¿Es seguro subir sus datos de ADN en bruto? Lista de comprobación para sitios de terceros

Depende de tres cosas: cuánto tiempo conserva el sitio su archivo, qué ley se aplica donde está el servidor y si el sitio necesita realmente la subida. Un archivo de ADN en bruto no se puede cambiar como una contraseña, y sus familiares comparten la mayor parte de él. Súbalo solo cuando ninguna herramienta que funcione en su dispositivo haga el trabajo, y solo después de las siete comprobaciones que siguen.

Qué puede salir mal#

Ocho años de incidentes muestran lo que le puede ocurrir a un archivo subido. Todos los enlaces de esta sección se comprobaron el 14 de octubre de 2026.

Fuerzas del orden: GEDmatch, 2018

En abril de 2018, la policía identificó al sospechoso de ser el Golden State Killer subiendo ADN de la escena del crimen a GEDmatch, un sitio de búsqueda de parientes para genealogía, y rastreando a los familiares que devolvió. En mayo de 2019, el sitio pasó a exigir el consentimiento expreso de cada usuario para las búsquedas policiales; en diciembre de 2019 se vendió a Verogen, una empresa de secuenciación forense, que Qiagen adquirió en 2023 (Wikipedia, GEDmatch). Las reglas y los propietarios cambian después de que usted suba el archivo.

Extracción por otros usuarios: el estudio sobre GEDmatch, 2020

Investigadores de la Universidad de Washington demostraron que, subiendo a GEDmatch unos pocos archivos construidos a propósito y lanzando búsquedas corrientes de parientes, se podía extraer el 92 % de los marcadores de otro usuario con una exactitud del 98 %, entre ellos cientos relacionados con la salud (Ney, Ceze y Kohno, NDSS 2020).

La filtración de 23andMe, 2023

Nadie entró por la fuerza en los servidores de 23andMe. Los atacantes reutilizaron contraseñas filtradas en otros sitios para acceder a unas 14 000 cuentas y después usaron las funciones DNA Relatives y Family Tree para leer los perfiles de unos 6,9 millones de personas (TechCrunch, 4 de diciembre de 2023). El 17 de junio de 2025, la Information Commissioner's Office (ICO) del Reino Unido impuso a la empresa una multa de 2,31 millones de libras, por no exigir la autenticación multifactor y por haber descartado como un bulo un aviso de robo en agosto de 2023; resultaron afectados 155 592 residentes en el Reino Unido (ICO).

La venta por quiebra, 2025

23andMe se acogió al capítulo 11 el 23 de marzo de 2025. Regeneron ofreció 256 millones de dólares; TTAM Research Institute, una organización sin ánimo de lucro fundada por Anne Wojcicki, la superó con 305 millones. El tribunal aprobó la venta el 27 de junio de 2025 y se cerró el 14 de julio de 2025 (AP vía ClickOnDetroit, 1 de julio de 2025; Wikipedia, 23andMe). A mediados de junio, 1,9 millones de clientes, alrededor del 15 % del total, habían pedido que se borraran sus datos (TechCrunch, 14 de junio de 2025). Nuestro análisis de la quiebra de 23andMe explica lo que prometió el comprador.

Políticas que cambian después de la subida

En septiembre de 2023, la FTC dio carácter definitivo a una resolución contra 1Health.io, antes Vitagene, a la que acusaba de guardar datos genéticos sin cifrar en espacios de almacenamiento en la nube accesibles públicamente y de haber cambiado en 2020 su política de privacidad para ampliar el intercambio con terceros, un cambio que aplicó con carácter retroactivo, sin aviso ni consentimiento. La empresa pagó 75 000 $ (FTC, 7 de septiembre de 2023). En Estados Unidos, la ley HIPAA no suele regular a las empresas de test genéticos de venta directa al consumidor, por lo que la política de privacidad es a menudo el único contrato que usted tiene (Epstein Becker Green, 2019).

Reidentificación

Un genotipo sin nombre no es anónimo. En 2013, Gymrek y sus colegas recuperaron los apellidos de participantes en investigaciones a partir de marcadores del cromosoma Y y de sitios públicos de genealogía (Science, 2013). En 2018, Erlich y sus colegas utilizaron 1,28 millones de genomas de consumidores para estimar que alrededor del 60 % de las búsquedas de una persona de ascendencia europea devolverían un primo tercero o un pariente más cercano, suficiente para identificarla con unos pocos datos demográficos (Science, 9 de noviembre de 2018).

La lista de comprobación en siete puntos#

Hágase estas preguntas antes de elegir un archivo en cualquier cuadro de diálogo de subida. Si las páginas del propio sitio no permiten responder a alguna, considere que la respuesta es no.

1. ¿Necesita realmente la subida? Unos pocos rsID se pueden buscar a mano en SNPedia o dbSNP. Varias herramientas analizan el archivo completo dentro de la pestaña del navegador (tabla más abajo). Si existe una opción que funcione en su dispositivo para esa tarea, la subida es un coste sin ningún beneficio.

2. ¿Cuánto tiempo se conserva el archivo? Promethease afirma que los archivos y los informes se borran inmediatamente después de la entrega y que todos los archivos almacenados anteriormente se borraron de forma permanente el 8 de abril de 2025, cuando dejó de ofrecer almacenamiento (política de privacidad de Promethease, consultada el 14 de octubre de 2026). Genetic Genie afirma que los datos genéticos se borran inmediatamente después del procesamiento y los archivos generados en un plazo de 24 horas; su política se modificó por última vez el 27 de noviembre de 2019 (política de privacidad de Genetic Genie, consultada el 14 de octubre de 2026). Busque una cifra, no un adjetivo, y pregúntese por qué una política lleva años sin tocarse.

3. ¿Puede borrarlo y qué abarca el borrado? El borrado debería incluir las copias de seguridad, los registros y cualquier conjunto de datos de investigación al que se haya copiado el archivo, y la política debería decirlo. 23andMe tramitó 1,9 millones de solicitudes de borrado en menos de tres meses.

4. ¿Qué jurisdicción? El lugar donde está el servidor decide qué ley le protege. En la UE, los datos genéticos son una categoría especial según el artículo 9 del RGPD y solo se tratan al amparo de una excepción, como el consentimiento explícito. La ley suiza de protección de datos revisada, en vigor desde el 1 de septiembre de 2023, incluye los datos genéticos entre los datos personales sensibles (DLA Piper, consultado el 14 de octubre de 2026). En Estados Unidos, la HIPAA no suele aplicarse y la FTC actúa caso por caso. Nada de esto constituye asesoramiento jurídico; compruebe cómo se aplican las normas a su situación.

5. ¿Cómo gana dinero el sitio? Un pago único es fácil de entender. La falta de financiación visible, una suscripción basada en conservar su archivo o una base de datos como principal activo crean motivos para quedarse con los datos. Lea las cláusulas sobre intercambio de datos, investigación y cambio de propietario; 1Health.io demuestra que pueden reescribirse después de la subida.

6. Historial de filtraciones y seguridad básica. Busque el nombre de la empresa junto con «breach», «ICO» y «FTC». Compruebe si la autenticación multifactor es obligatoria y no opcional; su ausencia fue una de las conclusiones de la ICO contra 23andMe.

7. ¿Puede verificar algo de todo esto? Las políticas son promesas. Hay tres cosas que sí se pueden comprobar: lo que su navegador envía realmente, si la herramienta sigue funcionando sin conexión a la red y si el código fuente es público.

Herramientas que nunca suben nada#

Estas herramientas leen su archivo en su dispositivo. Nosotros desarrollamos una de ellas, así que tome nuestra fila como una descripción, no como un veredicto, y haga la comprobación con las herramientas para desarrolladores en las cinco.

Los precios y las citas se comprobaron en cada sitio el 14 de octubre de 2026 (Allelix en PyPI, analyze.allelix.io). Genetic Lifehacks explica mejor que nuestras tablas qué hacer con un resultado, GenomeInsight cubre las interacciones entre fármacos y genes, y Allelix y snp-browser publican su código fuente. Lo que aportamos nosotros es el precio y el alcance: 12 110 asociaciones principales con significación de genoma completo en 409 rasgos del catálogo, en un solo PDF de USD 5, con un método que usted puede leer.

Cómo comprobarlo con las herramientas para desarrolladores#

Cada fila de esa tabla se puede comprobar en treinta segundos, siguiendo nuestra página de seguridad:

1. Abra la herramienta y seleccione su archivo de ADN en bruto; no inicie todavía el análisis.
2. Abra las herramientas para desarrolladores del navegador (F12, o Cmd-Option-I en un Mac) y vaya a la pestaña Red.
3. Inicie el análisis y observe la lista de solicitudes.
4. Busque cualquier solicitud del tamaño de su archivo, decenas de megabytes, que salga de la página. En nuestra página de la cuenta verá una única descarga del módulo del generador y dos solicitudes pequeñas que reservan y completan un crédito (la primera lleva el tipo de informe y su confirmación de consentimiento, la segunda no tiene cuerpo), además de un evento de analítica que indica el tipo de informe, el idioma, el proveedor y la duración.

Una subida del tamaño de su archivo significa que su ADN ha salido de su dispositivo, diga lo que diga la página de inicio. En las herramientas sin cuenta, una segunda prueba consiste en cargar la página, desconectarse de la red y volver a ejecutar el análisis; un analizador local sigue funcionando. Para saber qué ven y qué no ven nuestros servidores, lea cómo protegemos su ADN.

Preguntas frecuentes#

¿Es seguro subir datos de ADN en bruto a un sitio de terceros?

Solo después de comprobar la conservación, el borrado, la jurisdicción, el modelo de negocio y el historial de filtraciones, y solo si ninguna herramienta que funcione en su dispositivo hace el trabajo. El archivo le identifica a usted y a sus familiares de por vida, y las búsquedas en GEDmatch, la filtración de 23andMe y la venta de 2025 tomaron por sorpresa a las personas afectadas.

¿Se puede vincular un archivo de ADN en bruto conmigo sin mi nombre?

A menudo, sí. Un estudio de 2018 con 1,28 millones de genomas de consumidores estimó que alrededor del 60 % de las búsquedas de una persona de ascendencia europea encontrarían un primo tercero o un pariente más cercano; después, unos pocos datos demográficos reducen la coincidencia a una sola persona. Trabajos anteriores ya habían recuperado apellidos solo a partir de marcadores del cromosoma Y.

Si borro mis datos en la empresa del test, ¿desaparecen de todas partes?

El borrado en su proveedor elimina la copia de este, con las salvedades de su política sobre copias de seguridad y conjuntos de datos de investigación. No hace nada con las copias que usted haya subido a otros sitios; cada sitio necesita su propia solicitud. Nuestra guía para descargar y después eliminar sus datos de 23andMe cubre la parte del proveedor.

¿Es seguro subir el archivo a Promethease?

Promethease afirma que los archivos subidos y los informes se borran inmediatamente después de la entrega, que ya no ofrece almacenamiento y que los datos se procesan en Estados Unidos bajo la propiedad de MyHeritage (consultado el 14 de octubre de 2026). Sigue siendo una subida, así que la lista de comprobación se aplica íntegramente; nuestro análisis de Promethease da los detalles.

¿Qué hago con mi archivo de ADN en bruto si decido no subirlo?

Guárdelo cifrado en dos lugares y después use herramientas que lo lean en su dispositivo: un informe de salud o nutricional generado en su navegador, una búsqueda gen por gen o un flujo de análisis de código abierto. Nuestro artículo sobre qué hacer con los datos de ADN en bruto ordena las opciones según el objetivo, y la guía de descarga explica cómo obtener el archivo.