出典: Alexey Kotelnikov via Alamy Stock Photo
製薬会社Regeneron Pharmaceuticalsは、DNAテスト会社23andMeを破産から買収する計画を発表し、顧客の遺伝データを保護するために既存のプライバシー慣行を維持することを誓約しました。
23andMeは3月に自主的なチャプター11破産を申請し、売却を追求することを発表しました。23andMeの資産には遺伝データやその他の機密情報が含まれているため、独立した裁判所任命の顧客プライバシーオンブズマンが取引をレビューし、2億5600万ドルの取引が23andMeの顧客のプライバシーにどのように影響するかを評価する必要があります。報告書は6月10日までに破産裁判所に提出され、6月17日に買収が進行できるかどうかを決定するための審理が予定されています。
Regeneronは声明で、データの使用方法と保護方法をオンブズマンに説明する準備ができていると述べました。
「私たちは23andMeの顧客に対し、データプライバシー、セキュリティ、倫理的監督の高い基準で23andMeのデータセットを保護し、人間の健康を改善するためにその可能性を最大限に活用することを約束します」と、RegeneronのシニアバイスプレジデントであるAris Baras氏は声明で述べました。
製薬会社は、過去に約300万人の匿名化されたDNSシーケンスを扱った経験があると述べ、機密データの取り扱いに慣れていることを強調しました。
破産申請と売却は、顧客やプライバシー擁護者の間で、買い手がデータをどのように使用するかについての懸念を引き起こしました。専門家は、データが誤用された場合、個人がゲノムプロファイルや病気の素因に基づいて標的にされたり差別されたりする可能性があることを懸念しています。
関連:デジタルの暗い側面: 若者のメンタルヘルスに関する沈黙を破る
受け入れられた利用規約
広範なプライバシーポリシーと利用規約は、消費者にとって理解しにくいことがあると、Center for Democracy and TechnologyのプライバシーおよびデータプロジェクトのシニアポリシーカウンセルであるAndrew Crawford氏は指摘します。
「私たちは、連邦規制や法律があまりない企業によって保持されている非常に機密性の高いデータを持っており、そのデータの取り扱い方法を決定するのは各消費者にかかっており、その調査は時間がかかり、率直に言って、消費者にとって非常に負担が大きい」とCrawford氏は言います。
問題の一部は、他の種類の機密性の高い健康関連データとは異なり、健康保険の携行性と責任に関する法律（HIPPA）がこの状況に適用されないことです。なぜなら、この規制は遺伝データをカバーしていないからです。
23andMeの破産申請に関するプライバシーの懸念は正当であると、Access Nowの政策アナリストであるFranco Giandana Gigena氏は述べています。「23andMeはこのデータが匿名化されており、顧客は記録を永久に削除するオプションがあると主張していますが、過去にデジタルインフラを保護することに失敗しており、2023年10月に注目すべきデータ侵害がありました」とGigena氏は言います。
関連:NIST、AIとガバナンスの改訂を含むプライバシーフレームワークを更新
データが誤って扱われた場合、Gigena氏は、顧客がデータの生物学的性質により標的にされたり、差別されたり、スティグマを受けたり、他の形態の暴力を受ける可能性があることを懸念しています。「23andMeが保管するデータを処理するのが誰であるかによって、セグメント化された広告や製品開発のための同意のない機密個人データの使用を含む、データ誤用のさまざまなシナリオが考えられます」とGigena氏は言います。
23andMeとRegeneronがユーザープライバシーへの取り組みを表明した一方で、米国には健康データを収集する民間企業を責任に問う包括的な連邦法はありません。法的には、企業の主な義務は株主、破産裁判所、および顧客への契約上の義務にありますと、Arctic WolfのCISOであるAdam Marré氏は述べています。
「私は企業が倫理的に行動し、顧客の最善の利益を考慮して行動することを望んでいますが、手続きの結果や将来の所有権がそれにどのように影響するかを左右する可能性があります」とMarré氏は言います。「現在または過去の顧客が自分のデータとプライバシーについて懸念している場合、私はプラットフォームから情報を削除することを強くお勧めします。」
関連:NIST、データ保護のための差分プライバシールールを最終化
「これは、米国が強力なプライバシー法を採用する必要があるもう一つの例です—23andMeの一連の出来事は、プライバシー保護法の必要性を強化するべきです」とGigena氏は同意します。