7月、42州の司法長官による連合が、23andMeとの間で1,800万ドルの和解に合意しました。同社が認証情報を悪用した攻撃を防ぐための適切なデータセキュリティ対策を怠り、州法に違反したとする主張を解決するものです。カリフォルニア州はこの訴訟に加わらず、独自の法的主張で同社を追及する道を選んでいました。今回、23andMeとカリフォルニア州の間で和解が成立し、同州法違反の疑いに決着がつきました。
この情報漏えいは、HIPAA Journalがこちらの記事で報じたもので、カリフォルニア州の住民85万5,000人を含む約690万人の個人情報と遺伝情報が流出しました。攻撃はクレデンシャルスタッフィングによるもので、23andMeの顧客が使っていた脆弱なパスワード管理の習慣につけ込んだものでした。しかし各州は、同社には顧客アカウントが標的にされるリスクを認識できたはずだと主張しています。そのため、アカウントへの攻撃を検知・遮断するセキュリティ対策を講じておくべきだったという立場です。
インシデントの後、23andMeは破産保護を申請しました。同社は、共同創業者のアン・ウォジツキ氏が率いる非営利団体TTAM Research Instituteに3億500万ドルで買収されました。カリフォルニア州は、この売却を阻止しようとしました。顧客の同意がないまま、個人情報と遺伝情報がTTAM Research Instituteに移されることになり、カリフォルニア州遺伝情報プライバシー法に違反すると主張したのです。しかし、阻止の試みは失敗に終わりました。さらに破産裁判所の判事は、カリフォルニア州が情報漏えいを理由にTTAM Research Instituteを提訴し、金銭を回収することはできないとの判断を示しました。
カリフォルニア州はこの判断に対して控訴を予定していました。しかし、今回の和解合意により、以後の控訴を取り下げることに同意しました。和解条件に基づき、同州には600万ドルが支払われます。会社の売却とTTAM Research Instituteへの顧客データの移管は予定どおり進みますが、23andMeの顧客は自身の個人情報と遺伝情報の削除を請求する権利を持ちます。
カリフォルニア州のロブ・ボンタ司法長官は、次のように述べています。「カリフォルニア州民のプライバシー権のために闘い、23andMeを信頼した消費者のためにこの和解を勝ち取ったことを誇りに思います。23andMeの顧客は、誰が会社を所有していようと、自分の非公開の遺伝データを削除できることを、改めてカリフォルニア州民の皆さんにお伝えしたいと思います」。 こうした和解金は合計2,400万ドルに上ります。これに加えて、23andMeは情報漏えいに関する集団訴訟でも和解に応じ、顧客に4,675万ドルを支払います。この和解は2026年7月に裁判所の承認を受けました。
翻訳元: https://www.hipaajournal.com/california-settles-23andme-data-breach-lawsuit/
