A genomod a GDPR szerint: Miért jelent az uniós adatvédelem az arany standardot a genetikai információk terén?

A genomod a legszemélyesebb adat, amellyel rendelkezel. Változatlan, egyedi azonosító jellegű és természeténél fogva családi jellegű – nem csupán rólad, hanem biológiai rokonairól is információkat árul el. Ellentétben a jelszóval vagy akár az ujjlenyomattal, a genomikus adatok nem módosíthatók, ha azok birtokába kerülnek. Az a jogi keret, amely ezeknek az adatoknak a gyűjtését, feldolgozását és védelmét szabályozza, sokkal fontosabb, mint bármely más személyes adatkategória esetében.

Mi különbözteti meg a genetikai adatokat

Az adatvédelem szempontjából a genetikai adatoknak számos olyan tulajdonsága van, amely megkülönbözteti őket a többi személyes adattól:

• Változatlanság: A genomod nem változik. A genomikus adatokkal kapcsolatos adatvédelmi incidens visszafordíthatatlan kockázatot jelent – nincs olyan megoldás, mint a jelszó visszaállítása.
• Azonosíthatóság: A genomikus adatok természetüknél fogva személyazonosító jellegűek. Még a részleges genomikus adatok is felhasználhatók az egyének újbóli azonosítására, amint azt számos törvényszéki genealógiai eset is bizonyítja.
• Öröklődés: A genetikai adataid információkat tartalmaznak biológiai szüleidről, testvéreidről és gyermekeidről. Egy adatvédelmi incidens nem csupán az egyént érinti – hanem az egész biológiai családot.
• Előrejelző képesség: A genetikai adatok alapján előre lehet jelezni a jövőbeli egészségi állapotot, ami nem megfelelő hozzáférés esetén diszkriminációhoz vezethet a biztosítási, a munkaügyi és más területeken.

Ezek a tulajdonságok azt jelentik, hogy a genetikai adatokra a legmagasabb szintű jogi védelemre van szükség – nem csupán vállalati szabályzatra, hanem végrehajtható jogszabályra, amelynek megsértése valódi következményekkel jár.

Hogyan osztályozza a GDPR a genetikai adatokat

A 2018 májusában hatályba lépett általános adatvédelmi rendelet (GDPR) 9. cikke a genetikai adatokat „különleges kategóriájú adatoknak” minősíti. Ez az uniós jogban a legszigorúbban védett kategória, az egészségre, a faji vagy etnikai származásra, a biometrikus adatokra és a szexuális irányultságra vonatkozó adatok mellett.

A különleges kategóriájú adatok feldolgozása alapértelmezés szerint tilos. Ez csak korlátozott számú jogalap alapján megengedett – a genomika esetében a legrelevánsabb a kifejezett hozzájárulás (9. cikk (2) bekezdés a) pontja). Ez szigorúbb követelmény, mint a „jogszerű érdek” vagy a „szerződéses szükségesség” alapjai, amelyek a szokásos személyes adatokra vonatkoznak.

A gyakorlatban ez azt jelenti, hogy:

• Egy genomikai vállalat nem dolgozhatja fel az Ön genetikai adatait egy előre bejelölt jelölőnégyzet vagy a felhasználási feltételekben elrejtett záradék alapján. A hozzájárulásnak önkéntesnek, konkrétnak, tájékozottnak és egyértelműnek kell lennie.
• A hozzájárulás bármikor visszavonható (7. cikk (3) bekezdés), és az adatkezelőnek ekkor le kell állítania az adatkezelést, valamint kérésre törölnie kell az adatokat.
• Az adatok kizárólag azokra a konkrét célokra használhatók fel, amelyekhez hozzájárult. Bármely új célhoz új hozzájárulás szükséges.

A GDPR által biztosított jogok a génállományoddal kapcsolatban

A GDPR értelmében az egyének személyes adataikkal kapcsolatban széles körű jogokkal rendelkeznek. A genetikai adatok tekintetében a legfontosabbak a következők:

• Hozzáférési jog (15. cikk): Kérheti az Önről tárolt összes genetikai adat teljes másolatát, valamint az adatok feldolgozásának módjáról és azokról, akikkel azokat megosztották, szóló információkat.
• Az adatok törléséhez való jog (17. cikk): Kérheti genetikai adatainak végleges törlését. Az adatkezelőnek 30 napon belül eleget kell tennie ennek a kérésnek.
• Az adatok hordozhatóságához való jog (20. cikk): Kérheti adatait strukturált, géppel olvasható formátumban, és átviheti azokat egy másik szolgáltatóhoz.
• Az adatkezelés korlátozásához való jog (18. cikk): Kérheti, hogy az adatkezelést felfüggesszék a vita vagy a kifogás rendezéséig.
• Tiltakozáshoz való jog (21. cikk): Ön tiltakozhat bizonyos adatkezelési tevékenységek ellen, beleértve a profilalkotást is.

Ezek nem pusztán udvariassági gesztusok. Ezek jogilag érvényesíthető jogok, amelyek mögött olyan felügyeleti hatóságok állnak, amelyek jogosultak a globális éves árbevétel 4%-áig vagy 20 millió euróig terjedő bírságok kiszabására.

Az Általános adatvédelmi rendelet (GDPR) és az amerikai genetikai adatvédelem

Az Egyesült Államokban nincs a GDPR-hez hasonló, a genetikai adatokra vonatkozó szövetségi szintű jogszabály. A jelenlegi jogi környezet széttagolt:

• GINA (2008): Megakadályozza az egészségbiztosítók és a munkáltatók által elkövetett genetikai diszkriminációt, de nem vonatkozik az életbiztosításra, a tartós ápolási biztosításra és a rokkantsági biztosításra. Nem tartalmaz rendelkezéseket az adatfeldolgozásról, az adattárolásról vagy az adatvédelmi incidensekkel kapcsolatos kötelezettségekről.
• HIPAA: Csak a szabályozás hatálya alá tartozó szervezetekre (egészségügyi szolgáltatók, biztosítók) és üzleti partnereikre vonatkozik. Azok a fogyasztói genomikai cégek, amelyek közvetlenül a fogyasztóknak értékesítenek, általában nem tartoznak a szabályozás hatálya alá.
• Állami törvények: egyfajta mozaik. Illinois, Kalifornia és néhány más állam már elfogadott törvényeket a genetikai adatok védelméről, de a legtöbb államban nincs külön törvény a genetikai adatok védelméről.

Ennek következtében egy amerikai székhelyű genomikai vállalat adatvédelmi irányelvei a legtöbb esetben önkéntes kötelezettségvállalásnak minősülnek – nem pedig jogi kötelezettségnek. Ha a vállalat tulajdonosváltáson megy keresztül, csődbe megy, vagy egyszerűen úgy dönt, hogy frissíti a feltételeit, az irányelvek is megváltozhatnak. Nincs olyan szövetségi szabályozó szerv, amelynek kifejezetten a genetikai adatok védelmének érvényesítése lenne a feladata.

Miért fontos a joghatóság – és nem csupán a politika?

A legfontosabb szempont, hogy a GDPR védelmi rendelkezései joghatósági alapon érvényesek. Azok az EU-n belül feldolgozott adatokra vonatkoznak, függetlenül az érintett állampolgárságától vagy attól, hogy az adatokat gyűjtő vállalat melyik országban rendelkezik székhellyel. Ha a génállományát egy EU-beli laboratóriumban szekvenálják és elemzik, a GDPR az adat teljes életciklusára kiterjed – a minta átvételétől az adatok törléséig.

Ez azt jelenti, hogy még akkor is, ha Ön az Egyesült Államokban él, az EU-ban feldolgozott genetikai adatai a GDPR védelme alá tartoznak. Ez nem egy olyan szolgáltatás, amelyhez külön csatlakozni kell. Ez a feldolgozás helyszínéből adódó automatikus következmény.

A Dante Labs partnerlaboratóriuma Olaszországban, az EU egyik tagállamában található. A Dante által szekvenált minden genomot a GDPR joghatósága alatt dolgoznak fel. Adatait nem adhatják el, nem továbbíthatják harmadik félnek, és nem használhatják fel olyan célra, amelyhez Ön nem adott kifejezett hozzájárulást – ezt pedig az uniós jog biztosítja, nem pedig valami vállalati ígéret.

Mit jelent ez a gyakorlatban

Aki teljes genomszekvenálási vizsgálatot fontolgat, annak az adatvédelem kérdése legalább olyan fontosnak kell lennie, mint a vizsgálat pontosságának kérdése. Az Ön által generált adatok a létező legszemélyesebb információk – és az ezeket szabályozó jogi keret határozza meg, hogy mi történhet és mi nem ezekkel az adatokkal, nem csupán ma, hanem egész életében.

Az GDPR nem olyan tanúsítvány, amelyet megszerezhetünk és kiállíthatunk. Ez az az ország törvénye, ahol az adatokat feldolgozzák. A genetikai adatok – amelyek állandóak, személyazonosító jellegűek, családi hátteret tükröznek és előrejelző jellegűek – tekintetében pedig ez jelenti a világon elérhető legerősebb védelmi keretrendszert.

Olvassa el az Adatvédelem és adatkezelés című oldalunkat →