Genomul dumneavoastră în contextul RGPD: De ce legislația UE privind protecția datelor reprezintă standardul de referință pentru informațiile genetice

Genomul tău reprezintă cele mai personale date pe care le deții. Este imuabil, are caracter unic de identificare și este, prin natura sa, familial — dezvăluie informații nu doar despre tine, ci și despre rudele tale biologice. Spre deosebire de o parolă sau chiar de o amprentă digitală, datele genomice nu pot fi modificate în cazul în care sunt compromise. Cadrul juridic care reglementează modul în care aceste date sunt colectate, prelucrate și protejate are o importanță mai mare decât în cazul oricărei alte categorii de informații personale.

Ce diferențiază datele genetice

Din perspectiva protecției datelor, datele genetice prezintă o serie de caracteristici care le diferențiază de alte tipuri de date cu caracter personal:

• Permanență: Genomul dumneavoastră nu se modifică. O încălcare a securității datelor care implică date genomice duce la o expunere permanentă — nu există un echivalent al resetării unei parole.
• Identificabilitate: Datele genomice sunt, prin natura lor, identificabile. Chiar și datele genomice parțiale pot fi utilizate pentru a reidentifica persoanele, așa cum au demonstrat numeroase cazuri de genealogie criminalistică.
• Ereditatea: Datele tale genetice conțin informații despre părinții tăi biologici, frații și surorile tale, precum și despre copiii tăi. O breșă de securitate nu afectează doar persoana în cauză, ci întreaga familie biologică.
• Capacitate predictivă: Datele genetice pot prezice starea de sănătate viitoare, ceea ce creează un risc de discriminare în domeniul asigurărilor, al angajării și în alte domenii, în cazul în care sunt utilizate în mod necorespunzător.

Aceste caracteristici înseamnă că datele genetice necesită cel mai înalt nivel de protecție juridică — nu doar o politică internă a companiei, ci o lege aplicabilă, cu consecințe reale în caz de încălcare.

Cum clasifică GDPR datele genetice

Regulamentul general privind protecția datelor (RGPD), care a intrat în vigoare în mai 2018, clasifică datele genetice drept „date din categorii speciale” în temeiul articolului 9. Aceasta este cea mai strictă clasificare prevăzută de legislația UE, alături de datele referitoare la sănătate, origine rasială sau etnică, date biometrice și orientarea sexuală.

Prelucrarea datelor din categoriile speciale este interzisă în mod implicit. Aceasta este permisă numai în baza unui set limitat de temeiuri legale — cel mai relevant pentru genomică fiind consimțământul explicit (articolul 9 alineatul (2) litera (a)). Acesta reprezintă un standard mai strict decât temeiurile „interesului legitim” sau „necesității contractuale” care se aplică datelor cu caracter personal obișnuite.

În practică, aceasta înseamnă:

• O companie din domeniul genomicii nu poate prelucra datele dumneavoastră genetice pe baza unei casete de selectare bifate în prealabil sau a unei clauze ascunse în termenii și condițiile de utilizare. Consimțământul trebuie să fie liber exprimat, specific, informat și neechivoc.
• Consimțământul poate fi retras în orice moment (articolul 7 alineatul (3)), iar operatorul de date trebuie să înceteze prelucrarea și, la cerere, să șteargă datele.
• Datele pot fi utilizate numai în scopurile specifice pentru care s-a dat consimțământul. Orice scop nou necesită un nou consimțământ.

Drepturile pe care ți le conferă RGPD în ceea ce privește genomul tău

În conformitate cu RGPD, persoanele fizice beneficiază de un set complet de drepturi asupra datelor lor cu caracter personal. În ceea ce privește datele genetice, cele mai relevante sunt:

• Dreptul de acces (art. 15): Puteți solicita o copie completă a tuturor datelor genetice deținute despre dumneavoastră, împreună cu informații privind modul în care sunt prelucrate și persoanele cărora le-au fost comunicate .
• Dreptul la ștergere (art. 17): Puteți solicita ștergerea definitivă a datelor dumneavoastră genetice. Operatorul de date trebuie să dea curs acestei solicitări în termen de 30 de zile.
• Dreptul la portabilitatea datelor (art. 20): Puteți solicita datele dumneavoastră într-un format structurat, care poate fi citit automat, și le puteți transfera către un alt furnizor.
• Dreptul la limitarea prelucrării (art. 18): Puteți solicita ca prelucrarea să fie suspendată pe durata soluționării unei contestații sau a unei obiecții.
• Dreptul de a formula obiecții (art. 21): Puteți formula obiecții cu privire la anumite tipuri de prelucrare, inclusiv profilarea.

Nu este vorba de simple gesturi de curtoazie. Sunt drepturi care pot fi invocate în instanță, susținute de autoritățile de supraveghere care au competența de a aplica amenzi de până la 4% din cifra de afaceri anuală la nivel global sau de 20 de milioane de euro.

RGPD vs. protecția datelor genetice în SUA

Statele Unite nu dispun de un echivalent federal al RGPD în ceea ce privește datele genetice. Cadrul juridic actual este fragmentat:

• GINA (2008): Previne discriminarea pe criterii genetice din partea asiguratorilor de sănătate și a angajatorilor, dar nu se aplică asigurărilor de viață, asigurărilor de îngrijire pe termen lung sau asigurărilor de invaliditate. Nu conține nicio prevedere privind prelucrarea datelor, stocarea acestora sau obligațiile în caz de încălcare a securității datelor.
• HIPAA: Se aplică numai entităților vizate (furnizori de servicii medicale, asiguratori) și partenerilor lor de afaceri. Companiile din domeniul genomicii destinate consumatorilor care vând direct consumatorilor nu sunt, de obicei, entități vizate.
• Legislația statală: un mozaic. Illinois, California și câteva alte state au adoptat legi privind confidențialitatea datelor genetice, dar majoritatea statelor nu dispun de o legislație specifică privind protecția datelor genetice.

Rezultatul este că politica de confidențialitate a unei companii de genomică cu sediul în SUA reprezintă, în majoritatea cazurilor, un angajament voluntar — nu o obligație legală. Dacă compania își schimbă proprietarul, intră în faliment sau pur și simplu decide să-și actualizeze termenii, politica se poate modifica. Nu există o autoritate de reglementare federală însărcinată în mod specific cu aplicarea măsurilor de protecție a datelor genetice.

De ce contează competența jurisdicțională — și nu doar politica

Ideea esențială este că măsurile de protecție prevăzute de RGPD au caracter jurisdicțional. Acestea se aplică datelor prelucrate în cadrul UE, indiferent de naționalitatea persoanei vizate sau de țara în care este înregistrată societatea care le-a colectat. Dacă genomul dumneavoastră este secvențiat și analizat într-un laborator cu sediul în UE, RGPD reglementează întregul ciclu de viață al datelor — de la primirea probei până la ștergerea datelor.

Aceasta înseamnă că, chiar dacă sunteți rezident în SUA, datele dvs. genetice prelucrate în UE beneficiază de protecția oferită de RGPD. Aceasta nu este o opțiune la care trebuie să aderați. Este o consecință automată a locului în care are loc prelucrarea datelor.

Laboratorul partener al Dante Labs se află în Italia — un stat membru al UE. Fiecare genom secvențiat de Dante este prelucrat în conformitate cu prevederile GDPR. Datele dumneavoastră nu pot fi vândute, transferate către terți sau utilizate într-un scop pentru care nu v-ați dat consimțământul explicit — iar acest lucru este garantat de legislația UE, nu de o promisiune a companiei.

Ce înseamnă acest lucru în practică

Pentru cineva care ia în considerare efectuarea unui test de secvențiere a întregului genom, problema protecției datelor ar trebui să fie la fel de importantă ca și cea a preciziei testului. Datele pe care le generați reprezintă cele mai personale informații care există — iar cadrul juridic care le reglementează stabilește ce se poate și ce nu se poate întâmpla cu aceste date, nu doar astăzi, ci pentru tot restul vieții dumneavoastră.

GDPR nu este o certificare pe care o obții și o afișezi. Este legislația în vigoare în țara în care sunt prelucrate datele tale. Iar în cazul datelor genetice — care sunt permanente, identificabile, familiale și predictive — acesta reprezintă cel mai solid cadru de protecție disponibil la nivel mondial.

Citiți pagina noastră completă privind confidențialitatea și gestionarea datelor →