La mayor empresa de análisis genético ha quebrado: ¿qué pasa con mis datos si envié mi ADN a 23andMe?
La quiebra de la empresa de análisis genético 23andMe ha despertado una gran incertidumbre entre usuarios, autoridades y especialistas. Después de casi 20 años de actividad, la compañía acumula datos genéticos de 15 millones de clientes que en algún momento de sus vidas dieron muestras de su ADN para conocer sus orígenes ancestrales. Ahora, esa información se venderá a un tercero y, aunque sus responsables aseguran que los datos seguirán protegidos, el historial de la empresa y la regulación más laxa en Estados Unidos despiertan serias dudas sobre su posible uso.
Este lunes, la CEO de la empresa, Anne Wojcicki, anunciaba su marcha en la red social X y afirmaba que seguirán “abogando incansablemente por que los clientes tengan opciones y transparencia con respecto a sus datos personales, independientemente de la plataforma”. Mientras tanto, el Fiscal General del estado de California, donde reside 23andMe, ha emitido una alerta al consumidor en la que aconseja a los clientes que eliminen sus datos del sitio.
La seguridad de 23andMe ya fue vulnerada en 2023, cuando un grupo de ciberatacantes robó los datos de siete millones de su usuarios y sacó a la venta los datos en la dark web. En octubre de 2024, la Agencia Española de Protección de Datos (AEPD) abrió un expediente a 23andMe que sigue en tramitación, según confirman a elDiario.es desde la propia agencia. Antes, en el año 2021, la AEPD sancionó con 20.000 euros de multa a una empresa de análisis genético muy similar, MyHeritage, tras una reclamación de la Organización de Consumidores y Usuarios (OCU) por incumplimientos de la normativa de protección de datos y no habilitar un proceso sencillo para pedir su borrado.
“Aviso a navegantes”
“Creo que esto es un aviso a navegantes”, asegura Lluis Montoliu, genetista del Centro Nacional de Biotecnología (CNB-CSIC) y experto en bioética. Él mismo donó su ADN para hacer una prueba de ancestral, para poder hablar de primera mano de este sistema, y ahora se ha dado de baja junto a toda su familia. “Estas son las cuestiones éticas que se plantean cuando una empresa que está usando datos de salud pierde el control, porque aunque diga que va a garantizar la confidencialidad, hay dudas sobre lo que hará la empresa compradora”.
“Si la empresa cierra sin que nadie la saque a flote, se supone que esos datos los deberán eliminar”, señala Rubén Sánchez, portavoz de FACUA. “Y esa es la gran duda ahora, porque nunca antes una empresa había ido a la quiebra con estos datos que son extraordinariamente sensibles”. La empresa compradora podrá quedarse con los datos genéticos, apunta el experto, pero no podrá usarlos para cualquier fin. “Lo que nunca podrá es usar los datos con fines distintos a los que se recabaron”, recalca. “Eso sería absolutamente ilegal desde el punto de vista de la normativa de protección de datos”.
La empresa compradora nunca podrá es usar los datos con fines distintos a los que se recabaron. Eso sería absolutamente ilegal
Entre las recomendaciones hechas por el Fiscal de California, está la de revocar el consentimiento dado a 23andMe para utilizar sus datos genéticos, ya que la legislación de este Estado ampara a los usuarios. Pero no es así en todas partes. “En Europa tenemos una protección adicional dado que el Reglamento General de Protección de Datos que entró en vigor en mayo de 2018, especialmente en lo que se refiere a los datos personales y las empresas que hagan un mal uso se enfrentan a grandes multas”, señala Montoliu. “Además, el reglamento recoge el derecho a ser olvidados, un derecho que no tienen en Estados Unidos”.
Una “indefensión práctica”
Al eliminar la cuenta, el usuario recibe un email en el que se le pide confirmar su solicitud de eliminación, lo que dará por terminada su relación con 23andMe, pero se advierte de que conservará “información limitada para el establecimiento, ejercicio o defensa de reclamaciones legales, y según lo permita o exija la legislación aplicable”. Esto significa, como advierten en MIT Technology Review, que 23andMe y su laboratorio externo de genotipado conservarán parte de tu información genética, además de tu fecha de nacimiento y sexo, junto con los datos vinculados a tu solicitud de eliminación de cuenta, como tu dirección de correo electrónico y el identificador de la solicitud.
Este caso constata la indefensión práctica de todos en relación con el manejo de nuestros datos personales. Pueden ocurrir muchas cosas para que dejen de estar protegidos
Gemma Galdón, especialista en el impacto ético de la tecnología, recuerda que la privacidad ha sido un problema durante toda la existencia de 23andMe y algunas veces ha conseguido vender esos datos a empresas. “En general, si el proveedor decía que los datos se cedían solo para el uso de 23andMe, no podrían incorporarlos como parte de la venta, pero claro, hay muchos actores interesados en que eso puede dar dinero para poder pagar a los acreedores”, asegura. “Básicamente, este caso constata la indefensión práctica de todos en relación con el manejo de nuestros datos personales. Pueden ocurrir muchas cosas que hacen que esos datos que hemos entregado en condiciones que creíamos seguras y privadas, dejen de estar protegidos”.
“Yo creo que no hay unas garantías de dónde y cómo tienen los datos”, comenta Belén Pérez, jefa de la Unidad de Genética del Centro de Diagnóstico de Enfermedades Moleculares (CEDEM). “Estamos ante una situación en la que millones de personas no saben qué van a hacer con su información genética”. Aunque la empresa habla de que están buscando un sitio con un compromiso de salvaguardar la privacidad, ¿qué va a pasar si no lo encuentran?, se pregunta. “Puede que reciban una buena oferta y que hagan una cesión de datos en unas condiciones que no garanticen la privacidad de todos esos datos genéticos”.
Puede que reciban una buena oferta y que hagan una cesión de datos en unas condiciones que no garanticen la privacidad de todos esos datos genéticos
“Los usuarios deben ser conscientes de que ceder una muestra de ADN a una empresa con fines comerciales conlleva riesgos significativos”, coincide Antonio Salas, genetista de la Universidad de Santiago (USC). Además, recuerda, la privacidad se extiende a parientes cercanos y lejanos, y puede facilitar la identificación de personas sin su consentimiento. “Ya existen antecedentes preocupantes: por ejemplo, 23andMe ha firmado acuerdos con la industria farmacéutica para compartir su base de datos y se han reportado solicitudes de acceso a estos datos por parte de cuerpos de seguridad”, apunta.
En opinión de Salas, es totalmente legítimo que una persona decida utilizar los servicios de una empresa de genómica recreativa como 23andMe, pero la mayoría de los usuarios desconocen o no comprenden completamente los riesgos que implica. “Quienes ya han compartido su ADN con estas compañías probablemente hayan cedido los derechos de uso de su información de por vida. En muchos casos, no hay forma de revertir esta decisión. Una vez que los datos han sido compartidos, resulta difícil eliminar su rastro o limitar su uso”.
Quienes ya han compartido su ADN con estas compañías probablemente hayan cedido los derechos de uso de su información de por vida
Para Gemma Marfany, catedrática de la Genética de la Universidad de Barcelona (UB), el principal problema de los tests genéticos directos al consumidor es que se trata a los solicitantes como clientes y no como personas que tienen datos genéticos potencialmente relevantes para su salud. “En Estados Unidos la protección ofrecida es muy parcial, ya que toda vez que el cliente envía su muestra, queda a discreción de la compañía su uso”, asegura. “Las firmas se comprometen a no ceder los datos personales a empresas de seguros, pero a su vez, quedan dispensados si la compañía entra en bancarrota o es absorbida”
“El hecho de que una empresa tenga nuestros datos genéticos y que vaya a desaparecer y venderse por partes es inquietante”, indica Montoliu. “Porque imagínate que tienen información de que yo voy a desarrollar una enfermedad neurodegenerativa a los 65 o 70 años o tengo un riesgo elevado de desarrollar un cáncer, y esta información llega a manos de una empresa o una institución que quiere contratarme y que se lo va a pensar dos veces, o una aseguradora”.
Para Belén Pérez, esta situación es la consecuencia de haber vendido estos kits de extracción de ADN “de una forma tan alegre”. “Estamos en una situación que se debería revisar”, subraya. En cuanto a la utilidad de estas bases de datos para obtener información anonimizada para tomar decisiones de salud pública, recuerda que ya se está haciendo desde las instituciones públicas con garantías, como el proyecto Un millón de genomas. “Yo no mandaría jamás el ADN a ninguna empresa, ya que ahí está también toda tu epigenética, está toda tu vida, las infecciones que has tenido, tu modo de vivir… Porque la información genética es realmente nuestra huella más importante de quiénes somos y cómo somos”.
2