Tu genoma en el marco del RGPD: por qué la normativa de protección de datos de la UE es el referente en materia de información genética

Tu genoma es el dato más personal que posees. Es inmutable, te identifica de forma única y es, por naturaleza, familiar: revela información no solo sobre ti, sino también sobre tus parientes biológicos. A diferencia de una contraseña o incluso de una huella dactilar, los datos genómicos no pueden modificarse si se ven comprometidos. El marco jurídico que regula la forma en que se recopilan, tratan y protegen estos datos es más importante que en cualquier otra categoría de información personal.

¿Qué diferencia a los datos genéticos?

Desde el punto de vista de la protección de datos, los datos genéticos presentan varias características que los distinguen de otros tipos de datos personales:

• Permanencia: tu genoma no cambia. Una filtración de datos genómicos supone una exposición permanente: no existe el equivalente a restablecer una contraseña.
• Identificabilidad: Los datos genómicos son intrínsecamente identificativos. Incluso los datos genómicos parciales pueden utilizarse para volver a identificar a las personas, tal y como han demostrado numerosos casos de genealogía forense.
• Heredabilidad: Tus datos genéticos revelan información sobre tus padres biológicos, hermanos e hijos. Una filtración no solo afecta a la persona en cuestión, sino a toda la familia biológica.
• Capacidad predictiva: los datos genéticos pueden predecir problemas de salud futuros, lo que crea un riesgo de discriminación en el ámbito de los seguros, el empleo y otros sectores si se accede a ellos de forma indebida.

Estas características implican que los datos genéticos requieren el máximo nivel de protección jurídica, no solo una política corporativa, sino una ley aplicable que conlleve consecuencias reales en caso de incumplimiento.

Cómo clasifica el RGPD los datos genéticos

El Reglamento General de Protección de Datos (RGPD), que entró en vigor en mayo de 2018, clasifica los datos genéticos como «datos de categorías especiales» en virtud del artículo 9. Se trata de la clasificación que goza de mayor protección en la legislación de la UE, junto con los datos relativos a la salud, el origen racial o étnico, los datos biométricos y la orientación sexual.

El tratamiento de datos de categorías especiales está prohibido por defecto. Solo se permite en virtud de un conjunto limitado de fundamentos jurídicos; el más relevante en el ámbito de la genómica es el consentimiento explícito (artículo 9, apartado 2, letra a)). Se trata de un criterio más estricto que los fundamentos del «interés legítimo» o la «necesidad contractual» que se aplican a los datos personales ordinarios.

En la práctica, esto significa:

• Una empresa de genómica no puede tratar tus datos genéticos basándose en una casilla de selección marcada de antemano o en una cláusula oculta en las condiciones del servicio. El consentimiento debe ser libre, específico, informado e inequívoco.
• El consentimiento puede retirarse en cualquier momento (artículo 7, apartado 3), y el responsable del tratamiento deberá entonces poner fin al tratamiento y, previa solicitud, suprimir los datos.
• Los datos solo podrán utilizarse para los fines específicos para los que se haya dado el consentimiento. Cualquier nuevo fin requerirá un nuevo consentimiento.

Los derechos que te otorga el RGPD sobre tu genoma

En virtud del RGPD, las personas físicas gozan de un amplio conjunto de derechos sobre sus datos personales. En lo que respecta a los datos genéticos, los más relevantes son:

• Derecho de acceso (art. 15): Puede solicitar una copia completa de todos los datos genéticos que se conservan sobre usted, junto con información sobre cómo se tratan y con quién se han compartido .
• Derecho de supresión (art. 17): Puede solicitar la supresión definitiva de sus datos genéticos. El responsable del tratamiento debe atender su solicitud en un plazo de 30 días.
• Derecho a la portabilidad de los datos (art. 20): Puede solicitar sus datos en un formato estructurado y legible por máquina y transferirlos a otro proveedor.
• Derecho a la limitación del tratamiento (art. 18): Puede solicitar que se suspenda el tratamiento mientras se resuelve una controversia u objeción.
• Derecho de oposición (art. 21): Puede oponerse a determinados tipos de tratamiento, incluida la elaboración de perfiles.

No se trata de simples gestos de cortesía. Son derechos legalmente exigibles respaldados por autoridades de control con competencia para imponer multas de hasta el 4 % de la facturación anual global o 20 millones de euros.

El RGPD frente a la protección de datos genéticos en EE. UU.

Estados Unidos no cuenta con una normativa federal equivalente al RGPD en materia de datos genéticos. El panorama jurídico actual es fragmentado:

• GINA (2008): Impide la discriminación genética por parte de las aseguradoras sanitarias y los empleadores, pero no se aplica a los seguros de vida, los seguros de cuidados de larga duración ni los seguros de incapacidad. No dice nada sobre el tratamiento de datos, su almacenamiento ni las obligaciones en caso de violación de la seguridad.
• HIPAA: Se aplica únicamente a las entidades sujetas a la normativa (proveedores de atención sanitaria, aseguradoras) y a sus socios comerciales. Las empresas de genómica dirigida al consumidor que venden directamente a los consumidores no suelen ser entidades sujetas a la normativa.
• Legislación estatal: un mosaico. Illinois, California y algunos otros estados han promulgado leyes sobre la privacidad genética, pero la mayoría de los estados carecen de una normativa específica sobre la protección de los datos genéticos.

El resultado es que la política de privacidad de una empresa de genómica con sede en Estados Unidos es, en la mayoría de los casos, un compromiso voluntario, no una obligación legal. Si la empresa cambia de propietario, quiebra o simplemente decide actualizar sus condiciones, la política puede cambiar. No existe ningún organismo regulador federal encargado específicamente de velar por la protección de los datos genéticos.

Por qué la jurisdicción —y no solo las políticas— es importante

Lo fundamental es que las protecciones del RGPD son jurisdiccionales. Se aplican a los datos tratados dentro de la UE, independientemente de la nacionalidad del interesado o del país de constitución de la empresa que los haya recopilado. Si tu genoma se secuencia y se analiza en un laboratorio con sede en la UE, el RGPD regula todo el ciclo de vida de los datos, desde la recepción de la muestra hasta la supresión de los datos.

Esto significa que, aunque seas residente en EE. UU., tus datos genéticos tratados en la UE están protegidos por el RGPD. No se trata de una opción que debas activar. Es una consecuencia automática del lugar en el que se lleva a cabo el tratamiento.

El laboratorio asociado a Dante Labs se encuentra en Italia, un Estado miembro de la UE. Cada genoma secuenciado por Dante se procesa bajo la jurisdicción del RGPD. Tus datos no pueden venderse, cederse a terceros ni utilizarse para fines para los que no hayas dado tu consentimiento explícito, y esto está respaldado por la legislación de la UE, no por una simple promesa corporativa.

Lo que esto significa en la práctica

Para alguien que esté considerando someterse a una prueba de secuenciación del genoma completo, la cuestión de la protección de datos debería ser tan importante como la de la precisión de la prueba. Los datos que se generan constituyen la información más personal que existe, y el marco jurídico que los regula determina lo que puede y lo que no puede suceder con esos datos, no solo hoy, sino durante el resto de su vida.

El RGPD no es una certificación que se obtiene y se exhibe. Es la legislación vigente en el país donde se tratan los datos. Y en el caso de los datos genéticos —que son permanentes, identificativos, familiares y predictivos—, constituye el marco de protección más sólido que existe en todo el mundo.

Lee nuestra página completa sobre privacidad y gestión de datos →