Ваш геном под GDPR-ом: Зашто је заштита података у ЕУ златни стандард за генетске информације

Ваш геном је најличнији податак који поседујете. Он је непроменљив, јединствено идентификујући и инхерентно породични — открива информације не само о вама, већ и о вашим биолошким рођацима. За разлику од лозинке или чак отиска прста, геномски подаци се не могу променити ако буду угрожени. Правни оквир који регулише начин прикупљања, обраде и заштите ових података је важнији него за било коју другу категорију личних података.

Шта чини генетске податке другачијим

Са становишта заштите података, генетски подаци имају неколико својстава која их разликују од других врста личних података:

• Трајност: Ваш геном се не мења. Кршење података које укључује геномске податке ствара трајну изложеност — не постоји еквивалент ресетовању лозинке.
• Идентификованост: Геномски подаци су по својој природи идентификујући. Чак се и делимични геномски подаци могу користити за поновну идентификацију појединаца, што је показано у вишеструким случајевима форензичке генеалогије.
• Наследност: Ваши генетски подаци откривају информације о вашим биолошким родитељима, браћи и сестрама и деци. Кршење генетских података не утиче само на појединца - оно утиче на целу биолошку породицу.
• Предиктивна моћ: Генетски подаци могу предвидети будућа здравствена стања, стварајући потенцијал за дискриминацију у осигурању, запошљавању и другим областима ако им се неправилно приступи.

Ова својства значе да генетски подаци захтевају највиши ниво правне заштите - не само корпоративну политику, већ и применљиви закон са стварним последицама за кршење.

Како GDPR класификује генетске податке

Општа уредба о заштити података (GDPR), која је ступила на снагу у мају 2018. године, класификује генетске податке као „податке посебне категорије“ према члану 9. Ово је најзаштићенија класификација у праву ЕУ, поред података о здрављу, расном или етничком пореклу, биометрији и сексуалној оријентацији.

Обрада података посебне категорије је забрањена по подразумеваним подразумењима. Дозвољена је само на основу ограниченог скупа законских основа — најрелевантнији за геномику је експлицитни пристанак (члан 9(2)(а)). Ово је виши стандард од основа „легитимног интереса“ или „уговорне нужности“ који се примењују на обичне личне податке.

У практичном смислу, то значи:

• Компанија за геномику не може обрађивати ваше генетске податке на основу унапред означене кућице или скривене клаузуле у условима услуге. Сагласност мора бити слободно дата, конкретна, информисана и недвосмислена.
• Сагласност се може повући у било ком тренутку (члан 7(3)), а контролор података тада мора да прекине обраду и, на захтев, избрише податке.
• Подаци се могу користити само у одређене сврхе за које је дата сагласност. Свака нова сврха захтева нову сагласност.

Права која вам GDPR даје над вашим геномом

Према Општој уредби о заштити података (GDPR), појединци имају свеобухватан скуп права у вези са својим личним подацима. За генетске податке, најрелевантнија су:

• Право приступа (члан 15): Можете захтевати комплетну копију свих генетских података који се чувају о вама, заједно са информацијама о томе како се обрађују и са ким су дељени.
• Право на брисање (члан 17): Можете захтевати трајно брисање ваших генетских података. Контролор података мора да се повинује захтеву у року од 30 дана.
• Право на преносивост података (члан 20): Можете захтевати своје податке у структурираном, машински читљивом формату и пренети их другом добављачу.
• Право на ограничавање обраде (члан 18): Можете захтевати да се обрада обустави док се спор или приговор не реши.
• Право на приговор (чл. 21): Можете се приговорити одређеним врстама обраде, укључујући профилисање.

Ово нису добровољне знаке љубазности. То су правно обавезујућа права која подржавају надзорни органи са овлашћењем да изричу казне до 4% глобалног годишњег прихода или 20 милиона евра.

GDPR наспрам заштите генетских података у САД

Сједињене Америчке Државе немају федерални еквивалент GDPR-а за генетске податке. Постојећи правни пејзаж је фрагментиран:

• GINA (2008): Спречава генетску дискриминацију од стране здравствених осигуравача и послодаваца, али не покрива животно осигурање, осигурање за дуготрајну негу или осигурање за случај инвалидитета. Не говори ништа о обради података, складиштењу или кршењу обавеза.
• HIPAA: Примењује се само на покривене субјекте (здравствене раднике, осигураваче) и њихове пословне сараднике. Компаније за потрошачку геномику које продају директно потрошачима обично нису покривени субјекти.
• Државни закони: Мозаик. Илиноис, Калифорнија и још неколико држава су усвојили законе о генетској приватности, али већина држава нема посебан закон о заштити генетских података.

Резултат је да је политика приватности компаније за геномику са седиштем у САД, у већини случајева, добровољна обавеза, а не законска обавеза. Ако компанија промени власништво, банкротира или једноставно одлучи да ажурира своје услове, политика се може променити. Не постоји федерални регулатор који је посебно задужен за спровођење заштите генетских података.

Зашто је јурисдикција важна — не само политика

Кључни увид је да су заштите GDPR-а надлежне. Оне се примењују на податке обрађиване унутар ЕУ, без обзира на националност субјекта података или земљу оснивања компаније која их је прикупила. Ако је ваш геном секвенциран и анализиран у лабораторији са седиштем у ЕУ, GDPR регулише цео животни циклус података – од пријема узорка до брисања података.

То значи да чак и ако сте становник САД, ваши генетски подаци обрађени у ЕУ уживају заштиту GDPR-а. Ово није функција коју морате сами да изаберете. То је аутоматска последица места где се обрада одвија.

Партнерска лабораторија Данте Лабса налази се у Италији — држави чланици ЕУ. Сваки геном који секвенцира Данте обрађује се у складу са јурисдикцијом GDPR-а. Ваши подаци не могу бити продати, пренети трећој страни или коришћени у сврху за коју нисте изричито дали сагласност — и то је поткрепљено законом ЕУ, а не корпоративним обећањем.

Шта ово значи у пракси

За некога ко разматра тест секвенцирања целог генома, питање заштите података требало би да буде једнако важно као и питање тачности теста. Подаци које генеришете су најличнији подаци који постоје — а правни оквир који их регулише одређује шта се може, а шта не може десити са тим подацима, не само данас, већ до краја вашег живота.

GDPR није сертификат који стичете и приказујете. То је закон земље у којој се ваши подаци обрађују. А за генетске податке — који су трајни, идентификујући, породични и предиктивни — представља најјачи оквир заштите доступан било где у свету.

Прочитајте нашу целу страницу о приватности и управљању подацима →