O seu genoma ao abrigo do RGPD: Por que razão a proteção de dados da UE é a referência de excelência em matéria de informação genética

O seu genoma é o dado mais pessoal que possui. É imutável, permite uma identificação única e é, por natureza, familiar — revela informações não só sobre si, mas também sobre os seus familiares biológicos. Ao contrário de uma palavra-passe ou mesmo de uma impressão digital, os dados genómicos não podem ser alterados caso sejam comprometidos. O quadro jurídico que rege a forma como estes dados são recolhidos, tratados e protegidos é mais importante do que em qualquer outra categoria de informação pessoal.

O que distingue os dados genéticos

Do ponto de vista da proteção de dados, os dados genéticos apresentam várias características que os distinguem de outros tipos de dados pessoais:

• Permanência: O seu genoma não muda. Uma violação de dados que envolva dados genómicos cria uma exposição permanente — não existe o equivalente a redefinir uma palavra-passe.
• Identificabilidade: Os dados genómicos são, por natureza, identificáveis. Mesmo dados genómicos parciais podem ser utilizados para reidentificar indivíduos, como demonstrado por vários casos de genealogia forense.
• Hereditabilidade: Os seus dados genéticos revelam informações sobre os seus pais biológicos, irmãos e filhos. Uma violação de segurança não afeta apenas o indivíduo — afeta toda a família biológica .
• Capacidade preditiva: Os dados genéticos podem prever condições de saúde futuras, criando um risco de discriminação no setor dos seguros, no emprego e noutros domínios, caso sejam utilizados de forma indevida.

Estas características significam que os dados genéticos exigem o mais alto nível de proteção jurídica — não apenas uma política empresarial, mas uma lei aplicável com consequências reais em caso de violação.

Como o RGPD classifica os dados genéticos

O Regulamento Geral sobre a Proteção de Dados (RGPD), que entrou em vigor em maio de 2018, classifica os dados genéticos como «dados de categoria especial» nos termos do artigo 9.º. Esta é a classificação que goza de maior proteção na legislação da UE, a par dos dados relativos à saúde, à origem racial ou étnica, aos dados biométricos e à orientação sexual.

O tratamento de dados de categorias especiais é proibido por defeito. Só é permitido com base num conjunto limitado de fundamentos jurídicos — sendo o consentimento explícitoo mais relevante no âmbito da genómica (artigo 9.º, n.º 2, alínea a)). Trata-se de um critério mais rigoroso do que os fundamentos do «interesse legítimo» ou da «necessidade contratual» que se aplicam aos dados pessoais comuns.

Na prática, isto significa:

• Uma empresa de genómica não pode tratar os seus dados genéticos com base numa caixa de seleção pré-marcada ou numa cláusula oculta nos termos de serviço. O consentimento deve ser dado livremente, ser específico, informado e inequívoco.
• O consentimento pode ser retirado a qualquer momento (artigo 7.º, n.º 3), devendo o responsável pelo tratamento cessar o tratamento e, mediante pedido, apagar os dados.
• Os dados só podem ser utilizados para os fins específicos para os quais foi dado o consentimento. Qualquer novo fim requer um novo consentimento.

Os direitos que o RGPD lhe confere sobre o seu genoma

Nos termos do RGPD, as pessoas têm um conjunto abrangente de direitos sobre os seus dados pessoais. No que diz respeito aos dados genéticos, os mais relevantes são:

• Direito de acesso (art. 15.º): Pode solicitar uma cópia completa de todos os dados genéticos que temos sobre si, juntamente com informações sobre a forma como são tratados e com quem foram partilhados .
• Direito ao apagamento (art. 17.º): Pode solicitar a eliminação definitiva dos seus dados genéticos. O responsável pelo tratamento dos dados deve dar cumprimento a este pedido no prazo de 30 dias.
• Direito à portabilidade dos dados (art. 20.º): Pode solicitar os seus dados num formato estruturado e legível por máquina e transferi-los para outro prestador de serviços.
• Direito à limitação do tratamento (art. 18.º): Pode solicitar que o tratamento seja suspenso enquanto se resolve um litígio ou uma oposição.
• Direito de oposição (art. 21.º): Pode opor-se a determinados tipos de tratamento, incluindo a definição de perfis.

Não se trata de cortesias voluntárias. São direitos legalmente exigíveis, apoiados por autoridades de supervisão com competência para aplicar multas que podem ir até 4 % do volume de negócios anual global ou 20 milhões de euros.

RGPD vs. Proteção de dados genéticos nos EUA

Os Estados Unidos não dispõem de um equivalente federal ao RGPD no que diz respeito aos dados genéticos. O panorama jurídico atual é fragmentado:

• GINA (2008): Impede a discriminação genética por parte das seguradoras de saúde e dos empregadores, mas não abrange os seguros de vida, os seguros de cuidados prolongados nem os seguros de invalidez. Não faz qualquer referência ao tratamento de dados, ao armazenamento ou às obrigações em caso de violação de segurança.
• HIPAA: Aplica-se apenas a entidades abrangidas (prestadores de cuidados de saúde, seguradoras) e aos seus parceiros comerciais. As empresas de genómica de consumo que vendem diretamente aos consumidores não são, normalmente, entidades abrangidas.
• Legislação estadual: uma miscelânea. Illinois, a Califórnia e alguns outros estados promulgaram leis sobre a privacidade genética, mas a maioria dos estados não possui legislação específica sobre a proteção de dados genéticos.

O resultado é que a política de privacidade de uma empresa de genómica sediada nos EUA é, na maioria dos casos, um compromisso voluntário — e não uma obrigação legal. Se a empresa mudar de proprietário, entrar em falência ou simplesmente decidir atualizar os seus termos, a política pode ser alterada. Não existe qualquer entidade reguladora federal especificamente encarregada de fazer cumprir as medidas de proteção dos dados genéticos.

Por que razão a jurisdição — e não apenas a política — é importante

O ponto fundamental é que as proteções do RGPD são de âmbito jurisdicional. Aplicam-se aos dados tratados na UE, independentemente da nacionalidade do titular dos dados ou do país de constituição da empresa que os recolheu. Se o seu genoma for sequenciado e analisado num laboratório sediado na UE, o RGPD regula todo o ciclo de vida dos dados — desde a receção da amostra até à eliminação dos dados.

Isto significa que, mesmo que seja residente nos EUA, os seus dados genéticos tratados na UE beneficiam da proteção do RGPD. Esta não é uma funcionalidade opcional. Trata-se de uma consequência automática do local onde o tratamento ocorre.

O laboratório parceiro da Dante Labs está localizado em Itália — um Estado-Membro da UE. Todos os genomas sequenciados pela Dante são processados ao abrigo da jurisdição do RGPD. Os seus dados não podem ser vendidos, transferidos para terceiros, nem utilizados para fins para os quais não tenha dado o seu consentimento explícito — e isto é garantido pela legislação da UE, não por uma promessa da empresa.

O que isto significa na prática

Para quem está a pensar em fazer um teste de sequenciação do genoma completo, a questão da proteção de dados deve ser tão importante quanto a questão da precisão do teste. Os dados que está a gerar são a informação mais pessoal que existe — e o quadro jurídico que os rege determina o que pode e o que não pode acontecer a esses dados, não só hoje, mas para o resto da sua vida.

O RGPD não é uma certificação que se obtém e se exibe. É a legislação em vigor no país onde os seus dados são tratados. E no que diz respeito aos dados genéticos — que são permanentes, identificativos, familiares e preditivos —, representa o quadro de proteção mais rigoroso disponível em todo o mundo.

Leia a nossa página completa sobre Privacidade e Gestão de Dados →