Quien sea el nuevo propietario de los datos de 23andMe querrá encontrar formas de sacarles provecho. Los legisladores tienen una gran oportunidad para ayudar a mantenerlos a salvo.
Deténganme si ya han escuchado esto antes: una empresa tecnológica acumula una gran cantidad de datos de usuarios, esperando encontrar un modelo de negocio más adelante. Ese modelo nunca llega, la empresa quiebra y los datos quedan en el aire.
La versión más reciente de esta historia surgió el 24 de marzo, cuando la empresa de pruebas genéticas 23andMe solicitó la quiebra. Ahora, el destino de los datos genéticos de 15 millones de personas está en manos de un juez de quiebras. En una audiencia el 26 de marzo, el juez permitió a 23andMe buscar ofertas para sus datos de usuarios. Sin embargo, aún existe una pequeña posibilidad de escribir un final mejor para los usuarios.
Después de la solicitud de quiebra, la primera reacción de los legisladores y defensores de la privacidad fue que los usuarios de 23andMe deberían eliminar sus cuentas para evitar que los datos genéticos caigan en manos equivocadas. Este es un buen consejo para el usuario individual (y puedes leer cómo hacerlo aquí). Pero la realidad es que la mayoría de las personas no lo hará. Tal vez no vean las recomendaciones para hacerlo. Tal vez no sepan por qué deberían preocuparse. Tal vez hayan abandonado hace mucho tiempo una cuenta que ni siquiera recuerdan que existe. O tal vez simplemente están ocupados con el caos de la vida cotidiana.
Esto significa que el verdadero valor de estos datos radica en el hecho de que las personas se han olvidado de ellos. Dado los ingresos modestos de 23andMe —menos del 4% de las personas que realizaron las pruebas pagan por suscripciones— parece inevitable que el nuevo propietario, sea quien sea, encuentre alguna nueva forma de monetizar esos datos.
Este es un acuerdo terrible para los usuarios que solo querían aprender un poco más sobre sí mismos o sobre su ascendencia. Porque los datos genéticos son para siempre. La información de contacto puede volverse obsoleta con el tiempo: siempre puedes cambiar tu contraseña, tu correo electrónico, tu número de teléfono o incluso tu dirección. Pero una persona con malas intenciones que tenga tus datos genéticos, ya sea un ciberdelincuente que los venda al mejor postor, una empresa que cree un perfil de tu riesgo de salud futuro o un gobierno que intente identificarte, los tendrá mañana, al día siguiente y todos los días después de eso.
Los usuarios con datos genéticos expuestos no solo están vulnerables al daño hoy; también lo están a los posibles explotadores que puedan surgir en el futuro.
Si bien 23andMe promete que no compartirá voluntariamente los datos con proveedores de seguros, empleadores o bases de datos públicas, su nuevo propietario podría revertir esas promesas en cualquier momento con un simple cambio en los términos.
En otras palabras: si un tribunal de quiebras comete un error autorizando la venta de los datos de usuario de 23andMe, ese error probablemente será permanente e irreparable.
Todo esto es posible porque los legisladores estadounidenses han descuidado la privacidad digital de manera significativa durante casi un cuarto de siglo. Como resultado, los servicios están incentivados a hacer promesas vagas y engañosas que pueden ser abandonadas en cualquier momento. Y la carga recae sobre los usuarios para mantenerse al tanto de todo, o simplemente rendirse.
Aquí, una solución simple sería invertir esa carga. Un tribunal de quiebras podría exigir que los usuarios den su consentimiento individualmente antes de que sus datos genéticos sean transferidos a los nuevos propietarios de 23andMe, sin importar quiénes sean esos nuevos propietarios. Cualquier persona que no responda o que decida no participar tendría sus datos eliminados.
Los procedimientos de quiebra que involucran datos personales no tienen que terminar mal. En 2000, la Comisión Federal de Comercio (FTC) llegó a un acuerdo con el minorista en quiebra ToySmart para asegurar que sus datos de clientes no pudieran venderse como un activo independiente, y que los clientes tendrían que dar su consentimiento explícito para nuevos usos no esperados de sus datos. Y en 2015, la FTC intervino en la quiebra de RadioShack para asegurarse de que cumpliría con su promesa de nunca vender los datos personales de sus clientes. (RadioShack finalmente aceptó destruirlos).
El caso de ToySmart también dio lugar al rol del defensor de la privacidad del consumidor. Los jueces de quiebras pueden nombrar a un defensor para ayudar al tribunal a considerar cómo la venta de datos personales podría afectar al patrimonio de la quiebra, examinando los posibles daños o beneficios para los consumidores y cualquier alternativa que pueda mitigar esos daños. El fideicomisario de los Estados Unidos ha solicitado el nombramiento de un defensor en este caso. Si bien algunos académicos han solicitado que este rol tenga más poder y que la FTC y los estados intervengan con mayor frecuencia, ya existe un marco para proteger los datos personales en los casos de quiebra. Y, en última instancia, el juez de quiebras tiene un poder amplio para tomar decisiones sobre si se venden los bienes en quiebra y cómo.
En este caso, 23andMe tiene una política de privacidad más permisiva que ToySmart o RadioShack. Pero los riesgos que se corren si los datos genéticos caen en manos equivocadas o son mal utilizados son graves e irreversibles. Y dado el fracaso de 23andMe en construir un modelo de negocio viable a partir de los kits de prueba, parece probable que un nuevo negocio utilice los datos genéticos de maneras que los usuarios no esperarían ni querrían.
Un requisito de optar por participar en el uso de los datos genéticos resuelve este problema. Los datos genéticos (y otros datos sensibles) podrían ser mantenidos por el fideicomisario de la quiebra y liberados a medida que los usuarios den su consentimiento. Si los usuarios no optan por participar después de un período de tiempo, los datos restantes serían eliminados. Esto incentivaría a los nuevos propietarios de 23andMe a ganar la confianza de los usuarios y construir un negocio que proporcione valor a los usuarios, en lugar de encontrar formas inesperadas de explotar sus datos. Y prácticamente no impondría ninguna carga a las personas cuyos datos genéticos están en riesgo: después de todo, tienen mucho más ADN del que disponer.
Consideremos la alternativa. Antes de que 23andMe entrara en quiebra, su entonces director ejecutivo hizo dos intentos fallidos de comprar la empresa, con valoraciones reportadas de 74,7 millones de dólares y 12,1 millones de dólares. Usando la oferta más alta, y con 15 millones de usuarios, eso equivale a poco menos de 5 dólares por usuario. ¿Realmente vale la pena arriesgar permanentemente la privacidad genética de una persona solo para agregar unos pocos dólares en valor al patrimonio de la quiebra?
Por supuesto, esto plantea una pregunta mayor: ¿Por qué alguien debería poder comprar los datos genéticos de millones de estadounidenses en un procedimiento de quiebra? La respuesta es simple: porque los legisladores lo permiten. La inacción federal y estatal permite que las empresas disuelvan promesas de proteger los datos más sensibles de los estadounidenses en cualquier momento. Cuando se fundó 23andMe, en 2006, la promesa era que la atención médica personalizada estaba a la vuelta de la esquina. Hoy, 18 años después, esa era realmente podría estar casi aquí. Pero con leyes de privacidad como las nuestras, ¿quién lo confiaría?
