2026 年 10 月 19 日，加州总检察长 Rob Bonta 宣布与基因检测公司 23andMe（现用名 Chrome Holding Co.）达成 600 万美元和解，了结加州就 2023 年数据泄露及破产资产出售提出的全部主张。和解文件已提交密苏里东区联邦破产法院，尚待法院批准。这一案件把三个常被分开讨论的问题放在了一起：数据泄露后的“合理安全”责任、遗传数据在破产清算中能否被当作资产出售，以及买方接手数据后的合规边界。对任何计划收购、投资或承接美国用户数据资产的中资企业，这是一份值得细读的执法样本。
一、案件背景
据加州总检察长办公室公告，23andMe 总部设在旧金山，是最早、规模最大的直接面向消费者的基因检测公司之一，持有用户的原始 DNA 序列数据，并据此提供祖源、族裔和健康倾向报告。2023 年发生的数据泄露影响近 700 万美国用户，其中加州用户超过 85.5 万人。加州司法部随即展开调查，指其数据安全措施不合理，并存在误导用户和公众的陈述；2026 年 5 月，加州在州法院提起诉讼，并在破产程序中提出对应的债权主张。
2025 年 3 月，23andMe 申请破产，并把基因数据和生物样本出售给由其联合创始人、前 CEO 创立的非营利机构 TTAM Research Institute。加州曾以《遗传信息隐私法》（Genetic Information Privacy Act，GIPA）为据提出异议，主张转让遗传数据须取得用户单独、明确的同意。破产法院和联邦地区法院均驳回了这一异议，加州随后上诉。此次和解同时了结了该上诉。
二、和解的内容与未披露之处
公告披露的核心条款只有一项：600 万美元的支付。公告未说明禁令性救济、合规义务或第三方监督，也没有列明具体适用的条文。需要提醒的是，此类案件通常依据加州合理安全义务（Civil Code § 1798.81.5）、《不公平竞争法》（Business & Professions Code § 17200 起）等主张，但这属于一般性说明，而非公告所载，具体以和解文件为准。
另一项值得注意的内容是：和解不限制用户的权利。用户仍可要求删除其数据、销毁检测样本，并撤回研究用途的同意。这提示我们，即使资产已经完成转让，用户对数据的控制权在监管者眼中并不随之消失。
三、核心法律分析
第一，遗传数据的“同意”不能随资产一并转让。加州在破产案中的核心主张是：GIPA 要求对遗传数据的披露取得单独、明确的同意，破产出售不是例外。虽然两级法院都驳回了这一异议，加州仍坚持上诉并最终以和解收场，说明监管者把遗传数据视为一类需要重点保护的特殊资产。
第二，泄露后的责任不因企业破产而消灭。加州在破产程序中提出了对应债权，最终拿到了现金结果。对买方而言，这意味着“数据在、责任也在”的风险需要在交易前评估，而不能指望破产出售切断历史问题。
第三，对外陈述必须与实际安全水平一致。案件指控中包含对泄露严重程度的误导。这与德州近期对 Temu 一类案件的思路相近：以“不实陈述”为切入点，比证明违反某一部具体隐私法更直接。
第四，跨境视角：遗传数据还受 DOJ 数据安全计划约束。美国司法部依据第 14117 号行政令制定的《数据安全计划》（28 C.F.R. Part 202）把人类基因组数据列为“敏感个人数据”，对向“受关注国家”（含中国）及相关主体转让设定了限制，数量门槛按我们的理解为 100 名美国人以上，具体门槛与例外请以最新法规文本为准。对中资企业而言，即使是正常的商业并购或投资，只要标的持有美国用户的基因组数据，就可能同时落入州法与联邦法两条审查线。
四、对中资企业的合规要点
1. 并购与投资前做“数据资产尽调”。核实标的持有的数据类型、来源与同意范围，特别是遗传、健康、生物识别等敏感类别，判断当初的同意是否覆盖转让和新用途。
2. 评估 DOJ 数据安全计划的适用。对持有美国人基因组或其他“组学”数据的标的，先判断是否触及受限交易，再设计交易结构、尽调与审计记录。
3. 梳理泄露历史与对外陈述。历史泄露、监管调查与隐私政策中的安全承诺，应作为交易披露与陈述保证的重点。
4. 为用户权利留出通道。无论资产如何转让，用户的删除、样本销毁和撤回同意请求都应有可执行的流程，并保留处理记录。
5. 境内访问与存储同步核对。若数据可被中国境内团队访问，须确认访问路径、权限和合同限制与美国侧承诺一致。
五、格知律所如何协助
针对上述风险，格知律所可为中资企业提供数据资产并购尽调、敏感数据（含遗传和健康数据）同意与隐私政策审阅、DOJ 数据安全计划适用性与交易结构评估、数据泄露应急响应及州总检察长调查应对，并协助搭建用户删除与撤回同意的处理流程，使美国侧承诺与境内系统的实际运行保持一致。
六、结语与展望
和解尚待破产法院批准，其最终文本是否包含更多合规条款，仍有待观察。可以确定的是，遗传数据正成为州级执法和联邦跨境监管的交汇点：同意、泄露责任和跨境访问，任何一环在交易中被忽略，都可能在事后以执法形式回到企业身上。建议相关企业尽早把数据尽调与合规设计前置到交易流程中。
本文仅为一般性信息，不构成法律意见。事实依据加州总检察长办公室 2026 年 10 月 19 日公告及公开报道。