身元や自宅住所と結び付けることができる
興味深いことに、直系の親族がサービスを使っている場合でも、このように機能し得る
Nebula Genomicsの利用体験はどうだったか。今やるならそこを勧めるのか、それとも別のところを勧めるのか知りたい
顔の高解像度画像には、VCFと同じくらい、あるいはそれ以上に、機能的に有用な個人データが含まれている
今の米国の流れを楽観視するのは難しいが、GINAは法律として残り続けると信じている
https://en.wikipedia.org/wiki/Genetic_Information_Nondiscrim...
もし私が間違っていたなら、私のDNAのセキュリティは、私や私たちにとって最も小さな問題になるだろう
データは削除できると言っているが、結局は「規制上の義務」を理由に保管し続けるだろう。プライバシーチームと何度もやり取りし、最後の回答はこうだった
「23andMeチームから追加で回答します。明確に申し上げると、当社および提携ラボは、特定の情報の保持が必要となり得るさまざまな法的・規制上の義務に従っています。当社のデータ保持プログラムは、お客様が居住する国や州、契約ラボが所在する州、当社が販売する祖先および健康関連製品に関する連邦または州のライセンス義務によって異なり得る、適用法上の要件を遵守しています。サンプルおよび遺伝子検査結果は適用法に従って削除され、法的な保持義務はデータプライバシー法におけるデータ削除要求に対する適切な例外であることを確認いたします。」
カリフォルニア州を拠点とする企業が財務的困難に陥り、証券届出で継続企業として存続する能力に重大な疑義があると開示した、という部分が重要だ
これが、私が他のメッセージングアプリではなくSignalを使う理由の1つだ。会社が倒産するとき、非公開メッセージがデータベースに残ったまま、投げ売りの過程で売られることを望んでいない
セキュリティカメラ、パスワードマネージャー、ホームオートメーション、ストレージ、Wikiのようなアプリも、可能ならローカルでホストするようにしている
ストレージソリューションはスマートフォンのデータ自動バックアップにも対応しているのか？
23andMeが消費者とデータの取り扱いについて合意したのなら、買収の有無にかかわらず、その合意は維持されるべきだ。消費者が能動的に合意を変更しない限り、永久に維持されるべきだ
Dropboxが売却されるからといって個人データが略奪されるだろうとは言わないはずなのに、なぜ23andMeではこれが議論の対象になるのかわからない
司法長官を批判したいのではなく、こうした話が必要になるほど消費者保護が緩くなっているという点を言っている
企業はこうした合意をしばしば無視する。たまに摘発されても、軽く手首を叩かれる程度で終わる
もっと頻繁に起きているのは、そもそも合意が破られたという事実すら私たちが知らないことだと思う
財政難に陥った会社が、絶対に売らないと約束した個人データに値札を付け始めるのは、ほとんど自然法則に近い。救命ボートで飢えた人々がいる漫画のように、彼らはあなたのデータを、もはや保護すべき法的合意ではなく、おいしそうな鶏のもも肉として見るようになる
Dropboxが売却されるときに個人データが略奪されるだろうとは言わない、という部分についても、それに対する見方は人それぞれだろう
だからDropboxが売られるなら、私たちもその話をすべきなのかもしれない
簡単なルールがある
会社が重要なデータを不注意に扱ったり売ったりしないと約束しても、法的な結果や保証がなければ、その会社や関係する他の会社はいずれ必ずそれをする
23andMeの株価は5年前から99.12%下落している。いったい何があったのか？ ビジネスモデルが成り立っていないのか、それとも極端に運営を誤ったのか気になる
要点は、数年で潜在顧客をほぼ使い尽くしてしまったということ。事業全体が1人のDNAを分析するものなら、リピート顧客を得るのは難しいことが明らかになった
その後、遺伝子配列をもとに健康アドバイスを提供するサブスクリプションモデルへ転換しようとしたが、問題は、DNAから得られる健康情報は概して疑わしく、ほとんどの場合ほぼ役に立たないという点だった
こういうものに興味のある人は、もうだいたい試している。今後どんな売上が残っているのか？
答えは簡単。上場は、深い赤字を抱える会社が、資金の投下先を探している年金基金にもっともらしい話を売り込み、数百万ドルの現金を得るためのチートコードだ。そこに「私たちはテック企業です」という妖精の粉を振りかければ完成する