Вашият геном в контекста на Общия регламент за защита на данните (GDPR): Защо защитата на данните в ЕС е златният стандарт за генетичната информация

Вашият геном е най-личната информация, с която разполагате. Той е неизменен, служи за еднозначна идентификация и по своята същност е свързан със семейството — той разкрива информация не само за вас, но и за вашите биологични роднини. За разлика от парола или дори пръстов отпечатък, геномните данни не могат да бъдат променени, ако бъдат компрометирани. Правната рамка, регулираща начина, по който тези данни се събират, обработват и защитават, е от по-голямо значение, отколкото при която и да е друга категория лична информация.

Какво отличава генетичните данни

От гледна точка на защитата на данните генетичните данни притежават няколко характеристики, които ги отличават от други видове лични данни:

• Непроменливост: Вашият геном не се променя. Нарушение на сигурността, засягащо геномни данни, води до трайно излагане на риск — няма еквивалент на промяната на паролата.
• Идентифицируемост: Геномните данни по своята същност позволяват идентифициране. Дори частични геномни данни могат да бъдат използвани за повторно идентифициране на лица, както показват множество случаи от съдебната генеалогия.
• Наследственост: Вашите генетични данни разкриват информация за вашите биологични родители, братя и сестри, както и за вашите деца. Нарушение на сигурността засяга не само отделния човек — то засяга цялото биологично семейство.
• Прогностична стойност: Генетичните данни могат да предскажат бъдещи здравословни състояния, което създава риск от дискриминация в областта на застраховането, трудовата заетост и други сфери, ако достъпът до тях е неправомерен.

Тези характеристики означават, че генетичните данни изискват най-високата степен на правна защита — не само корпоративна политика, а приложимо законодателство с реални последствия при нарушения.

Как GDPR класифицира генетичните данни

Общият регламент за защита на данните (GDPR), който влезе в сила през май 2018 г., класифицира генетичните данни като „данни от специална категория“ съгласно член 9. Това е категорията с най-висока степен на защита в законодателството на ЕС, наред с данните за здравето, расовия или етническия произход, биометричните данни и сексуалната ориентация.

Обработката на данни от специални категории е забранена по подразбиране. Тя е допустима само при наличието на ограничен набор от правни основания — като най-уместното за геномиката е изричното съгласие (член 9, параграф 2, буква а)). Това е по-висок стандарт в сравнение с основанията „легитимен интерес“ или „договорна необходимост“, които се прилагат за обикновените лични данни.

На практика това означава:

• Една компания, занимаваща се с геномика, не може да обработва вашите генетични данни въз основа на предварително отбелязана опция или скрита клауза в общите условия за ползване. Съгласието трябва да бъде дадено доброволно, конкретно, информирано и недвусмислено.
• Съгласието може да бъде оттеглено по всяко време (член 7, параграф 3), като в такъв случай администраторът на данни трябва да преустанови обработката и, при поискване, да изтрие данните.
• Данните могат да се използват само за конкретните цели, за които е дадено съгласие. Всяка нова цел изисква ново съгласие.

Правата, които GDPR ви предоставя по отношение на вашия геном

Съгласно Общия регламент за защита на данните (GDPR) физическите лица разполагат с широк набор от права по отношение на личните си данни. По отношение на генетичните данни най-важните са:

• Право на достъп (чл. 15): Можете да поискате пълно копие на всички генетични данни, съхранявани за Вас, както и информация за това как се обработват и на кого са били предоставени .
• Право на изтриване (чл. 17): Можете да поискате окончателно изтриване на вашите генетични данни. Администраторът на данни е длъжен да изпълни искането в срок от 30 дни.
• Право на преносимост на данните (чл. 20): Можете да поискате данните си в структуриран, машинно четим формат и да ги прехвърлите към друг доставчик.
• Право на ограничаване на обработката (чл. 18): Можете да поискате обработката да бъде временно преустановена, докато се разреши спорът или възражението.
• Право на възражение (чл. 21): Можете да възразите срещу определени видове обработка, включително профилирането.

Това не са доброволни жестове на любезност. Става дума за правно защитени права, подкрепени от надзорни органи, които имат правомощия да налагат глоби в размер до 4 % от глобалния годишен приход или 20 милиона евро.

GDPR срещу защитата на генетичните данни в САЩ

В Съединените щати няма федерален еквивалент на Общия регламент за защита на данните (GDPR) по отношение на генетичните данни. Настоящата правна обстановка е фрагментирана:

• GINA (2008): Предотвратява генетичната дискриминация от страна на здравните застрахователи и работодателите, но не обхваща застраховките „Живот“, застраховките за дългосрочни грижи или застраховките за инвалидност. В нея не се споменава нищо относно обработката, съхранението или задълженията при нарушаване на сигурността на данните.
• HIPAA: Прилага се само за субекти, попадащи в обхвата на закона (здравни доставчици, застрахователи) и техните бизнес партньори. Компаниите за потребителска геномика, които продават директно на потребителите, обикновено не са субекти, попадащи в обхвата на закона.
• Законодателство на щатско равнище: мозайка от разпоредби. Илинойс, Калифорния и още няколко щата са приели закони за защита на генетичната информация, но в повечето щати липсва конкретен закон за защита на генетичните данни.

В резултат на това политиката за поверителност на американска компания за геномни изследвания в повечето случаи представлява доброволен ангажимент, а не правно задължение. Ако компанията смени собственика си, фалира или просто реши да актуализира условията си, политиката може да се промени. Няма федерален регулаторен орган, на който конкретно да е възложено да следи за спазването на мерките за защита на генетичните данни.

Защо юрисдикцията — а не само политиката — е от значение

Ключовият извод е, че защитните мерки по GDPR са с юрисдикционен характер. Те се прилагат към данни, обработвани на територията на ЕС, независимо от националността на субекта на данните или държавата на регистрация на компанията, която ги е събрала. Ако вашият геном бъде секвениран и анализиран в лаборатория, намираща се в ЕС, GDPR регулира целия цикъл на данните — от получаването на пробата до изтриването на данните.

Това означава, че дори ако сте жител на САЩ, вашите генетични данни, обработвани в ЕС, се ползват със защитата на Общия регламент за защита на данните (GDPR). Това не е опция, за която трябва да дадете съгласие. Това е автоматично следствие от мястото, където се извършва обработката.

Партньорската лаборатория на Dante Labs се намира в Италия — държава-членка на ЕС. Всеки геном, секвениран от Dante, се обработва в съответствие с разпоредбите на Общия регламент за защита на данните (GDPR). Вашите данни не могат да бъдат продавани, предавани на трети страни или използвани за цели, за които не сте дали изричното си съгласие — и това се гарантира от законодателството на ЕС, а не от корпоративно обещание.

Какво означава това на практика

За всеки, който обмисля да си направи тест за секвениране на целия геном, въпросът за защитата на данните трябва да бъде толкова важен, колкото и въпросът за точността на теста. Данните, които генерирате, са най-личната информация, която съществува — и правната рамка, която я регулира, определя какво може и какво не може да се случи с тези данни, не само днес, а за остатъка от живота ви.

GDPR не е сертификат, който се получава и се показва. Това е законодателството на държавата, в която се обработват вашите данни. А за генетичните данни — които са постоянни, идентифициращи, свързани със семейството и предсказващи — той представлява най-силната рамка за защита, налична навсякъде по света.

Прочетете цялата ни страница за поверителност и управление на данните →