Genomet ditt under GDPR: Hvorfor EUs databeskyttelse er gullstandarden for genetisk informasjon

Genomet ditt er den mest personlige informasjonen du eier. Det er uforanderlig, unikt identifiserende og iboende familiært – det avslører informasjon ikke bare om deg, men også om dine biologiske slektninger. I motsetning til et passord eller et fingeravtrykk, kan ikke genomiske data endres hvis de kompromitteres. Det juridiske rammeverket som styrer hvordan disse dataene samles inn, behandles og beskyttes er viktigere enn for noen annen kategori av personopplysninger.

Hva gjør genetiske data annerledes

Fra et databeskyttelsesperspektiv har genetiske data flere egenskaper som skiller dem fra andre typer personopplysninger:

• Permanens: Genomet ditt endres ikke. Et datainnbrudd som involverer genomiske data skaper en permanent eksponering – det finnes ingen tilsvarende tilbakestilling av et passord.
• Identifiserbarhet: Genomiske data er iboende identifiserende. Selv delvise genomdata kan brukes til å identifisere individer på nytt, noe flere rettsmedisinske slektsforskningstilfeller har vist.
• Arvelighet: Dine genetiske data avslører informasjon om dine biologiske foreldre, søsken og barn. Et brudd påvirker ikke bare individet – det påvirker hele den biologiske familien.
• Prediksjonsevne: Genetiske data kan forutsi fremtidige helsetilstander, noe som skaper potensial for diskriminering innen forsikring, ansettelse og andre domener hvis de blir brukt feil.

Disse egenskapene betyr at genetiske data krever det høyeste nivået av juridisk beskyttelse – ikke bare bedriftspolicy, men håndhevbar lov med reelle konsekvenser ved brudd.

Hvordan GDPR klassifiserer genetiske data

Personvernforordningen (GDPR), som trådte i kraft i mai 2018, klassifiserer genetiske data som «data i en spesiell kategori» i henhold til artikkel 9. Dette er den mest beskyttede klassifiseringen i EU-lovgivningen, sammen med data om helse, rasemessig eller etnisk opprinnelse, biometri og seksuell legning.

Behandling av spesialkategoriserte data er som standard forbudt. Det er kun tillatt under et begrenset sett med lovlige grunnlag – det mest relevante for genomikk er uttrykkelig samtykke (artikkel 9(2)(a)). Dette er en høyere standard enn grunnlagene for «berettiget interesse» eller «kontraktsmessig nødvendighet» som gjelder for vanlige personopplysninger.

I praksis betyr dette:

• Et genomikkselskap kan ikke behandle dine genetiske data basert på en forhåndsavkrysset avkrysningsboks eller en skjult klausul i tjenestevilkårene. Samtykke må gis fritt, spesifikt, informert og utvetydig.
• Samtykke kan trekkes tilbake når som helst (artikkel 7(3)), og den behandlingsansvarlige må da stoppe behandlingen og, på anmodning, slette dataene.
• Data kan kun brukes til de spesifikke formålene som er samtykket til. Ethvert nytt formål krever nytt samtykke.

Rettighetene GDPR gir deg over genomet ditt

I henhold til GDPR har enkeltpersoner et omfattende sett med rettigheter knyttet til sine personopplysninger. For genetiske data er de mest relevante:

• Rett til innsyn (art. 15): Du kan be om en fullstendig kopi av alle genetiske data som er lagret om deg, sammen med informasjon om hvordan de behandles og hvem de har blitt delt med.
• Rett til sletting (art. 17): Du kan be om permanent sletting av dine genetiske data. Den behandlingsansvarlige må etterkomme dette innen 30 dager.
• Rett til dataportabilitet (art. 20): Du kan be om å få utlevert dataene dine i et strukturert, maskinlesbart format og overføre dem til en annen leverandør.
• Rett til begrensning av behandling (art. 18): Du kan be om at behandlingen stanses midlertidig mens en tvist eller innsigelse løses.
• Rett til å protestere (art. 21): Du kan protestere mot bestemte typer behandling, inkludert profilering.

Dette er ikke frivillige høfligheter. Det er juridisk håndhevbare rettigheter støttet av tilsynsmyndigheter med myndighet til å ilegge bøter på opptil 4 % av den globale årlige inntekten eller 20 millioner euro.

GDPR kontra beskyttelse av genetiske data i USA

USA har ikke en føderal tilsvarende GDPR for genetiske data. Det eksisterende juridiske landskapet er fragmentert:

• GINA (2008): Forhindrer genetisk diskriminering fra helseforsikringsselskaper og arbeidsgivere, men dekker ikke livsforsikring, langtidspleieforsikring eller uføretrygd. Den sier ingenting om databehandling, lagring eller brudd på forpliktelser.
• HIPAA: Gjelder kun for dekkede enheter (helsepersonell, forsikringsselskaper) og deres forretningsforbindelser. Selskaper innen forbrukergenomikk som selger direkte til forbrukere er vanligvis ikke dekkede enheter.
• Statslover: Et lappeteppe. Illinois, California og noen få andre stater har vedtatt lover om genetisk personvern, men de fleste stater har ingen spesifikk lov om beskyttelse av genetiske data.

Resultatet er at personvernreglene til et amerikansk genomikkselskap i de fleste tilfeller er en frivillig forpliktelse – ikke en juridisk forpliktelse. Hvis selskapet skifter eierskap, går konkurs eller rett og slett bestemmer seg for å oppdatere vilkårene sine, kan retningslinjene endres. Det finnes ingen føderal regulator som spesifikt har ansvar for å håndheve beskyttelsen av genetiske data.

Hvorfor jurisdiksjon – ikke bare politikk – er viktig

Den viktigste innsikten er at GDPR-beskyttelse er jurisdiksjonell. Den gjelder for data som behandles innenfor EU, uavhengig av den registrertes nasjonalitet eller stiftelsesland for selskapet som samlet dem inn. Hvis genomet ditt sekvenseres og analyseres i et EU-basert laboratorium, regulerer GDPR hele datalivssyklusen – fra mottak av prøve til sletting av data.

Dette betyr at selv om du er bosatt i USA, er dine genetiske data behandlet i EU beskyttet av GDPR. Dette er ikke en valgfri funksjon. Det er en automatisk konsekvens av hvor behandlingen skjer.

Dante Labs' partnerlaboratorium ligger i Italia – et EU-medlemsland. Hvert genom som sekvenseres av Dante behandles under GDPR-jurisdiksjonen. Dataene dine kan ikke selges, overføres til en tredjepart eller brukes til et formål du ikke uttrykkelig har samtykket til – og dette er støttet av EU-lovgivning, ikke et bedriftsløfte.

Hva dette betyr i praksis

For noen som vurderer en helgenomsekvenseringstest, bør spørsmålet om databeskyttelse være like viktig som spørsmålet om testens nøyaktighet. Dataene du genererer er den mest personlige informasjonen som finnes – og det juridiske rammeverket som styrer dem, bestemmer hva som kan og ikke kan skje med disse dataene, ikke bare i dag, men resten av livet.

GDPR er ikke en sertifisering du opparbeider deg og viser frem. Det er loven i det landet der dataene dine behandles. Og for genetiske data – som er permanente, identifiserende, familiære og prediktive – representerer den det sterkeste beskyttelsesrammeverket som er tilgjengelig hvor som helst i verden.

Les hele siden vår om personvern og datastyring →