Váš genom v kontextu GDPR: Proč je ochrana osobních údajů v EU zlatým standardem pro genetické informace

Váš genom představuje nejintimnější osobní údaje, které vlastníte. Je neměnný, jednoznačně vás identifikuje a má ze své podstaty rodinný charakter – odhaluje informace nejen o vás, ale i o vašich biologických příbuzných. Na rozdíl od hesla nebo dokonce otisku prstu nelze genomová data v případě jejich zneužití změnit. Právní rámec, který upravuje způsob shromažďování, zpracování a ochrany těchto údajů, má větší význam než u jakékoli jiné kategorie osobních údajů.

V čem se genetická data liší

Z hlediska ochrany osobních údajů mají genetické údaje několik vlastností, které je odlišují od jiných typů osobních údajů:

• Trvalost: Váš genom se nemění. Únik genomických údajů znamená trvalé ohrožení – neexistuje zde ekvivalent k resetování hesla.
• Identifikovatelnost: Genomická data jsou ze své podstaty identifikovatelná. I částečná genomická data lze využít k opětovné identifikaci jednotlivců, jak dokládá řada případů z oblasti forenzní genealogie.
• Dědičnost: Vaše genetické údaje obsahují informace o vašich biologických rodičích, sourozencích a dětech. Únik těchto údajů nemá dopad pouze na jednotlivce – dotýká se celé biologické rodiny.
• Prediktivní schopnost: Genetické údaje mohou předpovídat budoucí zdravotní stav, což v případě neoprávněného přístupu k nim představuje riziko diskriminace v oblasti pojištění, zaměstnání a dalších oblastech.

Tyto vlastnosti znamenají, že genetické údaje vyžadují nejvyšší úroveň právní ochrany – nejde pouze o firemní zásady, ale o vymahatelný zákon s reálnými důsledky v případě jeho porušení.

Jak GDPR klasifikuje genetické údaje

Obecné nařízení o ochraně osobních údajů (GDPR), které vstoupilo v platnost v květnu 2018, klasifikuje genetické údaje podle článku 9 jako „údaje zvláštní kategorie“. Jedná se o nejvyšším stupněm chráněnou kategorii v právu EU, spolu s údaji o zdravotním stavu, rasovém či etnickém původu, biometrických údajích a sexuální orientaci.

Zpracování údajů zvláštních kategorií je ze zásady zakázáno. Je povoleno pouze na základě omezeného počtu právních důvodů – pro genomiku je nejrelevantnější výslovný souhlas (čl. 9 odst. 2 písm. a)). Jedná se o přísnější standard než důvody „oprávněného zájmu“ nebo „smluvní nezbytnosti“, které se vztahují na běžné osobní údaje.

V praxi to znamená:

• Společnost zabývající se genomikou nemůže zpracovávat vaše genetické údaje na základě předem zaškrtnutého políčka nebo skrytého ustanovení v podmínkách služby. Souhlas musí být udělen svobodně, musí být konkrétní, informovaný a jednoznačný.
• Souhlas lze kdykoli odvolat (článek 7 odst. 3) a správce údajů musí v takovém případě zpracování ukončit a na žádost údaje vymazat.
• Údaje lze použít pouze k těm konkrétním účelům, s nimiž byl udělen souhlas. K jakémukoli novému účelu je zapotřebí nový souhlas.

Práva, která vám GDPR přiznává v souvislosti s vaším genomem

Podle nařízení GDPR mají fyzické osoby rozsáhlá práva týkající se svých osobních údajů. V případě genetických údajů jsou nejdůležitější:

• Právo na přístup (článek 15): Můžete požádat o úplnou kopii všech genetických údajů, které o vás máme uloženy, spolu s informacemi o tom, jak jsou zpracovávány a komu byly poskytnuty.
• Právo na výmaz (čl. 17): Můžete požádat o trvalé vymazání svých genetických údajů. Správce údajů je povinen vaší žádosti vyhovět do 30 dnů.
• Právo na přenositelnost údajů (čl. 20): Můžete požádat o poskytnutí svých údajů ve strukturovaném, strojově čitelném formátu a předat je jinému poskytovateli.
• Právo na omezení zpracování (čl. 18): Můžete požádat o pozastavení zpracování po dobu, než bude vyřešen spor nebo námitka.
• Právo vznést námitku (čl. 21): Můžete vznést námitku proti určitým druhům zpracování, včetně profilování.

Nejedná se o dobrovolné laskavosti. Jde o právně vymahatelná práva, za jejichž dodržování dohlížejí orgány s pravomocí ukládat pokuty až do výše 4 % celosvětových ročních tržeb nebo 20 milionů eur.

GDPR versus ochrana genetických údajů v USA

Spojené státy nemají na federální úrovni ekvivalent GDPR pro genetické údaje. Stávající právní rámec je roztříštěný:

• Zákon GINA (2008): Zabraňuje genetické diskriminaci ze strany zdravotních pojišťoven a zaměstnavatelů, ale nevztahuje se na životní pojištění, pojištění dlouhodobé péče ani pojištění invalidity. Neobsahuje žádné ustanovení týkající se zpracování a uchovávání údajů ani povinností v případě jejich úniku.
• HIPAA: Vztahuje se pouze na subjekty, na které se zákon vztahuje (poskytovatelé zdravotní péče, pojišťovny), a jejich obchodní partnery. Společnosti zabývající se genomikou pro spotřebitele, které prodávají přímo spotřebitelům, obvykle nepatří mezi subjekty, na které se zákon vztahuje.
• Zákony jednotlivých států: nesourodá směsice. Illinois, Kalifornie a několik dalších států přijaly zákony na ochranu soukromí v oblasti genetických údajů, avšak většina států nemá žádný konkrétní zákon na ochranu genetických údajů.

Výsledkem je, že zásady ochrany osobních údajů americké genomické společnosti představují ve většině případů dobrovolný závazek – nikoli zákonnou povinnost. Pokud společnost změní majitele, zkrachuje nebo se prostě rozhodne aktualizovat své podmínky, mohou se tyto zásady změnit. Neexistuje žádný federální regulační orgán, který by měl konkrétně na starosti prosazování ochrany genetických údajů.

Proč je důležitá jurisdikce – a ne jen politika

Zásadním poznatkem je, že ochrana podle GDPR má jurisdikční charakter. Vztahuje se na údaje zpracovávané v rámci EU, a to bez ohledu na státní příslušnost subjektu údajů nebo zemi, v níž je zapsána společnost, která tyto údaje shromáždila. Pokud je váš genom sekvenován a analyzován v laboratoři se sídlem v EU, řídí GDPR celý životní cyklus údajů – od přijetí vzorku až po výmaz údajů.

To znamená, že i když máte bydliště v USA, na vaše genetické údaje zpracovávané v EU se vztahuje ochrana podle GDPR. Nejedná se o funkci, kterou je třeba aktivovat. Je to automatický důsledek místa, kde ke zpracování dochází.

Partnerská laboratoř společnosti Dante Labs se nachází v Itálii – členském státě EU. Každý genom sekvenovaný společností Dante je zpracováván v souladu s nařízením GDPR. Vaše údaje nemohou být prodány, předány třetí straně ani použity k účelům, s nimiž jste výslovně nesouhlasili – a toto je zaručeno právními předpisy EU, nikoli pouhým slibem společnosti.

Co to v praxi znamená

Pro každého, kdo uvažuje o testu sekvenování celého genomu, by otázka ochrany osobních údajů měla být stejně důležitá jako otázka přesnosti testu. Data, která tím vytváříte, představují ty nejosobnější informace, jaké existují – a právní rámec, který se na ně vztahuje, určuje, co se s těmito daty může a nemůže stát, a to nejen dnes, ale po celý zbytek vašeho života.

GDPR není certifikát, který lze získat a vystavit. Jedná se o zákon platný v zemi, kde jsou vaše údaje zpracovávány. A v případě genetických údajů – které jsou trvalé, identifikující, rodinné a prediktivní – představuje nejsilnější rámec ochrany, jaký je kdekoli na světě k dispozici.

Přečtěte si celou stránku o ochraně osobních údajů a správě dat →