На 24 юли изтече срокът за получаване на коментари по проекта на заповед на Федералната комисия по търговия
Федералната комисия по търговия (FTC) ще използва $75 000, с които ще санкционира компанията за генетични тестове 1Health, за да компенсира пострадалите потребители. Компанията, преди известна като Vitagene, не е успяла да защити поверителността и сигурността на ДНК данните и е променила несправедливо своята политика за поверителност, смята FTC.
До 24 юли се приемаха коментари по предложената заповед на FTC, според която компанията трябва да засили защитата на генетичната информация и да нареди на лабораториите да унищожат всички потребителски ДНК проби, които са били съхранявани повече от 180 дни.
Федералната търговска комисия обвини, че фирмата за генетични тестове 1Health.io е оставила незащитени чувствителни генетични и здравни данни, измамила е потребителите относно способността им да изтрият данните си и е променила политиката си за поверителност със задна дата, без да уведоми адекватно и да получи съгласие от потребителите, чиито данни компанията вече е събрала.
„Компаниите, които се опитват да променят правилата на играта, като пренаписват политиката си за поверителност, са предупредени“, казва Самуел Левин, директор на Бюрото за защита на потребителите на FTC. „Законът за FTC забранява на компаниите да прилагат едностранно съществени промени в политиката за поверителност към предварително събрани данни.“
Базираната в Калифорния компания продава комплекти за ДНК тестове за здравословно състояние и използва резултатите от ДНК тестове, заедно с информацията, предоставена на потребителите, за да предостави на потребителите отчети за техните здраве, уелнес и произход като част от продуктови пакети, които струват между $29 и $259. Здравните доклади включват лична информация за здравето и генетиката на потребителя, като например тяхното ниво на риск от развитие на здравословни проблеми въз основа на техните генотипни данни.
На своя уебсайт компанията изтъкна на видно място своята поверителност и сигурност, твърдейки, че предлага „солидна сигурност“ и обеща на потребителите, че „събира, обработва и съхранява вашата лична информация в отговорна, прозрачна и сигурна среда“. От 2017-2020 г. компанията също така каза, че ще споделя чувствителна здравна и друга лична информация на потребителите само при ограничени обстоятелства, като например предоставяне на информация на лекаря на клиента или с лабораторията, извършваща генетични тестове.
Vitagene също така твърди на своя уебсайт, че не съхранява ДНК резултати с име на потребител или друга идентифицираща информация; че потребителите могат да изтрият личната си информация по всяко време и че тези данни ще бъдат премахнати от всички сървъри на компанията; и че ще унищожи ДНК проби от слюнка малко след като са били анализирани.
Но FTC открива, че Vitagene не е спазила тези обещания. В началото на 2016 г. компанията не прилага политика, за да гарантира, че лабораторията, която анализира ДНК пробите, има политика за унищожаването им. А през 2020 г. компанията променя политиката си за поверителност, като разширява със задна дата типовете трети страни, с които може да споделя потребителски данни, за да включва например вериги супермаркети и производители на хранителни добавки и добавки – без да уведомява потребителите, които преди това са споделяли лични данни с компанията или получаване на тяхното съгласие за споделяне на такава чувствителна информация, според жалбата.
В допълнение, пропуските в сигурността на Vitagene излагат на риск чувствителните данни на потребителите, казва FTC. Vitagene съхранява в публично достъпни „buckets“ в услугата за облачно съхранение на Amazon Web Service (AWS) близо 2400 здравни доклада за потребители и необработени генетични данни на най-малко 227 потребители, понякога придружени от първо име – въпреки че обещава на потребителите, практики за сигурност, надхвърлящи индустриалните стандартни практики за сигурност. Според жалбата Vitagene не е шифровала тези данни, не е ограничила достъпа до тях, не е регистрирала или наблюдавала достъпа до тях, нито ги е инвентаризирала, за да гарантира тяхната сигурност.
За период от две години Vitagene е предупреждавана най-малко три пъти, че компанията съхранява некриптирана здравна, генетична и друга лична информация в публично достъпни пакети с данни, според жалбата. След като изследовател по сигурността се свърза с компанията през юни 2019 г., тя най-накрая проучва проблема и уведомява своите клиенти, чиито данни е изложила публично.
Като част от предложената заповед 1Health.io, която сега е известна като Vitagene, трябва да плати $75 000, които Федералната търговска комисия възнамерява да използва за възстановяване на суми на потребителите. В допълнение към изискването за заличаване на ДНК, съгласно предложената заповед на компанията:
- ще бъде забранено споделянето на здравни данни с трети страни – включително информация, предоставена от потребителите преди и след промяната на политиката за поверителност от 2020 г. – без получаване на утвърдителното изрично съгласие на потребителите;
- трябва да гарантира, че всяка компания, която купува целия или части от бизнеса на 1Health, се съгласява чрез договор да се придържа към разпоредбите на поръчката;
- трябва да уведомява FTC за случаи на неразрешено разкриване на лични здравни данни на потребителите; и
- трябва да внедри цялостна програма за информационна сигурност, насочена към пропуските в сигурността, посочени в жалбата.