Il Suo genoma è il dato più personale che possiede. È immutabile, consente di identificarLa in modo univoco ed è intrinsecamente legato alla Sua famiglia: rivela informazioni non solo su di Lei, ma anche sui Suoi parenti biologici. A differenza di una password o persino di un'impronta digitale, i dati genomici non possono essere modificati se vengono compromessi. Il quadro giuridico che disciplina le modalità di raccolta, trattamento e protezione di questi dati è più importante che per qualsiasi altra categoria di informazioni personali.
Cosa rende diversi i dati genetici
Dal punto di vista della protezione dei dati, i dati genetici presentano diverse caratteristiche che li distinguono da altri tipi di dati personali:
- Permanenza: Il Suo genoma non cambia. Una violazione dei dati che coinvolge dati genomici comporta un'esposizione permanente: non esiste un equivalente della reimpostazione di una password.
- Identificabilità: I dati genomici sono intrinsecamente identificativi. Anche dati genomici parziali possono essere utilizzati per identificare nuovamente le persone, come dimostrato da numerosi casi di genealogia forense.
- Ereditarietà: I suoi dati genetici rivelano informazioni sui suoi genitori biologici, fratelli, sorelle e figli. Una violazione dei dati non riguarda soltanto il singolo individuo, ma l'intera famiglia biologica.
- Capacità predittiva: I dati genetici possono predire future condizioni di salute, creando il rischio di discriminazioni in ambito assicurativo, lavorativo e in altri settori in caso di accesso improprio.
Queste caratteristiche implicano che i dati genetici richiedono il massimo livello di tutela legale: non semplici politiche aziendali, ma leggi applicabili con conseguenze concrete in caso di violazione.
Come il GDPR classifica i dati genetici
Il Regolamento generale sulla protezione dei dati (GDPR), entrato in vigore nel maggio 2018, classifica i dati genetici come "categorie particolari di dati personali" ai sensi dell'articolo 9. Si tratta della classificazione che gode della massima tutela nel diritto dell'UE, insieme ai dati relativi alla salute, all'origine razziale o etnica, ai dati biometrici e all'orientamento sessuale.
Il trattamento dei dati appartenenti a categorie particolari è vietato per impostazione predefinita. È consentito solo in presenza di un numero limitato di basi giuridiche, tra cui la più rilevante per la genomica è il consenso esplicito (articolo 9, paragrafo 2, lettera a). Si tratta di un requisito più rigoroso rispetto alle basi giuridiche dell'"interesse legittimo" o della "necessità contrattuale" applicabili ai dati personali ordinari.
In termini pratici, ciò significa:
- Un'azienda di genomica non può trattare i Suoi dati genetici sulla base di una casella preselezionata o di una clausola nascosta nei termini di servizio. Il consenso deve essere prestato liberamente, specifico, informato e inequivocabile.
- Il consenso può essere revocato in qualsiasi momento (articolo 7, paragrafo 3); il titolare del trattamento deve quindi interrompere il trattamento e, su richiesta, cancellare i dati.
- I dati possono essere utilizzati esclusivamente per le finalità specifiche per le quali è stato prestato il consenso. Qualsiasi nuova finalità richiede un nuovo consenso.
I diritti che il GDPR Le riconosce sul Suo genoma
Ai sensi del GDPR, le persone dispongono di un insieme completo di diritti sui propri dati personali. Per quanto riguarda i dati genetici, i più rilevanti sono:
- Diritto di accesso (art. 15): Lei può richiedere una copia completa di tutti i dati genetici che La riguardano, insieme alle informazioni su come vengono trattati e con chi sono stati condivisi.
- Diritto alla cancellazione (art. 17): Lei può richiedere la cancellazione permanente dei Suoi dati genetici. Il titolare del trattamento deve provvedere entro 30 giorni.
- Diritto alla portabilità dei dati (art. 20): Lei può richiedere i Suoi dati in un formato strutturato e leggibile da dispositivo automatico e trasferirli a un altro fornitore.
- Diritto alla limitazione del trattamento (art. 18): Può richiedere la sospensione del trattamento fino alla risoluzione di una controversia o di un'opposizione.
- Diritto di opposizione (art. 21): Lei può opporsi a specifici tipi di trattamento, inclusa la profilazione.
Non si tratta di concessioni volontarie. Sono diritti legalmente tutelati, garantiti da autorità di controllo che hanno il potere di comminare sanzioni fino al 4% del fatturato annuo globale o a 20 milioni di euro.
GDPR e protezione dei dati genetici negli Stati Uniti
Negli Stati Uniti non esiste una normativa federale equivalente al GDPR per la protezione dei dati genetici. L’attuale quadro giuridico è frammentato:
- GINA (2008): Vieta la discriminazione genetica da parte delle assicurazioni sanitarie e dei datori di lavoro, ma non si applica alle assicurazioni sulla vita, per l'assistenza a lungo termine o per l'invalidità. Non prevede alcun obbligo in materia di trattamento e conservazione dei dati o di violazioni dei dati.
- HIPAA: Si applica esclusivamente ai soggetti tenuti al rispetto della normativa (fornitori di servizi sanitari e compagnie assicurative) e ai loro partner commerciali. Le aziende di genomica di consumo che vendono direttamente ai consumatori in genere non rientrano tra tali soggetti.
- Leggi statali: Un quadro frammentario. L'Illinois, la California e pochi altri Stati hanno adottato leggi sulla privacy genetica, ma nella maggior parte degli Stati non esiste una normativa specifica sulla protezione dei dati genetici.
Di conseguenza, nella maggior parte dei casi, l'informativa sulla privacy di un'azienda di genomica con sede negli Stati Uniti rappresenta un impegno volontario, non un obbligo di legge. Se l'azienda cambia proprietà, fallisce o decide semplicemente di aggiornare i propri termini, l'informativa può cambiare. Non esiste un'autorità federale specificamente incaricata di far rispettare le norme sulla protezione dei dati genetici.
Perché conta la giurisdizione, non solo l’informativa
Il punto fondamentale è che le tutele previste dal GDPR dipendono dalla giurisdizione. Si applicano ai dati trattati all'interno dell'UE, indipendentemente dalla nazionalità dell'interessato o dal Paese in cui ha sede legale l'azienda che li ha raccolti. Se il Suo genoma viene sequenziato e analizzato in un laboratorio con sede nell'UE, il GDPR disciplina l'intero ciclo di vita dei dati, dalla ricezione del campione alla cancellazione dei dati.
Ciò significa che, anche se risiede negli Stati Uniti, i Suoi dati genetici trattati nell'UE sono protetti dal GDPR. Non si tratta di una funzionalità facoltativa, ma di una conseguenza automatica del luogo in cui avviene il trattamento.
Il laboratorio partner di Dante Labs si trova in Italia, uno Stato membro dell'UE. Ogni genoma sequenziato da Dante viene trattato nell'ambito della giurisdizione del GDPR. I Suoi dati non possono essere venduti, trasferiti a terzi o utilizzati per finalità alle quali non abbia esplicitamente acconsentito: una tutela garantita dal diritto dell'UE, non da una promessa aziendale.
Cosa significa in pratica
Per chi sta valutando un test di sequenziamento dell’intero genoma, la protezione dei dati dovrebbe essere importante quanto l’accuratezza del test. I dati generati rappresentano le informazioni più personali in assoluto e il quadro giuridico che li disciplina determina come possono o non possono essere utilizzati, non solo oggi, ma per il resto della vita.
Il GDPR non è una certificazione da ottenere ed esibire. È la normativa vigente nel luogo in cui vengono trattati i dati. E per i dati genetici — che sono permanenti, identificativi, familiari e predittivi — rappresenta il quadro di protezione più solido disponibile al mondo.
Leggi la nostra pagina completa su privacy e governance dei dati →