- 23andMe đã thay đổi điều khoản ngay sau khi vụ hack hồi tháng 10 làm lộ việc thông tin cá nhân của khoảng 7 triệu người bị truy cập, nhằm hạn chế khách hàng tham gia kiện tập thể và xét xử có bồi thẩm đoàn
- Điều khoản mới yêu cầu xử lý tranh chấp bằng trọng tài cá nhân, và nếu khách hàng không gửi email từ chối trong vòng 30 ngày sau khi được thông báo, họ sẽ được xem là tự động đồng ý
- Thông tin bị xâm phạm bao gồm ảnh, họ tên đầy đủ, vị trí, thông tin liên quan đến cây phả hệ, tên người thân, v.v., nhưng công ty cho biết vật liệu di truyền hoặc hồ sơ DNA không bị lộ
- Trong hồ sơ nộp cho SEC, 23andMe cho biết đã có nhiều đơn kiện tập thể được nộp tại các tòa án ở California, Illinois và Canada
- Việc hạn chế kiện tập thể có thể chuyển tranh chấp sang trọng tài kín, làm giảm lượng thông tin được công khai, nhưng Nancy Kim, người được Axios trích dẫn, cho rằng chỉ thay đổi điều khoản là chưa đủ để bảo vệ trước tòa
Điều khoản mới chuyển kiện tập thể thành trọng tài cá nhân
- 23andMe đã thông báo qua email cho khách hàng rằng họ đã cập nhật mục “Dispute Resolution and Arbitration” trong Điều khoản sử dụng
- Theo công ty, mục đích của cập nhật là đẩy nhanh việc giải quyết tranh chấp và đơn giản hóa quy trình trọng tài khi có nhiều khiếu nại tương tự được đưa ra
- Điều khoản mới giới hạn việc đưa ra tranh chấp của cả hai bên chỉ ở tư cách cá nhân, trong phạm vi tối đa mà luật áp dụng cho phép
- Không cho phép kiện tập thể, hành động tập thể hoặc trọng tài tập thể
- Khách hàng phải thông báo qua email rằng họ không đồng ý trong vòng 30 ngày kể từ ngày nhận được thông báo
- Nếu không từ chối, họ sẽ được xem là đã đồng ý với điều khoản mới
- 23andMe không phản hồi yêu cầu bình luận liên quan
Quy mô vụ hack và các vụ kiện đã được nộp
- Vào tháng 10, 23andMe thông báo hacker đã truy cập thông tin nhạy cảm của người dùng
- Thông tin bị truy cập bao gồm ảnh, họ tên đầy đủ, vị trí địa lý, thông tin liên quan đến cây phả hệ và tên các thành viên gia đình liên quan
- Công ty cho biết vật liệu di truyền hoặc hồ sơ DNA không bị lộ
- Sau cuộc tấn công, hacker đã đăng bán trên Internet hồ sơ của hàng trăm nghìn người Do Thái Ashkenazi và người Trung Quốc
- Quy mô thiệt hại được công bố sau đó là khoảng 7 triệu người, tương đương khoảng một nửa cơ sở người dùng của công ty
- 23andMe cho biết trong hồ sơ nộp cho SEC rằng các đơn kiện tập thể đã được nộp tại nhiều khu vực tài phán
- Tòa án liên bang và tiểu bang ở California
- Tòa án tiểu bang Illinois
- Tòa án Canada
Trọng tài kín và phản ứng trái chiều trên mạng
- Theo Axios, lệnh cấm kiện tập thể có thể buộc các bên bị ảnh hưởng giải quyết tranh chấp bằng trọng tài kín, khiến thông tin về quy trình không được công khai
- Giáo sư Nancy Kim của Chicago-Kent College of Law nói với Axios rằng chỉ thay đổi điều khoản là chưa đủ để 23andMe được bảo vệ tại tòa
- Trên mạng đã xuất hiện phản ứng phản đối điều khoản mới
- Một người dùng X tên Daniel Arroyo chỉ trích rằng công ty gây ra vấn đề trước rồi sau đó hành động bất lợi cho người dùng
- Một người dùng X tên Paul Duke viết rằng có vẻ công ty đang cố ngăn các vụ kiện sau khi công bố việc thông tin cá nhân của khách hàng bị hack
1 bình luận
Ý kiến trên Hacker News
Việc coi như khách hàng đã tự động đồng ý với điều khoản dịch vụ mang tính hạn chế hơn là khá đáng ngờ, đặc biệt xét về thời điểm
Tôi không phải luật sư, nhưng rõ ràng có vẻ như họ muốn thay đổi điều khoản sau sự cố xâm phạm để tránh rắc rối pháp lý theo kiểu hồi tố, nên khả năng cao tòa án sẽ không chấp nhận
Tòa án sẽ xét theo các điều khoản có hiệu lực tại thời điểm xảy ra xâm phạm, chứ có lẽ sẽ không cho phép “viết lại lịch sử” bằng các điều khoản mới được tạo ra sau đó
Vì họ đã trình bày sai nội dung hợp đồng như thể khách hàng bị ràng buộc bởi một hợp đồng mà thực tế họ chưa hề đồng ý, nên phải xét theo các điều khoản có lợi nhất cho nguyên đơn; và đó là những điều khoản vô hiệu vì 23andMe không có được sự đồng ý
Đây là một nỗ lực làm suy yếu luật bảo vệ người tiêu dùng, nên chính phủ cần coi đó là một cuộc tấn công trực tiếp. Các công ty khác cũng đang theo dõi, vì vậy cần nhanh chóng phát đi tín hiệu rằng chuyện này không thể được dung thứ
Tôi cũng cho rằng người phụ trách pháp lý của họ có thể bị tước tư cách hành nghề theo Quy tắc 1.2(d) của American Bar Association
Mục tiêu nhiều khả năng là đổ lỗi cho nạn nhân nhiều nhất có thể để ngay từ đầu làm giảm số người đi kiện. Bước tiếp theo có lẽ sẽ là nhắc mọi người về những điều khoản mà họ “dĩ nhiên là đã đồng ý”
Điều khoản không phải là luật
Tôi chưa từng nghe nói công ty nào gặp rắc rối ở tòa vì việc này; cùng lắm chỉ là vấn đề dư luận
Nếu họ có thể tùy ý thay đổi sau khi mình đã đồng ý, thì việc đồng ý với điều khoản dịch vụ còn có ý nghĩa gì nữa không biết
Nếu muốn rút khỏi điều khoản mới, bạn có thể gửi email như sau tới legal@23andme.com
To Whom It May Concern:
My name is [name], and my 23andMe account is under the email [email]. I am writing to declare that I do not agree to the new terms of service at https://www.23andme.com/legal/terms-of-service/
Chỉ sau khi đọc bình luận này tôi mới tìm thấy email đó trong thư mục spam. Mong công ty kiểu này sụp đổ hoàn toàn vì vụ này
Một số công ty thực sự yêu cầu như vậy. Ví dụ quy trình của PayPal ở đây: https://www.paypal.com/us/legalhub/useragreement-full#table-...
Quảng cáo nhắm mục tiêu dựa trên DNA có thể đi theo hướng chỉ chọn ra những người tiêu dùng dễ bảo nhất
Tôi từng nghĩ những người có ý thức về bảo mật, đặc biệt là người làm trong ngành công nghệ, sẽ không dễ dàng trao thông tin bộ gen của mình như vậy.
Tôi cho rằng phần lớn khách hàng của 23andMe chỉ là một bộ phận dân số nói chung, nhưng nhìn những người sẵn sàng đưa bản quét võng mạc cho WorldCoin hoặc tại các bữa tiệc startup thì thấy thật khó hiểu. Không hiểu vì sao lại có người tự nguyện làm những việc như thế.
Đây là một bộ gen người hoàn chỉnh, chứa nhiều dữ liệu hơn rất nhiều so với báo cáo của 23andMe. Bạn có thể tự tải về và tìm các yếu tố rủi ro. Khi đó, các cố vấn di truyền đã ngạc nhiên vì không có yếu tố rủi ro di truyền nào đáng tin cậy.
Tôi muốn ai đó giải thích, bằng thuật ngữ kỹ thuật và lập luận hợp lý, vì sao việc tôi làm là không khôn ngoan. Tôi đã biết những lập luận phổ biến rồi, và có thể giả định rằng tôi đã đánh giá việc này dựa trên bằng tiến sĩ sinh học, kinh nghiệm phân tích bộ gen người và kinh nghiệm ra mắt sản phẩm công nghệ.
Tôi vẫn liên tục hỏi về một logic nhất quán, xét theo hiểu biết về quyền riêng tư trong cả công nghệ lẫn y học, rằng vì sao cần giữ bí mật bộ gen, nhưng ngoài các biến thể như “có thể thành như Gattaca”, “có điều gì đó không thể dự đoán”, “có vấn đề bảo hiểm”, thì đến nay vẫn chưa nghe được điều gì mới.
Khi đăng ký 23andMe, tôi chắc chắn rằng một ngày nào đó nó sẽ bị hack và toàn bộ dữ liệu sẽ bị rò rỉ. Dù vậy, tôi đã cân nhắc so với giá trị của việc biết các chỉ dấu sinh học sức khỏe/di truyền có thể quan trọng.
Rốt cuộc, tôi đánh giá giá trị của việc biết các chỉ dấu này cao hơn quyền riêng tư bộ gen. Cái trước có thể chuyển thành hành động và dùng để tối ưu hóa sức khỏe cũng như tuổi thọ, còn cái sau có giá trị mơ hồ và khó bị lạm dụng đáng kể ngoài các mô hình đe dọa đặc thù.
Dù vậy, ít nhất 23andMe đã mang lại giá trị thực cho một số người.
Điều kỳ lạ là 23andMe đã không tự động xóa dữ liệu sau 30 ngày, hoặc ít nhất là đưa dữ liệu xuống ngoại tuyến và chỉ cung cấp khi có yêu cầu.
Lẽ ra chỉ cần thông báo rằng kết quả đã sẵn sàng và dữ liệu chỉ có thể truy cập trong 30 ngày sau lần tải xuống đầu tiên. Đây là dữ liệu cực kỳ nhạy cảm, và nhìn cách 23andMe phản ứng thì có vẻ họ cũng biết điều đó. Vậy mà vì sao họ vẫn tiếp tục lưu giữ dữ liệu thì thật vô trách nhiệm và có vẻ cũng nguy hiểm cho chính công ty.
Nếu là bây giờ thì tất nhiên tôi sẽ không dám làm, nhưng đã quá muộn. Khi đó tôi thiếu tầm nhìn xa.
Tôi đang cố gắng tập hợp càng nhiều thông tin thực tế càng tốt về trọng tài.
Chưa hoàn thiện, nhưng khá hữu ích và có dẫn nguồn đầy đủ: https://grimreaper.github.io/arbitration/docs/problems/
Cảm ơn vì đã chia sẻ.
Tôi chắc chắn sẽ từ chối điều khoản mới và dự định tham gia vụ kiện tập thể đã được khởi kiện.
Khi xử lý dữ liệu đặc biệt nhạy cảm, nhất là như thế này, cần phải coi trọng bảo mật một cách nghiêm túc.
Ngay từ ngày đầu đã khá rõ rằng gửi DNA của mình cho một startup ngẫu nhiên trên Internet là một lựa chọn tệ.
Tôi đã đọc những nội dung mâu thuẫn nhau.
Tôi rất hào hứng với viễn cảnh 3 năm nữa nhận được một tấm séc 0,25 đô la. Nghiêm túc mà nói thì tôi cũng đang tự hỏi liệu có nên cùng nộp đơn ra tòa án xử các vụ kiện nhỏ không.
Tôi không phải luật sư, nhưng ở tòa, thời điểm xảy ra hành vi mới quan trọng, nên tôi nghĩ việc đổi điều khoản lần này sẽ không có nhiều ý nghĩa.
Người dùng đã đồng ý với điều khoản A khi đăng ký; sau đó 23andMe đổi điều khoản A thành điều khoản B thì cũng không thể buộc người dùng rời đi rồi đăng ký lại để ép họ đồng ý với điều khoản B mới.
Họ có thể yêu cầu người dùng đồng ý với điều khoản mới, nhưng người dùng không bắt buộc phải đồng ý. Điều khoản không phải là luật, mà là thỏa thuận pháp lý tự nguyện giữa công ty và khách hàng.
Ngay cả chính phủ cũng không thể áp dụng hồi tố. Ví dụ, nếu năm 2023 đã nộp thuế doanh nghiệp 20%, thì 5 năm sau chính phủ không thể nói thuế doanh nghiệp giờ là 30% và yêu cầu bù phần chênh lệch quá khứ.
Họ có thể hiển thị một màn hình điều khoản lớn ở lần đăng nhập tiếp theo, và phần lớn người dùng sẽ cứ thế chấp nhận.
Hơn nữa, họ đã gửi email nói rằng nếu trong vòng 30 ngày không bày tỏ ý định “từ chối”, thì mặc định sẽ được xem là đã đồng ý với điều khoản mới.
Việc thay đổi điều kiện theo hướng có lợi cho một bên sau khi giao dịch đã được chốt có một cái tên.
Đó là lừa đảo.
“Vào tháng 10, Anne Wojcicki, người đứng đầu công ty xét nghiệm di truyền 23andMe có trụ sở tại San Francisco, thông báo rằng tin tặc đã truy cập được thông tin nhạy cảm của người dùng, bao gồm ảnh, họ tên, vị trí địa lý, thông tin về cây phả hệ tổ tiên và cả tên người thân.”
Nói thêm cho những ai chưa biết: chị/em gái của bà là một nhân vật marketing kỳ cựu đã làm ở Google từ năm 1999, từng tham gia AdWords, AdSense, DoubleClick, Google Analytics và YouTube, công ty con thu thập dữ liệu/quảng cáo đang thua lỗ.
Việc kiếm tiền từ thu thập thông tin cá nhân trông như một truyền thống gia đình vậy.
Tôi đã thử so sánh nhanh điều khoản cũ và điều khoản mới, nhưng không tìm thấy thay đổi lớn nào
Tôi muốn biết nội dung thay đổi thực tế là gì. Có nhiều bài viết chỉ trích điều khoản mới, nhưng không thấy nơi nào cho xem khác biệt trong câu chữ thực tế
Tôi tò mò liệu có ai có bản diff thật sự không
https://www.23andme.com/legal/terms-of-service/full-version/...
https://www.23andme.com/legal/terms-of-service/full-version/
Với tư cách người không chuyên, tôi thấy nổi bật hai điểm
Ở giữa điều khoản giới hạn trách nhiệm có chèn thêm câu “WITHIN THE LIMITS ALLOWED BY APPLICABLE LAWS, YOU EXPRESSLY ACKNOWLEDGE AND AGREE THAT 23ANDME SHALL NOT BE LIABLE FOR ANY DAMAGES”
Phần giải quyết tranh chấp đã thay đổi khá nhiều, và cũng có nội dung mới liên quan đến trọng tài hàng loạt. Tuy nhiên, điều khoản cũ vốn đã có điều khoản trọng tài ràng buộc và nội dung liên quan đến kiện tập thể rồi
Vài năm trước tôi từng phỏng vấn cho một vị trí bảo mật ở công ty đó, nhưng họ đã loại bỏ vai trò này trước khi quy trình phỏng vấn kết thúc
Tôi có cảm giác họ không đặt bảo mật làm ưu tiên, và cuối cùng thì gieo gì gặt nấy thôi