Dit genom i henhold til GDPR: Hvorfor EU’s databeskyttelsesregler er den gyldne standard for genetiske oplysninger

Dit genom er de mest personlige data, du besidder. Det er uforanderligt, entydigt identificerende og i sagens natur familiært – det afslører ikke blot oplysninger om dig, men også om dine biologiske slægtninge. I modsætning til et adgangskode eller endda et fingeraftryk kan genomdata ikke ændres, hvis de kommer i forkerte hænder. De juridiske rammer, der regulerer, hvordan disse data indsamles, behandles og beskyttes, er af større betydning end for nogen anden kategori af personoplysninger.

Hvad der adskiller genetiske data

Set ud fra et databeskyttelsesperspektiv har genetiske data en række egenskaber, der adskiller dem fra andre typer af personoplysninger:

• Varighed: Dit genom ændrer sig ikke. Et datalæk, der involverer genomdata, medfører en permanent risiko – der findes ikke noget, der svarer til at nulstille en adgangskode.
• Identificerbarhed: Genomdata er i sagens natur identificerbare. Selv delvise genomdata kan bruges til at genidentificere enkeltpersoner, hvilket adskillige retsgenetiske sager har vist.
• Arvelighed: Dine genetiske data indeholder oplysninger om dine biologiske forældre, søskende og børn. Et databrud påvirker ikke kun den enkelte person — det påvirker hele den biologiske familie.
• Forudsigelsesevne: Genetiske data kan forudsige fremtidige helbredstilstande, hvilket skaber risiko for diskrimination inden for forsikring, beskæftigelse og andre områder, hvis der gives uretmæssig adgang til dem.

Disse egenskaber betyder, at genetiske data kræver den højeste grad af juridisk beskyttelse – ikke blot en virksomhedspolitik, men en lov, der kan håndhæves, og som medfører reelle konsekvenser ved overtrædelser.

Hvordan GDPR klassificerer genetiske data

Den generelle forordning om databeskyttelse (GDPR), der trådte i kraft i maj 2018, klassificerer genetiske oplysninger som »oplysninger af særlig karakter« i henhold til artikel 9. Dette er den kategori, der er underlagt den strengeste beskyttelse i EU-lovgivningen, på linje med oplysninger om helbred, race eller etnisk oprindelse, biometriske oplysninger og seksuel orientering.

Behandling af særlige kategorier af personoplysninger er som udgangspunkt forbudt. Det er kun tilladt på grundlag af et begrænset antal retsgrundlag — hvoraf det mest relevante for genomforskning er udtrykkeligt samtykke (artikel 9, stk. 2, litra a)). Dette er en strengere standard end de retsgrundlag, der vedrører »berettiget interesse« eller »kontraktmæssig nødvendighed«, som finder anvendelse på almindelige personoplysninger.

I praksis betyder det:

• Et genomforskningsfirma må ikke behandle dine genetiske data på baggrund af et forudafkrydset felt eller en skjult klausul i brugsbetingelserne. Samtykket skal være frivilligt, specifikt, informeret og utvetydigt.
• Samtykket kan til enhver tid trækkes tilbage (artikel 7, stk. 3), og den dataansvarlige skal derefter indstille behandlingen og på anmodning slette oplysningerne.
• Oplysningerne må kun anvendes til de specifikke formål, som der er givet samtykke til. Ethvert nyt formål kræver et nyt samtykke.

De rettigheder, som GDPR giver dig i forhold til dit genom

I henhold til GDPR har enkeltpersoner en række omfattende rettigheder i forhold til deres personoplysninger. For genetiske data er de mest relevante:

• Retten til indsigt (artikel 15): Du kan anmode om en fuldstændig kopi af alle de genetiske data, der opbevares om dig, samt oplysninger om, hvordan de behandles, og hvem de er blevet videregivet til.
• Retten til sletning (artikel 17): Du kan anmode om endelig sletning af dine genetiske data. Den dataansvarlige skal imødekomme anmodningen inden for 30 dage.
• Retten til dataportabilitet (artikel 20): Du kan anmode om at få dine data udleveret i et struktureret, maskinlæsbart format og overføre dem til en anden udbyder.
• Retten til begrænsning af behandlingen (artikel 18): Du kan anmode om, at behandlingen sættes i bero, indtil en tvist eller en indsigelse er afklaret.
• Retten til at gøre indsigelse (artikel 21): Du kan gøre indsigelse mod bestemte former for behandling, herunder profilering.

Dette er ikke blot høflighedsgestus. Det er juridisk håndhævelige rettigheder, der bakkes op af tilsynsmyndigheder, som har beføjelse til at pålægge bøder på op til 4 % af den globale årlige omsætning eller 20 millioner euro.

GDPR kontra amerikansk beskyttelse af genetiske data

USA har ikke nogen føderal lovgivning, der svarer til GDPR for genetiske data. Det nuværende lovgivningsmæssige landskab er fragmenteret:

• GINA (2008): Forhindrer genetisk diskrimination fra sundhedsforsikringsselskaber og arbejdsgivere, men omfatter ikke livsforsikring, plejeforsikring eller invaliditetsforsikring. Loven indeholder ingen bestemmelser om databehandling, opbevaring eller forpligtelser i forbindelse med brud på datasikkerheden.
• HIPAA: Gælder kun for omfattede enheder (sundhedsudbydere, forsikringsselskaber) og deres samarbejdspartnere. Genomforskningsvirksomheder, der sælger direkte til forbrugerne, er typisk ikke omfattede enheder.
• Statslovgivning: Et kludetæppe. Illinois, Californien og nogle få andre stater har vedtaget love om beskyttelse af genetiske oplysninger, men de fleste stater har ingen specifik lovgivning om beskyttelse af genetiske data.

Resultatet er, at et amerikansk genomforskningsfirmas privatlivspolitik i de fleste tilfælde er en frivillig forpligtelse – ikke en juridisk forpligtelse. Hvis firmaet skifter ejerskab, går konkurs eller blot beslutter at opdatere sine vilkår, kan politikken ændres. Der findes ingen føderal tilsynsmyndighed, der specifikt har til opgave at håndhæve beskyttelsen af genetiske data.

Hvorfor jurisdiktion – og ikke blot politik – er afgørende

Det afgørende er, at GDPR-beskyttelsen er jurisdiktionsbestemt. Den gælder for data, der behandles inden for EU, uanset den registreredes nationalitet eller det land, hvor det selskab, der har indsamlet dataene, er registreret. Hvis dit genom sekventeres og analyseres i et laboratorium i EU, regulerer GDPR hele datalivscyklussen – fra modtagelse af prøven til sletning af dataene.

Det betyder, at selvom du er bosiddende i USA, er dine genetiske data, der behandles i EU, omfattet af GDPR-beskyttelse. Dette er ikke en funktion, du skal tilvælge. Det er en automatisk følge af, hvor behandlingen finder sted.

Dante Labs' partnerlaboratorium ligger i Italien – et EU-land. Alle genomer, der sekventeres af Dante, behandles i henhold til GDPR-lovgivningen. Dine data kan ikke sælges, videregives til tredjepart eller anvendes til formål, som du ikke udtrykkeligt har givet samtykke til – og dette er sikret gennem EU-lovgivningen, ikke blot et løfte fra virksomheden.

Hvad det betyder i praksis

For en person, der overvejer at få foretaget en helgenomsekventering, bør spørgsmålet om databeskyttelse være lige så vigtigt som spørgsmålet om testens nøjagtighed. De data, du genererer, er de mest personlige oplysninger, der findes – og de lovgivningsmæssige rammer, der regulerer dem, afgør, hvad der må og ikke må ske med disse data, ikke kun i dag, men resten af dit liv.

GDPR er ikke en certificering, man opnår og kan fremvise. Det er lovgivningen i det land, hvor dine data behandles. Og for genetiske data – som er permanente, identificerbare, familiemæssige og forudsigelige – udgør den den stærkeste beskyttelsesramme, der findes i verden.

Læs vores fulde side om privatliv og datastyring →