英国ICO对基因检测公司23andMe数据安全措施不足导致敏感基因数据泄露处以231万英镑罚款案

【案件背景】
2025年6月5日，英国信息专员办公室（ICO）对基因检测公司23andMe处以231万英镑（约270万欧元）罚款。该公司为用户提供DNA检测服务，收集和处理的遗传数据属于GDPR定义的特殊类别个人数据，按照数据分级分类的思想，这是最高敏感级别的数据——基因数据可以揭示一个人及其血亲的健康风险、种族背景和生物特征。2023年发生的大规模凭据填充攻击导致了严重的数据泄露。

【违法事实】
ICO调查认定23andMe违反了英国GDPR第5条第1款f项（完整性和保密性原则）及第32条（处理安全性），具体包括：一是安全保障水平与数据敏感性严重不匹配——作为处理全球最高敏感级别数据（基因数据）的公司，23andMe在攻击发生时尚为实施强制性多因素认证（MFA），也未采用安全的密码协议；二是未对数据访问实施分层控制——基因原始数据（最高敏感级别）与一般账户信息（较低敏感级别）的访问控制没有实质性差异，攻击者一旦通过凭据填充获取账户权限即可直接访问基因原始数据；三是缺乏有效的安全威胁监控和检测系统——在2023年4月初步入侵后，公司曾对平台上的孤立异常活动进行了有限调查，但未能有效识别和阻断持续的攻击；四是事件响应严重滞后——2023年8月，一项声称影响超过1000万用户的数据盗窃声明被当作恶作剧处理，直到2023年10月公司在Reddit上发现被盗数据被公开出售才开始全面调查，延误达5个月之久。

【处罚决定】
ICO对23andMe处以2,310,000英镑罚款。在确定最终金额时，ICO考虑了该公司因在美国申请Chapter 11破产保护而财务状况恶化的因素以及其实施的补救措施，将罚款从初步意向的459万英镑大幅下调至231万英镑。本次处罚是ICO与加拿大隐私专员办公室（OPC）联合调查的结果。

【典型意义】
本案是全球数据保护史上首次对基因数据安全违规处以百万元级别罚款，具有里程碑意义。一是'数据敏感级别决定保护水平'的核心原则——ICO明确指出23andMe的安保措施未能反映其处理的基因数据的极端敏感性，这是对GDPR风险导向方法的直接适用：处理的数据越敏感，安全投入应越大。二是MFA从'推荐'升级为'默认期望'——ICO明确将未实施强制MFA列为违法事实，为企业设置了明确的技术合规基准线。三是破产保护不影响数据保护义务——尽管23andMe已申请破产，ICO仍然坚持罚款的必要性并明确表态'UK GDPR的保护和限制持续适用'，警示企业不能通过破产来逃避数据保护的法律责任。