GDPR Kapsamında Genomunuz: AB Veri Koruma Mevzuatı Neden Genetik Bilgiler İçin Altın Standarttur?

Genomunuz, sahip olduğunuz en kişisel veridir. Değiştirilemez, sizi benzersiz bir şekilde tanımlar ve doğası gereği aileyle ilgilidir — sadece sizinle ilgili değil, biyolojik akrabalarınızla ilgili bilgileri de ortaya çıkarır. Bir şifre veya hatta parmak izinden farklı olarak, genomik veriler ele geçirildiğinde değiştirilemez. Bu verilerin nasıl toplanacağı, işleneceği ve korunacağına ilişkin yasal çerçeve, diğer tüm kişisel bilgi kategorilerinden daha büyük önem taşır.

Genetik verileri diğerlerinden ayıran nedir

Veri koruma açısından bakıldığında, genetik veriler diğer kişisel veri türlerinden ayıran çeşitli özelliklere sahiptir:

• Kalıcılık: Genomunuz değişmez. Genomik verilerin söz konusu olduğu bir veri ihlali, kalıcı bir güvenlik açığına yol açar — şifreyi sıfırlamaya eşdeğer bir işlem yoktur.
• Tanımlanabilirlik: Genom verileri doğası gereği kişiyi tanımlayıcı niteliktedir. Birçok adli soybilim vakasının da gösterdiği gibi, kısmi genom verileri bile bireylerin kimliğini yeniden tespit etmek için kullanılabilir.
• Kalıtım: Genetik verileriniz biyolojik ebeveynleriniz, kardeşleriniz ve çocuklarınız hakkında bilgiler içerir. Bir veri ihlali sadece ilgili kişiyi etkilemekle kalmaz, tüm biyolojik aileyi de etkiler.
• Tahmin gücü: Genetik veriler gelecekteki sağlık durumlarını öngörebilir; bu da, uygunsuz bir şekilde erişilmesi halinde sigorta, istihdam ve diğer alanlarda ayrımcılığa yol açabilir.

Bu özellikler, genetik verilerin en üst düzeyde yasal koruma gerektirdiği anlamına gelir — sadece şirket politikası değil, ihlallerin gerçek sonuçları olan ve uygulanabilir yasalar.

GDPR genetik verileri nasıl sınıflandırır?

Mayıs 2018'de yürürlüğe giren Genel Veri Koruma Yönetmeliği (GDPR), genetik verileri 9. madde kapsamında "özel kategori veriler" olarak sınıflandırmaktadır. Bu, sağlık, ırk veya etnik köken, biyometrik veriler ve cinsel yönelim ile birlikte AB hukukunda en yüksek koruma düzeyine sahip sınıflandırmadır.

Özel kategorideki verilerin işlenmesi varsayılan olarak yasaktır. Bu, yalnızca sınırlı sayıda yasal dayanak kapsamında izin verilir; genomik alanında en ilgili olanı açık rızadır (Madde 9(2)(a)). Bu, sıradan kişisel veriler için geçerli olan "meşru menfaat" veya "sözleşmeden doğan zorunluluk" dayanaklarından daha yüksek bir standarttır.

Pratik olarak bu şu anlama gelir:

• Bir genomik şirketi, önceden işaretlenmiş bir onay kutusu veya hizmet şartlarında gizlenmiş bir maddeye dayanarak genetik verilerinizi işleyemez. Onay, özgür iradeyle verilmiş, belirli, bilgilendirilmiş ve açık olmalıdır.
• Onay her an geri çekilebilir (7. Maddenin 3. fıkrası) ve bu durumda veri sorumlusu işlemeyi durdurmalı ve talep üzerine verileri silmelidir.
• Veriler yalnızca onay verilen belirli amaçlar için kullanılabilir. Herhangi bir yeni amaç için yeniden onay alınması gerekir.

GDPR’nin size genomunuz üzerinde tanıdığı haklar

GDPR kapsamında, bireylerin kişisel verileri üzerinde kapsamlı bir dizi hakları bulunmaktadır. Genetik veriler söz konusu olduğunda, en önemlileri şunlardır:

• Erişim hakkı (15. madde): Hakkınızda tutulan tüm genetik verilerin tam bir kopyasını, bu verilerin nasıl işlendiğine ve kimlerle paylaşıldığına dair bilgilerle birlikte talep edebilirsiniz.
• Silinme hakkı (17. madde): Genetik verilerinizin kalıcı olarak silinmesini talep edebilirsiniz. Veri sorumlusu bu talebi 30 gün içinde yerine getirmek zorundadır.
• Veri taşınabilirliği hakkı (20. madde): Verilerinizi yapılandırılmış, makine tarafından okunabilir bir biçimde talep edebilir ve başka bir sağlayıcıya aktarabilirsiniz.
• İşlemenin sınırlandırılması hakkı (18. madde): Bir ihtilaf veya itirazın çözüme kavuşturulmasına kadar işlemenin durdurulmasını talep edebilirsiniz.
• İtiraz hakkı (Madde 21): Profilleme dahil olmak üzere belirli işleme türlerine itiraz edebilirsiniz.

Bunlar gönüllü nezaket kuralları değildir. Bunlar, küresel yıllık cirosunun %4’üne veya 20 milyon avroya kadar para cezası uygulama yetkisine sahip denetim kurumları tarafından desteklenen, yasal olarak uygulanabilir haklardır.

GDPR ve ABD’deki genetik veri koruması

Amerika Birleşik Devletleri’nde genetik veriler konusunda GDPR’ye denk bir federal düzenleme bulunmamaktadır. Mevcut yasal çerçeve parçalı bir yapıya sahiptir:

• GINA (2008): Sağlık sigortacıları ve işverenler tarafından yapılan genetik ayrımcılığı önler, ancak hayat sigortası, uzun süreli bakım sigortası veya maluliyet sigortasını kapsamaz. Veri işleme, depolama veya veri ihlali yükümlülükleri konusunda herhangi bir hüküm içermez.
• HIPAA: Yalnızca kapsama dahil kuruluşlar (sağlık hizmeti sağlayıcıları, sigorta şirketleri) ve iş ortakları için geçerlidir. Tüketicilere doğrudan satış yapan tüketici genomik şirketleri genellikle kapsama dahil kuruluşlar değildir.
• Eyalet yasaları: Bir yamalı bohça. Illinois, Kaliforniya ve birkaç başka eyalet genetik gizlilik yasaları çıkarmış olsa da, çoğu eyalette genetik verilerin korunmasına yönelik özel bir yasa bulunmamaktadır.

Sonuç olarak, ABD merkezli bir genomik şirketinin gizlilik politikası çoğu durumda gönüllü bir taahhüttür — yasal bir yükümlülük değildir. Şirketin el değiştirmesi, iflas etmesi ya da sadece şartlarını güncellemeye karar vermesi durumunda politika değişebilir. Genetik verilerin korunmasını sağlamakla özel olarak görevlendirilmiş bir federal düzenleyici kurum bulunmamaktadır.

Neden sadece politika değil, yargı yetkisi de önemlidir?

Buradaki en önemli nokta, GDPR’nin sağladığı korumaların yargı yetkisi kapsamına bağlı olduğudur. Bu korumalar, veri sahibinin uyruğu veya verileri toplayan şirketin kuruluş ülkesi ne olursa olsun, AB içinde işlenen verilere uygulanır. Genomunuz AB’de bulunan bir laboratuvarda dizilenip analiz edilirse, GDPR numunenin alınmasından verilerin silinmesine kadar tüm veri yaşam döngüsünü düzenler.

Bu, ABD'de ikamet ediyor olsanız bile, AB'de işlenen genetik verilerinizin GDPR kapsamında koruma altında olduğu anlamına gelir. Bu, kullanıcı tarafından seçilebilen bir özellik değildir. Bu, verilerin işlendiği yerin doğurduğu otomatik bir sonuçtur.

Dante Labs'ın ortak laboratuvarı, bir AB üye ülkesi olan İtalya'da bulunmaktadır. Dante tarafından dizilenen her genom, GDPR'nin yetki alanı altında işlenmektedir. Verileriniz satılamaz, üçüncü taraflara aktarılamaz veya açıkça onay vermediğiniz bir amaçla kullanılamaz — ve bu, bir şirket vaadi değil, AB yasalarıyla güvence altına alınmıştır.

Bunun pratikte ne anlama geldiği

Tüm genom dizileme testi yaptırmayı düşünen bir kişi için veri koruma konusu, testin doğruluğu kadar önemli olmalıdır. Ürettiğiniz veriler, var olabilecek en kişisel bilgilerdir — ve bu verileri düzenleyen yasal çerçeve, bu verilere ne yapılabileceğini ve ne yapılamayacağını belirler; bu sadece bugün için değil, hayatınızın geri kalanı boyunca geçerlidir.

GDPR, elde edip sergilediğiniz bir sertifika değildir. Verilerinizin işlendiği ülkenin yürürlükteki yasasıdır. Kalıcı, kimlik belirleyici, ailevi ve öngörücü nitelikteki genetik veriler için ise dünyanın herhangi bir yerinde mevcut olan en güçlü koruma çerçevesini oluşturmaktadır.

Gizlilik ve Veri Yönetimi sayfamızı tam olarak okuyun →