Twój genom w świetle RODO: dlaczego unijne przepisy dotyczące ochrony danych stanowią złoty standard w zakresie informacji genetycznych

Twój genom to najbardziej osobiste dane, jakie posiadasz. Są one niezmienne, pozwalają na jednoznaczną identyfikację i mają z natury charakter rodzinny – ujawniają informacje nie tylko o tobie, ale także o twoich biologicznych krewnych. W przeciwieństwie do hasła czy nawet odcisku palca, danych genomowych nie da się zmienić w razie ich ujawnienia. Ramy prawne regulujące sposób gromadzenia, przetwarzania i ochrony tych danych mają większe znaczenie niż w przypadku jakiejkolwiek innej kategorii danych osobowych.

Czym wyróżniają się dane genetyczne

Z punktu widzenia ochrony danych dane genetyczne mają kilka cech, które odróżniają je od innych rodzajów danych osobowych:

• Trwałość: Twój genom pozostaje niezmienny. Wyciek danych dotyczących genomu powoduje trwałe ujawnienie informacji — nie ma możliwości zresetowania hasła.
• Identyfikowalność: Dane genomowe z natury rzeczy pozwalają na identyfikację osób. Nawet fragmentaryczne dane genomowe mogą posłużyć do ponownej identyfikacji osób, co wykazało wiele przypadków z zakresu genealogii kryminalistycznej.
• Dziedziczność: Twoje dane genetyczne zawierają informacje o Twoich biologicznych rodzicach, rodzeństwie i dzieciach. Naruszenie bezpieczeństwa nie dotyczy wyłącznie danej osoby — ma wpływ na całą biologiczną rodzinę.
• Zdolność prognostyczna: Dane genetyczne pozwalają przewidywać przyszły stan zdrowia, co stwarza ryzyko dyskryminacji w zakresie ubezpieczeń, zatrudnienia i innych dziedzin, jeśli dostęp do nich jest niewłaściwie regulowany.

Właściwości te oznaczają, że dane genetyczne wymagają najwyższego poziomu ochrony prawnej – nie tylko polityki korporacyjnej, ale obowiązującego prawa, którego naruszenie pociąga za sobą realne konsekwencje.

Jak rozporządzenie RODO klasyfikuje dane genetyczne

Ogólne rozporządzenie o ochronie danych (RODO), które weszło w życie w maju 2018 r., klasyfikuje dane genetyczne jako „dane szczególnej kategorii” zgodnie z art. 9. Jest to kategoria objęta największą ochroną w prawie UE, obok danych dotyczących zdrowia, pochodzenia rasowego lub etnicznego, danych biometrycznych oraz orientacji seksualnej.

Przetwarzanie danych należących do kategorii szczególnych jest z zasady zabronione. Jest ono dozwolone wyłącznie na podstawie ograniczonego zestawu podstaw prawnych – w przypadku genomiki najbardziej istotną z nich jest wyraźna zgoda (art. 9 ust. 2 lit. a)). Jest to wyższy standard niż podstawy w postaci „uzasadnionego interesu” lub „konieczności wynikającej z umowy”, które mają zastosowanie do zwykłych danych osobowych.

W praktyce oznacza to:

• Firma zajmująca się genomiką nie może przetwarzać danych genetycznych użytkownika na podstawie zaznaczonego domyślnie pola wyboru lub ukrytej klauzuli w warunkach świadczenia usług. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna.
• Zgodę można wycofać w dowolnym momencie (art. 7 ust. 3), a administrator danych musi wówczas zaprzestać przetwarzania danych oraz, na żądanie, je usunąć.
• Dane mogą być wykorzystywane wyłącznie do konkretnych celów, na które wyrażono zgodę. Każdy nowy cel wymaga uzyskania nowej zgody.

Prawa, jakie RODO przyznaje Ci w odniesieniu do Twojego genomu

Zgodnie z RODO osoby fizyczne mają szeroki zakres praw dotyczących swoich danych osobowych. W odniesieniu do danych genetycznych najważniejsze z nich to:

• Prawo dostępu (art. 15): Możesz zwrócić się o udostępnienie pełnej kopii wszystkich danych genetycznych przechowywanych na Twój temat, wraz z informacjami o tym, w jaki sposób są one przetwarzane i komu zostały udostępnione .
• Prawo do usunięcia danych (art. 17): Możesz zażądać trwałego usunięcia swoich danych genetycznych. Administrator danych ma obowiązek spełnić to żądanie w ciągu 30 dni.
• Prawo do przenoszenia danych (art. 20): Możesz poprosić o udostępnienie swoich danych w ustrukturyzowanym, formacie nadającym się do odczytu maszynowego i przekazać je innemu dostawcy.
• Prawo do ograniczenia przetwarzania (art. 18): Możesz zwrócić się z prośbą o wstrzymanie przetwarzania danych na czas rozstrzygnięcia sporu lub rozpatrzenia sprzeciwu.
• Prawo do wniesienia sprzeciwu (art. 21): Użytkownik może wnieść sprzeciw wobec określonych rodzajów przetwarzania danych, w tym profilowania.

Nie są to zwykłe gesty uprzejmości. Są to prawa podlegające egzekwowaniu na drodze prawnej, których przestrzeganie nadzorują organy nadzorcze uprawnione do nakładania kar w wysokości do 4% globalnych rocznych przychodów lub 20 mln euro.

RODO a amerykańska ochrona danych genetycznych

W Stanach Zjednoczonych nie ma federalnego odpowiednika RODO w zakresie danych genetycznych. Obecny krajobraz prawny jest rozdrobniony:

• GINA (2008): Zapobiega dyskryminacji ze względu na cechy genetyczne ze strony ubezpieczycieli zdrowotnych i pracodawców, ale nie obejmuje ubezpieczeń na życie, ubezpieczeń od długotrwałej opieki ani ubezpieczeń od niepełnosprawności. Nie zawiera żadnych przepisów dotyczących przetwarzania danych, ich przechowywania ani obowiązków w przypadku naruszenia bezpieczeństwa.
• HIPAA: Dotyczy wyłącznie podmiotów objętych przepisami (podmiotów świadczących usługi medyczne, ubezpieczycieli) oraz ich partnerów biznesowych. Firmy zajmujące się genomiką konsumencką, które prowadzą sprzedaż bezpośrednio do konsumentów, zazwyczaj nie są podmiotami objętymi przepisami.
• Przepisy stanowe: mozaika. Illinois, Kalifornia i kilka innych stanów uchwaliło przepisy dotyczące prywatności danych genetycznych, ale większość stanów nie posiada konkretnych przepisów dotyczących ochrony danych genetycznych.

W rezultacie polityka prywatności amerykańskiej firmy zajmującej się genomiką jest w większości przypadków dobrowolnym zobowiązaniem, a nie obowiązkiem prawnym. Jeśli firma zmieni właściciela, ogłosi upadłość lub po prostu zdecyduje się zaktualizować swoje warunki, polityka ta może ulec zmianie. Nie istnieje żaden federalny organ regulacyjny, którego konkretnym zadaniem byłoby egzekwowanie przepisów dotyczących ochrony danych genetycznych.

Dlaczego znaczenie ma jurysdykcja, a nie tylko polityka

Najważniejsze jest to, że przepisy RODO mają charakter jurysdykcyjny. Mają one zastosowanie do danych przetwarzanych na terenie UE, niezależnie od obywatelstwa osoby, której dane dotyczą, czy kraju, w którym zarejestrowana jest firma, która je zebrała. Jeśli sekwencjonowanie i analiza Twojego genomu odbywają się w laboratorium z siedzibą w UE, RODO reguluje cały cykl życia danych — od momentu otrzymania próbki aż po ich usunięcie.

Oznacza to, że nawet jeśli jesteś mieszkańcem Stanów Zjednoczonych, Twoje dane genetyczne przetwarzane w UE są objęte ochroną wynikającą z RODO. Nie jest to opcja, na którą trzeba wyrazić zgodę. Jest to automatyczna konsekwencja miejsca, w którym odbywa się przetwarzanie danych.

Laboratorium partnerskie Dante Labs znajduje się we Włoszech – państwie członkowskim UE. Każdy genom zsekwencjonowany przez firmę Dante jest przetwarzany zgodnie z przepisami RODO. Twoje dane nie mogą być sprzedawane, przekazywane osobom trzecim ani wykorzystywane w celach, na które nie wyraziłeś wyraźnej zgody – a gwarantuje to prawo UE, a nie obietnica firmy.

Co to oznacza w praktyce

Dla osoby rozważającej wykonanie badania polegającego na sekwencjonowaniu całego genomu kwestia ochrony danych powinna być równie ważna jak kwestia dokładności badania. Generowane przez Ciebie dane stanowią najbardziej osobiste informacje, jakie istnieją — a ramy prawne, które je regulują, określają, co może, a czego nie może się stać z tymi danymi, nie tylko dzisiaj, ale przez resztę Twojego życia.

RODO nie jest certyfikatem, który można zdobyć i wyeksponować. Jest to prawo obowiązujące w kraju, w którym przetwarzane są dane. A w przypadku danych genetycznych – które mają charakter trwały, identyfikujący, rodzinny i prognostyczny – stanowi ono najsilniejsze ramy ochronne dostępne na całym świecie.

Zapoznaj się z naszą pełną stroną poświęconą polityce prywatności i zarządzaniu danymi →