23andMe若倒閉，你的基因資料將何去何從？

隨著生物科技公司23andMe的未來充滿不確定性，一篇發表在《新英格蘭醫學期刊》的論文呼籲制定法規，以保護消費者的個人及基因資料。這家成立於2007年的基因家譜公司，曾因提供祖先及基因組成分析服務而廣受歡迎，吸引了數百萬消費者寄送唾液樣本進行檢測。2021年上市後，公司市值一度高達60億美元，每股價值17.65美元。然而，2023年資料外洩事件及部分董事會成員辭職後，其市值已暴跌至約4800萬美元，每股僅剩1.78美元。今年1月，公司宣佈正在探索「戰略替代方案」，包括出售公司或資產、重組或業務合併等。

在這次訪談中，論文的作者之一、哈佛法學院Petrie-Flom中心教務主任I. Glenn Cohen，解釋了基因資料相關的法律環境、加強消費者保護法的必要性，以及消費者如何保護個人及基因資料的步驟。他指出，23andMe面臨嚴重的財務困境，可能被直接收購或破產並出售資產，而消費者提供的基因及健康資訊對公司來說是極具價值的資產。許多人使用23andMe、Ancestry.com等直接面向消費者的基因檢測公司，以瞭解自己的祖先或基因密碼。然而，在回答這些問題的過程中，他們也為這些龐大的基因資料庫做出了貢獻。我們的擔憂是，這些資料可能最終落入他人手中，而許多提供資料給23andMe的人可能從未預料到或會反對這種情況。

首先是資料安全問題。2023年，23andMe曾遭遇大規模資料外洩事件，如果接管資料的公司缺乏良好的資料安全措施，再次發生外洩的可能性極高。有趣的是，美國國防部曾一度建議軍人不要使用這些居家DNA檢測套件，因為擔心可能影響國家安全。另一個更日常的擔憂是，你的基因資訊可能被他人獲取，甚至可能被重新識別身份。例如，幾年前的一項研究中，研究人員利用基因資料，透過全基因組關聯研究（GWAS）技術，試圖識別與同性戀相關的基因組部分。許多提供基因資料的人對此感到不安，因為他們從未想過自己的資料會被這樣使用。

雖然消費者選擇與23andMe分享資料並從中獲益，但他們對公司被收購或破產後資料的處理幾乎沒有發言權。《健康保險可攜性與責任法案》（HIPAA）規定了醫生與患者之間的資料共享規則，但當你將資訊提供給像23andMe這樣的直接面向消費者的公司時，並不受到HIPAA的保護。你被法律視為消費者，而非患者。雖然《基因資訊非歧視法》禁止健康保險公司及僱主歧視性地使用基因資訊，但聯邦層面的健康隱私法並不直接適用於像23andMe這樣的私人公司。

23andMe在服務開始時會要求消費者同意將資料用於研究目的，約80%的消費者選擇同意。其隱私宣告指出，美國消費者擁有某些權利，例如選擇不儲存唾液樣本及要求刪除帳戶。公司承諾不會與保險公司、僱主、公共資料庫或執法機構分享個別疾病或基因型資訊，除非收到傳票。然而，公司會與服務提供商及承包商分享個人資訊，用於樣本分析、行銷及資料分析。此外，隱私宣告保留公司在出售或破產時轉移消費者個人資訊的權利，消費者無法阻止資料被存取、出售或轉移。

論文的共同作者Melissa Jacoby是破產法學者，而我的專長是健康法。許多持有敏感資訊的公司曾申請破產，並在破產過程中將消費者資料出售給第三方。破產法提供了一些保護措施，例如破產程式是公開的，公眾及監管機構（如聯邦貿易委員會或州檢察長）有時會介入。聯邦法院監督破產程式，司法部內的美國破產管理署也可能參與。在某些情況下，破產法要求任命消費者隱私監察員，調查出售是否符合公司的隱私宣告及法律。然而，這些保護措施並不完美。我們希望提醒大眾，許多人在提供基因資料時從未考慮過這些問題，現在是時候關注了。

美國的聯邦健康隱私法與歐洲相比已有些過時。解決方案之一是制定更全面的資料隱私保護法，涵蓋包括基因資料在內的所有個人資料，並適用於破產案件。儘管國會多次嘗試全面更新聯邦隱私法，包括健康隱私法，但尚未成功。因此，我們對此並不抱太大期望。另一種更具針對性的方法是擴大HIPAA的適用範圍，使其涵蓋像23andMe這樣的公司，或擴充套件《基因資訊非歧視法》的保護範圍。新法規還應處理持有基因資訊的公司破產的情況，這是我們希望看到的。

未來，在決定是否使用像23andMe這樣的直接面向消費者的公司服務時，建議考慮這些風險。此外，當你有權選擇不同意資料共享時，這值得深思。如果你對此感到擔憂，現在或許是刪除帳戶中資料的好時機，儘管這並非完美的解決方案。許多人對自己的祖先或基因資訊感到好奇，我希望這次事件能促使公司更加重視隱私。我期待看到一個既能獲取所需資訊，又不必擔心因公司破產等情況而讓自己陷入風險的環境。