Uw genoom onder de AVG: waarom de EU-gegevensbescherming de gouden standaard is voor genetische informatie

Je genoom is de meest persoonlijke informatie die je bezit. Het is onveranderlijk, uniek identificeerbaar en inherent familiair — het onthult niet alleen informatie over jou, maar ook over je biologische familieleden. In tegenstelling tot een wachtwoord of zelfs een vingerafdruk kunnen genoomgegevens niet worden gewijzigd als ze in verkeerde handen vallen. Het wettelijke kader dat bepaalt hoe deze gegevens worden verzameld, verwerkt en beschermd, is belangrijker dan bij welke andere categorie van persoonlijke informatie dan ook.

Wat genetische gegevens zo bijzonder maakt

Vanuit het oogpunt van gegevensbescherming hebben genetische gegevens een aantal kenmerken waardoor ze zich onderscheiden van andere soorten persoonsgegevens:

• Blijvendheid: Je genoom verandert niet. Een datalek waarbij genoomgegevens betrokken zijn, leidt tot een blijvende blootstelling — er is geen equivalent voor het opnieuw instellen van een wachtwoord.
• Identificeerbaarheid: Genoomgegevens zijn inherent identificeerbaar. Zelfs gedeeltelijke genoomgegevens kunnen worden gebruikt om personen opnieuw te identificeren, zoals blijkt uit diverse forensisch-genealogische zaken.
• Erfelijkheid: Uw genetische gegevens bevatten informatie over uw biologische ouders, broers en zussen, en kinderen. Een datalek heeft niet alleen gevolgen voor het individu, maar voor de hele biologische familie.
• Voorspellende waarde: Genetische gegevens kunnen toekomstige gezondheidsproblemen voorspellen, wat tot discriminatie kan leiden op het gebied van verzekeringen, werkgelegenheid en andere domeinen als er op ongepaste wijze toegang toe wordt verkregen.

Deze kenmerken betekenen dat genetische gegevens de hoogste mate van wettelijke bescherming vereisen — niet alleen een bedrijfsbeleid, maar afdwingbare wetgeving met daadwerkelijke sancties bij overtredingen.

Hoe de AVG genetische gegevens classificeert

De Algemene Verordening Gegevensbescherming (AVG), die in mei 2018 van kracht werd, classificeert genetische gegevens in artikel 9 als „bijzondere categorieën van gegevens“. Dit is de strengst beschermde categorie in het EU-recht, naast gegevens over gezondheid, ras of etnische afkomst, biometrische gegevens en seksuele geaardheid.

De verwerking van bijzondere categorieën persoonsgegevens is standaard verboden. Dit is alleen toegestaan op basis van een beperkt aantal rechtsgrondslagen — waarbij uitdrukkelijke toestemmingde meest relevante is voor genomica (artikel 9, lid 2, onder a)). Dit is een strengere norm dan de rechtsgrondslagen „gerechtvaardigd belang“ of „contractuele noodzaak“ die van toepassing zijn op gewone persoonsgegevens.

In de praktijk betekent dit:

• Een genomicsbedrijf mag uw genetische gegevens niet verwerken op basis van een vooraf aangevinkt selectievakje of een verborgen clausule in de gebruiksvoorwaarden. Toestemming moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn.
• De toestemming kan te allen tijde worden ingetrokken (artikel 7, lid 3), waarna de verwerkingsverantwoordelijke de verwerking moet staken en de gegevens op verzoek moet verwijderen.
• Gegevens mogen alleen worden gebruikt voor de specifieke doeleinden waarvoor toestemming is gegeven. Voor elk nieuw doel is opnieuw toestemming vereist.

De rechten die de AVG je geeft met betrekking tot je genoom

Op grond van de AVG hebben personen een uitgebreide reeks rechten met betrekking tot hun persoonsgegevens. Wat genetische gegevens betreft, zijn de belangrijkste:

• Recht op inzage (art. 15): U kunt een volledig overzicht opvragen van alle genetische gegevens die over u worden bewaard, samen met informatie over hoe deze worden verwerkt en met wie ze zijn gedeeld .
• Recht op verwijdering (art. 17): U kunt verzoeken om definitieve verwijdering van uw genetische gegevens. De verwerkingsverantwoordelijke moet hier binnen 30 dagen gevolg aan geven.
• Recht op gegevensoverdraagbaarheid (art. 20): U kunt uw gegevens opvragen in een gestructureerd, machinaal leesbaar formaat en deze doorgeven aan een andere aanbieder.
• Recht op beperking van de verwerking (art. 18): U kunt verzoeken om de verwerking op te schorten totdat een geschil of bezwaar is opgelost.
• Recht van bezwaar (art. 21): U kunt bezwaar maken tegen bepaalde vormen van verwerking, waaronder profilering.

Dit zijn geen vrijwillige beleefdheden. Het zijn wettelijk afdwingbare rechten die worden gewaarborgd door toezichthoudende instanties die bevoegd zijn om boetes op te leggen van maximaal 4% van de wereldwijde jaaromzet of 20 miljoen euro.

De AVG versus de Amerikaanse wetgeving inzake de bescherming van genetische gegevens

De Verenigde Staten hebben geen federale wetgeving die vergelijkbaar is met de AVG voor genetische gegevens. Het huidige wetgevingskader is versnipperd:

• GINA (2008): Voorkomt genetische discriminatie door zorgverzekeraars en werkgevers, maar is niet van toepassing op levensverzekeringen, zorgverzekeringen voor langdurige zorg of arbeidsongeschiktheidsverzekeringen. De wet zegt niets over gegevensverwerking, opslag of verplichtingen bij datalekken.
• HIPAA: Geldt alleen voor onder de wet vallende entiteiten (zorgverleners, verzekeraars) en hun zakelijke partners. Bedrijven op het gebied van consumentengenomica die rechtstreeks aan consumenten verkopen, vallen doorgaans niet onder de wet.
• Staatswetgeving: een lappendeken. Illinois, Californië en enkele andere staten hebben wetgeving inzake genetische privacy aangenomen, maar de meeste staten hebben geen specifieke wetgeving voor de bescherming van genetische gegevens.

Het gevolg is dat het privacybeleid van een in de VS gevestigd genomicsbedrijf in de meeste gevallen een vrijwillige toezegging is — en geen wettelijke verplichting. Als het bedrijf van eigenaar verandert, failliet gaat of simpelweg besluit zijn voorwaarden aan te passen, kan het beleid veranderen. Er is geen federale toezichthouder die specifiek belast is met het handhaven van de bescherming van genetische gegevens.

Waarom rechtsbevoegdheid – en niet alleen beleid – van belang is

Het cruciale inzicht is dat de beschermingsmaatregelen van de AVG jurisdictioneel zijn. Ze zijn van toepassing op gegevens die binnen de EU worden verwerkt, ongeacht de nationaliteit van de betrokkene of het land waar het bedrijf dat de gegevens heeft verzameld, is gevestigd. Als uw genoom in een laboratorium in de EU wordt gesequenced en geanalyseerd, is de AVG van toepassing op de gehele levenscyclus van de gegevens – van de ontvangst van het monster tot de verwijdering van de gegevens.

Dit betekent dat zelfs als u inwoner bent van de VS, uw genetische gegevens die in de EU worden verwerkt, onder de bescherming van de AVG vallen. Dit is geen functie waarvoor u zich apart moet aanmelden. Het is een automatisch gevolg van de plaats waar de verwerking plaatsvindt.

Het partnerlaboratorium van Dante Labs is gevestigd in Italië, een EU-lidstaat. Elk genoom dat door Dante wordt gesequenced, wordt verwerkt onder de jurisdictie van de AVG. Uw gegevens kunnen niet worden verkocht, doorgegeven aan derden, of gebruikt voor een doel waarvoor u niet uitdrukkelijk toestemming hebt gegeven — en dit wordt gewaarborgd door EU-wetgeving, niet door een belofte van het bedrijf.

Wat dit in de praktijk betekent

Voor iemand die een volledige genoomsequencing-test overweegt, zou de kwestie van gegevensbescherming net zo belangrijk moeten zijn als de nauwkeurigheid van de test. De gegevens die u genereert, behoren tot de meest persoonlijke informatie die er bestaat — en het wettelijke kader dat hierop van toepassing is, bepaalt wat er wel en niet mag gebeuren met die gegevens, niet alleen vandaag, maar voor de rest van uw leven.

De AVG is geen certificaat dat je behaalt en vervolgens tentoonstelt. Het is de wetgeving van het land waar je gegevens worden verwerkt. En voor genetische gegevens – die permanent, identificeerbaar, familiaal en voorspellend zijn – vormt deze het sterkste beschermingskader dat er wereldwijd bestaat.

Lees onze volledige pagina over privacy en gegevensbeheer →