Il tuo genoma ai sensi del GDPR: perché la normativa UE sulla protezione dei dati rappresenta il punto di riferimento per le informazioni genetiche

Il tuo genoma è il dato più personale che possiedi. È immutabile, identificativo in modo univoco e intrinsecamente familiare: rivela informazioni non solo su di te, ma anche sui tuoi parenti biologici. A differenza di una password o persino di un'impronta digitale, i dati genomici non possono essere modificati se vengono compromessi. Il quadro giuridico che disciplina le modalità di raccolta, trattamento e protezione di questi dati è più importante che per qualsiasi altra categoria di informazioni personali.

Cosa rende i dati genetici diversi

Dal punto di vista della protezione dei dati, i dati genetici presentano diverse caratteristiche che li distinguono dagli altri tipi di dati personali:

• Permanenza: il tuo genoma non cambia. Una violazione dei dati genomici comporta un'esposizione permanente: non esiste un equivalente al reimpostare una password.
• Identificabilità: i dati genomici sono intrinsecamente identificativi. Anche dati genomici parziali possono essere utilizzati per reidentificare gli individui, come dimostrato da numerosi casi di genealogia forense.
• Ereditabilità: i tuoi dati genetici rivelano informazioni sui tuoi genitori biologici, fratelli e sorelle e figli. Una violazione non riguarda solo l'individuo, ma l'intera famiglia biologica.
• Capacità predittiva: i dati genetici possono prevedere future condizioni di salute, creando un rischio di discriminazione nel settore assicurativo, in quello lavorativo e in altri ambiti, qualora venissero utilizzati in modo improprio.

Queste caratteristiche implicano che i dati genetici richiedano il massimo livello di tutela giuridica — non solo una politica aziendale, ma una legge applicabile che preveda conseguenze concrete in caso di violazione.

Come il GDPR classifica i dati genetici

Il Regolamento generale sulla protezione dei dati (GDPR), entrato in vigore nel maggio 2018, classifica i dati genetici come «dati di categorie particolari» ai sensi dell’articolo 9. Si tratta della categoria più protetta dal diritto dell’Unione europea, insieme ai dati relativi alla salute, all’origine razziale o etnica, ai dati biometrici e all’orientamento sessuale.

Il trattamento dei dati appartenenti a categorie particolari è vietato per impostazione predefinita. È consentito solo in base a una serie limitata di fondamenti giuridici — il più rilevante per la genomica è il consenso esplicito (articolo 9, paragrafo 2, lettera a)). Si tratta di un criterio più rigoroso rispetto ai fondamenti dell’«interesse legittimo» o della «necessità contrattuale» che si applicano ai dati personali ordinari.

In pratica, ciò significa:

• Un'azienda che opera nel settore della genomica non può trattare i tuoi dati genetici sulla base di una casella già selezionata o di una clausola nascosta nei termini di servizio. Il consenso deve essere prestato liberamente, essere specifico, informato e inequivocabile.
• Il consenso può essere revocato in qualsiasi momento (articolo 7, paragrafo 3) e il titolare del trattamento deve quindi interrompere il trattamento e, su richiesta, cancellare i dati.
• I dati possono essere utilizzati solo per le finalità specifiche per cui è stato prestato il consenso. Qualsiasi nuova finalità richiede un nuovo consenso.

I diritti che il GDPR ti garantisce in merito al tuo genoma

Ai sensi del GDPR, le persone fisiche godono di una serie completa di diritti in relazione ai propri dati personali. Per quanto riguarda i dati genetici, i più rilevanti sono:

• Diritto di accesso (art. 15): è possibile richiedere una copia completa di tutti i dati genetici in nostro possesso che la riguardano, insieme alle informazioni relative alle modalità di trattamento e ai soggetti con cui sono stati condivisi .
• Diritto alla cancellazione (art. 17): è possibile richiedere la cancellazione definitiva dei propri dati genetici. Il titolare del trattamento è tenuto a darvi seguito entro 30 giorni.
• Diritto alla portabilità dei dati (art. 20): puoi richiedere i tuoi dati in un formato strutturato e leggibile da un dispositivo elettronico e trasferirli a un altro fornitore.
• Diritto alla limitazione del trattamento (art. 18): è possibile richiedere che il trattamento venga sospeso in attesa della risoluzione di una controversia o di un'opposizione.
• Diritto di opposizione (art. 21): l'utente può opporsi a determinati tipi di trattamento, compresa la profilazione.

Non si tratta di semplici gesti di cortesia. Si tratta di diritti legalmente tutelati, garantiti da autorità di vigilanza che hanno il potere di infliggere sanzioni fino al 4% del fatturato annuo globale o a 20 milioni di euro.

Il GDPR rispetto alla normativa statunitense sulla protezione dei dati genetici

Negli Stati Uniti non esiste un equivalente federale del GDPR per i dati genetici. Il quadro normativo attuale è frammentato:

• GINA (2008): impedisce la discriminazione genetica da parte delle compagnie di assicurazione sanitaria e dei datori di lavoro, ma non riguarda le assicurazioni sulla vita, le assicurazioni per l'assistenza a lungo termine né le assicurazioni per l'invalidità. Non contiene alcuna disposizione in materia di trattamento dei dati, conservazione degli stessi o obblighi in caso di violazione.
• HIPAA: Si applica esclusivamente alle entità soggette alla normativa (operatori sanitari, assicuratori) e ai loro partner commerciali. Le aziende di genomica che vendono direttamente ai consumatori non sono in genere entità soggette alla normativa.
• Legislazioni statali: un mosaico. L'Illinois, la California e alcuni altri stati hanno adottato leggi sulla privacy genetica, ma la maggior parte degli stati non dispone di una normativa specifica in materia di protezione dei dati genetici.

Il risultato è che l'informativa sulla privacy di un'azienda di genomica con sede negli Stati Uniti è, nella maggior parte dei casi, un impegno volontario — non un obbligo legale. Se l'azienda cambia proprietà, fallisce o semplicemente decide di aggiornare i propri termini, l'informativa può cambiare. Non esiste un'autorità di regolamentazione federale specificamente incaricata di garantire la tutela dei dati genetici.

Perché la giurisdizione — e non solo la politica — è importante

Il punto fondamentale è che le tutele previste dal GDPR hanno portata giurisdizionale. Si applicano ai dati trattati all’interno dell’UE, indipendentemente dalla nazionalità dell’interessato o dal paese di registrazione della società che li ha raccolti. Se il vostro genoma viene sequenziato e analizzato in un laboratorio con sede nell’UE, il GDPR regola l’intero ciclo di vita dei dati — dal ricevimento del campione alla cancellazione dei dati.

Ciò significa che, anche se risiedi negli Stati Uniti, i tuoi dati genetici trattati nell'UE beneficiano della protezione prevista dal GDPR. Non si tratta di un'opzione facoltativa, bensì di una conseguenza automatica del luogo in cui avviene il trattamento.

Il laboratorio partner di Dante Labs ha sede in Italia, uno Stato membro dell'Unione Europea. Ogni genoma sequenziato da Dante viene trattato nel rispetto del GDPR. I tuoi dati non possono essere venduti, ceduti a terzi né utilizzati per finalità per le quali non hai dato il tuo consenso esplicito — e ciò è garantito dalla legislazione dell'Unione Europea, non da una semplice promessa aziendale.

Cosa significa questo in pratica

Per chi sta valutando di sottoporsi a un test di sequenziamento dell'intero genoma, la questione della protezione dei dati dovrebbe essere altrettanto importante quanto quella dell'accuratezza del test. I dati che si generano rappresentano le informazioni più personali che esistano — e il quadro giuridico che li disciplina determina cosa può e cosa non può accadere a tali dati, non solo oggi, ma per il resto della propria vita.

Il GDPR non è una certificazione che si ottiene e si espone. È la legge vigente nel paese in cui vengono trattati i dati. E per i dati genetici — che sono permanenti, identificativi, familiari e predittivi — rappresenta il quadro normativo di protezione più rigoroso esistente al mondo.

Leggi la nostra pagina completa dedicata alla privacy e alla governance dei dati →