Nach Angaben der AEPD meldete 23andMe den Vorfall den spanischen Behörden erst 12 Tage, nachdem das Unternehmen davon erfahren hatte. In ihrer Entscheidung betont die Behörde, die Pflicht zur unverzüglichen Meldung sei „nicht trivial“, weil frühe Gegenmaßnahmen entscheidend seien.
Im Zentrum der Entscheidung stehen die Schutzmaßnahmen rund um Konten und Zugangsdaten. Die AEPD führt aus, dass die Sicherheitsvorkehrungen von 23andMe für besonders sensible genetische Daten die Anforderungen der Datenschutz-Grundverordnung nicht erfüllt hätten. Als wesentlichen Faktor für den Credential-Stuffing-Angriff nennt die Behörde das Fehlen einer verpflichtenden Multifaktor-Authentifizierung.
Hinzu kam laut Beschluss, dass das Unternehmen keine Begrenzungen pro IP-Adresse für den Zugriff auf Daten, für Anfragen oder für Downloads eingerichtet hatte. Auch die Datenschutzrichtlinie von 23andMe sei in diesem Punkt unzureichend gewesen. Der Beschluss hält fest, dass sie nur einen einzigen Verweis auf Zugangsdaten für Konten enthalte und weder konkrete Anforderungen an die Stärke von Passwörtern noch eine Pflicht zu deren regelmäßiger Änderung nenne.
Besonders auffällig ist für die AEPD, dass 23andMe in einem Geschäftsbericht vom Mai 2023 selbst ausführlich auf Ransomware und andere Cyberbedrohungen einging. Der von der Behörde auf der Website des Unternehmens gefundene Bericht erklärte, der Anstieg globaler Cybersicherheitsbedrohungen sowie ausgefeiltere und gezieltere Cyberkriminalität gefährdeten die Sicherheit der Systeme und Netzwerke ebenso wie Vertraulichkeit, Verfügbarkeit und Integrität der Daten.
In demselben Bericht wies 23andMe laut der spanischen Entscheidung außerdem darauf hin, dass ein Sicherheits- oder Datenschutzvorfall mit Offenlegung von Kundendaten das Unternehmen dazu zwingen könne, Gesetze zur Meldung von Datenschutzverletzungen einzuhalten. Zudem könne dies erhebliche Kosten für Abhilfemaßnahmen verursachen, ebenso Aufwendungen zur Verhinderung künftiger Vorfälle, mögliche Erhöhungen von Versicherungsprämien sowie Sicherheitsprüfungen oder forensische Untersuchungen.
Unabhängig von dem spanischen Bußgeld einigte sich 23andMe am 15. Juli mit einem Bündnis von 42 Generalstaatsanwälten aus US-Bundesstaaten auf einen Vergleich über 18 Millionen Dollar. Im Rahmen dieser Einigung sagte das Unternehmen zu, beim 23andMe Research Institute neue Maßnahmen zum Datenschutz umzusetzen. Das Institut ist eine gemeinnützige Ausgründung des Unternehmens und wird von der früheren 23andMe-Chefin Anne Wojcicki geleitet.