De commerciële DNA-databank 23andMe heeft een faillissementsprocedure opgestart. De CEO stapt op, het bedrijf gaat op zoek naar een overnemer. Intussen adviseert de minister van Justitie van de staat Californië dat klanten hun genetische gegevens uit de databank laten verwijderen. Liggen straks 15 miljoen DNA-stalen te grabbel? "Neen", zegt hoogleraar bio-ethiek Pascal Borry (KU Leuven). "Een koper moet dezelfde privacyvoorwaarden respecteren."
Commerciële DNA-databank 23andMe zoekt overnemer, liggen straks 15 miljoen DNA-stalen te grabbel?
Ann Willems
Gepubliceerd:
23andMe werd midden jaren 2000 een van de grootste spelers in DNA-zelftesten. Om en bij de 15 miljoen mensen stuurden de voorbije jaren hun DNA-staal naar het techbedrijf op. Toen het in 2021 naar de beurs ging, groeide de marktwaarde naar 6 miljard dollar. 4 jaar later blijft daar met een waardering van zo'n 50 miljoen dollar slechts een fractie van over.
Eind vorig jaar sloot het zijn afdelingen waar behandelingen tegen kanker werden ontwikkeld, goed voor 200 ontslagen, 40 procent van het totale personeelsbestand.
Nu heeft de commerciële DNA-databank een zogenoemde Chapter 11-procedure in gang gezet. Dat is een Amerikaanse vorm van bescherming tegen schuldeisers, waarmee het de tijd krijgt om zijn financiën op orde te zetten en te reorganiseren zonder meteen failliet te gaan. Medeoprichter Anne Wojcicki zet een stap terug als CEO, maar blijft wel aan boord als bestuurslid.
Wat zijn commerciële DNA-databanken?
Commerciële databanken zoals 23andMe, MyHeritage, Living DNA en FamilyTreeDNA schoten de voorbije 20 jaar als paddenstoelen uit de grond. Ze bieden verschillende soorten tests aan. "Sommige richten zich op stamboomonderzoek, andere sporen gezondheidsproblemen op en weer andere tests analyseren of er bijvoorbeeld Afrikaans of Amerikaans bloed door je aderen stroomt. Welk deeltje van je DNA wordt uitgeplozen, hangt af van de soort test", aldus Pascal Borry, verbonden aan het Centrum voor Biomedische Ethiek en Recht van de KU Leuven.
Dat DNA kan je in een handomdraai aan de firma in kwestie bezorgen. "Je bestelt een testkit, spuugt in een potje en na een paar weken ontvang je alle informatie op een beveiligde website."
In eerste instantie lijken de databanken bedoeld om gebruikers meer te leren over hun afkomst of lichaam, maar het grote verdienmodel zit achter de schermen. Heel wat bedrijven verkopen de DNA-stalen – zij het gepseudonimiseerd – namelijk verder aan bijvoorbeeld farmaceutische bedrijven of academische instellingen voor onderzoek.
Dat er een koper voor het bedrijf wordt gezocht, maakt heel wat klanten nerveus: wat nu met hun persoonlijke informatie? Rob Bonta, de minister van Justitie van de Amerikaanse staat Californië, verspreidde intussen de boodschap dat 23andMe-gebruikers hun genetische gegevens kunnen laten verwijderen. Hij plaatste daarvoor zelfs een stappenplan op zijn website .
Volgens 23andMe is een overnemer echter verplicht de wetgeving rond de bescherming van consumentendata te respecteren. Dat zegt ook Pascal Borry van het Centrum voor Biomedische Ethiek en Recht van de KU Leuven. Hij deed in 2011 onderzoek naar de impact van sluitingen van DNA-databanken. "23andMe vermeldt in zijn privacyvoorwaarden dat bij een overname de koper de oorspronkelijke privacyregels moet respecteren. Dat kan dus niet zomaar veranderen."
Wel is er weinig transparantie over de precieze procedure en controle bij verkoop. Er wordt ook geen diepgaande uitleg gegeven over wat er met de DNA-monsters en gegevens gebeurt als het bedrijf failliet gaat. Het Britse Atlas Biomed bijvoorbeeld sloot eind vorig jaar zonder enige informatie de deuren. Duizenden klanten hadden plots geen toegang meer tot hun account. Het is nog steeds niet duidelijk wat er met hun gegevens is gebeurd. De bezorgdheid is volgens Borry dan ook niet helemaal onterecht.
"Bovendien is het de vraag hoe een potentiële nieuwe eigenaar zal omgaan met bijvoorbeeld gerechtelijke aanvragen", zegt hij. Commerciële DNA-databanken worden steeds vaker ingezet bij forensisch onderzoek. In 2018 werd in de VS na stamboomonderzoek een seriemoordenaar gevat. "23andMe heeft zich echter steeds verzet tegen dit soort praktijken. Niet dat het veel kon beginnen tegen een gerechtelijk bevel, maar het probeerde wel."
Onmogelijk uit onderzoeken te verwijderen
Ook bij de oproep van Bonta om je genetische gegevens te laten verwijderen, stelt hij zich vragen. "Als een databank je DNA-staal bijhoudt, kan je vragen om die te laten vernietigen. Dan kunnen er geen nieuwe gegevens uit worden gedistilleerd. In principe kan je ook je account laten verwijderen, maar heel wat data uit je DNA is intussen reeds doorverkocht en verwerkt in studies. Het is quasi onmogelijk om jezelf daaruit te halen."
Je persoonlijke gegevens worden voor dit soort onderzoeken gepseudonimiseerd. Dit betekent dat je naam, adres en contactgegevens niet worden doorverkocht, maar dat je DNA-sequentie nog steeds gekoppeld kan zijn aan bepaalde informatie, zoals je leeftijd of land van herkomst. "Ergens is er altijd íemand die deze sleutel – DNA gelinkt aan persoonlijke gegevens – in handen heeft." Bovendien is het tegenwoordig mogelijk om via DNA-sequenties familienamen te achterhalen. Wel worden in verkoopovereenkomsten meestal clausules opgenomen die dergelijke heridentificatie verbieden.
Gigantisch datalek in 2023
Dat 23andMe het moeilijk heeft, verbaast Borry niet. "De grote meerderheid van commerciële DNA-databanken bestaat intussen niet meer." Volgens de hoogleraar bio-ethiek is het marktmodel van de meeste bedrijven niet meer up-to-date.
"Onderzoeksinstanties willen een uitgebreider DNA-aanbod om mee aan de slag te gaan, maar die testen kosten meer geld. Onvoldoende klanten zijn bereid om zo’n bedrag te betalen, en dus zijn er steeds minder farmaceutische bedrijven of academische instellingen die gegevens overkopen."
Op enkel en alleen particulieren kunnen de bedrijven niet teren. In het geval van 23andMe, likt het bedrijf daarenboven nog steeds zijn wonden van een groot lek eind 2023. Toen werden de persoonlijke gegevens van bijna 7 miljoen gebruikers gestolen en voerden Britse en Canadese gegevensbeschermingsautoriteiten een gezamenlijk onderzoek.
