- 23andMe เปลี่ยนเงื่อนไขการใช้งานทันทีหลังจากมีการเปิดเผยว่าข้อมูลส่วนบุคคลของลูกค้าประมาณ 7 ล้านคน ถูกเข้าถึงจากเหตุแฮ็กในเดือนตุลาคม โดยจำกัดการเข้าร่วมการฟ้องร้องแบบกลุ่มและการพิจารณาคดีโดยคณะลูกขุนของลูกค้า
- เงื่อนไขใหม่กำหนดให้ข้อพิพาทต้องได้รับการจัดการผ่าน อนุญาโตตุลาการรายบุคคล และหากลูกค้าไม่ปฏิเสธทางอีเมลภายใน 30 วันหลังได้รับการแจ้ง จะถือว่ายินยอมโดยอัตโนมัติ
- ข้อมูลที่ถูกละเมิดรวมถึงรูปถ่าย ชื่อ-นามสกุลเต็ม ตำแหน่งที่ตั้ง ข้อมูลที่เกี่ยวข้องกับแผนผังบรรพบุรุษ และชื่อญาติ แต่บริษัทระบุว่า สารพันธุกรรมหรือบันทึก DNA ไม่ได้ถูกเปิดเผย
- 23andMe ระบุในเอกสารที่ยื่นต่อ SEC ว่ามีการ ยื่นคำฟ้องแบบกลุ่มหลายคดี แล้วในศาลของแคลิฟอร์เนีย อิลลินอยส์ และแคนาดา
- การจำกัดการฟ้องร้องแบบกลุ่มอาจย้ายข้อพิพาทไปสู่อนุญาโตตุลาการแบบไม่เปิดเผยต่อสาธารณะ ทำให้ข้อมูลที่เปิดเผยต่อสาธารณะลดลง แต่ Nancy Kim ที่ Axios อ้างถึงมองว่าการเปลี่ยนเงื่อนไขการใช้งานเพียงอย่างเดียวอาจยังไม่เพียงพอสำหรับการป้องกันตัวในศาล
เงื่อนไขใหม่ที่เปลี่ยนการฟ้องร้องแบบกลุ่มไปเป็นอนุญาโตตุลาการรายบุคคล
- 23andMe แจ้งผ่านอีเมลลูกค้าว่าได้อัปเดตส่วน “Dispute Resolution and Arbitration” ของเงื่อนไขการใช้งาน
- จุดประสงค์ของการอัปเดตตามที่บริษัทระบุคือเพื่อ เร่งการแก้ไขข้อพิพาทและทำให้กระบวนการอนุญาโตตุลาการง่ายขึ้น เมื่อมีการยื่นคำร้องลักษณะคล้ายกันหลายรายการ
- เงื่อนไขใหม่จำกัดการยื่นข้อพิพาทของทั้งสองฝ่ายให้เป็นไปใน สถานะรายบุคคล เท่านั้น ภายในขอบเขตสูงสุดที่กฎหมายที่ใช้บังคับอนุญาต
- ไม่อนุญาตให้มีการฟ้องร้องแบบกลุ่ม การดำเนินการแบบกลุ่ม หรืออนุญาโตตุลาการแบบกลุ่ม
- ลูกค้าต้องแจ้งทางอีเมลว่าไม่ยินยอมภายใน 30 วันนับจากวันที่ได้รับการแจ้ง
- หากไม่ปฏิเสธ จะถือว่ายินยอมต่อเงื่อนไขใหม่
- 23andMe ไม่ตอบคำขอความเห็นเกี่ยวกับเรื่องนี้
ขนาดของการแฮ็กและคดีที่ถูกยื่นไปแล้ว
- ในเดือนตุลาคม 23andMe ประกาศว่าแฮ็กเกอร์ได้เข้าถึงข้อมูลผู้ใช้ที่มีความอ่อนไหว
- ข้อมูลที่ถูกเข้าถึงรวมถึง รูปถ่าย ชื่อ-นามสกุลเต็ม ตำแหน่งทางภูมิศาสตร์ ข้อมูลที่เกี่ยวข้องกับแผนผังบรรพบุรุษ และชื่อสมาชิกครอบครัวที่เกี่ยวข้อง
- บริษัทระบุว่าสารพันธุกรรมหรือบันทึก DNA ไม่ได้ถูกเปิดเผย
- หลังการโจมตี แฮ็กเกอร์ได้นำโปรไฟล์ของชาวยิวอัชเคนาซีและชาวจีนหลายแสนรายไปลงขายบนอินเทอร์เน็ต
- ต่อมามีการเปิดเผยว่าขนาดความเสียหายอยู่ที่ประมาณ 7 ล้านคน คิดเป็นราวครึ่งหนึ่งของฐานผู้ใช้ของบริษัท
- 23andMe ระบุในเอกสารที่ยื่นต่อ SEC ว่ามีการยื่นคำฟ้องแบบกลุ่มแล้วในหลายเขตอำนาจศาล
- ศาลรัฐบาลกลางและศาลของรัฐในแคลิฟอร์เนีย
- ศาลของรัฐอิลลินอยส์
- ศาลในแคนาดา
อนุญาโตตุลาการแบบไม่เปิดเผยต่อสาธารณะและกระแสต้านบนออนไลน์
- ตามAxios การห้ามฟ้องร้องแบบกลุ่มอาจทำให้ผู้ได้รับผลกระทบต้องแก้ไขข้อพิพาทผ่านอนุญาโตตุลาการแบบไม่เปิดเผยต่อสาธารณะ ซึ่งอาจทำให้รายละเอียดของกระบวนการไม่ถูกเปิดเผย
- Nancy Kim ศาสตราจารย์จาก Chicago-Kent College of Law กล่าวกับ Axios ว่าการเปลี่ยนเงื่อนไขการใช้งานเพียงอย่างเดียวอาจยังไม่เพียงพอที่จะคุ้มครอง 23andMe ในศาล
- มีเสียงคัดค้านเงื่อนไขใหม่บนออนไลน์
- ผู้ใช้ X ชื่อ Daniel Arroyo วิจารณ์ว่าบริษัทเป็นฝ่ายก่อปัญหาก่อนแล้วจึงปฏิบัติในทางที่เสียเปรียบต่อผู้ใช้
- ผู้ใช้ X ชื่อ Paul Duke เขียนว่าดูเหมือนบริษัทกำลังพยายามป้องกันคดีความหลังจากประกาศเหตุข้อมูลส่วนบุคคลลูกค้าถูกแฮ็ก
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
การถือว่าลูกค้าได้ยอมรับ ข้อกำหนดการให้บริการ ที่เข้มงวดขึ้นโดยอัตโนมัตินั้นดูน่าสงสัยมาก และยิ่งน่าสงสัยขึ้นไปอีกเมื่อดูจากจังหวะเวลา
ผมไม่ใช่ทนาย แต่ดูชัดเจนว่าเป็นความพยายามจะแก้ข้อกำหนดหลังเกิดเหตุข้อมูลรั่วไหลเพื่อหลีกเลี่ยงปัญหาทางกฎหมายภายหลัง จึงมีโอกาสสูงที่ศาลจะไม่รับ
ศาลน่าจะตัดสินโดยอิงจากข้อกำหนดที่มีผลใช้บังคับในเวลาที่เกิดเหตุ ไม่ใช่อนุญาตให้ใช้ข้อกำหนดใหม่ที่ทำขึ้นทีหลังมา “เขียนประวัติศาสตร์ใหม่”
บริษัทได้ แสดงข้อความอันเป็นเท็จเกี่ยวกับเนื้อหาสัญญา ว่าลูกค้าถูกผูกมัดกับสัญญาที่ในความเป็นจริงลูกค้าไม่เคยยอมรับ ดังนั้นควรใช้ข้อกำหนดที่เป็นประโยชน์ต่อฝ่ายโจทก์มากที่สุด ซึ่งก็คือข้อกำหนดที่ 23andMe ไม่ได้รับความยินยอมจึงเป็นโมฆะ
นี่คือความพยายามบ่อนทำลายกฎหมายคุ้มครองผู้บริโภค รัฐควรมองว่าเป็นการโจมตีโดยตรง บริษัทอื่น ๆ ก็กำลังจับตาดูอยู่ จึงต้องส่งสัญญาณโดยเร็วว่าสิ่งนี้จะไม่ถูกยอมรับ
ผมคิดว่าฝ่ายกฎหมายก็ควรถูกเพิกถอนใบอนุญาตตามกฎ 1.2(d) ของ American Bar Association
เป้าหมายอาจเป็นการ โทษเหยื่อ ให้มากที่สุด เพื่อให้ตั้งแต่แรกมีคนยื่นฟ้องน้อยลง ขั้นต่อไปก็น่าจะเป็นการย้ำเตือนผู้คนถึงข้อกำหนดที่ “แน่นอนว่าคุณได้ยอมรับไปแล้ว”
ข้อกำหนดไม่ใช่กฎหมาย
ผมไม่เคยได้ยินว่าบริษัทจะเดือดร้อนในศาลจากเรื่องนี้เลย อย่างมากก็แค่มีปัญหาด้านภาพลักษณ์ต่อสาธารณะ
ถ้าเปลี่ยนได้ตามใจหลังจากยินยอมไปแล้ว ผมก็ไม่เข้าใจว่าการ ยอมรับข้อกำหนดการให้บริการ จะมีความหมายอะไร
ถ้าจะปฏิเสธข้อกำหนดใหม่ ให้ส่งอีเมลลักษณะนี้ไปที่ legal@23andme.com
To Whom It May Concern:
My name is [name], and my 23andMe account is under the email [email]. I am writing to declare that I do not agree to the new terms of service at https://www.23andme.com/legal/terms-of-service/
ผมเพิ่งไปเจออีเมลนั้นใน โฟลเดอร์สแปม ก็เพราะเห็นคอมเมนต์นี้ บริษัทแบบนี้ควรพังยับจากเรื่องนี้ไปเลย
บางบริษัทกำหนดแบบนั้นจริง ๆ เช่นขั้นตอนของ PayPal อยู่ที่นี่: https://www.paypal.com/us/legalhub/useragreement-full#table-...
โฆษณาแบบเจาะเป้าด้วย DNA อาจไปไกลถึงขั้นคัดเลือกเฉพาะผู้บริโภคที่ยอมตามง่ายที่สุดก็ได้
คนที่ตระหนักเรื่องความปลอดภัย โดยเฉพาะคนที่ทำงานในสายเทค คิดกันว่าคงไม่ยอมส่งมอบ ข้อมูลจีโนม ของตัวเองกันง่าย ๆ
เดิมทีคิดว่าลูกค้าส่วนใหญ่ของ 23andMe น่าจะเป็นเพียงส่วนหนึ่งของประชากรทั่วไป แต่พอเห็นคนยอมให้สแกนม่านตาอย่างเต็มใจทั้งกับ WorldCoin หรือในงานปาร์ตี้สตาร์ตอัปก็รู้สึกสับสน ไม่เข้าใจว่าทำไมใครถึงสมัครใจทำเรื่องแบบนั้น
นี่คือจีโนมมนุษย์แบบสมบูรณ์ที่มีข้อมูลมากกว่ารายงานของ 23andMe มาก จะดาวน์โหลดไปตรวจหาปัจจัยเสี่ยงเองก็ได้ ตอนนั้นที่ปรึกษาด้านพันธุกรรมยังประหลาดใจเลยว่าไม่มีปัจจัยเสี่ยงทางพันธุกรรมที่น่าเชื่อถือ
ถ้าใครช่วยอธิบายให้ฟังได้ว่าทำไมสิ่งที่ฉันทำถึงไม่ฉลาด โดยใช้คำอธิบายเชิงเทคนิคและเหตุผลที่สมเหตุสมผลก็คงดี ฉันรู้ข้อโต้แย้งทั่ว ๆ ไปอยู่แล้ว และคุณจะถือว่าฉันประเมินเรื่องนี้โดยอิงจากปริญญาเอกด้านชีววิทยา ประสบการณ์วิเคราะห์จีโนมมนุษย์ และประสบการณ์เปิดตัวผลิตภัณฑ์เทคก็ได้
ฉันถามซ้ำ ๆ มาโดยตลอดว่ามีเหตุผลที่สอดคล้องกันอะไรบ้างว่าทำไมต้องรักษาความลับของจีโนม เมื่อมองจากความรู้เรื่องความเป็นส่วนตัวทั้งฝั่งเทคโนโลยีและการแพทย์ แต่จนถึงตอนนี้ก็ยังไม่ได้ยินอะไรใหม่ไปกว่ารูปแบบต่าง ๆ ของ “มันอาจกลายเป็นแบบ Gattaca”, “อาจมีอะไรบางอย่างที่คาดไม่ถึง”, หรือ “มีปัญหาเรื่องประกัน”
ตอนสมัคร 23andMe ฉันมั่นใจเลยว่าสักวันหนึ่งมันต้องถูกแฮ็กและข้อมูลทั้งหมดจะรั่วไหลอยู่ดี ถึงอย่างนั้นก็ชั่งน้ำหนักเทียบกับคุณค่าของการได้รู้ ตัวบ่งชี้สุขภาพและพันธุกรรมเชิงชีวภาพ ที่อาจสำคัญ
สุดท้ายฉันให้ค่าน้ำหนักกับการรู้ตัวบ่งชี้เหล่านี้มากกว่าความเป็นส่วนตัวของจีโนม เพราะอย่างแรกนำไปลงมือทำได้จริงและใช้เพื่อปรับสุขภาพกับอายุขัยให้เหมาะที่สุดได้ ส่วนอย่างหลังคุณค่าค่อนข้างคลุมเครือ และนอกเหนือจากแบบจำลองภัยคุกคามเฉพาะทางแล้วก็ดูจะนำไปใช้ในทางที่ผิดได้ไม่มาก
ถึงอย่างนั้น 23andMe ก็อย่างน้อยยังให้คุณค่าจริงกับคนบางส่วน
สิ่งที่แปลกคือ 23andMe ไม่ได้ลบข้อมูลอัตโนมัติหลัง 30 วัน หรืออย่างน้อยก็ไม่ให้ดาวน์โหลดแบบออฟไลน์แล้วค่อยจัดส่งเมื่อมีการร้องขอ
พวกเขาน่าจะแจ้งได้แค่ว่าผลพร้อมแล้ว และข้อมูลจะใช้งานได้เพียง 30 วันหลังดาวน์โหลดครั้งแรก เพราะนี่เป็นข้อมูลที่อ่อนไหวมาก และจากการรับมือของ 23andMe เองก็ดูเหมือนว่าพวกเขารู้อยู่แล้ว แต่กลับยังเก็บข้อมูลต่อไป ซึ่งดูทั้งไร้ความรับผิดชอบและเสี่ยงต่อบริษัทเอง
ถ้าเป็นตอนนี้แน่นอนว่าฉันไม่กล้าทำแล้ว แต่ก็สายไปแล้ว ตอนนั้นฉันมองการณ์ไกลไม่พอ
ฉันกำลังรวบรวมข้อมูลข้อเท็จจริงเกี่ยวกับอนุญาโตตุลาการให้ได้มากที่สุด
ยังไม่เสร็จสมบูรณ์ แต่ค่อนข้างมีประโยชน์และอ้างอิงแหล่งที่มาไว้ดี: https://grimreaper.github.io/arbitration/docs/problems/
ขอบคุณที่แชร์
ฉันจะปฏิเสธข้อกำหนดใหม่แน่นอน และตั้งใจจะเข้าร่วม การฟ้องร้องแบบกลุ่ม ที่ยื่นไปแล้ว
โดยเฉพาะเมื่อจัดการกับข้อมูลที่อ่อนไหวอย่างยิ่ง ควรต้องคิดเรื่องความปลอดภัยอย่างจริงจัง
การส่ง DNA ของตัวเองให้สตาร์ตอัปสุ่ม ๆ บนอินเทอร์เน็ตมันดูเป็นการตัดสินใจที่แย่มาตั้งแต่วันแรกแล้วค่อนข้างชัดเจน
ฉันอ่านเจอข้อมูลที่ขัดแย้งกันเอง
ตื่นเต้นจะได้เช็ค 0.25 ดอลลาร์ในอีก 3 ปีข้างหน้า พูดจริง ๆ คือสงสัยว่าควรยื่นศาลคดีมูลค่าน้อยไปพร้อมกันด้วยไหม
ฉันไม่ใช่ทนาย แต่ในศาลจังหวะเวลาที่การกระทำเกิดขึ้นสำคัญ ดังนั้นการเปลี่ยนข้อกำหนดครั้งนี้คงไม่มีความหมายมากนัก
ผู้ใช้ยอมรับข้อกำหนด A ตอนสมัคร และต่อมา 23andMe เปลี่ยนข้อกำหนด A เป็นข้อกำหนด B ก็ไม่ได้หมายความว่าจะสามารถบังคับให้ผู้ใช้ยกเลิกบัญชีแล้วสมัครใหม่เพื่อให้ยอมรับข้อกำหนด B ได้
พวกเขาอาจขอให้ยอมรับข้อกำหนดใหม่ได้ แต่ผู้ใช้ไม่ได้จำเป็นต้องยอมรับเสมอไป ข้อกำหนดการใช้งานไม่ใช่กฎหมาย แต่เป็นข้อตกลงทางกฎหมายโดยสมัครใจระหว่างบริษัทกับลูกค้า
แม้แต่รัฐบาลก็ยังทำย้อนหลังไม่ได้ เช่น ถ้าคุณจ่ายภาษีนิติบุคคล 20% ในปี 2023 ผ่านไป 5 ปีรัฐบาลจะมาบอกว่าตอนนี้ภาษีนิติบุคคลเป็น 30% แล้วให้จ่ายส่วนต่างย้อนหลังไม่ได้
ตอนล็อกอินครั้งถัดไป พวกเขาอาจขึ้นหน้าจอข้อกำหนดก้อนใหญ่ และผู้ใช้ส่วนใหญ่ก็คงกดยอมรับไปเฉย ๆ
ยิ่งไปกว่านั้น พวกเขายังส่งอีเมลมาว่าถ้าไม่แจ้ง “ปฏิเสธ” ภายใน 30 วัน ก็จะถือว่าโดยปริยายยอมรับข้อกำหนดใหม่
การเปลี่ยนเงื่อนไขให้เป็นประโยชน์กับฝ่ายหนึ่งหลังจากตกลงกันไปแล้วมีชื่อเรียกอยู่
มันคือ การฉ้อโกง
“ในเดือนตุลาคม Anne Wojcicki ผู้บริหารบริษัทตรวจพันธุกรรม 23andMe ซึ่งตั้งอยู่ใน San Francisco ประกาศว่าแฮ็กเกอร์ได้เข้าถึงข้อมูลผู้ใช้ที่อ่อนไหว รวมถึงรูปถ่าย ชื่อเต็ม ตำแหน่งที่ตั้งทางภูมิศาสตร์ ข้อมูลเกี่ยวกับสายตระกูลบรรพบุรุษ และแม้กระทั่งชื่อญาติ”
เสริมสำหรับคนที่ไม่รู้ว่า พี่สาวของเธอเป็นบุคคลสายการตลาดรุ่นเก๋าที่ทำงานกับ Google มาตั้งแต่ปี 1999 และเกี่ยวข้องกับ AdWords, AdSense, DoubleClick, GoogleAnalytics และ YouTube ซึ่งเป็นบริษัทลูกด้านการเก็บข้อมูลและโฆษณาที่ขาดทุน
ดูเหมือนว่าการ ทำเงินจากการเก็บข้อมูลส่วนบุคคล จะเป็นของถนัดประจำตระกูล
ลองเทียบข้อกำหนดฉบับเก่ากับฉบับใหม่แบบคร่าว ๆ แล้ว แต่ไม่เจอการเปลี่ยนแปลงใหญ่ ๆ
อยากรู้ว่าการเปลี่ยนแปลงจริง ๆ คืออะไร มีคนเขียนวิจารณ์ข้อกำหนดใหม่เยอะ แต่ไม่เห็นที่ไหนแสดงความแตกต่างของข้อความจริง ๆ
สงสัยว่ามีใครมี diff จริง ๆ บ้าง
https://www.23andme.com/legal/terms-of-service/full-version/...
https://www.23andme.com/legal/terms-of-service/full-version/
ในฐานะคนที่ไม่ใช่ผู้เชี่ยวชาญ มีสองจุดที่สะดุดตา
ตรงกลางของข้อกำหนดจำกัดความรับผิด มีการแทรกข้อความว่า “WITHIN THE LIMITS ALLOWED BY APPLICABLE LAWS, YOU EXPRESSLY ACKNOWLEDGE AND AGREE THAT 23ANDME SHALL NOT BE LIABLE FOR ANY DAMAGES”
ส่วน การระงับข้อพิพาท เปลี่ยนไปมาก และยังมีเนื้อหาใหม่เกี่ยวกับการอนุญาโตตุลาการแบบกลุ่มจำนวนมากด้วย แต่ในข้อกำหนดก่อนหน้านี้ก็มีเงื่อนไขอนุญาโตตุลาการที่มีผลผูกพันและเนื้อหาเกี่ยวกับการฟ้องร้องแบบกลุ่มอยู่แล้ว
เมื่อหลายปีก่อนฉันเคยไปสัมภาษณ์งานตำแหน่ง สายงานความปลอดภัย ที่บริษัทนั้น แต่ก่อนกระบวนการสัมภาษณ์จะจบ พวกเขาก็ยุบตำแหน่งนั้นไป
มันให้ความรู้สึกว่าไม่ได้ให้ความสำคัญกับความปลอดภัยเป็นลำดับต้น ๆ และสุดท้ายก็เป็นผลจากสิ่งที่ตัวเองทำไว้