🧬 L'Agència Espanyola de Protecció de Dades (AEPD) ha imposat una sanció multimilionària de 2,4 milions d'euros a 23andMe, la coneguda empresa nord-americana d'anàlisi d'ADN, després de patir una greu escletxa de seguretat que va acabar amb dades ultrasensibles a la venda a Reddit. Tot i la gravetat de la resolució, el cobrament de la multa podria quedar en l'aire, ja que la multinacional es troba actualment en concurs de acreedors.
💻 El parany del 'credential stuffing' i la falsa seguretat de l'empresa. L'atac es va produir perquè els ciberdelinqüents van utilitzar contrasenyes robades d'altres aplicacions per entrar als comptes dels clients de 23andMe que repetien claus. Tot i que l'empresa es va defensar al·legant que la seguretat era una "responsabilitat compartida" amb l'usuari, l'AEPD ha estat taxativa: la companyia no exigia cap requisit de robustesa en les contrasenyes, ni la seva modificació periòdica, ni disposava de mesures bàsiques com la doble verificació obligatòria per a unes dades d'altíssim risc.
⏳ Una notificació tardana que incompleix el termini sagrat de les 72 hores. L'altre gran retret de l'agència se centra en la gestió de la crisi. Tot i que la multinacional va confirmar el forat que afectava ciutadans espanyols el 12 d'octubre, no ho va comunicar a l'AEPD fins al dia 17, superant de llarg el límit legal de 72 hores que estableix el RGPD. L'autoritat recorda que la immediatesa no és trivial, sinó vital per minimitzar els danys als afectats, i que la informació es pot enviar de manera gradual si no es tenen tots els detalls al principi.
⚖️ Un avís molt clar per al sector de la biotecnologia. La sanció es divideix en 2 milions d'euros per vulnerar el principi d'integritat i confidencialitat (article 5.1.f) i 400.000 euros pel retard en la notificació (article 33). Amb aquesta resolució, Protecció de Dades envia un missatge contundent al mercat global: quan una empresa gestiona informació capaç de revelar la identitat biológica, l'origen ètnic o l'estat de salut d'una persona, té l'obligació legal d'aplicar un zel especial i un blindatge reforçat.
🔗 Vols conèixer el desglossament legal de l'expedient i com pot afectar el concurs de creditors a l'execució d'aquesta multa? T'expliquem tota l'anàlisi de la sentència a l'article complet de Confilegal. La privadesa de la teva informació més íntima està en joc! Dades genètiques
