23andMe, fine di un’era: cosa succede ai dati genetici di 15 Milioni di utenti?

Il 24 marzo 2025, la notizia della bancarotta di 23andMe, una delle più note società di test genetici al mondo, ha fatto rapidamente il giro del mondo, scuotendo non solo il settore biotech ma anche milioni di utenti preoccupati per la sorte dei propri dati genetici. Fondata nel 2006 da Anne Wojcicki, la società ha costruito la propria reputazione offrendo kit per test del DNA che permettevano di conoscere l’ascendenza genetica, le predisposizioni a certe malattie e persino tratti fisici e comportamentali. Ma ora, il destino di queste informazioni, estremamente sensibili, è avvolto dall’incertezza.

Il Contesto: da Pionieri del Genoma al Crac Finanziario

23andMe ha accumulato più di 15 milioni di profili genetici nel corso degli anni. Tuttavia, la sua traiettoria ha incontrato ostacoli significativi: ostilità da parte della FDA nei primi anni, quando i test sanitari furono temporaneamente vietati, e, più recentemente, un devastante attacco informatico nel 2023. Quest’ultimo ha esposto i dati di quasi sette milioni di utenti, con un impatto particolarmente grave sulle comunità ebraiche e cinesi. Il risultato? Una class action da 30 milioni di dollari e un colpo durissimo alla fiducia dei consumatori.

Con entrate in calo e fiducia in declino, la società ha infine presentato istanza di fallimento secondo il Capitolo 11 della legge fallimentare statunitense, con l’obiettivo di facilitare una vendita o una ristrutturazione.

Anne Wojcicki Si Dimette… per Tentare di Rilevare l’Azienda

Come se non bastasse a complicare il quadro, un dettaglio inaspettato ha ulteriormente acceso il dibattito: Anne Wojcicki, CEO e cofondatrice, si è dimessa proprio per poter partecipare al processo di acquisizione. Resta però membro del consiglio di amministrazione, una posizione che solleva dubbi su possibili conflitti d’interesse, soprattutto in un momento così delicato per la protezione dei dati sensibili degli utenti.

La Preoccupazione Centrale: La Privacy Genetica

Sebbene 23andMe assicuri che non ci saranno cambiamenti nella gestione dei dati durante il processo di bancarotta, e che qualunque acquirente sarà obbligato a rispettare la privacy policy e le leggi vigenti (come il GDPR europeo, il CCPA californiano o il Federal Trade Commission Act), gli esperti sono tutt’altro che rassicurati.

La Electronic Frontier Foundation (EFF), organizzazione leader nella difesa dei diritti digitali, ha espresso forte preoccupazione, esortando gli utenti a cancellare i propri dati dal sistema, per ridurre il rischio che vengano venduti come “asset” durante la procedura fallimentare. Anche il procuratore generale della California ha lanciato un allarme simile.

Secondo Forbes, una porzione dei dati – specialmente quelli già condivisi con terze parti o utilizzati in progetti di ricerca – potrebbe comunque essere venduta, anche nel caso in cui un utente abbia chiesto la cancellazione del proprio profilo. In altre parole, la rimozione totale non è garantita.

Il ruolo contestato del Consumer Privacy Ombudsman (CPO)

Un elemento chiave del dibattito è la figura del Consumer Privacy Ombudsman (CPO), una sorta di “garante per la privacy dei consumatori” da nominare in caso di fallimento aziendale con implicazioni sui dati personali. Il giudice può (e in certi casi deve) nominare un CPO che abbia il compito di:

• valutare le notifiche sulla privacy;

• esaminare i rischi legati alla vendita di dati;

• garantire la conformità alle leggi;

• proporre misure protettive, come l’obbligo di opt-in per nuove politiche.

Sorprendentemente, 23andMe si è opposta alla nomina di un CPO, dichiarando che le proprie policy sono già sufficienti. Ma per molti, tra cui esperti come Keith Porcaro del Berkman Klein Center for Internet & Society, ciò rappresenta una grave omissione: “La corte dovrebbe pretendere il consenso esplicito degli utenti prima di qualsiasi transazione sui dati”.

Cosa possono fare gli utenti oggi?

Secondo l’EFF, gli utenti preoccupati per la propria privacy dovrebbero agire subito seguendo alcuni passaggi fondamentali:

1. Scaricare i propri dati: accedendo al proprio profilo, si può ottenere una copia dei report e dei dati grezzi (raw data) genetici;

2. Procedere con la cancellazione: l’eliminazione dei dati può richiedere fino a 30 giorni e non è garantita al 100%, ma rappresenta comunque una misura precauzionale importante;

3. Contattare parenti che hanno condiviso dati tramite 23andMe per invitarli a cancellare i loro profili, riducendo l’impronta genetica familiare nel sistema;

4. Monitorare gli aggiornamenti sulla privacy policy;

5. Esprimere pubblicamente le proprie preoccupazioni all’azienda e alle autorità competenti (FTC, DPA, procuratori generali, rappresentanti eletti);

6. Supportare la nomina di un CPO, tramite la U.S. Trustee Region 13;

7. Adottare pratiche di “igiene digitale”, consultando risorse come Security Planner (Consumer Reports) e le guide dell’EFF.

Perché è un caso senza precedenti

Ciò che rende il caso di 23andMe particolarmente inquietante è il valore unico dei dati genetici: non si tratta di semplici preferenze di consumo o dati di navigazione. Il DNA contiene informazioni eterne, immutabili e condivise con familiari. Può essere usato per prevedere malattie, tracciamenti genealogici e, in contesti estremi, persino per discriminazioni genetiche. In un mondo dove il profiling genetico sta diventando una realtà concreta, la tutela di questi dati è una questione di diritti civili e giustizia sociale.

Gli esperti avvertono che i rischi sono molteplici: da un possibile uso da parte delle assicurazioni per negare coperture sanitarie, all’utilizzo da parte delle forze dell’ordine in indagini che potrebbero coinvolgere familiari, fino alla possibilità di impatti discriminatori su comunità vulnerabili come quelle nere, caraibiche, indigene o su persone con condizioni intersessuali.

Un campanello d’allarme per tutti

Il fallimento di 23andMe rappresenta un campanello d’allarme globale sulla vulnerabilità dei dati genetici in un mercato ancora poco regolamentato. Mentre la società cerca acquirenti e rassicura il pubblico, le ambiguità sulla gestione dei dati non fanno che aumentare il senso di urgenza.

Gli utenti, nel frattempo, sono chiamati a una scelta consapevole: lasciare che il proprio DNA diventi parte di un asset finanziario o agire in modo proattivo per proteggere la propria identità biologica. In gioco non c’è solo la privacy personale, ma un intero sistema etico e legale che dovrà confrontarsi con la nuova frontiera della bioinformatica.

Il DNA è per sempre. La privacy, no — se non viene difesa.