Váš genóm v kontexte GDPR: Prečo je ochrana údajov v EÚ zlatým štandardom pre genetické informácie

Váš genóm predstavuje najosobnejšie údaje, ktoré vlastníte. Je nemenný, jednoznačne vás identifikuje a je svojou podstatou rodinný – odhaľuje informácie nielen o vás, ale aj o vašich biologických príbuzných. Na rozdiel od hesla či dokonca odtlačku prsta sa genómové údaje nedajú zmeniť, ak dôjde k ich zneužitiu. Právny rámec, ktorý upravuje spôsob zberu, spracovania a ochrany týchto údajov, má väčší význam ako v prípade akejkoľvek inej kategórie osobných údajov.

Čím sa genetické údaje odlišujú

Z hľadiska ochrany údajov majú genetické údaje niekoľko vlastností, ktoré ich odlišujú od iných typov osobných údajov:

• Trvalosť: Váš genóm sa nemení. Únik údajov týkajúcich sa genómových údajov vytvára trvalé ohrozenie – neexistuje žiadna možnosť, ako by sa to dalo vyriešiť napríklad zmenou hesla.
• Identifikovateľnosť: Genomické údaje sú zo svojej podstaty identifikovateľné. Aj čiastočné údaje o genóme možno využiť na opätovnú identifikáciu jednotlivcov, ako to dokazujú viaceré prípady forenznej genealógie.
• Dedičnosť: Vaše genetické údaje obsahujú informácie o vašich biologických rodičoch, súrodencoch a deťoch. Únik týchto údajov nemá vplyv len na jednotlivca – ovplyvňuje celú biologickú rodinu.
• Prediktívna hodnota: Genetické údaje môžu predpovedať budúci zdravotný stav, čo v prípade nesprávneho využívania vytvára priestor pre diskrimináciu v oblasti poistenia, zamestnania a v ďalších sférach.

Vzhľadom na tieto vlastnosti si genetické údaje vyžadujú najvyššiu úroveň právnej ochrany – nielen firemné smernice, ale aj vymáhateľné právne predpisy s reálnymi dôsledkami v prípade ich porušenia.

Ako GDPR klasifikuje genetické údaje

Všeobecné nariadenie o ochrane údajov (GDPR), ktoré nadobudlo účinnosť v máji 2018, klasifikuje genetické údaje podľa článku 9 ako „údaje osobitnej kategórie“. Ide o najprísnejšiu kategóriu ochrany v právnych predpisoch EÚ, spolu s údajmi o zdraví, rasovom alebo etnickom pôvode, biometrických údajoch a sexuálnej orientácii.

Spracúvanie údajov osobitnej kategórie je štandardne zakázané. Je povolené iba na základe obmedzeného počtu právnych dôvodov – pre oblasť genomiky je najrelevantnejším z nich výslovný súhlas (článok 9 ods. 2 písm. a)). Ide o prísnejší štandard než dôvody „oprávneného záujmu“ alebo „zmluvnej nevyhnutnosti“, ktoré sa vzťahujú na bežné osobné údaje.

V praxi to znamená:

• Spoločnosť zaoberajúca sa genomikou nemôže spracúvať vaše genetické údaje na základe vopred zaškrtnutého políčka alebo skrytého ustanovenia v podmienkach používania. Súhlas musí byť udelený slobodne, musí byť konkrétny, informovaný a jednoznačný.
• Súhlas je možné kedykoľvek odvolať (článok 7 ods. 3) a prevádzkovateľ údajov je v takom prípade povinný spracúvanie ukončiť a na požiadanie údaje vymazať.
• Údaje sa môžu používať iba na konkrétne účely, s ktorými bol udelený súhlas. Akýkoľvek nový účel si vyžaduje nový súhlas.

Práva, ktoré vám GDPR zaručuje v súvislosti s vaším genómom

Podľa nariadenia GDPR majú fyzické osoby komplexný súbor práv týkajúcich sa ich osobných údajov. Pokiaľ ide o genetické údaje, najdôležitejšie sú:

• Právo na prístup (článok 15): Môžete požiadať o kompletnú kópiu všetkých genetických údajov, ktoré sa o vás uchovávajú, spolu s informáciami o tom, ako sa spracúvajú a komu boli poskytnuté.
• Právo na výmaz (článok 17): Môžete požiadať o trvalé vymazanie svojich genetických údajov. Správca údajov je povinný tejto požiadavke vyhovieť do 30 dní.
• Právo na prenosnosť údajov (článok 20): Môžete požiadať o poskytnutie svojich údajov v štruktúrovanom, strojovo čitateľnom formáte a preniesť ich k inému poskytovateľovi.
• Právo na obmedzenie spracúvania (článok 18): Môžete požiadať o pozastavenie spracúvania počas riešenia sporu alebo námietky.
• Právo namietať (článok 21): Môžete namietať proti určitým spôsobom spracúvania, vrátane profilovania.

Nejde o dobrovoľné gestá. Ide o právne vymáhateľné práva, za ktorých dodržiavanie dohliadajú orgány dohľadu s právom ukladať pokuty vo výške až 4 % celosvetových ročných tržieb alebo 20 miliónov eur.

GDPR verzus ochrana genetických údajov v USA

Spojené štáty nemajú na federálnej úrovni ekvivalent nariadenia GDPR pre genetické údaje. Súčasný právny rámec je roztrieštený:

• GINA (2008): Zabraňuje genetickej diskriminácii zo strany zdravotných poisťovní a zamestnávateľov, nevyžaduje sa však na životné poistenie, poistenie dlhodobej starostlivosti ani poistenie invalidity. Neobsahuje žiadne ustanovenia týkajúce sa spracovania údajov, ich uchovávania ani povinností v prípade porušenia bezpečnosti údajov.
• HIPAA: Vzťahuje sa iba na subjekty, na ktoré sa vzťahuje tento zákon (poskytovatelia zdravotnej starostlivosti, poisťovatelia) a ich obchodných partnerov. Spoločnosti zaoberajúce sa spotrebiteľskou genomikou, ktoré predávajú priamo spotrebiteľom, zvyčajne nie sú subjektmi, na ktoré sa vzťahuje tento zákon.
• Zákony jednotlivých štátov: Mozaika. Illinois, Kalifornia a niekoľko ďalších štátov prijalo zákony o ochrane súkromia v oblasti genetických údajov, avšak väčšina štátov nemá žiadny konkrétny zákon o ochrane genetických údajov.

Výsledkom je, že zásady ochrany osobných údajov americkej spoločnosti zaoberajúcej sa genomikou sú vo väčšine prípadov dobrovoľným záväzkom – nie zákonnou povinnosťou. Ak spoločnosť zmení vlastníka, vyhlási bankrot alebo sa jednoducho rozhodne aktualizovať svoje podmienky, tieto zásady sa môžu zmeniť. Neexistuje žiadny federálny regulačný orgán, ktorý by mal konkrétne za úlohu presadzovať ochranu genetických údajov.

Prečo je dôležitá právomoc – a nielen politika

Kľúčovým poznatkom je, že ochrana podľa GDPR má jurisdikčný charakter. Vzťahuje sa na údaje spracúvané v rámci EÚ bez ohľadu na štátnu príslušnosť dotknutej osoby alebo krajinu, v ktorej je zaregistrovaná spoločnosť, ktorá údaje zhromaždila. Ak je váš genóm sekvenovaný a analyzovaný v laboratóriu so sídlom v EÚ, GDPR upravuje celý životný cyklus údajov – od prijatia vzorky až po vymazanie údajov.

To znamená, že aj keď máte bydlisko v USA, vaše genetické údaje spracúvané v EÚ sú chránené podľa nariadenia GDPR. Nejde o funkciu, ktorú si musíte aktivovať. Je to automatický dôsledok miesta, kde k spracovaniu dochádza.

Partnerské laboratórium spoločnosti Dante Labs sa nachádza v Taliansku – členskom štáte EÚ. Každý genóm, ktorého sekvenciu spoločnosť Dante vypracuje, sa spracúva v súlade s nariadením GDPR. Vaše údaje nemôžu byť predané, odovzdané tretej strane ani použité na účely, s ktorými ste výslovne nesúhlasili – a toto je zaručené právnymi predpismi EÚ, nie len sľubom spoločnosti.

Čo to v praxi znamená

Pre každého, kto zvažuje test sekvencovania celého genómu, by mala byť otázka ochrany údajov rovnako dôležitá ako otázka presnosti testu. Údaje, ktoré pri tom vznikajú, predstavujú tie najosobnejšie informácie, aké existujú – a právny rámec, ktorý ich upravuje, určuje, čo sa s týmito údajmi môže a nemôže stať, a to nielen dnes, ale po celý zvyšok vášho života.

GDPR nie je certifikát, ktorý získate a vystavíte. Je to zákon krajiny, v ktorej sa vaše údaje spracúvajú. A pokiaľ ide o genetické údaje – ktoré sú trvalé, identifikovateľné, rodinné a prediktívne – predstavuje najsilnejší rámec ochrany, aký je k dispozícii kdekoľvek na svete.

Prečítajte si našu kompletnú stránku o ochrane súkromia a správe údajov →