Spadek wartości firmy z sześciu miliardów dolarów do postępowania upadłościowego dostarcza lekcji milionom użytkowników na całym świecie, w tym w Polsce, i stanowi ostrzeżenie dla każdego przedsiębiorstwa przetwarzającego dane osobowe szczególnie chronione.
Dlaczego 23andMe trafiło do postępowania upadłościowego?
Stan na czerwiec 2025 roku pokazuje kulminację kryzysu 23andMe. Punktem krytycznym był marzec 2025 roku, gdy firma złożyła wniosek o ochronę przed bankructwem zgodnie z rozdziałem 11 amerykańskiego prawa upadłościowego. Decyzji towarzyszyły straty finansowe wynoszące 174 miliony dolarów w samym pierwszym kwartale oraz siedmioprocentowy spadek przychodów.
W maju 2025 roku licytację upadłościową wygrał Regeneron Pharmaceuticals, oferując 256 milionów dolarów za aktywa 23andMe. Kwota ta stanowi ułamek szczytowej wyceny spółki sprzed czterech lat i pokazuje skalę erozji jej wartości rynkowej.
Bezpośrednim impulsem upadku był wyciek danych z 2023 roku, który skompromitował informacje genetyczne 6,9 miliona użytkowników. Najbardziej wrażliwe okazały się dane 1,4 miliona osób korzystających z funkcji „Family Tree”. Naruszenie doprowadziło do ugody zawartej we wrześniu 2024 roku, zobowiązującej firmę do wypłaty 30 milionów dolarów odszkodowań, wdrożenia trzyletniego programu monitoringu bezpieczeństwa oraz zapewnienia bezpłatnych usług ochrony tożsamości poszkodowanym użytkownikom.
Co upadłość 23andMe oznacza dla danych genetycznych polskich klientów?
Polscy klienci 23andMe stają obecnie przed niepewnością dotyczącą przyszłości ich danych genetycznych. Przejęcie przez Regeneron, mimo obietnic kontynuacji dotychczasowych polityk prywatności, zmienia strukturę własności danych. Profile genetyczne 14,1 miliona użytkowników, w tym polskich klientów, staną się własnością firmy farmaceutycznej, której interesy biznesowe mogą być rozbieżne z ochroną prywatności konsumentów.
Regeneron zobowiązał się do niewykorzystywania tych danych do celów badawczych bez wyraźnej zgody użytkowników. Otwarty pozostaje jednak scenariusz, w którym w razie trudności finansowych przejmującego bazy danych genetycznych zostaną sprzedane jako aktywa korporacyjne. Wskazuje na to precedens przejęcia MyHeritage przez amerykańską spółkę w 2022 roku, które pokazało, jak bazy danych użytkowników zmieniają właściciela w ramach transakcji korporacyjnych.
Osobną kwestią pozostają prawa do usunięcia danych. Polscy klienci egzekwujący uprawnienia wynikające z Ogólnego Rozporządzenia o Ochronie Danych, w tym artykułu 17 dotyczącego „prawa do bycia zapomnianym”, nie mają gwarancji całkowitego usunięcia danych. Firmy zazwyczaj zachowują zanonimizowane dane genetyczne do prowadzonych badań oraz dokumenty transakcyjne wymagane przez przepisy podatkowe.
Nawet po anonimizacji istnieje rosnące ryzyko ponownej identyfikacji poprzez zaawansowane techniki analizy dużych zbiorów danych i uczenia maszynowego, co pozostaje przedmiotem debaty w środowisku naukowym i regulacyjnym. Fizyczne próbki DNA, będące podstawą całego procesu testowania, laboratoria przechowują rutynowo od 10 do 15 lat w celach kontroli jakości, co czyni ich całkowite wyeliminowanie praktycznie niemożliwym.
Jak polski klient 23andMe może chronić swoje dane genetyczne?
Wobec rozwijającej się sytuacji polscy klienci powinni rozważyć kilka środków ochronnych. Pierwszym krokiem jest formalne złożenie wniosku o usunięcie danych za pośrednictwem oficjalnych kanałów 23andMe, z powołaniem się na artykuł 17 RODO i żądaniem pisemnego potwierdzenia wykonania. Użytkownicy powinni jednocześnie cofnąć w ustawieniach kont wszystkie zgody na przetwarzanie danych w celach badawczych.
Monitorowanie postępowania upadłościowego pozwala zrozumieć dalszy rozwój sytuacji. Oficjalny administrator upadłości, firma Stretto, publikuje aktualizacje dotyczące procedur prawnych i praw użytkowników. Istotny pozostaje termin 14 lipca 2025 roku dla zgłaszania roszczeń związanych z wyciekiem danych w ramach postępowania upadłościowego.
Polscy użytkownicy zachowują teoretyczny dostęp do pozwów zbiorowych w Stanach Zjednoczonych za pośrednictwem platform takich jak LegalShield, praktyczne realizacje tego scenariusza pozostają jednak rzadkie i ograniczone dla osób spoza USA ze względu na bariery proceduralne, językowe i finansowe. Alternatywnie zgłoszenie sprawy do polskiego Rzecznika Praw Obywatelskich może zapewnić dodatkowe wsparcie rzecznicze.
Poza środkami prawnymi użytkownicy powinni przeprowadzić audyt ustawień prywatności swoich kont, wdrożyć unikalne, silne hasła na wszystkich platformach oraz włączyć uwierzytelnianie dwuskładnikowe wszędzie tam, gdzie jest dostępne. Przy ograniczonej dostępności bezpłatnych usług monitorowania dark webu w Polsce pozostaje korzystanie z serwisów powiadamiania o wyciekach danych, takich jak Have I Been Pwned, oraz podwyższona czujność wobec prób phishingu.
W przypadku naruszenia prywatności właściwym adresatem zgłoszenia pozostaje Prezes Urzędu Ochrony Danych Osobowych. Skargi złożone w Polsce nie zawsze prowadzą do formalnych postępowań, przyczyniają się jednak do zwiększenia świadomości regulacyjnej w zakresie transgranicznych kwestii ochrony danych.
Czy RODO chroni dane genetyczne przekazane firmie spoza Unii Europejskiej?
Zgodnie z prawem polskim i szerszymi ramami RODO dane genetyczne mają najwyższy poziom ochrony jako szczególna kategoria danych osobowych. Przetwarzanie takich danych wymaga wyraźnej zgody na konkretne, jasno określone cele, a administratorzy danych muszą wdrożyć zaawansowane środki bezpieczeństwa, w tym pseudonimizację i szyfrowanie end‐to‐end.
Prezes UODO ma uprawnienie do nakładania kar finansowych do wysokości 20 milionów euro lub czterech procent globalnych obrotów za naruszenia RODO. Egzekwowanie przepisów wobec firm spoza Unii Europejskiej, takich jak 23andMe i obecnie Regeneron, pozostaje jednak w praktyce trudne, co pokazuje granice jurysdykcyjnej władzy regulacyjnej w globalnej gospodarce cyfrowej.
Jakie luki w prawie ujawnia sprzedaż danych genetycznych w upadłości?
Sprawa 23andMe wykracza poza historię pojedynczej porażki korporacyjnej i pokazuje systemowe podatności w ochronie danych biomedycznych i wrażliwych. Ilustruje konflikt interesów wpisany w modele biznesowe oparte na monetyzacji danych, w których informacje użytkowników stanowią jednocześnie główny aktyw firmy i najbardziej atrakcyjny cel dla cyberprzestępców.
Obecne ustawodawstwo upadłościowe, szczególnie w Stanach Zjednoczonych, pozostaje słabo dostosowane do realiów gospodarki opartej na danych. Traktowanie baz danych użytkowników jako zbywalnych aktywów w postępowaniach upadłościowych osłabia ochronę prywatności w momencie, gdy firmy są najbardziej podatne na zagrożenia. Brak międzynarodowo zharmonizowanych standardów przechowywania próbek biologicznych i powiązanych danych genetycznych tworzy luki regulacyjne, które ujawniają się szczególnie podczas przejść korporacyjnych i upadłości.
Ochrona prywatności jako warunek utrzymania działalności
Studium przypadku 23andMe pokazuje, że polityki prywatności, zaawansowane zabezpieczenia techniczne i regularne audyty bezpieczeństwa należą do podstawowych elementów strategii biznesowej firm operujących na wrażliwych kategoriach danych. Ochrona prywatności jest w tym ujęciu jednocześnie wymogiem regulacyjnym i warunkiem utrzymania działalności.
Postępowanie upadłościowe i przeglądy regulacyjne w sprawie 23andMe wciąż trwają. Dla polskich użytkowników objętych skutkami tego upadku bieżącym priorytetem pozostaje egzekwowanie praw do prywatności, które nadal im przysługują, oraz rzecznictwo na rzecz silniejszych ram międzynarodowych.
Aktualizacja z 20 sierpnia 2026 roku
Transakcja z Regeneron Pharmaceuticals nie doszła do skutku. Po dodatkowej rundzie licytacji w czerwcu 2025 roku aktywa 23andMe kupił za 305 milionów dolarów TTAM Research Institute, organizacja nienastawiona na zysk założona i kierowana przez Anne Wojcicki, współzałożycielkę firmy. Sąd upadłościowy zatwierdził sprzedaż 30 czerwca 2025 roku, a transakcję zamknięto 14 lipca 2025 roku. Objęła ona linie biznesowe Personal Genome Service i Research Services oraz spółkę Lemonaid Health. Nabywca zarejestrował się następnie ponownie pod nazwą 23andMe Research Institute, a dawne spółki dłużne zmieniły nazwy na Chrome Holding Co. i ChromeCo, Inc., co ma znaczenie przy śledzeniu akt postępowania.
Zmiana nabywcy koryguje część wniosków dotyczących struktury własności danych. Bazy danych genetycznych trafiły do organizacji nienastawionej na zysk z deklarowaną misją badawczą, a nie do firmy farmaceutycznej. Sam mechanizm opisany w artykule działał jednak bez zmian. W opinii z 27 czerwca 2025 roku sąd uznał, że przeniesienie danych do spółki zależnej, a następnie do nabywcy, nie wymaga odrębnej zgody klientów. W toku postępowania konta usunęło około 1,9 miliona osób.
Egzekwowanie przepisów wobec firmy spoza Unii Europejskiej okazało się możliwe, choć w ograniczonym zakresie. W czerwcu 2025 roku brytyjski Information Commissioner’s Office nałożył na 23andMe karę 2,31 miliona funtów za naruszenie artykułów 5 ust. 1 lit. f oraz 32 ust. 1 brytyjskiego RODO. Postępowanie prowadzono wspólnie z kanadyjskim Office of the Privacy Commissioner, a naruszenie objęło 155 592 mieszkańców Wielkiej Brytanii. Pierwotnie zapowiadana kara wynosiła 4,59 miliona funtów, a organ obniżył ją, biorąc pod uwagę sytuację finansową spółki.
W Stanach Zjednoczonych zamknięto ścieżki odszkodowawcze opisane w artykule. Ugoda zbiorowa uzyskała ostateczne zatwierdzenie 30 stycznia 2026 roku, a termin składania wniosków upłynął 17 lutego 2026 roku. Krąg uprawnionych obejmował wyłącznie osoby zamieszkałe w Stanach Zjednoczonych, które były klientami między 1 maja a 1 października 2023 roku, więc polscy użytkownicy pozostawali poza nim. Upłynął także termin zgłaszania roszczeń w postępowaniu upadłościowym, wyznaczony na 14 lipca 2025 roku. Koalicja 43 prokuratorów generalnych stanów zawarła 14 lipca 2026 roku ugodę o wartości nominalnej 150 milionów dolarów, z czego do podziału między stany trafia 18 milionów dolarów ze względu na przebieg postępowania upadłościowego. Ugoda nakłada na nabywcę obowiązek przeprowadzenia analizy ryzyka, powołania rady doradczej do spraw bezpieczeństwa danych oraz utrzymania prawa użytkowników do usunięcia danych.
Zalecenia dotyczące samych danych pozostają aktualne. Wniosek o usunięcie danych i cofnięcie zgód na cele badawcze kieruje się teraz do nowego podmiotu, który zobowiązał się utrzymać obie możliwości.
Źródła aktualizacji: 23andMe, komunikat prasowy „TTAM Research Institute, A Nonprofit Public Benefit Corporation, Completes The Acquisition of 23andMe Assets”, lipiec 2025; Information Commissioner’s Office, komunikat „23andMe fined for failing to protect UK users’ genetic data”, czerwiec 2025; New York State Attorney General, komunikat „Attorney General James Secures $18 Million From 23andMe for Failing to Protect Customers’ Genetic Data”, lipiec 2026; Kroll Restructuring Administration, strona sprawy Chrome Holding Co. (f/k/a 23andMe Holding Co.), terminy zgłaszania roszczeń; oficjalna strona ugody „In re: 23andMe, Inc. Customer Data Security Breach Litigation”, luty 2026.
