Su genoma es el dato más personal que posee. Es inmutable, permite identificarle de forma inequívoca y está intrínsecamente ligado a su familia: revela información no solo sobre usted, sino también sobre sus familiares biológicos. A diferencia de una contraseña o incluso de una huella dactilar, los datos genómicos no pueden modificarse si se ven comprometidos. El marco jurídico que regula cómo se recopilan, tratan y protegen estos datos es más importante que para cualquier otra categoría de información personal.
Qué hace que los datos genéticos sean diferentes
Desde la perspectiva de la protección de datos, los datos genéticos presentan varias características que los diferencian de otros tipos de datos personales:
- Permanencia: Su genoma no cambia. Una filtración de datos genómicos supone una exposición permanente: no existe nada equivalente a restablecer una contraseña.
- Identificabilidad: Los datos genómicos permiten identificar a una persona por su propia naturaleza. Incluso los datos parciales del genoma pueden utilizarse para volver a identificar a una persona, como se ha demostrado en múltiples casos de genealogía forense.
- Heredabilidad: Sus datos genéticos revelan información sobre sus padres biológicos, hermanos e hijos. Una filtración no afecta únicamente a la persona, sino a toda su familia biológica.
- Capacidad predictiva: Los datos genéticos pueden predecir futuros problemas de salud, lo que podría dar lugar a discriminación en los seguros, el empleo y otros ámbitos si se accede a ellos de forma indebida.
Estas características implican que los datos genéticos requieren el máximo nivel de protección jurídica: no basta con una política corporativa, sino que se necesitan leyes de obligado cumplimiento que conlleven consecuencias reales en caso de infracción.
Cómo clasifica el RGPD los datos genéticos
El Reglamento General de Protección de Datos (RGPD), que entró en vigor en mayo de 2018, clasifica los datos genéticos como «datos de categoría especial» en virtud del artículo 9. Esta es la categoría con mayor protección en la legislación de la UE, junto con los datos relativos a la salud, el origen racial o étnico, los datos biométricos y la orientación sexual.
El tratamiento de datos de categorías especiales está prohibido por defecto. Solo se permite en virtud de un conjunto limitado de bases jurídicas, de las cuales la más relevante para la genómica es el consentimiento explícito (artículo 9, apartado 2, letra a). Este requisito es más estricto que las bases de «interés legítimo» o «necesidad contractual» aplicables a los datos personales ordinarios.
En la práctica, esto significa:
- Una empresa de genómica no puede tratar sus datos genéticos basándose en una casilla marcada de antemano ni en una cláusula oculta en los términos del servicio. El consentimiento debe otorgarse libremente y ser específico, informado e inequívoco.
- El consentimiento puede retirarse en cualquier momento (artículo 7, apartado 3), tras lo cual el responsable del tratamiento deberá dejar de tratar los datos y, previa solicitud, eliminarlos.
- Los datos solo pueden utilizarse para los fines específicos para los que se haya otorgado el consentimiento. Cualquier nuevo fin requiere un nuevo consentimiento.
Los derechos que el RGPD le otorga sobre su genoma
En virtud del RGPD, las personas disponen de un amplio conjunto de derechos sobre sus datos personales. En el caso de los datos genéticos, los más relevantes son:
- Derecho de acceso (art. 15): Puede solicitar una copia completa de todos los datos genéticos que se conservan sobre usted, junto con información sobre cómo se tratan y con quién se han compartido.
- Derecho de supresión (art. 17): Puede solicitar la eliminación permanente de sus datos genéticos. El responsable del tratamiento debe atender la solicitud en un plazo de 30 días.
- Derecho a la portabilidad de los datos (art. 20): Puede solicitar sus datos en un formato estructurado y legible por máquina, y transferirlos a otro proveedor.
- Derecho a la limitación del tratamiento (art. 18): Puede solicitar que se suspenda el tratamiento mientras se resuelve una controversia u objeción.
- Derecho de oposición (art. 21): Puede oponerse a determinados tipos de tratamiento, incluida la elaboración de perfiles.
No se trata de concesiones voluntarias. Son derechos legalmente exigibles, respaldados por autoridades de control con potestad para imponer multas de hasta el 4 % de la facturación anual global o 20 millones de euros.
RGPD frente a la protección de datos genéticos en EE. UU.
Estados Unidos no cuenta con una normativa federal equivalente al RGPD para los datos genéticos. El marco jurídico actual está fragmentado:
- GINA (2008): Impide la discriminación genética por parte de las aseguradoras de salud y los empleadores, pero no se aplica a los seguros de vida, de cuidados a largo plazo ni de discapacidad. No establece ninguna obligación en materia de tratamiento o almacenamiento de datos ni en caso de vulneración de datos.
- HIPAA: Se aplica únicamente a las entidades cubiertas (proveedores de atención médica y aseguradoras) y a sus socios comerciales. Las empresas de genómica de consumo que venden directamente a los consumidores no suelen considerarse entidades cubiertas.
- Leyes estatales: Un mosaico normativo. Illinois, California y algunos otros estados han promulgado leyes sobre la privacidad genética, pero la mayoría de los estados no cuentan con una ley específica de protección de datos genéticos.
El resultado es que, en la mayoría de los casos, la política de privacidad de una empresa de genómica con sede en Estados Unidos constituye un compromiso voluntario, no una obligación legal. Si la empresa cambia de propietario, quiebra o simplemente decide actualizar sus condiciones, la política puede cambiar. No existe ningún organismo regulador federal encargado específicamente de hacer cumplir la protección de los datos genéticos.
Por qué importa la jurisdicción, no solo la política de privacidad
La clave es que las protecciones del RGPD dependen de la jurisdicción. Se aplican a los datos tratados dentro de la UE, independientemente de la nacionalidad del interesado o del país en el que esté constituida la empresa que los recopiló. Si su genoma se secuencia y analiza en un laboratorio ubicado en la UE, el RGPD rige todo el ciclo de vida de los datos, desde la recepción de la muestra hasta la eliminación de los datos.
Esto significa que, aunque usted resida en Estados Unidos, sus datos genéticos procesados en la UE están protegidos por el RGPD. No se trata de una función que deba activar. Es una consecuencia automática del lugar donde se realiza el tratamiento.
El laboratorio asociado de Dante Labs se encuentra en Italia, un Estado miembro de la UE. Todos los genomas secuenciados por Dante se procesan bajo la jurisdicción del RGPD. Sus datos no pueden venderse, transferirse a terceros ni utilizarse para fines a los que usted no haya dado su consentimiento explícito; y esto está respaldado por la legislación de la UE, no por una promesa empresarial.
Qué significa esto en la práctica
Para quien esté considerando realizarse una prueba de secuenciación del genoma completo, la protección de los datos debería ser tan importante como la precisión de la prueba. Los datos que usted genera constituyen la información más personal que existe, y el marco jurídico que los regula determina qué se puede y qué no se puede hacer con ellos, no solo hoy, sino durante el resto de su vida.
El RGPD no es una certificación que se obtiene y se exhibe. Es la legislación vigente en el lugar donde se procesan sus datos. Y, en el caso de los datos genéticos —que son permanentes, identificativos, familiares y predictivos—, constituye el marco de protección más sólido disponible en cualquier parte del mundo.
Lea nuestra página completa sobre privacidad y gobernanza de datos →