DNA na sprzedaż. Plajta amerykańskiego koncernu budzi obawy o prywatność danych genetycznych

Była jedną z najbardziej rozpoznawalnych firm biotechnologicznych w USA, pionierem testów genetycznych dostępnych przez internet, symbolem „demokratyzacji” genomiki. Teraz – po latach strat, skandalu z wyciekiem danych i bankructwie – firma 23andMe i jej ogromna baza danych trafiły w ręce koncernu farmaceutycznego. 

Transakcja za 256 mln dolarów może otworzyć nowy rozdział w badaniach nad lekami. Ale dla milionów byłych klientów firmy oznacza pytanie: kto dziś ma dostęp do ich DNA?

Problemy firmy 23andMe. Czy dostatecznie chroniła dane DNA klientów?

Firma 23andMe – nazwana tak od 23 par chromosomów w ludzkich komórkach – została założona w 2006 r. przez Anne Wojcicki, biolożkę molekularną i byłą partnerkę współtwórcy Google, Sergeya Brina. Firma jako jedna z pierwszych umożliwiła klientom zamówienie testu genetycznego online, pobranie próbki śliny i otrzymanie wyników drogą internetową.

Na podstawie analizy genotypu 23andMe oferowała informacje o pochodzeniu etnicznym, ryzyku wystąpienia niektórych chorób (takich jak choroba Parkinsona czy rak piersi), a także cechach takich jak odporność na kofeinę, skłonność do łysienia czy preferencje smakowe.

Do 2023 r. z usług 23andMe skorzystało ponad 15 mln osób, głównie Amerykanów, Kanadyjczyków i Brytyjczyków. Firma nigdy oficjalnie nie oferowała swoich usług w Polsce, ale wielu z naszych rodaków również z jej usług skorzystało. Firma szczyciła się współpracą z gigantami farmaceutycznymi, jak GlaxoSmithKline, który zainwestował w nią 300 mln dolarów w zamian za dostęp do danych klientów do badań nad nowymi lekami.

W 2021 r. 23andMe weszła na giełdę, a jej wycena sięgnęła 6 mld dolarów. Ale nie udało się jej nigdy osiągnąć rentowności. Rynek nasycił się, popyt na testy spadł, a klienci stawali się coraz bardziej wyczuleni na kwestie prywatności.

W 2023 r. doszło do ogromnego wycieku – hakerzy wykradli dane nawet 7 mln osób. Późniejsze śledztwo wykazało, że włamywacze korzystali z haseł użytkowników pozyskanych z wcześniejszych wycieków innych serwisów. Choć 23andMe zapewniało, że dane DNA są bezpieczne, zaufanie do firmy zostało poważnie nadszarpnięte.

Co mogą ujawnić dane pozyskane przez 23andMe?

W maju 2025 r. ogłoszono, że amerykański koncern farmaceutyczny Regeneron przejmie 23andMe w ramach postępowania upadłościowego i zamierza wykorzystać jej dane do badań nad nowymi terapiami genetycznymi i lekami. 

„Zobowiązujemy się chronić dane klientów 23andMe zgodnie z najwyższymi standardami prywatności, bezpieczeństwa i nadzoru etycznego” – zapewnił Aris Baras, wiceprezes Regeneron Genetics Center.

Transakcja ma być sfinalizowana w trzecim kwartale tego roku. Nie wszystkim te zapewnienia wystarczają. 

„23andMe zawsze eksponowała aspekt non-profit. Twierdziła, że pomaga ludzkości, a to pomagało jej ukryć komercyjny cel” – podkreślała w rozmowie z BBC dr Jennifer King, specjalistka ds. prywatności w Stanford Institute for Human-Centered Artificial Intelligence, dodając: 

„Teraz, gdy dane znajdą się pod wyłączną kontrolą firmy prowadzącej badania genetyczne dla potrzeb rozwoju leków, fakt, że celem jest zysk, prawdopodobnie będzie dla klientów bardziej oczywisty”.

W ramach ugody 23andMe poddała się nadzorowi sądowemu, a Regeneron będzie musiał wykazać przed niezależnym kontrolerem, jak zamierza wykorzystywać dane. Wcześniej kilka stanów USA, w tym Kalifornia, wezwało obywateli do usuwania swoich danych i żądania zniszczenia swoich próbek biologicznych przechowywanych w magazynach firmy.

Problem w tym, że 23andMe zbierała nie tylko dane genetyczne. Aż 85 proc. klientów wyraziło zgodę na udział w badaniach, w ramach których firma gromadziła odpowiedzi na szczegółowe pytania dotyczące zdrowia, stylu życia, cech psychicznych, uzależnień i nawyków.

„Nie chodzi tylko o to, że oddaliśmy tej firmie nasze DNA. Wielu z nas oddało też informacje o tym, co pijemy, jak sypiamy, jak ryzykujemy, a nawet o naszej inteligencji” – pisze w portalu „The Conversation” dr Kayte Spector-Bagdady z Uniwersytetu Michigan. „To dane równie wrażliwe jak genotyp, a w połączeniu z innymi źródłami, jak profile randkowe czy media społecznościowe, mogą posłużyć do tworzenia bardzo precyzyjnych portretów psychologicznych”.

Dane genetyczne mogą ujawniać nie tylko obecne choroby i predyspozycje do przyszłych zachorowań, ale też informacje o rodzinie, pochodzeniu, pokrewieństwie. Co więcej – w przeciwieństwie do hasła, DNA nie da się zmienić.

Nieuregulowana prywatność danych genetycznych

W USA nie istnieje jednolite prawo chroniące dane genetyczne. Ustawa GINA (Genetic Information Nondiscrimination Act) zakazuje wykorzystywania ich w ubezpieczeniach zdrowotnych i zatrudnieniu, ale nie dotyczy to ubezpieczeń na życie czy opieki długoterminowej.

Eksperci obawiają się też wykorzystania danych w śledztwach. Już raz, w przypadku seryjnego zabójcy znanego jako Golden State Killer, do zatrzymania domniemanego sprawcy zbrodni sprzed dziesięcioleci doszło dzięki porównaniu pobranych z miejsc zbrodni próbek DNA z próbkami przekazanymi do genealogicznej bazy danych przez osoby poszukujące swoich krewnych.

O ile nikt nie ma raczej problemu z wsadzaniem do więzienia wielokrotnego zabójcy, to jednak potencjał przyszłych nadużyć, np. przez represyjne reżimy, które do uderzenia w dysydentów mogą wykorzystywać ich rodziny – jest ogromny. Możliwa jest też komercyjna eksploatacja danych do celów reklamowych czy politycznych.

23andMe formalnie nie prowadziła sprzedaży testów na polskim rynku, ale część użytkowników w Polsce zamawiała zestawy z zagranicy. A sama debata o prywatności danych genetycznych – również w kontekście przyszłych zastosowań sztucznej inteligencji i biotechnologii – jest aktualna globalnie.

W Europie dane genetyczne są objęte szczególną ochroną w ramach RODO, ale nawet to nie gwarantuje ich bezpieczeństwa w sytuacji upadłości firmy lub przejęcia przez gracza spoza UE. Polityka prywatności 23andMe przewiduje możliwość transferu danych w przypadku przejęcia, a umowy zawarte przez użytkowników zawierały zgodę na takie scenariusze.

„Klienci 23andMe powinni raz jeszcze przemyśleć, co udostępnili – i komu” – podsumowuje Spector-Bagdady. „Ich DNA to nie tylko osobista ciekawostka. To klucz do przyszłych decyzji podejmowanych przez rządy, firmy i algorytmy. I to bez ich udziału”.