- A 23andMe aplicou uma mudança nos termos que direciona disputas para arbitragem em vez de tribunais, depois de confirmar que o alcance da violação de segurança divulgada em outubro de 2023 foi de 6,9 milhões de pessoas no total
- No novo procedimento, o usuário precisa primeiro passar por pelo menos 60 dias de negociação informal com a equipe de suporte ao cliente e, se não houver resolução, normalmente o caso segue para arbitragem
- A cláusula de arbitragem, com algumas exceções, impede ações coletivas e arbitragens coletivas, dificultando uma resposta conjunta de usuários que sofreram o mesmo dano
- O usuário pode ficar de fora enviando uma notificação por escrito para arbitrationoptout@23andme.com em até 30 dias a partir da data de vigência ou outra data de referência aplicável, mas esse endereço não aparece no e-mail de aviso
- A mudança, aplicada em 30 de novembro de 2023, afeta inclusive usuários já impactados pela violação e reduz bastante a opção de recorrer aos tribunais em disputas futuras
Os termos mudaram após a violação de segurança
- A 23andMe, empresa de genômica pessoal e biotecnologia, vem lidando com a violação de segurança divulgada pela primeira vez em 6 de outubro de 2023
- Em 19 de outubro, o mesmo hacker que inicialmente assumiu a responsabilidade alegou outra invasão e disse ter acessado mais de 4 milhões de registros de perfis genéticos
- Em 4 de dezembro, a 23andMe confirmou que o alcance total da violação foi de 6,9 milhões de usuários
- Até 14 de outubro, várias pessoas já haviam aberto ações por negligência contra a 23andMe, e muitos usuários avaliaram que a resposta da empresa foi muito ruim
Pontos centrais do novo processo de resolução de disputas
- A 23andMe está promovendo uma mudança por meio da atualização dos Terms of Service, direcionando usuários para um processo de arbitragem vinculante
- Arbitragem vinculante é um procedimento em que as duas partes apresentam seus argumentos a um terceiro neutro, o árbitro, que analisa as provas e toma uma decisão
- O ponto central é que a decisão do árbitro é final e legalmente executável, de modo que ambas as partes precisam aceitá-la e não podem recorrer a um tribunal comum
- Esse formato é usado em contratos de consumo, disputas trabalhistas e conflitos empresariais, e muitas vezes é mais rápido e menos formal do que o processo judicial
Principais cláusulas incluídas nos termos
-
Período inicial de resolução de disputa
- Se tiver um problema relacionado aos serviços da 23andMe, o usuário deve primeiro entrar em contato com a equipe de suporte ao cliente
- Antes de avançar para a próxima etapa legal, deve tentar pelo menos 60 dias de negociação informal
- É necessário um e-mail detalhado com o conteúdo da disputa, quando ela ocorreu, a solução desejada e os dados de contato
- Se houver advogado, ele também deve discutir o caso com a 23andMe
-
Arbitragem em vez de tribunal
- Se não houver resolução em 60 dias, em geral o caso vai para arbitragem, e não para uma ação judicial comum
- O procedimento arbitral segue as regras da empresa de serviços de arbitragem JAMS
- Se houver muitas disputas semelhantes, pode ser usado um procedimento de Mass Arbitration por meio da NAM
-
Decisão do árbitro
- A decisão do árbitro é final
- O árbitro deve seguir a lei e pode conceder decisões que um tribunal também poderia conceder
-
Exceções à arbitragem
- Alguns assuntos, como disputas de propriedade intelectual e pequenas causas, podem ser levados ao tribunal pelo usuário ou pela 23andMe
-
Proibição de ação coletiva
- O usuário não pode abrir ação coletiva ou arbitragem coletiva contra a 23andMe junto com outras pessoas
- Cada disputa é tratada individualmente
-
Divisibilidade
- Mesmo que parte da cláusula de resolução de disputas seja considerada legalmente inexequível, o restante continua valendo
Impacto nas disputas relacionadas à violação de segurança
- Se surgir uma disputa com a 23andMe relacionada à violação de cibersegurança, o usuário deve primeiro tentar resolver com a equipe de suporte ao cliente
- Se não houver solução, o caso irá para arbitragem, e não para tribunal, salvo se se enquadrar em uma exceção
- Como não é possível abrir ação coletiva junto com outros usuários afetados pelo mesmo problema, diminui a possibilidade de resposta conjunta
- A mudança nos termos passou a valer em 30 de novembro de 2023 e também afeta usuários atingidos pela violação de segurança
Procedimento de opt-out em 30 dias
- A 23andMe começou a avisar os usuários por e-mail sobre a mudança nos termos de uso
- O usuário pode ficar de fora da cláusula de arbitragem e da renúncia à ação coletiva em até 30 dias a partir da data de referência da nova cláusula
- O e-mail de aviso não inclui a informação de que é preciso enviar um e-mail para arbitrationoptout@23andme.com, endereço de opt-out indicado nos termos atualizados
- De acordo com a prévia dos termos atualizados, o usuário deve enviar uma notificação por escrito para esse endereço se não quiser ficar vinculado à cláusula de arbitragem e à renúncia à ação coletiva
- A notificação deve ser enviada em até 30 dias a partir da data do primeiro uso do serviço ou da data de vigência dos termos que incluem a cláusula de arbitragem, ação coletiva e arbitragem coletiva
- Se o usuário optar por sair da cláusula de arbitragem, a 23andMe também não ficará vinculada a essa cláusula
Por que a arbitragem pode prejudicar o consumidor
- A Stanford Graduate School of Business publicou texto e pesquisas mostrando que a arbitragem pode funcionar em desvantagem do consumidor
- O texto considera o sistema de arbitragem desfavorável ao consumidor com base na análise de cerca de 9.000 casos de arbitragem do setor de valores mobiliários
- As empresas têm vantagem informacional para encontrar árbitros com maior chance de decidir a seu favor
- Os próprios árbitros sabem que, se agirem de forma favorável às empresas em um caso, aumentam muito as chances de serem escolhidos em casos futuros
- Esta mudança nos termos protege mais a própria 23andMe do que os consumidores e pode servir como barreira contra reclamações em massa de usuários caso ocorra outra violação de segurança em escala semelhante
Como escrever o e-mail de opt-out
- Se você foi afetado pela violação de segurança e quer ficar de fora da arbitragem obrigatória, pode enviar e-mail para os seguintes endereços
- legal@23andme.com
- customercare@23andme.com
- arbitrationoptout@23andme.com
- Um exemplo de assunto é
Request to Opt-Out of Updated TOS - O e-mail deve incluir o seguinte
- que se trata de um contato sobre a mudança nos termos de uso da 23andMe datada de 30 de novembro de 2023
- nome cadastrado na 23andMe
- endereço de e-mail vinculado à conta da 23andMe
- uma frase pedindo formalmente o opt-out dos termos de uso atualizados
- uma frase dizendo que você não concorda com as cláusulas descritas na atualização recente
- O usuário deve guardar a resposta e pedir explicitamente uma confirmação de que o opt-out foi processado
- Se houver outra violação no futuro, essa resposta servirá como prova de que o usuário não está vinculado à mudança dos termos
1 comentários
Opiniões no Hacker News
Quanto mais leio os termos de serviço, mais parece necessário haver uma solução ao estilo common law
Estou usando a expressão common law de forma solta aqui; por exemplo, seria algo como dividir serviços de software em algumas categorias predefinidas, como provedores de informação, redes sociais e interfaces com o mundo real, e estabelecer regras padrão para cada categoria
O varejo offline já tem uma estrutura parecida: cada loja não cria suas próprias regras como quiser, mas precisa operar dentro de normas sociais
A estrutura atual incentiva toda empresa a reivindicar nos termos o máximo possível de participação jurídica, e o resultado é a criação de Estados corporativos de fato. Muitas cláusulas seriam inexequíveis se contestadas em juízo, o que também enfraquece culturalmente o Estado de Direito, e o usuário fica sempre em uma posição de negociação muito desfavorável
Vários países europeus já têm bastante disso. Ao comprar algo pela internet, você pode devolver em até 14 dias se não gostar, tem garantias razoáveis asseguradas, e as empresas não podem abusar de dados pessoais sem consentimento explícito. Arbitragem vinculante obrigatória também não é permitida
Não é preciso tornar obrigatório um modelo de termos de uso; bastam leis básicas de proteção ao consumidor
Por isso, acho que o necessário não é common law, mas leis de verdade
O problema é que a lei precisa ser muito específica. Para impedir uma empresa de vender “meus dados”, primeiro é preciso definir o que são meus dados e o que são dados da empresa, e isso é mais difícil do que parece. Surgem questões como: o número do Seguro Social é algo que eu possuo, algo que o governo me emprestou, ou registros públicos são dados públicos?
Privacidade é apenas uma parte. Também é preciso tratar de finanças, se um serviço pode cortar o acesso de um usuário, o que acontece se ele nunca pagou, se postagens podem ser apagadas, se citações de postagens apagadas podem permanecer, se anunciantes podem mirar grupos demográficos específicos, e assim por diante
É difícil escrever esse tipo de coisa em lei, e criar uma lei que satisfaça a maioria das pessoas é quase impossível. Eu entendo essa demanda, mas há uma grande chance de você não gostar quando a lei finalmente for criada
Ao comprar uma casa, não se assina apenas uma vez; na prática, você assina todas as páginas e vários pontos da mesma página. Não há motivo para os termos serem diferentes
Em geral, não se pode abrir mão de direitos que ainda não se tem, então não dá para assinar uma cláusula de arbitragem vinculante antes de qualquer dano ter ocorrido
Além disso, há leis que limitam fortemente os termos ao definir os limites de condições gerais apresentadas a muitas pessoas, e também existem comissões de arbitragem de consumo que facilitam para consumidores lidarem com empresas
Este é um rascunho de solicitação de recusa da alteração dos termos que pode ser enviado para
arbitrationoptout@23andme.comAssunto: Request to Opt-Out of Updated TOS
23andMe Team,
I am contacting you regarding the recent changes to the 23andMe Terms of Service, dated November 30, 2023. My name is [your name as registered with 23andMe], and the email associated with my 23andMe account is [your 23andMe account email].
I hereby formally request to opt out of the newly updated Terms of Service. I do not consent to the terms as outlined in the recent update.
Thank you for processing my request promptly.
[Your Name]
arbitrationoptout@23andme.comNo e-mail que recebi, dizia “please notify us”, e o link era um link de e-mail para
legal@23andme.comUsei esse endereço ontem ao enviar uma mensagem dizendo que não concordava com os novos termos
Não envie apenas por e-mail; é preciso um meio de envio que permita provar que você enviou
É do tipo “se você não notificar, considera-se que concordou”; mas alterar os termos do contrato de serviço sem confirmação ou aceite do usuário é legal ou aplicável?
“A Amazon EU e a Amazon Digital UK tinham um procedimento que lhes permitia alterar unilateralmente os preços a partir do novo período de assinatura. Condições assim são especialmente prejudiciais ao consumidor em uma situação em que o cartão de pagamento está vinculado à conta e a empresa concede a si mesma o direito de cobrar automaticamente o novo valor no período de assinatura seguinte”
“Há muitos anos defendemos que os termos de um contrato devem regular de forma justa as obrigações das partes contratantes. Em serviços de assinatura cada vez mais populares, o consumidor confia no prestador do serviço e entrega os dados do cartão de pagamento para cumprir regularmente suas obrigações. Isso não significa que, a partir daí, a empresa possa cobrar mais do que o valor previamente aceito sem o consentimento do consumidor”
“Não é aceitável fazer cobranças automáticas conforme uma tabela de preços alterada, bloqueando fundos no cartão de pagamento vinculado, nem introduzir unilateralmente mudanças substanciais nos termos do contrato”
https://uokik.gov.pl/aktualnosci.php?news_id=20132 — comunicado em polonês
Aqui o caso é sobre a Amazon, mas o órgão também está investigando serviços de assinatura de outras empresas. A Amazon EU e a Amazon Digital UK cooperaram com o órgão e, daqui em diante, pretendem informar os clientes sobre mudanças previstas e permitir que eles as recusem e rescindam o contrato sem multa
Esse modelo já se aplica a provedores de internet, que não podem alterar contratos como quiserem. Ainda assim, eles podem incomodar por telefone oferecendo “um plano totalmente novo feito sob medida para você”
É possível pressionar empresas a mudarem seu comportamento, mas fica a dúvida se isso se aplicaria diretamente a um serviço específico como a 23andMe. Ainda assim, por causa desse vazamento de dados, autoridades de proteção de dados de vários países podem passar a examinar com mais atenção o que a 23andMe está fazendo
Isso é definido como algo que, “contrariando a exigência de boa-fé, causa um desequilíbrio significativo nos direitos e obrigações das partes no contrato, em prejuízo do consumidor”
https://www.legislation.gov.uk/ukpga/2015/15/section/62?view...
Ao ver a frase “para resolver disputas rapidamente e simplificar o procedimento de arbitragem quando várias reivindicações semelhantes forem apresentadas”, parece que alguém está se preparando para as consequências do vazamento de dados
Depois de um hack, parece absurdo que seja possível alterar os termos retroativamente para reduzir os danos causados por segurança deficiente
Se isso for possível, por que se preocupar com segurança? Bastaria mudar os termos depois. Acho que advogados competentes teriam bons argumentos para contestar isso
Independentemente dos termos, familiares que nunca concordaram com eles ainda podem ter legitimidade para processar
Será que um parente afetado pelo vazamento de dados, que não assinou os termos, vai liderar uma ação coletiva de valor trilionário?
A ação coletiva de que falo aqui não é do tipo que enriquece alguns advogados e permite que a empresa culpada se livre da responsabilidade pagando só uma pequena parte dos lucros indevidos, mas sim uma ação com o objetivo de fazer uma indústria propensa a abusos temer o público
Minha mãe usou esse serviço sem pensar muito e preencheu o formulário com os nomes de todos os parentes
O resultado que recebeu não foi nada útil e, agora, 50% do meu DNA está no banco de dados suspeito deles, e eu não tenho como recusar nada
Odeio muito essa organização
Mesmo que uma porcentagem surpreendentemente pequena da população mundial tenha seu genoma sequenciado, é possível associar amostras também a pessoas que não tiveram o genoma sequenciado. Nas palavras do artigo, “a genealogia genética podia funcionar como uma ferramenta universal de desanonimização”
Então talvez eu não precise ficar tão bravo por minha mãe ter se cadastrado. É difícil dizer que nosso DNA é nosso do mesmo modo que documentos em um disco rígido são nossos, e é bem possível que nunca tenha havido direito de recusa desde o início
“Foram expostas informações pessoais sensíveis relacionadas a árvores genealógicas, datas de nascimento e localizações geográficas aproximadas. Em alguns casos, a empresa disse que fotos e nomes de exibição de familiares conectados que usam o mesmo serviço também podem ter sido expostos, principalmente por meio das contas comprometidas. A 23andMe enfatiza que material genético real ou registros de DNA não foram expostos”
“Um porta-voz da 23andMe disse ao Engadget que o hacker acessou dessa forma os perfis DNAR de cerca de 5,5 milhões de clientes, além de informações de perfis de Family Tree de 1,4 milhão de participantes do DNA Relative”
“Perfis DNAR contêm não apenas informações autodeclaradas, como nome de exibição e localização, mas também detalhes sensíveis como a porcentagem de DNA compartilhado nas correspondências do DNA Relatives, nomes de família, relações previstas e relatórios de ancestralidade. Perfis de Family Tree contêm informações como nome de exibição e rótulos de parentesco, além de ano de nascimento e localização que o usuário tenha adicionado opcionalmente. Quando a violação foi divulgada pela primeira vez em outubro, a empresa afirmou que sua investigação indicou que ‘os resultados dos testes genéticos não vazaram’”
https://www.engadget.com/23andme-hack-now-estimated-to-affec...
Talvez o repórter da Stackdiary tenha traduzido “DNAR profile” como “genetic profile”, mas esse termo não tem uma definição padrão. Ainda assim, se houver uma definição, imagino que ela signifique pelo menos algumas informações de DNA
A 23andMe pode estar mentindo ou talvez nem saiba o que realmente aconteceu, mas, nesse caso, isso voltará a virar notícia quando novas divulgações se tornarem obrigatórias
Suponha que amanhã apareça um serviço de DNA responsável que use algo como privacidade diferencial para permitir compartilhar DNA e encontrar parentes preservando, em certa medida, a privacidade
Mesmo assim, ele nem conseguiria começar. Os parentes já estão neste serviço, ou no Ancestry, MyHeritage ou FamilyTreeDNA. Essas empresas também são, todas elas, megacorporações americanas ou israelenses nada limpas, e o quanto dá para confiar nelas é medido pela distância a que você consegue arremessá-las — menos de 1 polegada
Se um primo tivesse feito isso, você também poderia ser facilmente identificado. Basicamente, se qualquer parente de sangue usar um serviço desses, o usuário passa a ser facilmente identificável
Pode haver uma vantagem
Se a arbitragem vinculante forçada se aplicar, essas próprias empresas podem acabar dando um tiro no pé por não conseguirem lidar com milhares de casos individuais
https://www.nytimes.com/2020/04/06/business/arbitration-over...
“Se forem apresentadas 25 ou mais demandas de arbitragem que envolvam o mesmo assunto ou assunto semelhante e compartilhem questões comuns de direito ou de fato, e os advogados das partes que apresentaram as demandas forem os mesmos ou estiverem coordenados”, isso será considerado “Mass Arbitration”
Todas as disputas de arbitragem em massa serão resolvidas pela National Arbitration and Mediation, um “provedor de arbitragem reconhecido nacionalmente”
[1] https://arstechnica.com/tech-policy/2023/12/23andme-changes-...
Alguém poderia confirmar isso? Na UE/EEE/EFTA, a arbitragem vinculante obrigatória é permitida?
Se não, como ficam os clientes da França ou da Alemanha? Esse contrato parece totalmente inexequível.
Indo além, eu gostaria que fosse ilegal criar deliberadamente contratos inexequíveis. Empresas demais produzem contratos assustadores que uma pessoa comum não consegue entender, nem saber se são inexequíveis.
O artigo 10 da Diretiva 2013/11/UE determina que “os Estados-membros devem assegurar que um acordo entre um consumidor e um comerciante para submeter reclamações a uma entidade de RAL não seja vinculativo para o consumidor se tiver sido celebrado antes do surgimento da disputa e tiver o efeito de privar o consumidor do seu direito de recorrer aos tribunais para a resolução da disputa”.
https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:...
No entanto, isso não impede que, depois do surgimento da disputa, o cliente renuncie a seus direitos, por exemplo como parte de um acordo.
Isso porque, lá, testes de DNA sem ordem judicial são ilegais.