23andMe 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。谁实际控制了凭据填充防御、DNA 亲属匹配可见性、客户通知、同意设置、和解证据、破产时代的数据管理，以及证明基因社会数据不能像普通账户资料数据一样对待？责任问题在于一个用户的账户设置可能暴露亲属的信息，因此同意和安全控制必须考虑网络化基因身份而非孤立的账户所有权。客户、亲属、监管机构、基因隐私倡导者、研究人员、身份窃贼、收购方和平台运营商需要证据，证明客户选择、违规响应和数据管理与基因社会信息的敏感性相匹配。本文保持指控、公司声明、监管记录、技术发现、法院立场和残余未知因素分开，以便问责制基于证据而非叙事力量。亲属匹配使一个账户成为网络暴露是正确的出发点，因为责任问题在于一个用户的账户设置可能暴露亲属的信息，因此同意和安全控制必须考虑网络化基因身份而非孤立的账户所有权。23andMe 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。

这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 OPC Canada 和 UK ICO，2025-06-20，联合调查报告（source: priv.gc.ca 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。文章避免声称每个亲属都以相同方式暴露。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如 UK ICO，2025-06-05，执法页面（source: ico.org.uk 23andMe SEC 文件，2025-07-14，出售完成 8-K 表格（SEC source 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。

因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 23andMe，更新于 2023-12-05，公司事件更新（source: blog.23andme.com 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。它将 23andMe 的声明、监管记录和和解材料视为有限证据。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。

如果修复与来源证据相关联，例如 UK ICO，2025-06-05，罚款通知（source: ico.org.uk SEC 主办的交易附件，2025 资产购买条款（SEC source 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 23andMe SEC 文件，2023-12-05，8-K/A 表格（SEC source 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。基因数据被视为持久的身份背景，因为它不能像密码一样被轮换。

读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如 23andMe 客户服务，当前产品文档（source: customercare.23andme.com FTC，2025-03-31，主席信函（FTC source 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。

本节的一个来源边界是 23andMe SEC 文件，2024-05-30，10-K 表格（SEC source 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。同意问题在于关系型特征可以使一个人的选择与他人相关。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如 23andMe 研究所，更新于 2026-05-19，隐私声明（source: 23andme.com 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。

安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 23andMe SEC 文件，2025 年 10-K 表格（SEC source 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。文章避免声称每个亲属都以相同方式暴露。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如法院授权的和解管理员，当前和解网站（source: 23andmedatasettlement.com 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。

对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 UK ICO，2025-06-05，执法页面（source: ico.org.uk 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。它将 23andMe 的声明、监管记录和和解材料视为有限证据。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。

如果修复与来源证据相关联，例如和解管理员，法院文件索引（source: 23andmedatasettlement.com 年投诉（source: oag.ca.gov 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 UK ICO，2025-06-05，罚款通知（source: ico.org.uk 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。基因数据被视为持久的身份背景，因为它不能像密码一样被轮换。

读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如 23andMe SEC 文件，2025-07-14，出售完成 8-K 表格（SEC source FTC，2017 年商业指南（FTC source 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。

本节的一个来源边界是 23andMe 客户服务，当前产品文档（source: customercare.23andme.com 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。同意问题在于关系型特征可以使一个人的选择与他人相关。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如 SEC 主办的交易附件，2025 资产购买条款（SEC source OPC Canada 和 UK ICO，2025-06-20，联合调查报告（source: priv.gc.ca 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。

对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 23andMe 研究所，更新于 2026-05-19，隐私声明（source: 23andme.com 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。文章避免声称每个亲属都以相同方式暴露。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。

如果修复与来源证据相关联，例如 FTC，2025-03-31，主席信函（FTC source 23andMe，更新于 2023-12-05，公司事件更新（source: blog.23andme.com 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是法院授权的和解管理员，当前和解网站（source: 23andmedatasettlement.com 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。它将 23andMe 的声明、监管记录和和解材料视为有限证据。

读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如加利福尼亚州司法部，2025-03-21，消费者警报（source: oag.ca.gov 23andMe SEC 文件，2023-12-05，8-K/A 表格（SEC source 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。

本节的一个来源边界是和解管理员，法院文件索引（source: 23andmedatasettlement.com 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。基因数据被视为持久的身份背景，因为它不能像密码一样被轮换。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。如果修复与来源证据相关联，例如加利福尼亚州司法部，2026-05-28，执法公告（source: oag.ca.gov 23andMe SEC 文件，2024-05-30，10-K 表格（SEC source 披露，攻击者利用凭据填充访问账户，并获取与 DNA Relatives 和家族树功能相关的信息，造成了通过基因和社会联系扩大的伤害。因此，公共责任问题不在于该组织是否经历了一次困难的事件，而在于控制室之外的人是否能看到足够的证据来理解发生了什么变化、谁控制了这一变化以及哪些风险仍然存在。

对于 23ANDME，实际控制面包括 23andMe 凭据填充、DNA Relatives、同意设置、基因隐私、违约通知、和解条款、破产时代的数据管理以及亲属匹配责任。这些词汇代表不同的团队和不同的举证职责。安全团队可能持有日志，产品团队可能持有发布或平台证据，法律团队可能控制通知语言，财务部门可能控制损失估算，客户面对团队可能控制受影响人士实际可以使用的解释。当这些片段被整合到一份记录中，而不是作为孤立的机构记忆保留时，责任就出现了。本节的一个来源边界是 23andMe SEC 文件，2025-07-14，出售完成 8-K 表格（SEC source 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录的公开记录很有用，但它不能自行回答每个内部控制问题，因此本文将其视为它实际能够支持的主张的证据。限度与事实同样重要。同意问题在于关系型特征可以使一个人的选择与他人相关。读者不应猜测一个句子是来自公司披露、监管机构、法院、客户、技术研究人员还是行业标准。当来源类型明确时，文章可以不那么戏剧性地但更准确地说明：这是记录所证明的，这是它所暗示的，而这是仍未证实的。同样的纪律改变了补救措施。如果唯一承诺的修复是广泛保证，那么下一届董事会或客户无法测试它。

如果修复与来源证据相关联，例如加利福尼亚州司法部，2026 年投诉（source: oag.ca.gov 23andMe SEC 文件，2025 年 10-K 表格（SEC source 23andme 亲属匹配暴露和同意责任记录的阅读文件。每个来源都有边界：公司声明证明该公司所说或报告的内容，法院记录证明法律立场，监管记录证明官方行动或指控，技术帖子证明在其范围内观察到的机制，标准文档提供控制基准而非追溯性发现。

1. OPC Canada 和 UK ICO，2025-06-20，联合调查报告：source: priv.gc.ca 2. 23andMe，更新于 2023-12-05，公司事件更新：source: blog.23andme.com 3. 23andMe SEC 文件，2023-12-05，8-K/A 表格：SEC source 4. 23andMe SEC 文件，2024-05-30，10-K 表格：SEC source 5. 23andMe SEC 文件，2025 年 10-K 表格：SEC source 6. UK ICO，2025-06-05，执法页面：source: ico.org.uk 7. UK ICO，2025-06-05，罚款通知：source: ico.org.uk 8. 23andMe 客户服务，当前产品文档：source: customercare.23andme.com 9. 23andMe 研究所，更新于 2026-05-19，隐私声明：source: 23andme.com 10. 法院授权的和解管理员，当前和解网站：source: 23andmedatasettlement.com 11. 和解管理员，法院文件索引：source: 23andmedatasettlement.com 12. 23andMe SEC 文件，2025-07-14，出售完成 8-K 表格：SEC source 13. SEC 主办的交易附件，2025 资产购买条款：

SEC source 14. FTC，2025-03-31，主席信函：FTC source 15. 加利福尼亚州司法部，2025-03-21，消费者警报：source: oag.ca.gov 16. 加利福尼亚州司法部，2026-05-28，执法公告：source: oag.ca.gov 本证据文件故意比单一的违规通知更广泛，因为 23andme 凭据填充事件、DNA 亲属暴露、和解与隐私责任记录影响的受众不止一个。

公开记录必须支持需要实际行动的客户、需要修复计划的管理者、需要范围的监管机构，以及需要知道哪些主张仍然不确定的读者。审查文件应命名每个决策的实际负责人、决策做出的日期、使用的证据以及依赖该决策的受众。没有这种结构，同一事件事后可能被重述为技术故障、法律纠纷、客户服务问题或财务问题，而没有稳定基础来决定哪个叙述是完整的。有用的问责记录也保留不确定性。它应说明从公司声明中了解到的内容、从政府或法院记录中了解到的内容、从外部事件响应者处了解到的内容，以及仍然推断的内容。这种分离保护读者免受虚假精确的危害，并保护组织免于将早期的信心视为证据。重要的控制不是事后英雄式的响应。而是在事件仍在进行时，能够展示哪些证据会改变决策。如果客户通知、董事会报告、保险索赔或监管机构更新在又一次日志审查后会有所不同，那么这种依赖关系应在记录中可见。对于此特定案例，董事会审查应询问谁实际控制了凭据填充防御、DNA 亲属匹配可见性、客户通知、同意设置、和解证据、破产时代的数据管理，以及证明基因社会数据不能像普通账户资料数据一样对待？答案不应仅仅是叙述。它应包括日期证据、命名的负责人、受影响的受众、面向客户的承诺，以及在公开记录形成时该组织仍无法证明的事实列表。