Orari di lavoro
Lunedi - Venerdi: 7.30 - 19.30
Sabato: 8 - 16
Z Side · Reality Glitch
A cura di Zoom Out Lab
Nel marzo 2025, 23andMe ha dichiarato fallimento. Nell’asse fallimentare dell’azienda californiana figurano 15 milioni di profili genetici completi, costruiti nel corso di quasi vent’anni di kit spediti a casa, provette di saliva rispedite per posta e analisi del DNA effettuate su richiesta di persone curiose di sapere da dove vengono. Regeneron, colosso farmaceutico americano, ha offerto 256 milioni di dollari per acquistare l’intero database. Il 23andMe fallimento DNA non è una notizia tecnica sul settore biotech. È la storia di cosa succede quando un dato che non puoi cambiare finisce sul mercato senza che tu possa fare nulla per fermarlo.
23andMe era stata fondata nel 2006 da Anne Wojcicki con un’idea semplice quanto ambiziosa: rendere accessibile a tutti la genetica personale. Per 79 dollari, poi scesi nel tempo, chiunque poteva ricevere a casa un kit, inserire la saliva in una provetta, rispedirla e ricevere via email una mappa della propria ascendenza, indicazioni sulle predisposizioni genetiche e connessioni con parenti biologici sconosciuti. L’azienda era arrivata a essere valutata 6 miliardi di dollari in borsa. Aveva stretto accordi con almeno trenta aziende farmaceutiche e biotecnologiche per l’accesso al suo database. Aveva convinto milioni di persone che cedere il proprio DNA fosse un atto di curiosità personale, non una decisione con implicazioni a lungo termine difficili da prevedere.
Il 23 marzo 2025, Wojcicki ha annunciato le proprie dimissioni e la presentazione dell’istanza di fallimento ai sensi del Capitolo 11 della legge fallimentare americana. Nel comunicato pubblicato su X ha scritto di essere “delusa” dalla decisione, ma di voler presentare un’offerta per rilevare gli asset dell’azienda. Nel frattempo, quei 15 milioni di profili genetici aspettavano di sapere chi li avrebbe comprati.
Come ci si è arrivati: la storia che nessuno racconta per intero
Il 23andMe fallimento DNA ha una causa ufficiale, il calo degli ordini e la difficoltà a costruire un modello di business sostenibile dopo la quotazione in borsa del 2021, e una causa sostanziale che l’analista di Debtwire John Bringardner ha individuato con precisione: il data breach del 2023 “ha portato direttamente” alla procedura fallimentare.
Nell’ottobre 2023, attraverso un attacco di credential stuffing, ovvero l’uso di credenziali rubate da altri servizi per accedere agli account di 23andMe, i criminali informatici erano riusciti ad accedere alle informazioni genetiche, ai dati di ascendenza, ai nomi, alle date di nascita e alle connessioni familiari di quasi sette milioni di clienti. Era una violazione massiccia su un tipo di dato che non assomigliava a nessuno degli altri. Non erano numeri di carta di credito, che si cancellano e rinnuovano. Non erano password, che si cambiano in pochi minuti. Erano sequenze genetiche, uniche per definizione, immodificabili per natura, che descrivevano non solo le persone direttamente colpite, ma l’intera rete di familiari biologici connessi attraverso la funzione di matching dell’app.
Le class action che ne sono seguite hanno rappresentato, secondo l’analisi di CyberSec Italia, “un colpo pesantissimo” che ha contribuito in modo determinante all’aggravarsi delle passività aziendali. L’azienda aveva già problemi di redditività strutturali, ma erano gestibili. Le passività legali generate dalla violazione non lo erano.
Il dato che non puoi cambiare: perché questa storia è diversa da tutte le altre
David Choffnes, professore di informatica alla Northeastern University e direttore esecutivo del suo Istituto di Cybersicurezza e Privacy, ha sintetizzato il problema in una frase che non ha bisogno di aggiunte: “Il tuo DNA sei tu e solo tu. Se hai un indirizzo email compromesso, puoi trovare un altro provider e usare un nuovo indirizzo. Ma non puoi farlo con il tuo codice genetico.”
È una distinzione che sembra ovvia ma che ha implicazioni enormi, e che rende il caso 23andMe fallimento DNA strutturalmente diverso da qualsiasi altro scenario di violazione o vendita di dati personali che abbiamo analizzato fino ad ora. Con le estensioni del browser scannerizzate da LinkedIn o con le immagini del tuo viso acquisite da un campanello Ring, esiste sempre, almeno in teoria, una possibilità di limitare i danni futuri. Puoi cambiare browser, puoi evitare il campanello di qualcuno, puoi cancellare un account. Il DNA non si cancella. La sequenza genetica che hai ceduto a 23andMe nel 2018 è la stessa che hai oggi, è la stessa che avranno i tuoi figli, è la stessa che descrive predisposizioni a malattie, origini etniche, connessioni familiari biologiche, informazioni su parenti che non hanno mai firmato nessun consenso e che forse non sanno nemmeno di essere nel database.
Questo è il punto più difficile da accettare, e anche quello che il marketing dei test genetici consumer ha sistematicamente minimizzato. Il consenso che hai dato a 23andMe nel momento in cui hai aperto il kit non riguardava solo te. Riguardava chiunque condivida il tuo DNA, e quella categoria di persone non ha mai potuto esercitare nessuna scelta.
L’asta: 256 milioni, un colosso farmaceutico e un Senato impreparato
Quando il fallimento è diventato ufficiale, il processo di vendita degli asset ha preso il corso previsto dalla legge fallimentare americana. Regeneron Pharmaceuticals ha presentato un’offerta da 256 milioni di dollari per acquisire l’intero database genetico. Non è una somma che compra un’azienda nel senso tradizionale del termine, con dipendenti, brevetti e infrastrutture. È una somma che compra essenzialmente una collezione di dati biologici, il profilo genetico di 15 milioni di persone, costruito attraverso anni di analisi di laboratorio su campioni reali.
A maggio 2025, Wojcicki ha rilanciato con un’offerta superiore, mantenendo viva la possibilità di un riacquisto da parte della fondatrice. Il processo ha intanto scatenato un’audizione al Senato americano in cui i parlamentari James Comer e Suhas Subramanyam hanno condannato l’assenza di un sistema “opt-in” per la condivisione dei dati genetici e la complessità eccessiva della procedura di cancellazione. Solo 1,9 milioni di utenti su 15 milioni avevano cancellato i propri dati, nonostante l’esposizione al rischio fosse pubblica e documentata da mesi.
L’avvocato fallimentare Daniel Gielchinsky ha spiegato a Fortune Italia la dinamica che rende questa vicenda particolarmente delicata sul piano legale. Se la vendita dei dati genetici venisse autorizzata dal tribunale fallimentare, creerebbe un precedente, ovvero l’apertura di un mercato in cui dati medici e biogenetici possono essere trasferiti a soggetti con cui l’utente non aveva mai avuto un rapporto diretto. Non sarebbe come vendere dati di navigazione. Sarebbe qualcosa di diverso, in un territorio dove le leggi esistenti non erano state scritte per gestire questa eventualità.
Il problema, come ha precisato lo stesso Gielchinsky, è che il tribunale fallimentare ha “piena giurisdizione sulla questione” e tende storicamente a facilitare le vendite per massimizzare il recupero per i creditori. Gli interessi dei 15 milioni di utenti non sono un partito in causa nel procedimento fallimentare. Sono, nella logica del diritto fallimentare americano, un elemento di cui tenere conto, non un veto che possono esercitare.
La FTC guarda, gli stati agiscono, il GDPR non basta
Le autorità non sono rimaste ferme. Andrew Ferguson, presidente della Federal Trade Commission, ha inviato una lettera formale ai rappresentanti del programma Trustee degli Stati Uniti sottolineando che “le promesse agli utenti devono essere mantenute” e che qualsiasi vendita deve rispettare le garanzie di privacy originariamente offerte ai clienti. Il procuratore generale della California Rob Bonta ha invitato pubblicamente i clienti a cancellare i propri dati. Il procuratore generale di New York Letitia James ha lanciato un avviso analogo. Ventidue stati hanno presentato opposizioni legali alla vendita al di fuori del tribunale fallimentare, nel tentativo di far valere obiezioni che temevano non ricevessero ascolto adeguato nel procedimento principale.
In Europa, la situazione è formalmente più protetta grazie al GDPR, che garantisce il diritto alla cancellazione dei dati e impone che qualsiasi trattamento rispetti le finalità per cui i dati erano stati originariamente raccolti. Ma come spiega l’analisi di TechPrincess sulla protezione dei dati genetici post-fallimento, “l’applicazione in contesti di fallimento aziendale potrebbe risultare complessa.” I diritti esistono sulla carta. La procedura per farli valere in un procedimento fallimentare americano, da parte di un utente italiano, attraverso una giurisdizione che non è la sua, è un percorso che pochissimi utenti hanno le risorse o la determinazione per intraprendere.
Nel frattempo, molti utenti che hanno provato ad accedere alla piattaforma per cancellare i propri dati hanno trovato il sito in difficoltà tecniche per l’eccesso di traffico. La corsa alla cancellazione aveva intasato i server dell’azienda fallita nel momento in cui era più necessario che funzionassero.
Il modello che nessuno aveva letto fino in fondo
C’è una domanda che vale la pena porsi con franchezza, anche se la risposta è scomoda: nei termini di servizio originali di 23andMe era scritto cosa sarebbe successo ai dati in caso di fallimento?
Sì. Il documento che quasi nessuno dei 15 milioni di clienti ha letto con attenzione specificava che in caso di fusione, acquisizione, riorganizzazione, bancarotta o evento simile, le informazioni personali potevano essere trasferite come parte degli asset aziendali. Era una clausola standard, analoga a quelle presenti nei contratti di quasi tutti i servizi digitali consumer. Era lì, disponibile, in un documento di decine di pagine in inglese legale che il sistema di onboarding non ti incoraggiava in nessun modo a leggere.
È la stessa architettura del consenso che attraversa molte delle storie che abbiamo raccontato su questo blog, dal modello che trasforma un acquisto in un affitto revocabile ai dataset di addestramento costruiti sui contenuti degli utenti. Il consenso esiste tecnicamente. La comprensione del consenso, quella reale, quella che avrebbe permesso all’utente di valutare consapevolmente cosa stava cedendo, non è mai stata l’obiettivo del sistema.
Cosa puoi fare, se hai un account 23andMe
Le azioni concrete disponibili sono poche, ma esistono. Accedi all’account, vai alle impostazioni, seleziona “23andMe Data”, scarica una copia se la vuoi conservare e poi completa la procedura di cancellazione permanente attraverso la sezione “Delete Data.” Invia separatamente la richiesta di distruzione del campione di saliva fisico, se lo hai ceduto, attraverso le impostazioni sotto “Preferences.” Revoca il consenso alla condivisione con terzi per la ricerca attraverso “Research and Product Consents.”
Secondo Panda Security, se non ricevi una risposta chiara alla richiesta di cancellazione puoi rivolgerti al Garante per la protezione dei dati personali, che in Europa ha competenza sulla questione. La domanda che nessuno può risponderti con certezza è se la cancellazione verrà davvero eseguita, con quale priorità, da chi, in un’azienda che sta gestendo simultaneamente un fallimento, una potenziale vendita e il crollo delle proprie strutture operative.
Il punto: un mercato che esiste prima che esistano le regole per governarlo
Il caso 23andMe fallimento DNA non è la storia di un’azienda che ha fatto scelte scorrette. È la storia di un intero settore che si è sviluppato molto più velocemente della capacità collettiva di capire cosa stava costruendo.
I test genetici consumer hanno reso accessibile qualcosa che era sempre stato fuori portata per la maggior parte delle persone, ovvero la conoscenza della propria storia biologica. Era un’offerta genuinamente utile, e milioni di persone l’hanno accettata con buone ragioni. Quello che mancava, e che continua a mancare, è un framework legale che tratti il dato genetico in modo proporzionale alla sua natura, come un dato permanente, familiare, non revocabile, che appartiene a più persone di quante abbiano mai firmato un consenso.
Sedici stati americani hanno introdotto leggi sulla privacy genetica. L’Unione Europea ha il GDPR. Nessuno di questi strumenti era stato scritto pensando a cosa succede quando un’azienda che custodisce il DNA di 15 milioni di persone si presenta davanti a un tribunale fallimentare e chiede di vendere quei dati al miglior offerente. La legge, come spesso accade con la tecnologia, è arrivata in ritardo nel posto sbagliato, con strumenti pensati per un problema diverso.
Nel frattempo, il mercato ha già preso la sua decisione. Regeneron ha offerto 256 milioni di dollari. Il tribunale fallimentare deciderà.
