Imagen generada con IA.
Cuando hablamos de datos personales sensibles, pocos ejemplos son tan claros como el ADN. La empresa estadounidense de test genéticos 23andMe sufrió una brecha de seguridad de alcance internacional que afectó a miles de usuarios en todo el mundo, entre ellos 2.642 personas en España. La AEPD ha impuesto a la compañía una multa de 2,4 millones de euros, en un expediente que pone el foco en la protección reforzada que exigen los datos genéticos.
El caso: brecha internacional con datos genéticos de clientes españoles
23andMe ofrece test genéticos de consumo que permiten a los usuarios conocer su ascendencia y ciertos rasgos relacionados con su salud a partir de una muestra de saliva. La compañía sufrió un incidente de seguridad —mediante un ataque de tipo «credential stuffing» que aprovechó contraseñas reutilizadas por los propios usuarios en otros servicios— que permitió a terceros no autorizados acceder a información genética y de perfil de una parte de su base de clientes. Entre los afectados, la AEPD identificó a 2.642 personas residentes en España, lo que dio pie a la apertura de un expediente sancionador contra la empresa.
Por qué los datos genéticos exigen medidas de seguridad reforzadas
El RGPD clasifica los datos genéticos como una categoría especial de datos, al mismo nivel de protección que los datos de salud, biométricos u origen étnico. El artículo 9 RGPD prohíbe con carácter general su tratamiento salvo excepciones tasadas, y exige que, cuando se traten, se apliquen medidas de seguridad reforzadas respecto a los datos personales comunes. La AEPD consideró que 23andMe no había implementado garantías suficientes —como la autenticación multifactor obligatoria u otros controles de acceso robustos— proporcionales a la extrema sensibilidad de la información genética que custodiaba, lo que constituye una infracción del artículo 5.1.f) RGPD sobre integridad y confidencialidad.
La notificación tardía como agravante
Además del propio incidente de seguridad, la resolución de la AEPD señala como agravante el retraso en la notificación de la brecha. El artículo 33 RGPD obliga a notificar a la autoridad de control competente en un plazo máximo de 72 horas desde que se tiene conocimiento de la violación de seguridad, y el artículo 34 exige además comunicar el incidente a los propios afectados cuando exista un riesgo elevado para sus derechos y libertades, como es claramente el caso de datos genéticos expuestos. La tardanza en informar tanto a las autoridades como a los propios usuarios agravó la valoración de la infracción y, con ella, el importe final de la sanción.
Qué implica para empresas de test genéticos y salud digital en España
El caso 23andMe no es una anécdota lejana: cualquier empresa que en España trate datos genéticos, de salud o biométricos —clínicas, laboratorios, startups de salud digital, wearables— debe tomar nota de varias exigencias:
- Autenticación reforzada obligatoria. Contraseñas por sí solas no bastan; hace falta doble factor y controles de acceso robustos para categorías especiales de datos.
- Evaluación de impacto (EIPD) previa. El tratamiento de datos genéticos exige casi siempre una evaluación de impacto relativa a la protección de datos antes de iniciar la actividad.
- Protocolos de detección y notificación ágiles. Cuanto más sensibles los datos, menos margen hay para retrasos en detectar y comunicar un incidente.
- Transferencias internacionales controladas. Si la empresa opera desde fuera de la UE o transfiere datos fuera del Espacio Económico Europeo, debe garantizar las salvaguardas exigidas por el capítulo V del RGPD.
- Información clara al usuario. Los usuarios deben entender, antes de ceder su muestra genética, qué se hace con sus datos y qué medidas de seguridad los protegen.
La multa de 2,4 millones de euros a 23andMe es una de las sanciones más elevadas relacionadas con datos genéticos en el marco del RGPD, y confirma que la autoridad española no duda en actuar contra empresas extranjeras cuando los datos de ciudadanos españoles se ven comprometidos, por sensible —y por internacional— que sea el caso.
Fuente: Confilegal
En Dataibérica ayudamos a empresas que tratan datos de salud o genéticos a auditar sus medidas de seguridad y sus protocolos de notificación de brechas conforme al RGPD. Si quieres revisar tu caso, contacta con nosotros.
