23andMe convirtió a los parientes en una dependencia de privacidad de modo común

Resumen

• Los reguladores de Canadá y el Reino Unido descubrieron que los atacantes utilizaron credential stuffing para acceder a 18.222 cuentas de 23andMe en todo el mundo entre abril y septiembre de 2023, y luego utilizaron las funciones de relaciones para obtener información de casi siete millones de clientes. El informe conjunto se encuentra enhttps://www.priv.gc.ca/en/opc-actions-and-decisions/investigations/investigations-into-businesses/2025/pipeda-2025-001/.
• El problema raíz fue una dependencia de privacidad de modo común: una vez comprometida una cuenta participante, la sesión podía exponer información sobre familiares conectados, predicciones de parentesco, contexto del árbol genealógico, campos de ascendencia y detalles del perfil de personas que no habían perdido sus propias credenciales de cuenta.
• El registro público respalda hallazgos serios sobre salvaguardas, detección, respuesta y notificación. No respalda afirmaciones de que la base de datos de contraseñas de 23andMe fuera robada, de que se descargaran archivos genotípicos sin procesar de casi siete millones de personas, o de que se produjera un perjuicio laboral, de seguro, médico o gubernamental específico a raíz de la violación.
• La responsabilidad es compartida pero desigual. Los atacantes y la reutilización de contraseñas crearon la primera vía, pero 23andMe controló por sí sola los valores predeterminados de autenticación, las verificaciones de contraseñas comprometidas, los límites de acceso al grafo, la invalidación de sesiones, la telemetría de clientes, los controles de ADN sin procesar, el contenido de las notificaciones y las salvaguardas de transferencia posteriores a la quiebra.

Lo expuesto fue una relación, no solo una cuenta

El credential stuffing suele comenzar con una cuenta individual. Los atacantes toman pares de nombre de usuario y contraseña comprometidos en otro lugar y los prueban contra otro servicio. Un servicio que acepta una contraseña reutilizada otorga al atacante la autoridad de esa cuenta. En muchos servicios de consumo, esa autoridad expone una bandeja de entrada, un perfil o una cuenta de pago. En 23andMe, la autoridad podía ir más allá del titular de la cuenta porque el producto se construyó en torno al emparejamiento genético.

La investigación conjunta de Canadá y el Reino Unido describe el multiplicador clave. Los clientes podían optar por DNA Relatives, una función que permitía a las personas genéticamente emparejadas ver campos seleccionados sobre los demás. Los reguladores descubrieron que una cuenta comprometida podía revelar información sobre miles de coincidencias, incluidos nombres o nombres para mostrar, información de parentesco, porcentaje de ADN compartido, año de nacimiento, ubicación, imagen de perfil, raza u origen étnico, contexto de ascendencia y detalles del árbol genealógico. La documentación actual de visualización de DNA Relatives de la empresa enhttps://customercare.23andme.com/hc/en-us/articles/212170838-DNA-Relatives-Privacy-Display-Settingssigue mostrando que la función es relacional: los participantes eligen la visibilidad para las coincidencias genéticas, y los detalles seleccionados se vuelven visibles dentro de esa red.

Ese diseño hace que la violación sea diferente de una simple lección sobre reutilización de contraseñas. Un cliente que reutilizó una contraseña expuso su propia cuenta. La función de relaciones de la plataforma convirtió esa misma sesión en un punto de observación del perfil y contexto familiar de otras personas. Un familiar cuya información se vio a través de una coincidencia comprometida podría haber usado una contraseña única, podría haber habilitado una autenticación más fuerte y podría no haber recibido ninguna advertencia de sesión.

Su exposición dependía de la credencial de otra persona y de la decisión de la plataforma sobre lo que una sesión puede ver.

Esto es una dependencia de modo común. Muchas personas comparten un límite de privacidad a través de una función del servicio. La misma lógica de producto que crea valor al mostrar coincidencias genéticas también crea una vía común a través de la cual una sola cuenta débil puede revelar información sobre un grafo más amplio. La pregunta responsable no es si DNA Relatives debería existir. Es si el servicio estableció controles de seguridad, frecuencia, autenticación adicional, visibilidad y detección de acuerdo con el alcance de una sesión, en lugar del número de cuentas directamente conectadas.

La empresa inicialmente divulgó el incidente como reutilización de credenciales. Su presentación modificada de diciembre de 2023 enhttps://www.sec.gov/Archives/edgar/data/1804591/000119312523287449/d242666d8ka.htmindicó que un actor de amenazas accedió a aproximadamente el 0,1% de las cuentas de usuario utilizando credenciales de otros servicios y luego accedió a archivos que contenían información de perfil de ascendencia que otros usuarios habían elegido compartir a través de DNA Relatives. También dijo que no había indicios de que la empresa fuera la fuente de las credenciales. Ese límite sigue siendo relevante. Pero no pone fin al análisis de control porque el servicio decidió lo que una sesión válida podía recuperar.

Los recuentos deben mantener sus unidades

El registro público contiene varios números, y una aritmética descuidada puede distorsionarlos todos. La cifra inicial de la empresa era de aproximadamente el 0,1% de las cuentas de usuario, comúnmente traducida como unas 14.000 cuentas en ese momento. El informe conjunto posterior utilizó 18.222 cuentas accedidas directamente en todo el mundo, incluidas 769 en Canadá y 611 en el Reino Unido. La empresa informó de 6.984.430 clientes afectados en todo el mundo al regulador canadiense. Su informe anual del año fiscal 2024 enhttps://www.sec.gov/Archives/edgar/data/1804591/000180459124000038/me-20240331.htmredondeó las categorías conectadas a aproximadamente 5,5 millones de perfiles de DNA Relatives y 1,5 millones de perfiles de Family Tree.

Esas no son poblaciones aditivas. Una persona puede ser tanto titular directo de una cuenta como un perfil conectado. Un perfil de árbol genealógico puede representar a una persona en un contexto de linaje en lugar de una cuenta analizada. Un registro de DNA Relatives puede incluir campos de ascendencia, pero no los mismos datos que un informe de salud. Un archivo de ADN sin procesar es otra categoría. Una clase de litigio, el recuento de un regulador y una entrada contable de la empresa pueden usar cada uno un denominador diferente.

La investigación conjunta es la fuente pública más sólida para los límites a nivel de campo. Encontró que las cuentas accedidas directamente podían incluir detalles de la cuenta, informes de ascendencia, informes de salud, condiciones de salud autoinformadas y material de ADN sin procesar, según la cuenta. Describió por separado la información conectada de DNA Relatives y Family Tree.

Registró que 23andMe revisó posteriormente el número de descargas de ADN sin procesar atribuidas al actor a cuatro en todo el mundo, ninguna en Canadá o el Reino Unido, mientras que los reguladores señalaron que no verificaron de forma independiente esa cifra revisada. Por lo tanto, la afirmación correcta no es que se descargaran casi siete millones de genomas completos. La afirmación correcta es que casi siete millones de clientes se vieron afectados a través de una combinación de acceso directo a la cuenta y exposición a funciones conectadas, con diferentes campos y niveles de confianza probatoria por grupo.

Esta distinción no minimiza el incidente. La información de parentesco puede ser sensible sin ser un archivo genotípico sin procesar. Un primo predicho, el porcentaje de ADN compartido, el origen ancestral, el apellido, la imagen de perfil, el rango de edad, la ubicación y la relación en el árbol pueden revelar hechos sobre la historia familiar, la adopción, la paternidad, el origen étnico y el parentesco. El daño es contextual. Puede que no se manifieste como fraude con tarjeta. Aun así, puede ser difícil de revocar porque los hechos familiares no se cambian como las contraseñas.

La misma disciplina se aplica a los registros legales. La página de sanciones de la Oficina del Comisionado de Información del Reino Unido (ICO) enhttps://ico.org.uk/action-weve-taken/enforcement/2025/06/23andme/y el aviso de sanción enhttps://ico.org.uk/media2/kclbljpo/23andme-penalty-notice.pdfrespaldan los hallazgos específicos del Reino Unido y una multa de 2,31 millones de libras. El sitio de liquidación autorizado por el tribunal de EE. UU. enhttps://www.23andmedatasettlement.com/respalda la administración final de la liquidación después de la quiebra, no una conclusión judicial de que se probaron todas las acusaciones. El anuncio de California de 2026 enhttps://www.oag.ca.gov/news/press-releases/attorney-general-bonta-sues-chrome-holding-co-formerly-known-23andme-over-2023y la demanda enhttps://oag.ca.gov/system/files/attachments/press-docs/People%20v%20Chrome%20Holding%20fka%2023andMe%20et%20al.%20-%20Stamped%20Complaint.pdfson acusaciones en un caso estatal pendiente. Deben leerse como reclamaciones impugnadas a menos que sean admitidas o adjudicadas.

Cronología: el patrón de modo común se formó antes del descubrimiento público

El período de ataque identificado por los reguladores se extendió del 29 de abril al 20 de septiembre de 2023. En el primer período intenso, del 29 de abril al 16 de mayo, el atacante accedió con éxito a 9.974 cuentas. Esos éxitos no requirieron un exploit de plataforma según el registro público; requirieron credenciales reutilizadas válidas y cuentas sin un segundo factor o una vía de inicio de sesión más sólida equivalente. La plataforma luego otorgó a algunas de esas sesiones acceso a datos de parentesco.

El 6 de julio, según la investigación conjunta, un programa informático inició sesión en una cuenta gratuita sin muestra de ADN más de un millón de veces en un solo día, colapsando temporalmente la plataforma e intentando iniciar transferencias de perfil. A finales de julio, el actor intentó aproximadamente 400 transferencias de perfil automatizadas. 23andMe desactivó las solicitudes de transferencia, bloqueó las cuentas potencialmente afectadas, exigió restablecimientos de contraseña para esos clientes y agregó alertas de volumen anormal de transferencias. Estos pasos muestran una respuesta a un flujo de trabajo visible.

No revelaron en ese momento la campaña más amplia de credential stuffing y extracción de datos.

En agosto, un individuo afirmó poseer un conjunto de datos muy grande de 23andMe. La empresa trató la afirmación como un engaño. Los reguladores no validaron el volumen afirmado ni lo trataron como el recuento del incidente. Su hallazgo se refería a una correlación perdida. Un colapso de la plataforma vinculado a la actividad automatizada de cuentas, los intentos automatizados de transferencia de perfiles y una afirmación de violación a gran escala ocurrieron mientras una campaña de credential stuffing estaba activa. Cada señal por sí sola podría tener otra explicación. Juntas, justificaban una investigación más profunda.

El segundo período intenso ocurrió en septiembre, sumando 4.364 accesos exitosos a cuentas. El 1 de octubre, un actor anunció en línea datos robados. El 5 de octubre, 23andMe confirmó internamente un ataque exitoso de credential stuffing. El 6 de octubre, reconoció públicamente el incidente. El 9 de octubre, desactivó las sesiones de usuario activas. El 10 de octubre, exigió un restablecimiento global de contraseñas y alentó una autenticación más sólida. Más tarde, la empresa hizo obligatoria la verificación en dos pasos.

La secuencia de respuesta muestra la diferencia entre detección y contención. Confirmar el evento no invalidó instantáneamente cada sesión. Exigir cambios de contraseña no respondió por sí solo qué perfiles conectados habían sido vistos. Detener las descargas de ADN sin procesar en autoservicio llevó más tiempo. La notificación a los titulares de cuentas accedidas directamente de que sus propias cuentas habían sido accedidas no se produjo hasta enero de 2024, más de un mes después de que la empresa completara su análisis forense, según los reguladores.

Causa raíz, desencadenante y condiciones contribuyentes

El desencadenante fue una campaña delictiva de credential stuffing que utilizó credenciales comprometidas en otros lugares. Los atacantes tienen la responsabilidad directa de probar credenciales, acceder a cuentas sin autorización, extraer información y ofrecer o publicar datos. Los clientes que reutilizaron contraseñas crearon la primera puerta en el subconjunto de cuentas accedidas directamente. Esos hechos son reales.

El problema raíz de responsabilidad fue la exposición de modo común creada por el diseño del producto y la seguridad predeterminada. Una sesión de cuenta podía revelar información sobre muchas personas conectadas. Eso significaba que el riesgo de un inicio de sesión solo con contraseña debía medirse por el alcance del grafo, no por el contenido propio de la cuenta individual. Si una sesión puede ver miles de registros de parentesco, el nivel de seguridad para esa sesión debería reflejar los intereses de privacidad de miles de personas.

Las condiciones contribuyentes identificadas por los reguladores incluían autenticación multifactor opcional, requisitos de contraseña mínimos débiles en comparación con las guías pertinentes, verificaciones inadecuadas de contraseñas comprometidas, falta de verificación de identidad adicional para el acceso más sensible al ADN sin procesar, sistemas de detección que no alertaron sobre los patrones de credential stuffing, registros y historial de dispositivos de clientes insuficientes, y pasos de respuesta tardíos.

La empresa implementó posteriormente verificación en dos pasos obligatoria, verificaciones más sólidas de contraseñas comprometidas, monitoreo revisado, historial de eventos de clientes y otras medidas, y el regulador canadiense consideró resuelta la cuestión de salvaguardas tras las mejoras. Eso no significa que los controles originales fueran adecuados en el momento de la violación.

El registro público también muestra la fricción del producto como un factor de gobernanza. Los reguladores dijeron que 23andMe citó preocupaciones de experiencia de usuario para no exigir autenticación multifactor antes del incidente. La fricción no es irrelevante en los servicios de consumo; un control de seguridad que bloquea a las personas el acceso a información de salud y ascendencia puede causar problemas de soporte y acceso. Pero cuando una sesión puede exponer los familiares y el material de ADN sin procesar de otras personas, el análisis de fricción no puede considerar solo la comodidad del titular de la cuenta.

Debe incluir a las personas que dependen de esa cuenta.

Los puntos de referencia técnicos respaldan la opinión del regulador sin convertirse en veredictos legales retroactivos. La guía empresarial de la FTC sobre contraseñas seguras y autenticación enhttps://www.ftc.gov/business-guidance/blog/2017/08/stick-security-require-secure-passwords-authenticationadvirtió años antes sobre el credential stuffing y la reutilización de contraseñas. La guía de identidad digital del NIST enhttps://pages.nist.gov/800-63-4/sp800-63b.htmlrespalda las verificaciones de contraseñas comprometidas y la limitación de velocidad, al tiempo que reconoce que las contraseñas no son resistentes al phishing. La guía de prevención de credential stuffing de OWASP enhttps://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.htmldescribe la detección en capas, el contexto del dispositivo y la conexión, y la visibilidad de eventos de usuario. La guía pública de contraseñas de CISA enhttps://www.cisa.gov/secure-our-world/use-strong-passwordsy la guía de MFA para pequeñas empresas enhttps://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authenticationtambién describen las contraseñas por sí solas como insuficientes para cuentas de alto valor.

El fallo de detección fue un fallo del grafo

Un servicio puede tener registros y aun así pasar por alto el ataque que importa. El informe conjunto dice que 23andMe tenía herramientas y controles, incluido un firewall de aplicaciones web, límites de velocidad, capacidad SIEM y operaciones de seguridad. El problema fue que no alertaban eficazmente sobre el patrón. El credential stuffing puede distribuirse entre direcciones. Los inicios de sesión exitosos pueden parecer normales si se ven cuenta por cuenta. La extracción a través de una función de parentesco puede parecer uso del producto si el servicio no mide el alcance y el ritmo de la visualización de relaciones.

La detección consciente del grafo plantea preguntas diferentes. ¿A cuántos familiares únicos accedió una sesión? ¿Con qué rapidez recorrió las coincidencias? ¿La sesión provenía de un dispositivo o red nuevos? ¿Combinaba la visualización de relaciones con intentos de transferencia de perfil, navegación de datos sin procesar o inicios de sesión repetidos? ¿Muchas cuentas con credenciales antiguas comenzaron a mostrar el mismo patrón de recorrido? ¿El servicio observó una distorsión repentina entre las proporciones de inicios de sesión fallidos y exitosos en toda la población?

¿Una cuenta gratuita sin muestra de ADN realizó una actividad que no tenía sentido ordinario para el producto?

Los reguladores identificaron tres oportunidades perdidas: el colapso de julio, los intentos de transferencia de finales de julio y la afirmación de violación de agosto. No eran señales criptográficas sutiles. Eran anomalías operativas e informes de abuso en un servicio que contenía datos altamente sensibles. El problema de responsabilidad no es que una sola alerta debiera haber producido certeza perfecta. Es que la plataforma no combinó las señales en una investigación de mayor prioridad con la suficiente rapidez para evitar el estallido de septiembre.

La detección también tiene una dimensión orientada al cliente. Un titular de cuenta accedida directamente puede notar un restablecimiento de contraseña o un mensaje sospechoso. Un familiar conectado cuyo perfil fue visto a través de la cuenta de otra persona no tiene un registro de sesión natural. Si la plataforma no reconstruye la exposición de parentesco, esa persona puede que nunca entienda por qué fue notificada. Los materiales de privacidad actuales de 23andMe enhttps://www.23andme.com/en-int/legal/privacy/describen categorías de datos y opciones después de la transición comercial, pero las promesas de privacidad solo son significativas si la plataforma puede explicar cómo funcionó la visibilidad de parentesco durante un incidente.

La respuesta y la notificación se trataban de contenido, no solo de tiempo

Los reguladores conjuntos aceptaron ciertas explicaciones de plazos para el aviso al regulador, pero encontraron deficiencias en el contenido de las notificaciones y en el momento de los avisos a los titulares de cuentas accedidas directamente. Esa distinción es importante. Un aviso de violación puede llegar dentro de un plazo formal y aun así no informar a las personas lo suficiente sobre lo que les sucedió. Los datos genéticos y de parentesco requieren claridad a nivel de campo porque las acciones de protección difieren según la categoría.

Para una cuenta accedida directamente, un usuario necesita saber si la sesión hostil vio detalles de la cuenta, informes de salud, informes de ascendencia, material de ADN sin procesar, condiciones de salud autoinformadas o páginas de parentesco. Para un familiar conectado, un usuario necesita saber si su perfil, árbol, campos de ADN compartido, ubicación o detalles de ascendencia fueron vistos a través de otra persona. Para el material de ADN sin procesar, el usuario necesita una explicación diferente porque la información puede ser más difícil de mitigar.

Para las publicaciones de los atacantes, los usuarios necesitan saber si la información fue ofrecida o publicada en línea, incluso si la plataforma no puede validar todas las afirmaciones de los vendedores.

La página del plan de acción público de la empresa enhttps://blog.23andme.com/articles/addressing-data-security-concernsresumió el restablecimiento de contraseñas, la verificación en dos pasos y las categorías de perfiles conectados afectados. La presentación modificada ante la SEC proporcionó un límite de divulgación de valores. El informe del regulador proporcionó más tarde una cronología y una crítica más detalladas. La diferencia ilustra por qué la notificación inicial y los hallazgos forenses posteriores no deben fusionarse. Las declaraciones iniciales pueden ser necesariamente limitadas, pero deben actualizarse a medida que cambian los hechos materiales.

La respuesta también cambió los controles del producto. A principios de noviembre de 2023, 23andMe hizo obligatoria la verificación en dos pasos para los clientes que no utilizaban MFA basada en aplicación o inicio de sesión único. Desactivó las descargas de ADN sin procesar en autoservicio durante un período y luego restableció la función con una verificación adicional. Los reguladores cuestionaron si la fecha de nacimiento es una verificación lo suficientemente sólida por sí sola, ya que puede estar disponible públicamente o haber sido comprometida previamente.

El principio de control más seguro es que el acceso al ADN sin procesar no debería depender de la misma seguridad de sesión que la visualización de un campo de perfil de bajo riesgo.

La quiebra convirtió a los futuros compradores en parte de la cuestión de control

El incidente no terminó cuando el atacante se detuvo. En marzo de 2025, 23andMe se acogió al Capítulo 11 de la ley de quiebras. Eso trasladó el problema de responsabilidad de la respuesta al incidente a la transferencia de activos y la administración continua. La información genética, de muestras, de salud, de ascendencia y de parentesco puede conservar valor después de las dificultades financieras de una empresa. Las personas descritas por los datos pueden haber tomado decisiones bajo una marca, una política y una expectativa, mientras que un futuro comprador puede tener incentivos diferentes.

Los reguladores de Canadá y el Reino Unido escribieron al proceso de quiebras de EE. UU. sobre los deberes de privacidad continuos, y su informe advirtió que cualquier adquirente debe comprender las obligaciones bajo la ley canadiense y británica. La carta del presidente de la FTC enhttps://www.ftc.gov/legal-library/browse/cases-proceedings/staff-letters/chairman-ferguson-letter-regarding-23andmeseñaló de manera similar la preocupación federal de que las promesas de privacidad, los derechos de eliminación y las opciones no deberían desaparecer en una venta. La alerta al consumidor de California enhttps://www.oag.ca.gov/news/press-releases/attorney-general-bonta-urgently-issues-consumer-alert-23andme-customersinstó a los clientes a revisar las opciones de eliminación, destrucción de muestras y consentimiento de investigación.

La empresa reveló posteriormente una venta al Instituto de Investigación TTAM. La presentación de cierre de venta ante la SEC enhttps://www.sec.gov/Archives/edgar/data/1804591/000119312525158551/d11473d8k.htmy los términos de la transacción enhttps://www.sec.gov/Archives/edgar/data/1804591/000162828025037443/exhibit22assetpurchaseag.htmson relevantes porque la pregunta manifiesta alcanza a los futuros compradores de datos. Las salvaguardas de la transacción pueden incluir derechos de eliminación, opciones de exclusión, límites a futuras transferencias, compromisos de la junta asesora e informes. Esos compromisos no son una prueba de cumplimiento automático de la seguridad futura; son obligaciones de control que requieren evidencia después del cierre.

El sitio de liquidación de EE. UU. y la orden de aprobación final, indexados enhttps://www.23andmedatasettlement.com/documents, añaden otra capa. Los beneficios y liberaciones de la liquidación son mecanismos legales para las reclamaciones cubiertas. No eliminan las copias de los atacantes, prueban todas las acusaciones ni resuelven la opinión de cada regulador sobre futuras transferencias. El contexto de la quiebra lo deja claro: la resolución financiera, la transferencia de propiedad y la reparación de la privacidad están relacionadas pero no son idénticas.

La soberanía y localidad de datos se vuelven prácticas aquí. 23andMe es un servicio de genética directa al consumidor con sede en EE. UU. y clientes en Canadá, el Reino Unido y otros lugares. Los datos pueden almacenarse o procesarse bajo una estructura legal y luego transferirse a través de una venta de quiebra en EE. UU. Los reguladores fuera de Estados Unidos siguen afirmando obligaciones para sus residentes. La cuestión de soberanía no es solo dónde se encuentra un servidor.

Es quién controla los datos después de las dificultades financieras, qué promesas los acompañan, qué opciones de eliminación sobreviven y qué autoridades públicas pueden hacerlas cumplir.

Economía del abuso de contacto

El valor de abuso de los datos expuestos no se limita a la ciencia genética. La información de contacto y parentesco puede hacer que el abuso posterior sea más barato. Un mensaje que nombre una relación genética real, un apellido, una estimación de ascendencia, una ubicación o el nombre para mostrar de un familiar puede parecer más creíble que una estafa genérica. Un fragmento del árbol genealógico puede proporcionar contexto para la suplantación de identidad. Un porcentaje de ADN compartido puede crear influencia emocional en contextos de adopción, paternidad o familias distanciadas.

Estos riesgos no prueban que haya ocurrido un abuso posterior específico. Explican por qué las categorías de datos merecen una alta consideración incluso sin detalles bancarios.

La economía es asimétrica. Una plataforma crea funciones para facilitar la búsqueda de familiares. Un atacante puede reutilizar esas mismas conexiones para que los objetivos sean más fáciles de persuadir, avergonzar, categorizar o extorsionar. El primer contacto puede ser un inicio de sesión de credential stuffing, pero el contacto posterior podría ser un mensaje a alguien cuya información solo era visible a través de una coincidencia comprometida. Cada campo que ayuda a un familiar legítimo a reconocer una coincidencia también puede ayudar a un actor hostil a personalizar el contacto.

Eso no significa que DNA Relatives deba ser inútil por defecto. Significa que el servicio debe poner precio a la extracción. Un usuario normal puede navegar por las coincidencias con el tiempo, abrir algunos perfiles, intercambiar mensajes y refinar árboles genealógicos. Una sesión hostil puede enumerar miles de perfiles, repetir vistas similares, combinar campos y salir rápidamente.

Los controles pueden preservar el valor del producto al tiempo que aumentan el costo de la extracción masiva: verificaciones adicionales para nuevos dispositivos, visibilidad progresiva, presupuestos de sesión, límites de velocidad de visualización de relaciones, acceso retrasado a campos sensibles, barreras de exportación y alertas tanto a los titulares de cuentas como a los perfiles conectados cuando se produce un comportamiento de alto riesgo.

El servicio también necesita reglas de sensibilidad por edad y familia. Los participantes del árbol genealógico pueden incluir personas que nunca se hicieron la prueba. Algunos datos del perfil pueden referirse a menores de edad, familiares fallecidos, adoptados o personas en jurisdicciones con diferentes protecciones legales. La elección de participación de un titular de cuenta no debe tratarse como un control total sobre cada persona descrita en el árbol.

Una nota tipográfica para los avisos de violación

Los avisos de violación genética piden a las personas que distingan el acceso directo a la cuenta, la visualización del perfil de un familiar, el acceso a datos sin procesar, el contexto del Family Tree, las publicaciones de los atacantes, los derechos de liquidación y las opciones de eliminación. Eso es un problema de legibilidad además de legal. El siguiente bloque tipográfico se incluye porque el diseño del aviso puede determinar si las personas afectadas entienden qué hechos se aplican a ellas.