23andMe cambió sus términos de servicio para impedir que los clientes hackeados la demanden

Artículo original ↗ Discusión en Hacker News ↗

23andMe enfrenta críticas tras actualizar sus términos de servicio para añadir arbitraje vinculante y renuncias a demandas colectivas poco después de que una filtración expusiera datos vinculados a millones de clientes de pruebas genéticas. Los comentaristas cuestionan la legalidad y exigibilidad de condiciones retroactivas, comparten instrucciones para darse de baja y contrastan las débiles protecciones al consumidor y las normas de arbitraje en EE. UU. con reglas más estrictas de la UE. El incidente también reaviva preocupaciones más amplias sobre las pruebas de ADN comerciales, incluida la permanencia y el mal uso de los datos genéticos, frente a sus posibles beneficios médicos.

Cambio en los ToS y cláusula de arbitraje

  • 23andMe actualizó sus Términos de Servicio poco después de la filtración para reforzar el arbitraje vinculante, las renuncias a demandas colectivas y añadir el tratamiento de “arbitraje masivo”.
  • Muchos ven el momento como un intento de limitar la responsabilidad por el hack reciente; otros señalan que las empresas cambian los ToS rutinariamente y que los abogados suelen aconsejar silencio durante el litigio.

Exigibilidad y debate legal

  • Varios argumentan que una limitación retroactiva de derechos difícilmente se sostendría para daños ocurridos bajo los ToS anteriores; los tribunales mirarían los términos vigentes en el momento de la filtración.
  • Otros señalan que la Federal Arbitration Act hace que las cláusulas de arbitraje sean difíciles de invalidar y advierten contra asumir que los tribunales protegerán a los consumidores.
  • Algunos describen el cambio como potencialmente abusivo, “fraud in the factum” o incluso fraude contractual; otros advierten no confundir “injusto” con “ilegal”.
  • Un abogado en el hilo dice que añadir una renuncia a demandas colectivas es legalmente posible; si se aplica a reclamaciones preexistentes será una cuestión abierta.

Mecánica de exclusión y acciones de los usuarios

  • Los nuevos ToS consideran que los usuarios han aceptado los cambios salvo que se excluyan en un plazo de 30 días, normalmente enviando un correo a [email protected] (las direcciones en correos/ToS varían).
  • La gente comparte plantillas de correo para excluirse y aconseja enviarlas a varias direcciones; algunos informan de rebotes desde legal@.
  • Hay confusión e ira porque el consentimiento puede inferirse por silencio, especialmente si los avisos acaban en spam.

Filtración de datos, seguridad y alcance

  • Los usuarios preguntan qué se filtró exactamente; el hilo menciona nombres, ubicaciones, árboles genealógicos, redes familiares y otros datos de perfil; la exposición de datos genéticos subyacentes se describe como poco clara.
  • Algunos critican los requisitos de contraseña y las medidas posteriores a la filtración como “security theater”; otros responden que una filtración no prueba incompetencia sistémica.
  • Varios instan a borrar las cuentas y pedir la destrucción de muestras/datos, aunque señalan que ventas o comparticiones previas, o el acceso regulatorio, no pueden revertirse.

Privacidad genética frente a utilidad

  • Hay una fuerte división: algunos siempre consideraron obvio que enviar ADN a una startup era arriesgado; otros subrayan el optimismo pasado sobre empresas “innovadoras” y los beneficios para la salud.
  • La postura a favor de las pruebas cita el potencial para medicina de precisión, marcadores de enfermedades y descubrimiento de ascendencia; algunos profesionales de seguridad dicen que aceptaron conscientemente cambiar privacidad genómica por información sanitaria.
  • La postura escéptica destaca la irreversibilidad de la exposición del ADN, posibles discriminaciones futuras (por ejemplo, seguros, empleo, aplicación de la ley) y daños colaterales a familiares que nunca dieron su consentimiento.
  • Debate sobre si hoy el ADN es “peor” que filtrar correo electrónico/teléfono; algunos lo ven solo como moderadamente sensible hoy, otros argumentan que los riesgos futuros son desconocidos pero potencialmente grandes.

EE. UU. vs. UE / protección al consumidor

  • Varios comentarios contrastan los contratos de adhesión y los cambios unilaterales de ToS en EE. UU. con reglas más estrictas en la UE sobre cláusulas abusivas y cambios sorpresa.
  • Usuarios europeos sugieren que tales altas automáticas y cláusulas de arbitraje probablemente serían inválidas o no vinculantes para los consumidores allí.

Demandas colectivas, arbitraje masivo y remedios

  • Algunos esperan demandas colectivas y señalan demandas ya presentadas; otros apuntan al “arbitraje masivo” como una táctica nueva que puede volverse costosa para las empresas pese a las cláusulas de arbitraje.
  • Hay interés de personas que no son clientes pero cuyos familiares usaron el servicio; no está claro si y cómo pueden unirse a demandas por daño derivado.